Datatilsynet har meldt det ud sort på hvidt: cookies og sporing på danske hjemmesider bliver en topprioritet for tilsynsindsatsen i 2026. Ikke fordi bannerne mangler, for 94 procent af danske websteder viser i dag et samtykke-banner, ifølge Cookie Informations Compliance Report. Problemet er, at 84 procent af de samme banners fejler på et eller flere punkter, og at 70 procent af siderne sætter ikke-nødvendige cookies, før brugeren overhovedet har taget stilling. Det gør cookie-samtykke til den mest udbredte GDPR-overtrædelse i Danmark lige nu, og det er præcis den, myndigheden går efter i år.
Sagen rammer et sårbart punkt for danske virksomheder, fordi den kommer oven på et år, hvor Datatilsynet allerede har registreret 9.849 databrud i sin årsrapport for 2025. Cookie-fokusset er en anden type indsats: det handler ikke om lækager, men om, hvorvidt brugerne reelt kan sige nej til sporing, når de besøger en dansk hjemmeside. Og ifølge myndighedens egne meldinger er svaret i de fleste tilfælde nej.
Hvad Datatilsynet konkret går efter i 2026
Kernen i den nye indsats er simpel at formulere, men svær at efterleve teknisk: har brugeren en reel og lige så let mulighed for at afvise cookies, som for at acceptere dem? Datatilsynet koordinerer sin indsats med Digitaliseringsstyrelsen, hvilket betyder, at to myndigheder nu kigger på de samme bannere fra hver sin vinkel, ifølge Secure Privacys gennemgang af indsatsen. Det dobbelte tilsyn øger risikoen for, at en overtrædelse bliver fanget, uanset hvilken myndighed der kigger først.
De konkrete overtrædelser, myndighederne leder efter, er velkendte fra resten af EU, men har fået en dansk finpudsning. Der er tale om dark patterns, hvor “Accepter alle” er fremhævet med farve, mens “Afvis” er gemt som en lille grå tekstlink. Der er cookie walls, hvor sitet reelt blokerer indhold, indtil brugeren accepterer. Og der er forudfyldte afkrydsningsfelter, som juridisk set aldrig har givet gyldigt samtykke, men som stadig findes på danske sider i 2026.
Det danske regelsæt stiller desuden krav, som mange paneuropæiske banner-skabeloner slet ikke er bygget til at opfylde. Der skal være en løsning på dansk, hvis tjenesten er dansk. Udløbstiden for hver enkelt teknologi skal fremgå. Og navngivne tredjeparter skal kunne findes inden for ét klik fra bannerets første lag, uden at brugeren skal grave sig ned i undermenuer. Der findes heller ingen analytics-undtagelse i den danske fortolkning: statistik-tags skal vente på samtykke lige så strengt som marketing-tags.
Tallene bag krisen: 94% banner, 84% fejl
Det mest slående ved Cookie Informations tal er ikke, at compliance er lav. Det er, at den ikke bliver bedre, selvom flere sider nu har et banner. Rapporten viser en stigning på tre procentpoint i banner-udbredelse sammenlignet med året før, men en stigning på fem procentpoint i antallet af fejl i samme periode. Markedet bliver altså bedre til at sætte et banner op og dårligere til at konfigurere det korrekt.
Brancheopdelt er billedet ujævnt. Sportsbranchen topper listen med 89 procent af siderne, der sætter ikke-nødvendige cookies før samtykke, tæt fulgt af e-handel med 83 procent og kunst & kultur med 82 procent. Fælles for de tre brancher er en høj andel af tredjepartsscripts til annoncering, retargeting og analyse, som ofte er indlejret af leverandører, virksomheden ikke selv har fuld kontrol over.
