Att förstå cookielagstiftningen och implementera effektiva lösningar för hantering av samtycke har blivit avgörande för alla webbplatser. I den här guiden förklaras skillnaderna mellan europeiska och amerikanska bestämmelser, analyseras hur Googles samtyckesläge fungerar och jämförs de viktigaste lösningarna för samtyckeshantering.
Att förstå cookielagstiftningen och implementera effektiva lösningar för samtyckeshantering har blivit avgörande för alla webbplatser. Den här guiden tar upp skillnaderna mellan europeiska och amerikanska regler, analyserar hur Googles samtyckesläge fungerar och jämför de viktigaste lösningarna för samtyckeshantering, med de senaste uppdateringarna fram till 2025.
I Europa styrs skyddet av personuppgifter och integritet på nätet huvudsakligen av två lagstiftningar:
GDPR, som trädde i kraft 2018, ställer stränga krav på behandlingen av personuppgifter och fastställer grundläggande principer:
För att samla in och behandla personuppgifter (inklusive onlineidentifierare som cookies) krävs en giltig rättslig grund, t.ex. ditt uttryckliga samtycke, ett berättigat intresse eller en avtalsenlig skyldighet.
Överträdelser av GDPR kan leda till mycket höga böter, upp till 4% av företagets globala omsättning.
Direktivet om integritet och elektronisk kommunikation (2002/58/EG, ändrat 2009) är särskilt inriktat på integritet i elektronisk kommunikation, inklusive användningen av cookies och spårningsteknik.
I artikel 5.3 i direktivet anges att det är obligatoriskt att inhämta användarens förhandsgodkännande innan information lagras eller görs tillgänglig på hans eller hennes enhet, med förbehåll för vissa undantag (t.ex. strikt nödvändiga tekniska cookies).
I praktiken innebär detta att europeiska webbplatser måste:
Europeiska integritetsmyndigheter har aktivt sanktionerat överträdelser: till exempel har franska CNIL bötfällt Google och Amazon mellan 2020 och 2022 för att ha placerat ut spårningscookies utan giltigt samtycke.
I mars 2024 trädde EU:s Digital Markets Act (DMA) i kraft, som ytterligare skärpte samtyckeskraven för stora teknikplattformar, vilket har en betydande inverkan på hanteringen av cookies och spårning. Detta har lett till att företag som Google har uppdaterat sina lösningar för samtyckeshantering.
I februari 2025 drog EU-kommissionen officiellt tillbaka sitt förslag till en ny ePrivacy-förordning och lät det befintliga direktivet fortsätta att gälla. Det innebär att samtyckeskraven för cookies förblir som de är idag, fortfarande bindande och föremål för strikt tillämpning i hela Europa.
EU-domstolen meddelade i mars 2024 ett viktigt utslag i IAB TCF-fallet, med betydande konsekvenser för implementeringen av Transparency & Consent Framework, som företagen fortfarande håller på att ta till sig.
I USA finns det, till skillnad från i EU, ingen allmän federal integritetslagstiftning som kan jämföras med GDPR. Regleringen sker på delstats- och sektorsnivå, med en betydande utveckling under senare år.
CCPA, som trädde i kraft 2020, förstärktes av CPRA (som trädde i kraft 2023), vilket förde den ännu närmare den europeiska modellen.
Det har CPRA gjort:
Mellan 2023 och 2025 genomgick integritetslandskapet i USA en snabb utveckling:
Från och med januari 2025 har så många som 20 amerikanska delstater nu omfattande lagar om dataskydd, och åtta nya lagar träder i kraft under 2025. Detta innebär att cirka 40 procent av de amerikanska konsumenterna nu har rätt till digital integritet. Fragmenteringen av lagstiftningen utgör dock en stor utmaning för företagen, som måste navigera mellan krav som ofta är likartade men inte identiska.
Kalifornien ligger fortfarande i framkant, med CPPA särskilt aktiv under 2024-2025. Byrån utfärdade flera betydande påföljder, inklusive böter på 6,75 miljoner USD till ett molnprogramvaruföretag 2024. Den utfärdade också nya föreslagna föreskrifter om cybersäkerhet, riskbedömningar och automatiserad beslutsteknik (ADMT), med en öppen offentlig kommentarsperiod fram till juni 2025.
Bland de mest relevanta utvecklingarna inom cookiehantering kan nämnas att Kalifornien utvidgade definitionen av "känslig personlig information" till att omfatta "neurala data" (information som genereras genom mätning av nervsystemets aktivitet) och klargjorde att personlig information även omfattar digitala och abstrakta format, t.ex. sådana som genereras av artificiell intelligens.
Delaware antog en integritetslag som, till skillnad från andra, inte undantar ideella organisationer och akademiska institutioner från dess täckning, vilket avsevärt breddar dess räckvidd.
Till skillnad från EU är den amerikanska modellen fortfarande främst baserad på opt-out snarare än på förhandsgodkännande. En amerikansk webbplats som betjänar EU-användare måste därför ha en GDPR-kompatibel banner för dessa användare, medan den för amerikanska användare helt enkelt kan visa ett meddelande och en länk för att välja bort cookies utan att blockera dem i förväg.
