EU er på vej mod en ny runde af cookie-reglerne, og denne gang er det ikke Europa-Kommissionen, der sætter dagsordenen. Et udkast fra Rådets Generalsekretariat, dateret 2. oktober 2026 og omtalt offentligt den 10. oktober af branchemediet PPC Land, lægger op til at skære perioden, hvor websteder skal respektere et cookie-afslag, fra seks til fire måneder. Samtidig introduceres en ny undtagelse for måling af kontekstuel annoncering, som gør, at en del af den måling, der i dag kræver samtykke, kan ske uden at spørge brugeren. Dokumentet, kendt som 13886/26, ligger nu til behandling i Coreper, Rådets komité af medlemslandenes ambassadører, og er langt fra vedtaget lov. Men det markerer et konkret skridt i en forhandling, der har kørt siden Kommissionen fremlagde sit store “Digital Omnibus”-forslag i november 2025.
For danske og nordiske virksomheder, der i årevis har kæmpet med cookie-bannere, samtykkeplatforme og juridisk usikkerhed om, hvornår et “nej tak” egentlig gælder, er sagen relevant uanset udfaldet. Reglerne rammer alt fra offentlige institutioner til mediehuse og webshops, og en ændring i reglerne om samtykke og annoncemåling vil kunne mærkes direkte på bundlinjen hos alle, der driver en hjemmeside med trafik fra EU.
Hvad det nye udkast konkret ændrer
Kernen i det nye udkast er enkel på papiret, men kompliceret i praksis. Hvis en bruger afviser samtykke til et bestemt formål, skal udbyderen ifølge teksten vente mindst fire måneder, før vedkommende kan blive spurgt igen om det samme formål. Det er en opstramning i forhold til Kommissionens oprindelige forslag fra november 2025, som opererede med seks måneder, og det er også kortere end den kompromistekst, det irske EU-formandskab lagde frem den 3. september 2026, hvor seks måneder stadig var udgangspunktet.
De fire måneder handler alene om, hvor ofte et nyt samtykkespørgsmål må dukke op. Det betyder ikke, at en virksomhed kan fortsætte med at behandle data til det afviste formål i de fire måneder, reglen gælder udelukkende tidspunktet for et nyt spørgsmål. Juridisk er det en finjustering, men den slags detaljer er netop dét, der afgør, om en reform i praksis giver brugerne mere kontrol, eller om den bare giver virksomhederne flere chancer for at spørge igen.
Teksten indeholder desuden et krav om, at brugere skal kunne afvise samtykke med et enkelt klik, en regel der går igen fra tidligere udkast og som skal gøre op med de lange, flerleddede cookie-bannere mange danskere kender alt for godt.
Den nye undtagelse for kontekstuel annoncering
Den del af udkastet, der sandsynligvis vil skabe mest debat, er en ny undtagelse for måling af kontekstuel annoncering. Her er grundtanken, at en annonce, der vises på baggrund af det indhold, brugeren rent faktisk kigger på lige nu, eller en enkelt søgning, skal kunne måles uden samtykke. Det gælder altså annoncer, der ikke er baseret på en brugers browserhistorik eller adfærd på tværs af sider.
Teksten sætter dog flere betingelser op. Målingen skal foretages af udbyderen af tjenesten selv, eller på dennes vegne, data skal pseudonymiseres efter indsamling, og de må ikke bruges til andre formål, herunder profilering eller programmatisk annoncering. Der må heller ikke indgå oplysninger om brugerens tidligere eller fremtidige aktivitet, uanset om det sker på tværs af sider, apps eller tjenester. Undtagelsen er dermed langt snævrere end den brede adtech-tracking, som branchen har bygget sin forretning på i to årtier, men den rører stadig ved et følsomt punkt: grænsen mellem analyse og overvågning har historisk vist sig svær at definere præcist i lovtekst.
Tilbage til ePrivacy-direktivet, ikke ind i GDPR
Et andet centralt punkt er, hvor reglerne juridisk skal placeres. Kommissionens oprindelige forslag ville flytte cookie-reglerne ind i selve GDPR-forordningen og samtidig udvide listen over databehandling, der kan ske uden samtykke. Rådets kompromis, både fra september og det nyeste fra oktober, trækker i stedet reglerne tilbage til artikel 5(3) i ePrivacy-direktivet, hvor de har ligget siden direktivet blev vedtaget i 2002 og siden skærpet i 2009 med den ændring, der i daglig tale blev kendt som “cookie-loven”.
