CookieHawk › Guider › Vad IMY faktiskt kritiserade i kakbannern
Vad IMY faktiskt kritiserade i tre svenska kakbanners
Det talas mycket om böter för kakbanners. Det finns svensk tillsynspraxis att faktiskt lära av, och den är mer lärorik än skrämmande: tre företag, tre erinringar, och tydliga besked om vad som brast.
Allt i den här guiden bygger på IMY:s egen redogörelse för ärendena. Vi återger inte siffror eller påståenden vi inte hittar hos källan — inte heller de uppskattningar som cirkulerar om hur många webbplatser som har fel uppsättning.
Ärendet, kort
Den 30 april 2025 meddelade Integritetsskyddsmyndigheten resultatet av en granskning av kakbanners hos tre företag. Alla tre fick erinran — en formell reaktion utan sanktionsavgift.
- Warner Music AB — otillräcklig information om hur samtycket kan återkallas.
- Aktiebolaget Trav och Galopp (ATG) — vilseledande utformning som gjorde det svårt att lämna ett informerat samtycke.
- Aller Media AB — behandlade personuppgifter utan rättslig grund, och åberopade berättigat intresse utan att motivera det.
IMY:s jurist Michaela Prieto Ceric sammanfattade kravet slik: en kakbanner måste ge tydlig information till besökaren, och det ska vara lika enkelt att lämna samtycke som att senare återkalla det.
De tre bristerna, och vad de betyder i praktiken
1. Otydligt hur man ångrar sig
Att kunna återkalla ett samtycke är inte en extrafunktion — det är en del av att samtycket är giltigt från början. IMY:s poäng är att återkallandet ska vara lika enkelt som att säga ja. En liten ikon som alltid är synlig, eller en länk i sidfoten, räcker långt.
2. Vilseledande utformning
Det här handlar om design, inte om juridik. När ”Godkänn alla” är stor och färgad medan avvisningen är grå, mindre eller gömd bakom ett extra klick, styrs valet. Då är samtycket inte längre otvetydigt frivilligt, även om båda knapparna finns.
3. Berättigat intresse utan motivering
Aller Media hade angett berättigat intresse som grund utan att kunna motivera det, och ändrade efter granskningen till samtycke. Lärdomen är generell: den rättsliga grunden måste vara ett övervägande du kan redogöra för, inte en ruta någon kryssade i när integritetspolicyn skrevs.
Den dyrare sidan: överföring till USA
Vid sidan av kakbanner-granskningen finns ett tyngre ärende värt att känna till. IMY beslutade om en sanktionsavgift på 12 miljoner kronor mot Tele2 för överföring av personuppgifter till USA via Google Analytics utan tillräckligt skydd. Kammarrätten avslog överklagandet den 15 oktober 2025.
Poängen för de flesta läsare är inte beloppet, utan att det inte bara handlar om huruvida du frågade. Det handlar också om vart uppgifterna tar vägen när svaret blev ja.
Vad du kan ta med dig
- Ge nej lika stor plats som ja. Ett lager, två likvärdiga knappar. Det tar bort hela diskussionen om vilseledande utformning.
- Gör återkallandet synligt. Om en besökare inte hittar tillbaka till sitt val är samtycket svagare än du tror.
- Kunna motivera din rättsliga grund. Står det berättigat intresse någonstans: kan du förklara avvägningen? Om inte, är samtycke oftast rätt grund.
- Kontrollera vad som faktiskt skickas. Alla granskade hade banner. Det som fälldes var hur den var utformad och vad som hände bakom den.
Vanliga frågor
Hur stora är böterna för en felaktig kakbanner i Sverige?
I granskningen från april 2025 blev reaktionen erinran för samtliga tre företag, alltså ingen sanktionsavgift. Avgifter förekommer i tyngre ärenden — Tele2 fick 12 miljoner kronor för överföring av personuppgifter till USA via Google Analytics — men det ärendet gällde mer än bannerns utformning.
Får man en varning först, eller avgift direkt?
Det beror på överträdelsen. I kakbanner-granskningen stannade det vid erinran, och företagen justerade sina banners. Det är inget att räkna med som fast praxis.
Vem granskar kakbanners i Sverige?
IMY granskar samtycket och behandlingen av personuppgifter. PTS har tillsyn över själva kravet i lagen om elektronisk kommunikation på att hämta samtycke innan lagring i utrustningen.
Vad bör jag göra först om jag är osäker?
Titta på vad din webbplats faktiskt skickar innan besökaren valt, och efter ett nej. Det är observationen allt annat bygger på, och den tar tio minuter att göra själv.
Vill du veta vad din egen webbplats delar?
Den kostnadsfria kontrollen visar vilka tredje parter din webbplats kontaktar innan besökaren valt, och vad som fortfarande sker efter ”Avvisa alla”. Det är samma observation en tillsyn skulle börja med.
Kontrollera webbplatsen gratisLäs vidare
CookieHawk leveres av Webkompaniet AS · org.nr. 999 529 860 · Oslo · Vilkår · Personvern