Interactive Advertising Bureau (IAB) Europe har utvecklat Transparency & Consent Framework (TCF) som en branschstandard för att hjälpa företag att hantera användarnas samtycke i enlighet med GDPR och ePrivacy-direktivet, vilket är särskilt relevant i samband med digital annonsering.
TCF har funnits i flera omgångar:
TCF v2.2 introducerade viktiga förändringar:
I april 2025 öppnade IAB Tech Lab och IAB Europe den tekniska specifikationen TCF v2.3 för offentlig kommentar, med en kommentarsperiod fram till den 19 maj 2025. Uppdateringen syftar till att ge mer klarhet för leverantörer i specifika scenarier där det är oklart om data har lämnats ut till användaren, vilket är särskilt viktigt när en leverantör avser att behandla data för särskilda ändamål baserat på berättigat intresse.
Tidslinjen för TCF v2.3 omfattar:
För att hjälpa webbplatser och annonsörer att respektera användarnas samtyckesval introducerade Google Consent Mode, en teknisk lösning som justerar beteendet hos Google-taggar enligt användarens samtyckesstatus.
I november 2023 lanserade Google Consent Mode V2, med obligatorisk implementering senast i mars 2024 för webbplatser som använder Googles tjänster och samlar in data från användare i Europeiska ekonomiska samarbetsområdet (EES). Denna uppdatering var särskilt utformad för att anpassas till EU:s Digital Markets Act (DMA).
Consent Mode V2 introducerar två nya parametrar utöver de ursprungliga:
Till skillnad från ad_storage och analytics_storage påverkar dessa nya parametrar inte taggarnas beteende på själva webbplatsen, utan är ytterligare parametrar som skickas till Googles tjänster för att ange hur användardata kan användas.
Google Consent Mode V2 har två implementeringslägen:
Det är viktigt att notera att vissa integritetsexperter har uttryckt tvivel om huruvida det avancerade läget är förenligt med dataskyddsbestämmelserna, eftersom "pingar" kan utgöra personuppgifter som behandlas utan samtycke.
Utan Googles samtyckesläge kan annonsplattformar inte samla in uppgifter om nya EES-användare, vilket avsevärt begränsar möjligheten att samla in målgruppsdata, mäta kampanjers effektivitet och genomföra riktade annonseringsstrategier.
Med Consent Mode V2 kan webbplatser fortsätta att samla in grundläggande analytiska data även när användarna inte har gett sitt samtycke till cookies, genom avancerade modelleringstekniker som respekterar samtyckespreferenser.
.png)
För att följa alla dessa bestämmelser använder webbplatser plattformar för samtyckeshantering (CMP) som tillhandahåller banners och gränssnitt för att inhämta användarnas samtycke och mekanismer för att respektera dessa val.
IAB spelar en nyckelroll i certifieringen av CMP:er genom TCF-ramverket. En IAB TCF v2.2-certifierad CMP måste:
Under 2023-2024 införde Google särskilda certifieringskrav för CMP:er som vill stödja Google Ads i EU och Storbritannien, där huvudkravet är uppdaterad efterlevnad av IAB TCF. CMP:er som certifierats av Google kan använda Google Ads-produkter och finns med på en officiell lista.
En lösning som är särskilt inriktad på webbplatser som byggts med Webflow, med fullt stöd för IAB TCF v2.2 och Google Consent Mode v2.
Fördelar:
Nackdelar:
Idealisk för: utvecklare eller byråer som arbetar med Webflow och som vill ha total kontroll och anpassad design.
En plug-and-play-lösning som uppdaterats för att stödja IAB TCF v2.2 och Google Consent Mode v2, nu med guldcertifiering som Google CMP-partner.
Fördelar:
Nackdelar:
Perfekt för: små webbplatser eller ägare som snabbt vill komma upp i varv.
Iubenda är ett italienskt företag som erbjuder en komplett uppsättning verktyg för regelefterlevnad, helt uppdaterade för att stödja IAB TCF v2.2 och Google Consent Mode v2.
Fördelar:
Nackdelar:
Idealisk för: företag som vill ha en professionell och heltäckande lösning med minimalt underhåll.
En av de första populära SaaS CMP-lösningarna, nu en del av Usercentrics plattform.
Fördelar:
Nackdelar:
Idealisk för: medelstora webbplatser och företag som vill delegera cookiehanteringen till automatisering.
En ny CMP som erbjuder en komplett lösning för integration med Google Consent Mode V2 och IAB TCF v2.2.
Fördelar:
Nackdelar:
Idealisk för: företag som letar efter en lösning som fokuserar på integration med Google Consent Mode V2.
För stora multinationella organisationer finns det CMP:er för företag som OneTrust, TrustArc, Didomi, Usercentrics, Osano etc.
Fördelar:
Nackdelar:
Idealisk för: stora företag med global närvaro och komplexa behov av konsensushantering.
Anpassning till cookie/privacy-regler kräver både en juridisk förståelse av de olika reglerna och implementering av lämpliga tekniska lösningar.
