Cookiebanneret er den første gang, du taler med de besøgende om privatliv. Et lovligt banner er tydeligt, klart og behandler valgene ens. Mange bannere er lavet til at lokke folk til at sige ja ("dark patterns"). Myndighederne har strammet grebet. Et godt banner er ikke kun juridisk sikkert, det skaber også tillid. Folk sætter pris på åbenhed, og ærlige cookiebannere konverterer bedre end vildledende.
Hvad gør et cookiebanner lovligt
Banneret skal vises, før der spores
Det er den første regel. Før du sætter analysecookies, skal den besøgende se dit banner og aktivt sige ja. Hvis du sporer først og spørger bagefter, overtræder du reglerne. Banneret skal vises, når siden indlæses, før dit analyse-script kører.
Banneret skal være tydeligt og konkret
Dit banner skal forklare, hvilke cookies du sætter, og hvorfor. Vage formuleringer dur ikke ("vi bruger cookies til at gøre din oplevelse bedre"). Konkrete formuleringer virker: "Vi bruger analysecookies til at måle sidebesøg og adfærd. Vi bruger marketingcookies til at vise dig annoncer på andre sider." De besøgende skal forstå, hvad de siger ja til.
Samtykket skal være frivilligt
Du kan ikke tvinge folk til at sige ja. Nødvendige cookies kan du sætte uden samtykke, men analyse- og marketingcookies kræver frivilligt samtykke. Det betyder, at der skal være en tydelig knap til "Afvis" ved siden af "Accepter". Uden en afvis-knap er banneret ikke lovligt.
Det skal være lige let at acceptere og afvise
Et kendt dark pattern: "Accepter" er en stor knap, og "Afvis" er en lille tekst, man skal lede efter. Lovlige bannere gør begge valg lige nemme at finde. Hvis "Accepter" er stor, skal "Afvis" fylde lige så meget. Bedre: knapperne "Accepter alle" og "Afvis alle" i samme størrelse, eller en knap til "Administrer valg", hvor folk kan vælge enkeltvis.
Standard skal være ingen sporing
Forhåndsafkrydsede felter (hvor samtykke antages, medmindre den besøgende fjerner krydset) er ikke lovlige. Standard skal være uden kryds. Folk skal selv sætte kryds for at give samtykke. Bruger du kun én knap, skal den som standard være "Afvis", indtil den besøgende klikker "Accepter".
Bedste praksis for design af cookiebannere
Mulighed 1: Enkel accept og afvis
Vis to knapper i samme størrelse: "Accepter alle" og "Afvis alle". Tilføj et link til din fulde privatlivspolitik. Det er den enkleste løsning, og den passer til mange sider. Ulempen: folk kan ikke vælge enkelte cookies.
Mulighed 2: Enkel accept med detaljeret valg
Vis "Accepter alle" og "Administrer valg". "Administrer valg" åbner et vindue, hvor folk vælger, hvilke kategorier af cookies de accepterer. Så har de et valg, og det første banner er stadig enkelt.
Mulighed 3: Fuldt detaljeret
Vis en kontakt for hver type cookie (nødvendige, analyse, marketing, præferencer) direkte i banneret. Folk kan slå hver enkelt til og fra. Det er mere komplekst, men giver mest kontrol. Det virker godt, hvis du kun har 3-4 kategorier af cookies.
Hvad virker bedst
Undersøgelser viser, at mulighed 2 (enkel accept og afvis med detaljeret valg) rammer en god balance mellem lovlighed og brugervenlighed. Folk bryder sig om det enkle første banner, og dem, der vil have kontrol, kan få den. Konverteringen er god, fordi modstanden i starten er lille.
Sprog og budskab i cookiebanneret
Dit banner skal fortælle, hvilke cookies du bruger, hvorfor du bruger dem, hvor længe de gemmes, og hvordan folk kan styre dem (i indstillinger eller privatlivsvalg). Den åbenhed skaber tillid. Folk siger oftere ja, når de forstår, hvad der sker.
Undgå dark patterns
Dark patterns i bannere er blandt andet: en lille eller skjult afvis-knap, forhåndsafkrydsede felter, afvisning der kræver flere klik, mens accept er ét klik, forvirrende tekst om, hvad cookies gør, eller en afvis-mulighed, der er gemt langt nede i indstillingerne.