| Nøgletal | Andel/Antal | Kilde |
|---|---|---|
| Danske sites med cookie-banner | 94% | Cookie Information |
| Sites med compliance-fejl | 84% | Cookie Information |
| Sites der sætter cookies før samtykke | 70% | Cookie Information |
| Sportsbranchen (cookies før samtykke) | 89% | Cookie Information |
| E-handel (cookies før samtykke) | 83% | Cookie Information |
| Kunst & kultur (cookies før samtykke) | 82% | Cookie Information |
| Danskere der ser privatliv/sikkerhed som topprioritet | 96% | EU-Kommissionens Digital Decade-rapport 2026 |
| Danskere der støtter stærkere beskyttelse af børn online | 93% | EU-Kommissionens Digital Decade-rapport 2026 |
Hvorfor det sker nu: presset fra befolkningen
Datatilsynets skærpede fokus kommer ikke ud af det blå. Ifølge EU-Kommissionens Digital Decade-landerapport for Danmark 2026 peger hele 96 procent af de danske respondenter på beskyttelse af online-privatliv og sikkerhed som den vigtigste prioritet for det kommende årti. Til sammenligning svarer 89 procent, at bedre adgang til digitale værktøjer for alle er en topprioritet, og 85 procent nævner nemmere hverdag gennem digital teknologi. 93 procent støtter desuden stærkere beskyttelse af børn og unge online.
Det er sjældent, man ser et enkelt politikområde score så entydigt højt i en befolkningsundersøgelse. Når privatliv topper listen foran både digital tilgængelighed og hverdagsteknologi, giver det Datatilsynet et klart politisk mandat til at handle, og det forklarer, hvorfor cookie-indsatsen ikke bare er endnu en teknisk vejledning, men en prioriteret sag med opbakning fra toppen af myndighedshierarkiet.
Samtidig fylder debatten om EU’s forslag til “chatkontrol”, forkortelsen for det omstridte forslag om scanning af krypteret kommunikation, fortsat i dansk politik og medier. Danmark har som formandskabsland i EU spillet en central rolle i forhandlingerne, og kritikken har blandt andet lydt fra tidligere EU-parlamentariker Patrick Breyer, der har kaldt de danske revisioner af forslaget utilstrækkelige til reelt at beskytte krypteret kommunikation. Sagerne er juridisk adskilte fra cookie-indsatsen, men de trækker i samme retning: et Danmark, hvor digitalt privatliv er blevet et mainstream politisk emne, ikke kun noget for teknologinørder.
GDPR-bøder i EU: det økonomiske pres bag indsatsen
Cookie-indsatsen i Danmark skal ses i sammenhæng med den generelle udvikling i GDPR-håndhævelse på tværs af EU. Ifølge CMS’ GDPR Enforcement Tracker havde de europæiske tilsynsmyndigheder pr. 1. marts 2026 registreret 2.685 bøder til en samlet værdi på omkring 6,11 milliarder euro siden reglerne trådte i kraft i 2018. Andre opgørelser sætter det samlede tal siden 2018 til over 7,1 milliarder euro, heraf 1,2 milliarder euro alene i 2025, ifølge CMS’ analyse af de samlede EU-bøder.
Irland har for tredje år i træk stået for over 800 millioner euro i bøder alene, drevet af sager mod store techplatforme som Meta, hvis bøde på 1,2 milliarder euro og TikToks bøde på 530 millioner euro fortsat trækker gennemsnittet op. Men de store beløb dækker over en skæv fordeling: ifølge privacy-organisationen noyb resulterer i gennemsnit kun 1,3 procent af sagerne for europæiske tilsynsmyndigheder rent faktisk i en bøde, som beskrevet i noybs analyse af EDPB-statistikken. De fleste sager ender med en advarsel, et påbud om at rette op, eller slet ingen konsekvens.
Det danske bødesystem afviger desuden fra resten af EU på et strukturelt punkt: Datatilsynet kan ikke selv udstede en bøde, som beskrevet i vores tidligere gennemgang af de danske GDPR-tal. Myndigheden anmelder i stedet sagen til politiet, og det er domstolene, der fastsætter beløbet. Det gør processen langsommere end i lande som Spanien eller Frankrig, men det betyder ikke, at cookie-overtrædelser går ustraffet. Et påbud fra Datatilsynet om at rette et banner er i sig selv en alvorlig sag for en virksomhed, fordi det ofte kommer med en kort frist og offentliggørelse.
Hvad virksomheder skal ændre i deres cookie-banner
Kravet om et “reelt fravalg” lyder abstrakt, men oversætter sig til konkrete tekniske ændringer, som mange danske virksomheder endnu ikke har implementeret. Først og fremmest skal “Afvis alle” være lige så synligt som “Accepter alle” i bannerets første lag, med samme farve, størrelse og placering. Et grønt “Accepter”-felt ved siden af en grå tekstlink til afvisning er præcis den type asymmetri, Datatilsynet nu jagter aktivt.
