Samtykkeplattformer: sammenligning 2026

En samtykkeplattform (CMP) er bare brukbar hvis den gjør tre ting: holder tilbake ikke-nødvendige skript til brukeren har sagt ja, gjør «avvis» nøyaktig like enkelt som «godta», og leverer et dokumenterbart bevis for hvert enkelt samtykke når Datatilsynet spør. Alt annet — TCF-sertifisering, Consent Mode, antall språk — er sekundært. De aller fleste norske cookiebannere feiler på det første punktet, uavhengig av leverandør.

Denne gjennomgangen er skrevet for deg som skal velge eller bytte samtykkeplattform for et norsk nettsted i 2026. Den forklarer hva regelverket faktisk krever etter regelendringen som trådte i kraft 1. januar 2025, hvilke kriterier som skiller verktøyene fra hverandre, og hvordan du tester en kandidat på en halvtime før kontrakten signeres. Den forklarer ikke når samtykke er et gyldig behandlingsgrunnlag — det er dekket i gjennomgangen av samtykke etter artikkel 7.

Hovedpunkter

• Ekomloven § 3-15 krever samtykke før lagring av eller tilgang til informasjon i brukerens kommunikasjonsutstyr. Bestemmelsen trådte i kraft 1. januar 2025 og erstattet den gamle regelen om at nettleserinnstillinger kunne utgjøre samtykke.
• Samtykket skal oppfylle GDPR-standarden. Det er den store endringen: fra 2025 er terskelen frivillig, spesifikt, informert og utvetydig etter artikkel 4 nr. 11, ikke en passiv nettleserinnstilling.
• Tilsynet er delt. Datatilsynet fører tilsyn med samtykkekravet, Nkom med de øvrige delene av ekomloven. Datatilsynet publiserte i 2025 en egen veileder med ti konkrete anbefalinger.
• Artikkel 7 nr. 1 legger bevisbyrden på den behandlingsansvarlige. Uten en samtykkelogg med tidsstempel, valgt kombinasjon og versjonsnummer på bannerteksten har du ingenting å vise fram.
• Ingen lovfestet varighet. Praksis i EØS konvergerer mot 6–12 måneder før fornyet forespørsel, og alltid ved endring av formål eller tredjeparter.

Hva må en samtykkeplattform kunne etter ekomloven og GDPR?

Kravene kommer fra to regelsett som gjelder samtidig. Ekomloven § 3-15 gjelder selve handlingen — å lagre noe i eller hente noe fra brukerens utstyr. Bestemmelsen er teknologinøytral, så den treffer ikke bare informasjonskapsler, men også piksler, sporingsteknologier i apper, lokal lagring og fingerprinting. GDPR bestemmer deretter hva et samtykke er, og artikkel 7 fastsetter vilkårene for å bruke det.

Oversatt til funksjonskrav: plattformen må kunne blokkere skript til samtykke foreligger, ikke bare vise en tekst. Den må gi granularitet per formål — statistikk, markedsføring og funksjonalitet som separate valg, ikke ett samlet ja. Den må ha en avvisningsknapp på første nivå med samme visuelle vekt som godkjenningsknappen; Datatilsynets veileder sier rett ut at avvisning ikke skal kreve flere klikk eller være mer tungvint. Ingen forhåndsavkryssede bokser, og verken scrolling eller fortsatt bruk kan tolkes som samtykke. Til slutt må tilbaketrekking være like enkel som avgivelsen etter artikkel 7 nr. 3 — i praksis en permanent, synlig inngang til å endre valget, ikke et skjema begravd i personvernerklæringen.

Et fjerde punkt blir ofte oversett i innkjøpsfasen: plattformen behandler selv personopplysninger på deres vegne. Leverandøren er databehandler, og det skal inngås databehandleravtale etter artikkel 28 med underleverandørliste og overføringsgrunnlag før løsningen settes i drift. En CMP som logger IP-adresser til amerikansk infrastruktur, legger til en forpliktelse i stedet for å fjerne én.

Hvordan dokumenterer du samtykket etter artikkel 7 nr. 1?