Myndighederne går aktivt efter dark patterns. EU's EDPB (Det Europæiske Databeskyttelsesråd) har udsendt klar vejledning: afvis og accepter skal være lige nemme. Bruger du dark patterns, følger der bøder.
Hvor længe du gemmer valget, og når det ændres
Når en besøgende har valgt, skal du huske det. Gem valget (i en cookie), så banneret ikke dukker op igen ved hver side. Normalt gemmer man valget i 12-24 måneder. Derefter spørger du igen.
Ændrer du din brug af cookies (ny sporing, nye leverandører), skal du måske spørge om samtykke igen. Nogle lande kræver nyt samtykke ved væsentlige ændringer. Lav en plan for, hvordan du giver besked og indsamler nyt samtykke, hvis din praksis ændrer sig.
Eksterne samtykkeværktøjer
Samtykkeplatforme klarer cookiebannere, lagring af samtykke og kobling til analyseplatforme. Et pålideligt eksternt værktøj kan gøre det lettere at overholde reglerne. Det tager sig af de juridiske detaljer, følger med, når lovene ændrer sig, og kobler sig automatisk på dine analyseværktøjer.
Hvornår du bør bruge et eksternt værktøj
Hvis du er i tvivl om de juridiske detaljer, eller hvis du har besøgende fra flere lande med forskellige krav, er et eksternt værktøj pengene værd. Det holder sig opdateret, når lovene ændrer sig. At bygge dit eget banner er billigere, men mere risikabelt.
Hvilken designmulighed (enkel, med valg, detaljeret) virker bedst i praksis?
Mulighed 2 (enkel accept og afvis med et vindue til at administrere valg) virker bedst. Den giver den højeste samtykkerate, fordi modstanden i starten er lav, og dem, der vil have kontrol, kan få den. Enkel accept og afvis konverterer 60-75%, fuldt detaljeret konverterer 40-50% (for mange valg), og mulighed 2 konverterer 65-80%. Start med mulighed 2.
Hvordan gør jeg accepter- og afvis-knapperne virkelig lige nemme at finde?
Samme højde, samme skriftvægt og samme farvemætning. En almindelig fejl: accepter er skarp grøn, og afvis er grå tekst. Brug accepter og afvis i farver med samme visuelle vægt (to knapper, ikke knap og tekst). Sæt afvis lige ved siden af accepter, ikke under eller skjult. Test med rigtige brugere: mål tiden til at klikke afvis mod tiden til at klikke accepter. De skal være ens.
Hvad tæller helt konkret som en væsentlig ændring, der kræver nyt samtykke?
Væsentlig betyder, at den besøgende med rimelighed forventer at blive spurgt igen. Eksempler: en ny tredjepartsleverandør, ny brug af data (fx analyse til marketing) eller længere opbevaring. Ikke væsentligt: små rettelser i teksten i privatlivspolitikken eller ændring af interne værktøjer, som de besøgende ikke ser. Er du i tvivl, så bed om nyt samtykke. De fleste lande foretrækker for meget samtykke frem for for lidt.
Hvilke samtykkeværktøjer passer bedst sammen med Google Analytics og GTM?
De fleste store samtykkeværktøjer har indbygget GTM-integration. De opdaterer automatisk GTM-samtykkevariablerne, når folk accepterer eller afviser. Til mindre sider giver samtykkeværktøjer til mellemklassen god værdi for pengene. Læs leverandørens dokumentation om din analyseplatform, før du vælger.
Er forhåndsafkrydsede samtykkefelter virkelig imod GDPR, eller er det bare bedste praksis?
De er imod GDPR. Et forhåndsafkrydset felt antager samtykke, og den besøgende skal selv fjerne krydset. GDPR kræver en aktiv handling (selv at sætte kryds). EU's myndigheder har udsendt klar vejledning, og der følger bøder. Europæiske myndigheder har givet store onlinebutikker bøder i millionklassen, blandt andet for forhåndsafkrydsede felter. Det er ikke teori. Brug altid felter uden kryds som standard.
Hvis en besøgende afviser i første omgang, må jeg så spørge igen senere?
Ja, men ikke pågående. Du kan spørge igen efter 12 måneder, når samtykket udløber. Hvis du plager folk med samtykkeforespørgsler hver uge, bryder du kravet om, at samtykke skal være frivilligt. Nogle myndigheder siger, at nye forespørgsler skal være sjældne. Respekter valget: afviser nogen, så vent mindst 12 måneder, før du spørger igen.