Det lyder som en teknisk detalje, men har reelle konsekvenser. Et direktiv skal implementeres i national ret af hvert medlemsland, mens en forordning som GDPR gælder direkte og ens i hele EU. Flytter man cookie-reglerne tilbage i et direktiv, åbner man samtidig for, at medlemslandene igen kan komme til at håndhæve og tolke reglerne lidt forskelligt, sådan som det var tilfældet før GDPR i 2018 strammede op på en fælles linje.
Baggrund: Kommissionens Digital Omnibus
For at forstå, hvorfor Rådet overhovedet sidder og forhandler cookie-regler igen, skal man tilbage til 19. november 2025. Her fremlagde Europa-Kommissionen sin store “Digital Omnibus”-pakke, formelt COM(2025) 837, som et forsøg på at forenkle en række digitale regelsæt på én gang, fra databeskyttelse til cybersikkerhed. Ifølge Kommissionen selv skal pakken samlet reducere den administrative byrde for virksomheder med mindst 25 procent, og for små og mellemstore virksomheder med 35 procent, inden udgangen af 2029.
På cookie-fronten lød Kommissionens løfte, at op mod 50 procent af private websteder og 80 procent af offentlige websteder potentielt kunne undgå at skulle vise cookie-bannere overhovedet, fordi flere typer af lavrisiko-databehandling ville blive undtaget fra samtykkekravet. De tal stammer fra Kommissionens egne beregninger, som de er citeret og analyseret af den økonomiske tænketank Bruegel, og de er ikke en uafhængigt målt effekt, men et politisk pejlemærke for, hvor langt reformen skal nå.
Fra forslag til kompromis: Hvad der er ændret undervejs
Vejen fra Kommissionens forslag til det nuværende rådsudkast har allerede budt på flere drejninger. Det irske EU-formandskab lagde den 3. september 2026 en kompromistekst på bordet, et dokument på 158 sider klassificeret som “LIMITE”, der for første gang flyttede reglerne tilbage til ePrivacy-direktivet og tilføjede undtagelsen for kontekstuel annoncemåling. Den tekst holdt fast i seks måneders respekt for et afslag, nøjagtig som Kommissionens oprindelige udspil.
Det nye dokument fra 2. oktober strammer perioden til fire måneder, men bevarer ellers grundstrukturen fra september-kompromiset. Det tyder på, at forhandlingerne mellem medlemslandene handler om finjustering af konkrete tal og formuleringer snarere end om de store principper, som efterhånden ser ud til at være aftalt mellem landene.
Sammenligning af de tre tekster
| Bestemmelse | Kommissionens forslag (19.11.2025) | Irsk kompromis (03.09.2026) | Rådsudkast 13886/26 (02.10.2026) |
|---|---|---|---|
| Placering i lovgivning | Flyttes ind i GDPR | Tilbage til ePrivacy-direktivet art. 5(3) | Fortsat i ePrivacy-direktivet art. 5(3) |
| Periode før nyt samtykkespørgsmål | Mindst 6 måneder | 6 måneder | 4 måneder |
| Undtagelse for kontekstuel annoncemåling | Ikke specificeret som selvstændig kategori | Indført, uden profilering | Bevaret, med krav om pseudonymisering |
| Krav om et-klik-afslag | Ja | Ja | Ja |
| Status | Kommissionsforslag | Formandskabskompromis | Arbejdsudkast til Coreper |
Kritikken fra noyb: Dark patterns og 90 procent samtykke
Den østrigske privacy-organisation noyb, grundlagt af juristen Max Schrems, har gentagne gange kritiseret retningen i medlemslandenes forhandlinger. Organisationens pointe er, at reformen risikerer at bevare selve cookie-banner-økosystemet i stedet for at afskaffe det, fordi mange tjenester i praksis bruger såkaldte dark patterns, altså designtricks som skjulte “nej”-knapper eller forudkrydsede afkrydsningsfelter, til at presse brugerne mod et “ja”.
Ifølge noyb opnår sporingsindustrien på den måde samtykkerater op til 90 procent, selv i tilfælde hvor brugerens frie og informerede valg efter al sandsynlighed ville have set helt anderledes ud. Hvis den slags designtricks fortsætter, mener organisationen, at en kortere periode mellem samtykkespørgsmål, som de fire måneder i det nye udkast, reelt giver virksomheder flere chancer om året til at presse et “ja” igennem, uanset hvor mange gange brugeren allerede har sagt nej.
Den kritik rammer et ømt punkt i hele reformprojektet. Målet med Digital Omnibus er at reducere antallet af cookie-bannere, men hvis undtagelserne og de kortere perioder i stedet bruges til at optimere banneret snarere end at fjerne det, ender brugeroplevelsen muligvis uforandret, mens den juridiske usikkerhed om, hvad der egentlig er lovligt, stiger.