Artikkel 7 nr. 1 er kort og ubehagelig: den behandlingsansvarlige skal kunne påvise at den registrerte har samtykket. I en tilsynssak er spørsmålet aldri «har dere et banner», men «vis meg hva denne brukeren så, og hva vedkommende valgte». Det stiller konkrete krav til loggen.

En brukbar samtykkelogg inneholder minst en pseudonym samtykke-ID, et tidsstempel, den valgte kombinasjonen av formål, kilden (domene og språkversjon), og — punktet der flest verktøy er tynne — et versjonsnummer på bannerteksten og formålsbeskrivelsene brukeren faktisk fikk se. Endrer dere ordlyden eller legger til en ny tredjepart, er tidligere samtykker gitt på et annet grunnlag, og loggen må kunne vise hvilket. Datatilsynets veileder bruker ordet «dokumenterbart» om samtykket; det er nettopp dette som må dokumenteres.

Hvor lenge beviset skal oppbevares, følger lagringsbegrensningen i artikkel 5 nr. 1 bokstav e. En praktisk regel som holder i tilsyn: behold loggen så lenge samtykket er aktivt, pluss perioden der et krav kan reises. For de fleste norske nettsteder lander det på to til tre år etter tilbaketrekking eller utløp. Lengre er vanskelig å begrunne, kortere etterlater dere uten bevis for perioden rett før en klage. Legg fristen inn i rutinen for lagringstider i stedet for å la den ligge i leverandørens standardinnstilling, og før behandlingen inn i behandlingsprotokollen etter artikkel 30 — samtykkeadministrasjon er en selvstendig behandlingsaktivitet.

IAB TCF og Google Consent Mode v2 — hva betyr de i praksis?

IAB Europes Transparency and Consent Framework (TCF) er en bransjestandard for å videreformidle brukerens valg til annonseteknologiske aktører i sanntidsauksjoner. Den er rettslig omstridt. Det belgiske datatilsynet (APD) konkluderte i vedtak 21/2022 av 2. februar 2022 med at TC-strengen er en personopplysning og at IAB Europe er felles behandlingsansvarlig for behandlingen av den; boten var 250 000 euro. EU-domstolen bekreftet begge deler i sak C-604/22 av 7. mars 2024, men avgrenset ansvaret. Den belgiske markedsdomstolen begrenset i mai 2025 IAB Europes rolle til TC-strengen alene, og opphevet 7. januar 2026 tilsynets godkjenning av handlingsplanen med hjemvisning til ny behandling. Statusen i 2026 er altså at rammeverket verken er ulovlig eller et frikort. TCF er relevant hvis dere selger programmatisk annonseplass; uten annonsesalg tilfører sertifiseringen ingenting og gjør bannerteksten lengre og vanskeligere å forstå.

Google Consent Mode v2 er noe helt annet og blandes ofte sammen med TCF. Det er ikke et rettslig krav, men et teknisk krav fra Google: siden mars 2024 må EØS-trafikk sende fire signaler — ad_storage, analytics_storage, ad_user_data og ad_personalization — for at Google Ads og Google Analytics skal kunne behandle data til personalisering og konverteringsmåling. Velger dere en plattform uten innebygd Consent Mode-integrasjon, mister dere i praksis konverteringsdata på Google-kanalene. Men Consent Mode gjør ikke et banner lovlig. Signalet forteller bare hva brukeren valgte, ikke om valget ble innhentet riktig. I «basic»-modus, der taggene først lastes etter samtykke, står dere rettslig sterkere enn i «advanced»-modus, der Google mottar informasjonskapselfrie signaler før valget er tatt.

Hvor lenge varer et samtykke, og når kan du spørre på nytt?

Verken GDPR eller ekomloven fastsetter en varighet, og Datatilsynets veileder oppgir ingen konkret frist. Praksis blant europeiske tilsyn samler seg rundt seks til tolv måneder, og et intervall på 6–12 måneder er derfor det som er enklest å forsvare i Norge — kombinert med fornyet forespørsel hver gang formålene, kategoriene av informasjonskapsler eller listen over tredjeparter endres.

