CookieHawk › Guider › Hva Datatilsynet faktisk reagerte på

Hva Datatilsynet faktisk reagerte på i det første tilsynet

Det snakkes mye om bøter for cookie-banner. Det finnes én norsk sak å faktisk lære av, og den er mer lærerik enn skremmende: seks nettsteder, fem irettesettelser og ett gebyr. Her er hva tilsynet så etter.

Oppdatert 2. september 2026 · 6 minutters lesing

Alt i denne guiden bygger på Datatilsynets egen omtale av saken. Vi gjengir ikke tall eller påstander vi ikke finner igjen hos kilden — heller ikke de anslagene som sirkulerer om hvor mange norske nettsteder som har feil oppsett.

Saken, kort

12. juni 2025 avsluttet Datatilsynet et tilsyn med bruk av sporingsverktøy på seks norske nettsteder. Konklusjonen var at alle seks delte besøkendes personopplysninger ulovlig med tredjeparter.

De seks var 116111.no (Alarmtelefonen for barn og unge, drevet av Kristiansand kommune), bibel.no, drdropin.no, ifengsel.no, nhi.no og apotekfordeg.no.

116111.no fikk 250 000 kroner i overtredelsesgebyr. Begrunnelsen var at det er en offentlig tjeneste som behandlet barns personopplysninger ulovlig.
De fem andre fikk irettesettelse, altså en formell reaksjon uten gebyr.

Gebyret ble satt lavere enn opprinnelig varslet, fordi kommunen samarbeidet og satte i verk tiltak. Datatilsynet har samtidig sagt at framtidige tilsyn kan bli vesentlig strengere enn dette første, som hadde et tydelig veiledende preg.

De fem tingene de kritiserte

Det er her saken blir nyttig. Kritikken handlet ikke om at nettstedene manglet banner — de hadde det. Den handlet om hva som skjedde bak banneret, og om hva de besøkende ble fortalt.

1. Besøkende fikk uriktig beskjed om at de var anonyme

Nettstedene opplyste at besøket var anonymt, mens opplysninger faktisk ble delt med tredjeparter. Det er verdt å merke seg som en generell lærdom: en påstand i personvernerklæringen må stemme med hva koden gjør. Ellers er den ikke bare unødvendig — den er en selvstendig feil.

2. Særlige kategorier ble delt

Flere av nettstedene handlet om helse, tro eller sårbare livssituasjoner. At noen besøker en side om en bestemt sykdom, eller en rådgivningstjeneste for barn med foreldre i fengsel, kan i seg selv røpe sensitive opplysninger. Det gjelder selv om ingen skriver inn navnet sitt.

3. Opplysninger om barn ble gjort tilgjengelig for tredjeparter

Dette veide tyngst i gebyrsaken. Retter nettstedet ditt seg mot barn eller unge, er terskelen lavere og forventningene høyere.

4. Besøkende ble dyttet mot å samtykke

Tilsynet brukte ordet «nudget». Det handler om utformingen: når det å si ja er lett og synlig, og det å si nei krever flere klikk eller er visuelt nedtonet, er ikke samtykket reelt frivillig.

5. Informasjonen var misvisende eller uforståelig

Den besøkende fikk ikke vite hva hun faktisk sa ja til, eller hvilke konsekvenser det hadde. Et samtykke som ikke er informert, er ikke gyldig — uansett hvor mange knapper banneret har.

Hva du kan ta med deg

Fire ting går igjen, og ingen av dem krever jurist for å sjekke:

Sjekk at personvernerklæringen stemmer med koden. Står det at du ikke deler data, mens et sporingsskript kontakter en tredjepart, er teksten feil. Dette er den enkleste feilen å finne og den mest unødvendige å ha.
Se på hva emnet ditt røper. En klinikk, en advokat eller en rådgivningstjeneste bør være strengere enn en møbelbutikk, fordi selve besøket kan være sensitivt.
Gi nei like stor plass som ja. Ett lag, to like knapper. Det fjerner hele diskusjonen om nudging.
Kontroller hva som faktisk sendes. Alle de seks hadde banner. Det som felte dem var hva som skjedde bak det.

Litt kontekst om regelverket

Saken gjaldt deling av personopplysninger gjennom sporingspiksler, og ble behandlet etter personvernreglene. Den er derfor ikke en ren «cookie-banner-sak», selv om den ofte omtales slik.

Ved siden av dette gjelder ekomloven § 3-15, som krever informasjon og gyldig samtykke før noe lagres eller hentes på enheten til den besøkende. Datatilsynet og Nasjonal kommunikasjonsmyndighet fører tilsyn med den bestemmelsen sammen. Vi har skrevet mer om selve kravene i guiden om samtykkekrav.

Vanlige spørsmål

Hvor stort er gebyret for et ulovlig cookie-banner i Norge?

Det finnes ingen fast sats. I den ene norske saken vi kjenner til fra tilsynet i juni 2025 ble det gitt 250 000 kroner til ett av seks nettsteder, mens de fem andre fikk irettesettelse. Beløpet ble satt ut fra at det var en offentlig tjeneste som behandlet barns opplysninger, og ble redusert fordi virksomheten samarbeidet.

Får man gebyr med en gang, eller advarsel først?

I dette tilsynet fikk fem av seks irettesettelse uten gebyr, og tilsynet omtalte runden som veiledende. Datatilsynet har samtidig varslet at senere tilsyn kan bli strengere, så det er ikke noe å regne med som fast praksis.

Gjelder dette bare offentlige nettsteder?

Nei. Av de seks var fem private virksomheter. At gebyret gikk til et offentlig nettsted skyldtes sakens innhold — barns opplysninger i en sårbar situasjon — ikke at private går fri.

Hva bør jeg gjøre først hvis jeg er usikker?

Se hva nettstedet ditt faktisk sender før den besøkende har valgt, og etter et nei. Det er observasjonen alt annet bygger på, og den tar ti minutter å gjøre selv.

Vil du vite hva ditt eget nettsted deler?

Den gratis sjekken viser hvilke tredjeparter nettstedet ditt kontakter før den besøkende har valgt, og hva som fortsatt skjer etter «Avvis alle». Det er den samme observasjonen et tilsyn ville startet med.

Sjekk nettstedet gratis

Les videre

CookieHawk leveres av Webkompaniet AS · org.nr. 999 529 860 · Oslo · Vilkår · Personvern