Hvad forskningen og industrien siger om reformen
Tænketanken Bruegel har i en analyse af forslaget peget på, at en reform af samtykkereglerne skal tage højde for de markedsmæssige incitamenter, der i dag driver cookie-økonomien. Hvis en stor del af annonceindtægterne fortsat afhænger af adfærdsbaseret tracking, vil en ny undtagelse for kontekstuel måling alene næppe ændre de grundlæggende forretningsmodeller hos de store annonceplatforme. Samtidig anerkender analysen, at Kommissionens 50/80-procent-tal viser en reel politisk ambition om at lette byrden for de websteder, der i dag bruger cookies til relativt uskadelige formål som besøgstælling og grundlæggende funktionalitet.
Fra industrisiden er der en klar økonomisk interesse i en undtagelse for kontekstuel annoncemåling. En snævrere, men lovlig vej til at måle annonceeffektivitet uden samtykke kan reducere både den juridiske risiko og de tekniske omkostninger ved at drive consent management-platforme, som mange mellemstore og store udgivere i dag betaler for. Omvendt skaber den kortere periode mellem samtykkespørgsmål en ny usikkerhed, fordi det stadig er uklart, hvordan et krav om, at et afslag skal “respekteres” i fire måneder, teknisk skal håndhæves uden en fælles, bindende standard for, hvordan websteder registrerer og deler den oplysning.
Den danske og nordiske vinkel
Hverken det tilgængelige materiale om det irske kompromis eller det nye rådsudkast fra 2. oktober indeholder en direkte udtalelse fra den danske regering eller Datatilsynet om netop dette dokument, og det skal man være ærlig om, før man lægger ord i munden på danske myndigheder. Det, man derimod kan sige med sikkerhed, er, at reformen rammer et område, hvor Datatilsynet allerede har skærpet kravene til, hvordan danske websteder indhenter og dokumenterer samtykke, og hvor en stor del af de hjemmesider, tilsynet tidligere har undersøgt, ikke har levet op til de gældende regler.
Det betyder, at en EU-regel, der ændrer periodens længde og tilføjer nye undtagelser, direkte vil ramme den praksis, danske virksomheder allerede skal navigere i. Hvis reglerne ender med at blive vedtaget i deres nuværende form, vil danske virksomheder skulle opdatere deres samtykkeplatforme og juridiske dokumentation igen, blot få år efter de sidste store tilpasninger til GDPR og Datatilsynets egne cookie-vejledninger. For et land med en høj digitaliseringsgrad og mange små og mellemstore webshops er den slags lovændringer ikke kun en juridisk øvelse, det er en konkret omkostning i udviklertimer og juridisk rådgivning, hver gang reglerne flytter sig.
Historisk kontekst: 20 års kamp om cookien
Cookie-reglerne har en lang og til tider opslidende historie i EU. Den oprindelige ePrivacy-direktiv kom i 2002 og blev i 2009 udvidet med den ændring, de fleste husker som “cookie-loven”, der for første gang krævede en form for brugersamtykke, før man måtte placere cookies på en besøgendes enhed. I 2017 forsøgte Kommissionen at erstatte hele direktivet med en ny, stærkere ePrivacy-forordning, et forslag der i praksis sad fast i Rådet i årevis på grund af dyb splittelse mellem medlemslandene om balancen mellem privatliv og dataøkonomi.
GDPR trådte i kraft i 2018 og gav indirekte cookie-reglerne et nyt juridisk tyngdepunkt, fordi mange tilsynsmyndigheder, Datatilsynet inklusive, begyndte at håndhæve cookie-samtykke efter GDPR’s strengere standarder for, hvad et gyldigt samtykke egentlig er. Det er netop den uensartede og til tider modsatrettede udvikling, Digital Omnibus-pakken nu forsøger at samle op på, syv år efter GDPR og næsten 20 år efter den første cookie-regel. At forhandlingerne stadig trækker ud i 2026, viser, hvor svært det politisk er at finde en balance, som både privacy-advokater, medlemslande og en annonceindustri i milliardklassen kan leve med.
Tidsplanen: Hvad sker der nu
Processen frem mod en færdig lov er stadig lang. Først skal Coreper, komitéen af medlemslandenes ambassadører i Bruxelles, tage stilling til, om det nye udkast kan blive grundlaget for Rådets officielle forhandlingsposition. Derefter skal Rådet som helhed formelt vedtage sit mandat, før forhandlinger med Europa-Parlamentet, den såkaldte trilog mellem Rådet, Parlamentet og Kommissionen, kan gå i gang. Først når alle tre institutioner har godkendt en fælles tekst, er reformen vedtaget, og ifølge det tilgængelige materiale er der angivet en overgangsperiode på 24 måneder til national implementering, efter loven er endeligt vedtaget.