Dernæst skal ingen ikke-nødvendige cookies, herunder statistik- og analysecookies, sættes, før brugeren har klikket aktivt. Det betyder i praksis, at Google Analytics, Meta Pixel og lignende scripts skal være teknisk spærret bag et samtykke-lag, ikke bare “skjult” i brugerfladen, mens de kører i baggrunden. Cookie Informations tal på 70 procent af sites, der bryder netop dette princip, viser, at det er her, den største tekniske gæld ligger.
Endelig stiller den danske fortolkning krav om gennemsigtighed, som mange internationale banner-leverandører ikke leverer ud af boksen: sproget skal være dansk for en dansk tjeneste, udløbstiden for hver cookie-kategori skal oplyses, og navngivne tredjeparter skal være tilgængelige inden for ét klik. Virksomheder, der bruger en standard-skabelon fra en udenlandsk leverandør uden lokal tilpasning, risikerer derfor at fejle på danske krav, selvom løsningen er “GDPR-compliant” i en bredere europæisk forstand.
Sådan adskiller Danmark sig fra Sverige og Norge
Den svenske og norske model
De nordiske tilsynsmyndigheder bevæger sig i samme retning, men med forskellige metoder og hastighed. Sveriges IMY idømte i januar 2026 en bøde på 6 millioner svenske kroner til virksomheden Sportadmin efter et databrud udløst af en SQL-injektion, mens Norges Datatilsynet krævede 20 millioner norske kroner af en stor elektronikkæde for ulovlig brug af kundedata, som tidligere dækket på shattered.io. Begge sager handlede om databrud og datamisbrug, ikke om cookie-banners specifikt.
Danmark skiller sig ud ved at gøre selve samtykkemekanismen, altså bannerets udformning og funktion, til en selvstændig håndhævelsesprioritet, uafhængigt af om der er sket et konkret databrud. Det er en mere forebyggende tilgang end den svenske og norske model, som typisk reagerer på en indtruffet hændelse. Til gengæld mangler Danmark den bødeudstedende myndighed, som IMY og det norske Datatilsynet begge har, hvilket betyder, at danske sager tager en anden og potentielt langsommere vej gennem retssystemet.
Den danske forebyggende model
Den danske tilgang koster tid i retssystemet, men den har en fordel, som Sverige og Norge ikke nødvendigvis har: fordi indsatsen retter sig mod selve mekanismen frem for enkeltsager, rammer den potentielt langt flere virksomheder på én gang. Et påbud om at rette et cookie-banner kan udstedes uden at vente på en klage eller et databrud, hvilket gør indsatsen mere systematisk end reaktiv.
| Land | Myndighed | Kan selv udstede bøder | 2025/2026-fokus |
|---|---|---|---|
| Danmark | Datatilsynet | Nej (via domstole) | Cookie-samtykke og reelt fravalg |
| Sverige | IMY | Ja | Databrud og datasikkerhed (fx SQL-injektion-sagen) |
| Norge | Datatilsynet (NO) | Ja | Ulovlig brug af kundedata |
| Irland | DPC | Ja | Store techplatforme, over 800 mio. euro i bøder 2025 |
| EU samlet | EDPB-koordineret | Varierer pr. land | Tekniske og organisatoriske sikkerhedsforanstaltninger frem mod 2027 |
Historisk kontekst: fra ePrivacy til dagens indsats
Cookie-reglerne i Danmark stammer oprindeligt fra det såkaldte “cookiedirektiv”, ePrivacy-direktivet fra 2009, som blev indført i dansk lov gennem cookiebekendtgørelsen. Dengang handlede kravet primært om at oplyse brugeren om, at der blev sat cookies, uden noget skarpt krav om et aktivt og informeret samtykke. Det ændrede sig markant, da GDPR trådte i kraft i maj 2018, og cookie-samtykke blev koblet sammen med de generelle krav til gyldigt samtykke under databeskyttelsesforordningen.
Siden 2018 har håndhævelsen bevæget sig i bølger. De første år handlede mest om at få virksomheder til overhovedet at vise et banner. Derefter fulgte en periode, hvor EU-domstolen og nationale myndigheder præciserede, at forudfyldte felter og skjulte afvisningsknapper ikke er gyldigt samtykke. 2026-indsatsen markerer en tredje bølge, hvor fokus flytter sig fra “har I et banner” til “fungerer banneret reelt retfærdigt”, en langt mere teknisk og ressourcekrævende vurdering for tilsynsmyndighederne at gennemføre i praksis.