To innstillinger blir feilkonfigurert nesten alltid. For det første: et avslag skal huskes like lenge som en godkjenning. Et banner som dukker opp igjen ved neste sidevisning etter et «avvis», er den klassiske formen for press, og det leses som en omgåelse av frivillighetskravet. For det andre: samtykkets varighet er ikke det samme som informasjonskapselens varighet. En analysecookie med 24 måneders utløp som hviler på et samtykke dere fornyer årlig, er et avvik ethvert tilsyn finner på fem minutter. Kontroller at plattformen kan sette de to verdiene uavhengig av hverandre — flere kan ikke.

De reelle utvelgelseskriteriene

Kriterium	Hvorfor det avgjør valget	Slik tester du det
Blokkering før samtykke	Uten den er banneret kosmetikk	Åpne siden i privat vindu, se nettverksfanen før klikk
Avvis på første nivå	Direkte krav i Datatilsynets veileder	Tell klikk til «avvis alle» mot «godta alle»
Granularitet per formål	Artikkel 4 nr. 11 krever spesifikt samtykke	Prøv ja til statistikk og nei til markedsføring
Eksporterbar samtykkelogg	Beviset etter artikkel 7 nr. 1	Be om CSV- eller API-uttrekk i prøveperioden
Versjonering av bannertekst	Viser hva brukeren så, ikke bare hva de valgte	Endre en formålstekst, se om loggen skiller
EU/EØS-hosting	Unngår kapittel V-forpliktelser i selve verktøyet	Spør om hostingregion og underleverandører
Norsk output	Banner, formålstekster og cookieerklæring	Kontroller oversettelsen, ikke bare språkvalget
Tag manager-integrasjon	Uten den blir blokkeringen manuell	Test samtykketilstander i Google Tag Manager

Punkt fire og fem er de innkjøpsprosesser oftest hopper over, og de tilsynet spør om først. Be om et uttrekk fra samtykkeloggen i prøveperioden, ikke et skjermbilde av dashbordet. Kan ikke leverandøren levere et maskinlesbart uttrekk med tidsstempel og versjonsreferanse, kan dere heller ikke oppfylle bevisbyrden — og da er valget i realiteten tatt.

Leverandørene i kategorien (juli 2026)

Beskrivelsene under er øyeblikksbilder fra juli 2026. Funksjoner og prismodeller i denne kategorien endres raskt, så bekreft alt i en oppdatert demo. Ingen av verktøyene er «GDPR-kompatible» i seg selv — de kan konfigureres i tråd med regelverket, og de kan konfigureres i strid med det.

Cookiebot (i dag en del av Usercentrics) er den mest utbredte i Norden, med automatisk skanning av informasjonskapsler og moden Consent Mode-integrasjon; skanningen katalogiserer, men blokkerer ikke av seg selv — blokkeringen må settes opp. Cookie Information er dansk, EØS-hostet og bygget rundt nordiske tilsynskrav, med sterk støtte for skandinaviske formålstekster. Usercentrics dekker både TCF- og ikke-TCF-scenarier og har omfattende A/B-testing av bannerdesign, som er nyttig og samtidig den funksjonen som lettest fører til ikke-nøytral presentasjon. Didomi og Axeptio er franske, EU-hostede og sterke på henholdsvis mediehus med TCF-behov og små virksomheter med enkelt oppsett. OneTrust har det bredeste modulapparatet og velges oftest av konsern som allerede bruker suiten; sammenligningen av slike suiter mot et europeisk alternativ er gjennomgått i Legiscope vs OneTrust. CookieYes ligger i det rimelige segmentet og holder for enkle nettsteder uten annonsesalg.

Prismodellene følger tre mønstre: pris per sidevisning eller unike besøkende per måned (mest utbredt), pris per domene, og faste virksomhetsavtaler med årlig binding. De to første skalerer forutsigbart for en typisk norsk virksomhet; den tredje krever forhandling. Regn med implementeringstid i tillegg — det er ikke lisensen, men oppsettet av blokkeringen, som koster. For å se dette mot resten av compliance-budsjettet finnes oversikten over hva GDPR-programvare koster og gjennomgangen av de beste GDPR-verktøyene.