Det er med andre ord for tidligt at sætte en konkret dato på, hvornår de nye regler reelt træder i kraft for danske virksomheder. Både Rådets interne enighed, Parlamentets position og længden af trilog-forhandlingerne kan ændre både indhold og tidsplan markant, før noget bliver bindende lov.
Nøgledatoer i forhandlingen
| Dato | Begivenhed |
|---|---|
| 19. november 2025 | Europa-Kommissionen fremlægger Digital Omnibus-pakken, COM(2025) 837 |
| 3. september 2026 | Det irske EU-formandskab lægger en 158-siders kompromistekst frem med seks måneders periode |
| 2. oktober 2026 | Rådets Generalsekretariat udarbejder dokument 13886/26 med fire måneders periode |
| 10. oktober 2026 | PPC Land rapporterer offentligt om det nye udkast |
| Ukendt, forventes senere i 2026/2027 | Coreper og Rådet skal formelt vedtage en forhandlingsposition |
| Ukendt | Trilog mellem Rådet, Parlamentet og Kommissionen |
| 24 måneder efter vedtagelse | Frist for national implementering, hvis loven vedtages som direktiv |
Markedseffekten for annoncebranchen
Cookie-reglerne er ikke kun et juridisk spørgsmål, de er en direkte del af forretningsmodellen for store dele af den digitale annoncebranche. En ny, lovlig vej til at måle kontekstuel annoncering uden samtykke kan på sigt flytte en del af annonceinvesteringerne tilbage mod kontekstuel targeting, altså annoncer der matcher indholdet på siden snarere end brugerens profil, et felt der historisk har tabt terræn til adfærdsbaseret annoncering, men som flere store udgivere og annoncører allerede har vist stigende interesse for i takt med skærpede privacy-regler i både EU og USA.
For de virksomheder, der leverer consent management-platforme, software til at styre og dokumentere cookie-samtykke, betyder en reform med flere undtagelser og kortere perioder en ny runde af produktopdateringer. Jo flere kategorier af databehandling der undtages fra samtykke, jo mindre bliver den del af trafikken, som platformene reelt skal håndtere, hvilket kan lægge pres på forretningsmodellen hos nogle af de udbydere, der i dag lever af at sælge compliance-løsninger til et marked, som EU nu selv forsøger at gøre mindre komplekst.
Hvad reformen ikke løser
Selv hvis det nuværende udkast ender med at blive vedtaget stort set uændret, løser det ikke alle de problemer, som brugere og virksomheder har kæmpet med under de nuværende regler. Der findes fortsat ingen fælles teknisk standard for, hvordan et websted skal registrere og huske, at en bruger har afvist samtykke, hvilket gør det svært at kontrollere, om fire måneders-reglen reelt bliver efterlevet i praksis. Der er heller ikke en afklaring af, hvordan pseudonymiserede data fra den nye undtagelse for kontekstuel annoncemåling i praksis skal revideres eller kontrolleres af tilsynsmyndighederne, som i Danmarks tilfælde er Datatilsynet.
Uafklarede dele af forhandlingen omfatter desuden en omstridt bestemmelse om overførsel af skattedata, som ifølge PPC Lands research stadig kan blive fjernet fra den samlede pakke, før Rådet lander sin endelige position. Så længe den slags enkeltpunkter fortsat er til diskussion, er det svært at sige med sikkerhed, hvordan den færdige lovtekst kommer til at se ud.
Forudsigelser: Hvor er reformen på vej hen
- Fire måneder bliver sandsynligvis ikke det endelige tal. Med privacy-organisationer som noyb på den ene side og en annoncebranche, der ønsker endnu kortere perioder, på den anden, er der stadig plads til justeringer, før Rådet lander sin position.
- Europa-Parlamentet vil med stor sandsynlighed presse for strengere betingelser omkring den nye undtagelse for kontekstuel annoncering, især kravet om pseudonymisering og forbuddet mod profilering, som flere parlamentsmedlemmer historisk har kæmpet hårdt for at bevare i tidligere privacy-lovgivning.
- Det er sandsynligt, at en egentlig vedtaget lov først ligger klar i løbet af 2027, givet at Coreper, Rådets fulde mandat, trilog-forhandlinger og en formel afstemning i Parlamentet alle skal falde i hak, før teksten er bindende.