Konsekvenser for danske e-handelsvirksomheder
E-handel er en af de brancher, Cookie Informations rapport peger direkte på, med 83 procent af siderne, der sætter ikke-nødvendige cookies før samtykke. Det er en dyr risiko for en branche, der er tungt afhængig af retargeting-annoncer og konverteringssporing for at drive salg. Hvis en webshop tvinges til reelt at vente på samtykke, før trackingpixels aktiveres, kan det umiddelbart betyde et fald i mængden af data, der kan bruges til at målrette annoncer, i hvert fald for den andel af besøgende, der aktivt fravælger sporing.
Samtidig er der en modsatrettet effekt, som flere brancheanalytikere har peget på i takt med, at forbrugerne bliver mere privatlivsbevidste: virksomheder, der synligt respekterer et “nej tak”, opbygger tillid, som kan betale sig over tid i form af loyalitet og færre klager. Det er ikke en garanti, men det ændrer den økonomiske kalkule fra “compliance er en omkostning” til “compliance er en del af brandet”, særligt i et marked som det danske, hvor 96 procent af befolkningen sætter privatliv højt.
Værktøjer og teknisk implementering
Rent teknisk kræver en compliant løsning et Consent Management Platform (CMP), der blokerer scripts, indtil samtykke er givet, i modsætning til løsninger, der blot skjuler et banner visuelt, mens scripts kører i baggrunden. Et typisk implementeringsmønster ser sådan ud i praksis, hvor tracking-scriptet først indlæses efter et bekræftet samtykke-flag:
// Eksempel: bloker Google Analytics indtil samtykke
if (window.cookieConsent && window.cookieConsent.statistik === true) {
loadScript('https://www.googletagmanager.com/gtag/js?id=G-XXXXXXX');
} else {
// Vent på samtykke-event fra CMP før scriptet indlæses
document.addEventListener('consentUpdated', function(e) {
if (e.detail.statistik === true) {
loadScript('https://www.googletagmanager.com/gtag/js?id=G-XXXXXXX');
}
});
}Princippet er enkelt, men kræver en gennemgang af samtlige tredjepartsscripts på et site, ikke kun de mest oplagte som Google Analytics og Meta Pixel. Mange virksomheder opdager under en audit, at der ligger glemte tracking-scripts fra tidligere marketingkampagner eller A/B-testværktøjer, som stadig fyrer af, uden at nogen i organisationen er klar over det.
Markedseffekt: CMP-udbydere ser stigende efterspørgsel
Den skærpede håndhævelse skaber en direkte forretningsmulighed for udbydere af Consent Management Platforme. Virksomheder som Cookie Information, Didomi og Securiti markedsfører sig alle aktivt mod det danske compliance-behov, og flere af dem har i deres egne analyser peget på 2026-indsatsen som en anledning til at opgradere fra simple banner-scripts til fuldt integrerede CMP-løsninger, der logger og dokumenterer samtykke over tid.
For it-afdelinger og bureauer betyder det flere opgaver: en gennemgang af eksisterende cookie-opsætninger, dokumentation af samtykke-logs som bevis over for myndighederne, og i mange tilfælde en fuld udskiftning af det banner-værktøj, virksomheden har brugt siden GDPR trådte i kraft i 2018. Det er ikke en éngangsopgave, men et løbende vedligeholdelsesarbejde, i takt med at nye tredjepartsscripts og annonceplatforme løbende dukker op.
5 forudsigelser for cookie-håndhævelsen i Danmark
- Flere konkrete påbud i anden halvdel af 2026: Med koordineringen mellem Datatilsynet og Digitaliseringsstyrelsen på plads er det sandsynligt, at de første offentlige påbud mod navngivne virksomheder kommer i løbet af efteråret 2026.
- E-handel og sportsbranchen bliver testcases: Med hhv. 83 og 89 procent af siderne i overtrædelse er det de mest oplagte brancher for myndighederne at statuere eksempler i.
- CMP-markedet konsolideres yderligere: Virksomheder, der stadig kører hjemmelavede banner-scripts, vil i stigende grad skifte til dedikerede platforme for at kunne dokumentere compliance.