Feilen som gjør de fleste bannere ugyldige uansett leverandør

De aller fleste ikke-etterlevende cookiebannere i Norge feiler ikke på tekst eller design. De feiler fordi skriptene allerede kjører når banneret vises. Årsaken er nesten alltid den samme: plattformen er installert som en selvstendig tag i Google Tag Manager ved siden av analyse- og markedsføringstagger i stedet for foran dem, slik at samtykketilstanden ankommer etter at de andre taggene har utløst. Resultatet er et banner som ser plettfritt ut, mens Google Analytics, Meta Pixel og et halvt dusin annonsenettverk allerede har satt identifikatorer før brukeren har rørt noe.

Testen tar to minutter og krever ingen verktøy: åpne siden i et nytt privat vindu, åpne nettverksfanen i utviklerverktøyene, og se hva som kalles før du klikker. Er det kall til analyse- eller annonsedomener før første klikk, er løsningen ikke lovlig, uansett hvor mange sertifiseringer leverandøren har. Rettelsen ligger i tag-oppsettet, ikke i CMP-ens brukergrensesnitt. Det er også grunnen til at innebygd personvern hører hjemme i implementeringsfasen og ikke i innkjøpsfasen — standardinnstillingen må være at ingenting lastes.

Et siste organisatorisk poeng: samtykke lever ikke isolert. Det må kunne kobles til behandlingen det legitimerer, og til resten av dokumentasjonen. En etterlevelsesplattform som Legiscope er nyttig her, fordi den holder samtykkegrunnlaget, behandlingsprotokollen og databehandleravtalene i samme dokumentasjon, slik at koblingen ikke må gjøres manuelt i regneark hver gang det kommer et tilsynsbrev.

Ofte stilte spørsmål

Må et norsk nettsted ha en samtykkeplattform?

Ikke nødvendigvis. Setter nettstedet bare strengt nødvendige informasjonskapsler — sesjonshåndtering, språkvalg, handlekurv — krever ekomloven § 3-15 ikke samtykke, og et banner er overflødig. Så snart det er statistikk, innebygde videoer, chatverktøy eller annonsering, må samtykket innhentes på forhånd, og det er i praksis ikke håndterbart uten en plattform.

Er en CMP i seg selv nok til å oppfylle kravene?

Nei. Verktøyet leverer mekanikken; ansvaret for kartlegging av informasjonskapsler, formålsbeskrivelser, blokkering og loggoppbevaring ligger hos dere. Mønsteret i Datatilsynets overtredelsesgebyrer er konsekvent: det er konfigurasjonen og dokumentasjonen som vurderes, ikke leverandørnavnet. Se også oversikten over Datatilsynets rolle og myndighet.

Kan vi bruke berettiget interesse for statistikkcookies i stedet for samtykke?

Nei, ikke for selve lagringen. Ekomloven § 3-15 krever samtykke uavhengig av hvilket behandlingsgrunnlag som senere brukes etter GDPR, med unntak for de strengt nødvendige. Nyansen er satt i sammenheng i den generelle guiden til personvern i Norge.

Hva må vi kunne vise fram hvis Datatilsynet tar kontakt?

Fire ting: cookieerklæringen med formål og varighet, bannerversjonen som var i drift på tidspunktet, et uttrekk fra samtykkeloggen for perioden, og databehandleravtalen med CMP-leverandøren. Klarer dere de fire uten å kontakte leverandøren, er dokumentasjonen på plass.

Konklusjon

Valget av samtykkeplattform avgjøres av tre ting: om verktøyet faktisk blokkerer før samtykke, om det kan levere et bevis som holder etter artikkel 7 nr. 1, og om det kan konfigureres til nøytral presentasjon med avvisning på første nivå. Test kandidatene i den rekkefølgen, med deres eget tag-oppsett og i privat vindu, før dere ser på pris. En rimelig plattform som er riktig implementert, klarer et tilsyn bedre enn en dyr som er satt opp ved siden av taggene i stedet for foran dem.

Kilder: ekomloven § 3-15, Datatilsynets veileder om samtykke til informasjonskapsler, personvernforordningen og EDPBs rapport fra Cookie Banner Taskforce (17. januar 2023).