- Danske virksomheder bør forvente endnu en opdatering af deres cookie-samtykkeløsninger, uanset udfaldet, fordi selv en mindre stram eller mindre løs udgave af reformen vil kræve ny juridisk dokumentation og nye tekniske indstillinger i eksisterende consent-platforme.
- Jo mere debatten fokuserer på de konkrete tal, fire versus seks måneder, jo større er risikoen for, at den brede politiske ambition om færre cookie-bannere i praksis drukner i detailforhandlinger, som brugerne aldrig kommer til at mærke en forskel fra.
Konklusionen for danske virksomheder lige nu
Det nye rådsudkast er ikke lov, og det bliver det ikke foreløbig. Men det er et klart signal om, hvilken retning forhandlingerne bevæger sig i: kortere perioder mellem samtykkespørgsmål, en snævert afgrænset undtagelse for kontekstuel annoncemåling, og en tilbagevenden til ePrivacy-direktivet som det juridiske hjemsted for cookie-reglerne. For danske og nordiske virksomheder er det værd at følge udviklingen tæt, ikke fordi noget ændrer sig i morgen, men fordi de næste skridt i Coreper og en eventuel trilog med Parlamentet kan komme til at forme, hvordan hvert enkelt websted i EU håndterer cookies i årene fremover.
Som analysen fra ecommerceparadise.com peger på, ligger beslutningen nu hos medlemslandenes ambassadører, før Rådet kan gå videre til forhandlinger med Parlamentet. Indtil da må både virksomheder og privacy-organisationer leve med en situation, hvor de præcise tal i reformen stadig kan ændre sig fra uge til uge.
Ofte stillede spørgsmål
Er det nye rådsudkast allerede gældende lov?
Nej. Dokument 13886/26 er et arbejdsudkast fra Rådets Generalsekretariat, som nu skal behandles af Coreper. Der venter stadig en formel vedtagelse af Rådets mandat, forhandlinger med Europa-Parlamentet og en endelig trilog, før reglerne bliver bindende.
Hvad betyder de fire måneder konkret for mig som bruger?
Hvis du afviser cookies på et websted, må webstedet ifølge udkastet ikke spørge dig om det samme formål igen i mindst fire måneder. Det ændrer ikke på, at virksomheden stadig ikke må behandle dine data til det afviste formål i den periode.
Hvad er kontekstuel annoncering, som nu kan undtages fra samtykke?
Det er annoncer, der vises på baggrund af det konkrete indhold, du kigger på lige nu, eller en enkelt søgning, ikke på baggrund af din browserhistorik eller adfærd på andre sider. Udkastet kræver, at data pseudonymiseres og ikke bruges til profilering.
Hvorfor flyttes cookie-reglerne tilbage til ePrivacy-direktivet?
Rådet foretrækker at holde cookie-reglerne i ePrivacy-direktivet, hvor de har ligget siden 2002, frem for at flytte dem ind i GDPR-forordningen, som Kommissionen oprindeligt foreslog. Det betyder, at reglerne fortsat skal implementeres nationalt i hvert medlemsland.
Hvad siger noyb om reformen?
Privacy-organisationen noyb kritiserer, at mange tjenester i dag opnår samtykkerater op til 90 procent ved brug af dark patterns, og organisationen advarer om, at kortere perioder mellem samtykkespørgsmål kan give virksomheder flere chancer om året til at presse brugere mod et “ja”.
Hvornår træder de nye regler i kraft?
Det er endnu uvist. Processen kræver, at Coreper og Rådet først vedtager en fælles position, derefter skal der forhandles med Parlamentet i en trilog. Hvis reglerne ender som et direktiv, er der desuden angivet en overgangsperiode på 24 måneder til national implementering efter vedtagelsen.
Har Datatilsynet kommenteret det konkrete rådsudkast?
Der findes ingen offentligt verificeret udtalelse fra Datatilsynet eller den danske regering om dette specifikke dokument på nuværende tidspunkt. Datatilsynet har derimod tidligere skærpet kravene til, hvordan danske websteder indhenter cookie-samtykke under de gældende regler.
Hvad betyder reformen for danske webshops og mediehuse?
Hvis reformen vedtages i sin nuværende form, skal danske virksomheder opdatere deres samtykkeplatforme og juridiske dokumentation igen. Nye undtagelser og en kortere periode mellem samtykkespørgsmål kræver nye tekniske indstillinger i eksisterende consent-løsninger, uanset om det endelige resultat bliver strengere eller løsere end i dag.