- Chatkontrol-debatten smitter af på den generelle cookie-debat: Jo mere opmærksomhed EU’s forslag om scanning af krypteret kommunikation får i danske medier, jo mere privatlivsbevidste bliver forbrugerne, hvilket øger presset på virksomheder generelt.
- Nordisk samordning tager til: Med Sverige og Norge allerede aktive på databrudsfronten er det sandsynligt, at de nordiske tilsynsmyndigheder i stigende grad deler metoder og erfaringer på tværs af grænserne, selvom bødesystemerne forbliver nationalt forskellige.
Sådan tjekker du dit eget cookie-banner
Der findes en enkel praktisk test, enhver virksomhed kan udføre selv i dag. Åbn sitet i en browser med udviklerværktøjer, gå til fanen for netværkstrafik, og genindlæs siden uden at klikke på noget i cookie-banneret. Kig efter kald til domæner som google-analytics.com, doubleclick.net eller facebook.com, før der er givet samtykke. Er de der, er sitet med stor sandsynlighed i samme kategori som de 70 procent, Cookie Information har identificeret.
Dernæst bør man vurdere banneret visuelt: står “Afvis” og “Accepter” med samme vægt, farve og størrelse? Kræver det færre klik at acceptere end at afvise? Og er banneret på dansk, hvis målgruppen er dansk? De tre spørgsmål dækker langt de fleste af de overtrædelser, Datatilsynet aktivt leder efter i 2026, og de kan alle besvares uden at hyre et konsulentfirma.
Ofte stillede spørgsmål om cookie-samtykke i Danmark
Skal alle danske hjemmesider have et cookie-banner?
Ja, hvis sitet sætter ikke-nødvendige cookies, herunder statistik- eller marketingcookies. Rent tekniske cookies, der er nødvendige for sitets grundfunktion, kræver ikke samtykke.
Kan Datatilsynet selv give en bøde for et dårligt cookie-banner?
Nej. Datatilsynet anmelder sagen til politiet, og det er domstolene, der fastsætter en eventuel bøde. Myndigheden kan dog udstede påbud om at rette op på et banner med det samme.
Er Google Analytics undtaget fra samtykkekravet i Danmark?
Nej. Den danske fortolkning anerkender ingen analytics-undtagelse. Statistik-tags skal vente på aktivt samtykke på samme måde som marketing-tags.
Hvad er en dark pattern i et cookie-banner?
Det er et designtrick, der gør det sværere at afvise end at acceptere cookies, fx ved at fremhæve “Accepter alle” i en tydelig farve, mens “Afvis” er skjult som en lille grå tekstlink.
Skal cookie-banneret være på dansk?
Ja, hvis tjenesten henvender sig til et dansk publikum. Det er et af de punkter, hvor den danske fortolkning går videre end mange generiske EU-banner-skabeloner.
Hvilke brancher er mest udsatte for overtrædelser i 2026?
Ifølge Cookie Information er sport (89%), e-handel (83%) og kunst & kultur (82%) de brancher, hvor flest sider sætter ikke-nødvendige cookies, før brugeren har givet samtykke.
Hvordan adskiller Danmarks tilgang sig fra Sveriges og Norges?
Sverige og Norge har begge myndigheder, der selv kan udstede bøder, og deres seneste sager har handlet om databrud og datamisbrug. Danmark gør derimod selve cookie-samtykkemekanismen til en selvstændig prioritet, uafhængigt af om der er sket et konkret databrud.
Hvad sker der, hvis min virksomhed ikke retter op efter et påbud?
Et påbud fra Datatilsynet kommer typisk med en frist. Fortsat manglende overholdelse kan føre til, at sagen sendes videre til politiet og i sidste ende til domstolene, hvor en bøde kan fastsættes.
Relateret dækning
- GDPR-bøder: Datatilsynet Melder 9.849 Databrud [2026]
- Mullvad vs ProtonVPN: €5 Flad Pris vs 15.800 Servere [2026]
- Signal vs WhatsApp: Nr. 9 til Nr. 1 i Danmark [2026]
- NIS2 i Danmark: 6.000 Virksomheder, €10M Bøder [2026]
- DuckDuckGo vs Google vs Brave: 90% vs 0,71% Andel [2026]
Se også vores samlede dækning af privatliv og databeskyttelse for flere analyser af GDPR, VPN-tjenester og digital sporing.