I Europa råder ett strikt system för förhandsgodkännande, medan det i USA är opt-out med krav på transparens som gäller, även om delstatslagarna successivt utvecklas mot striktare normer och närmar sig den europeiska modellen.
Verktyg som Google Consent Mode V2 och IAB TCF v2.2/v2.3 hjälper till att överbrygga klyftan mellan marknadsföring och integritet, så att webbplatser kan använda analys- och annonstjänster samtidigt som de följer cookie-lagarna.
Valet av plattform för samtyckeshantering beror på faktorer som webbplatsens storlek, tillgängliga tekniska resurser, budget och behovet av multinationell efterlevnad. Det viktiga är att ge användarna verklig kontroll över sina uppgifter och att webbplatsen kan drivas transparent och i enlighet med gällande lagar.
Företag som är verksamma i både Europa och USA kommer att behöva fortsätta att navigera i ett komplext och föränderligt regelverk och anpassa sina lösningar för samtyckeshantering till olika jurisdiktioner.
I Europa (GDPR och ePrivacy-direktivet) råder en opt-in-modell: användarens uttryckliga samtycke måste inhämtas innan icke-väsentliga cookies används. I USA (CCPA/CPRA och andra delstatslagar) råder däremot en opt-out-modell: cookies kan användas tills användaren uttryckligen invänder, och företag måste tillhandahålla ett tydligt sätt att välja bort försäljning/delning av data.
Endast "strikt nödvändiga" (eller "tekniska") cookies får användas utan samtycke i Europa. Dessa omfattar cookies som är nödvändiga för att webbplatsen ska fungera, t.ex. för autentisering, för att lagra artiklar i en kundvagn för e-handel eller för webbplatsens säkerhet.
Google Consent Mode V2 är ett gränssnitt som kommunicerar användarens val av samtycke till Google. Det introducerar fyra samtyckesparametrar (ad_storage, analytics_storage, ad_user_data, ad_personalisation) som styr beteendet hos Google-taggar. Det är viktigt eftersom det gör det möjligt för webbplatser att balansera mätning av marknadsföringsprestanda med efterlevnad av sekretess, och har blivit obligatoriskt från och med mars 2024 för webbplatser som använder Googles tjänster i Europa.
Valet beror på flera faktorer: webbplatsens storlek och trafik, tillgänglig budget, intern teknisk expertis, plattform som webbplatsen är byggd på (t.ex. Webflow, WordPress) och specifika efterlevnadskrav. Det är också viktigt att kontrollera om CMP:n är certifierad enligt IAB TCF v2.2 och stöder Google Consent Mode V2, särskilt om Googles annonstjänster används.
I Europa är det tekniskt sett ja. Även om webbplatsen endast använder nödvändiga cookies är det fortfarande nödvändigt att informera användarna om vilka cookies som används. I det här fallet är det dock inte nödvändigt att begära samtycke, så bannern kan förenklas till ett informativt meddelande som inte kräver interaktion.
I Europa kan brott mot GDPR leda till böter på upp till 4% av den globala årsomsättningen eller 20 miljoner euro, beroende på vilket belopp som är högst. I Kalifornien kan överträdelser av CCPA/CPRA leda till civilrättsliga påföljder på upp till 2.500 USD per oavsiktlig överträdelse och 7.500 USD per avsiktlig överträdelse, samt potentiella konsumentstämningar. Tillsynsmyndigheterna har blivit mer aktiva när det gäller verkställighet, och flera betydande böter har utfärdats under de senaste åren.
Nej, Google Consent Mode V2 ersätter inte bannercookien, utan fungerar tillsammans med den. Det krävs fortfarande ett system för att samla in användarens samtycke (CMP), som sedan kommunicerar preferenser till Google Consent Mode för att reglera taggens beteende.
Den bästa lösningen är att implementera ett system som känner igen användarens geografiska läge och visar lämpligt gränssnitt: en opt-in-banner för europeiska användare och ett opt-out-meddelande för amerikanska användare. De mest avancerade CMP:erna erbjuder denna funktion för geo-targeting.
IAB Transparency & Consent Framework (TCF) är en branschstandard som hjälper företag att hantera användarsamtycke i enlighet med GDPR och ePrivacy-direktivet, särskilt i samband med digital annonsering. Den tillhandahåller en standardiserad mekanism för att samla in, lagra och dela preferenser för användarsamtycke mellan publicister, annonsörer och leverantörer av annonsteknik. Den senaste versionen, TCF v2.2, är utformad för att förbättra transparens och ansvarsskyldighet och har utvecklats som svar på vägledning från dataskyddsmyndigheter.
TCF v2.3, som för närvarande är föremål för offentligt samråd fram till maj 2025, syftar till att skapa större klarhet för leverantörer i specifika scenarier där det är oklart om uppgifter har lämnats ut till användaren. Denna distinktion är särskilt viktig när en leverantör avser att behandla uppgifter för särskilda ändamål på grundval av berättigat intresse. De tekniska specifikationerna förväntas vara klara i slutet av maj 2025, med en deadline för implementering den 1 februari 2026.
.svg)
.svg)
.svg)
.jpeg)
.jpeg)