Kort fortalt
Kravene til indholdet står i cookiebekendtgørelsens § 3, stk. 2: formål, afsender, mulighed for at nægte og trække samtykket tilbage med øjeblikkelig virkning, klart sprog og vedvarende tilgængelighed. Et betalt CMP-abonnement starter hos danske og nordiske udbydere ved 30 til 145 kr. om måneden pr. domæne, altså 360 til 1.740 kr. om året. En cookiepolitik skrevet af en jurist koster 2.000 kr. ekskl. moms som engangsydelse, og en bureauopsætning af banner, scanning og politikside koster omkring 750 kr. Datatilsynet har indstillet én dansk virksomhed til en bøde på ikke under 200.000 kr. for at dele besøgendes oplysninger med Google og Meta uden lovligt grundlag, og har givet alvorlig kritik i mindst seks cookiesager siden 2020. Den post ingen prisliste nævner, er blokeringen af tags før samtykket — uden den er politikken en beskrivelse af noget, der ikke sker.
En cookiepolitik er lovpligtig i det øjeblik dit site sætter eller læser andet end det teknisk nødvendige, og den skal som minimum oplyse formålet, hvem der står bag hver cookie, hvor længe den lever, og hvordan samtykket trækkes tilbage — i klart dansk, og tilgængeligt også efter at banneret er væk. Selve teksten koster mellem 0 og 2.000 kr. Driften, der gør teksten sand, koster 360 til 1.740 kr. om året.
Hvad bekendtgørelsen faktisk kræver af teksten
Kravene står i cookiebekendtgørelsen, bekendtgørelse nr. 1148 af 9. december 2011. § 3 er hovedreglen: du må ikke lagre information på brugerens udstyr eller læse information derfra uden samtykke, og samtykket skal bygge på fyldestgørende information. § 4 undtager det, der er teknisk nødvendigt for at levere en tjeneste, brugeren udtrykkeligt har bedt om. § 5 er strafbestemmelsen — overtrædelse af § 3 straffes med bøde, og juridiske personer kan pålægges strafansvar.
Oplysningskravene i § 3, stk. 2, er korte nok til at læse som en tjekliste. Politikken skal oplyse formålet med lagringen eller adgangen, hvem der står bag, og den skal give brugeren mulighed for at nægte samtykke eller trække det tilbage med øjeblikkelig virkning. Teksten skal være i klart og letforståeligt sprog, og informationen skal være umiddelbart og vedvarende tilgængelig.
Det sidste punkt er det, der oftest svigter i praksis. "Vedvarende tilgængelig" betyder, at politikken skal kunne findes igen, efter at banneret er forsvundet. Et link, der kun findes inde i banneret, lever ikke op til det. Det skal være en rigtig side med sin egen URL, linket fra footeren, og den skal også kunne nås af en bruger, der allerede har sagt ja.
Der er to myndigheder og to regelsæt i spil, og de blandes hele tiden sammen. Digitaliseringsstyrelsen fører tilsyn med cookiebekendtgørelsen; afgørelser kan indbringes for Teleklagenævnet. Datatilsynet fører tilsyn med GDPR og databeskyttelsesloven, som gælder oveni, så snart cookierne behandler personoplysninger. De to myndigheder har udgivet en fælles vejledning, og det er den, der i praksis definerer, hvad "frivilligt, specifikt, informeret og utvetydigt" betyder på en dansk hjemmeside.
Hvad det koster at komme i mål
Tallene nedenfor er hentet fra udbydernes og leverandørernes egne prissider i oktober 2026. Beløbene er deres, ikke mine, og de er ekskl. moms.
| Post | Pris | Hvad der er med |
|---|---|---|
| Cookiepolitik som skabelon | 0 kr. | Generisk tekst fra CMP'ens egen generator eller en gratis skabelon. Matcher sjældent sitets faktiske cookies |
| Cookiepolitik skrevet af jurist | 2.000 kr., engangs | Dokument tilpasset virksomheden. Ikke scanning, ikke implementering, ikke vedligeholdelse |
| CMP-abonnement, billigste betalte trin | 30-145 kr./md. pr. domæne 360-1.740 kr./år | Banner, automatisk scanning, cookiedeklaration der opdaterer sig selv, samtykkelog |
| CMP-abonnement, større site | 107-373 kr./md. pr. domæne | Som ovenfor, med 350 til 7.000 undersider og automatisk blokering af scripts |
| Opsætning hos bureau | 750 kr., engangs | Installation, logo og farver, scanning og kategorisering, cookiedeklarationsside. Abonnementet er ikke med |
| Blokering af tags før samtykke | 1-6 timers udviklingstid | Consent Mode og tag-styring. Den post ingen prisliste nævner |
De navngivne eksempler bag intervallerne: LegalUp sælger en cookiepolitik til 2.000 kr. ekskl. moms, Webfronten tager 750 kr. for at sætte Cookiebot op inklusive scanning, kategorisering og cookiepolitikside, og cookiepopup.dk opstiller de billigste betalte CMP-trin pr. domæne pr. måned side om side.
Spændet skal læses med et forbehold. Det billigste trin er ikke altid det, der løser opgaven: hos Cookiebot kræver automatisk blokering af scripts Premium, og hos CookieScript ligger samtykkelogning og TCF 2.3 på højere trin. Cookiebots egne trin går fra 8 USD om måneden pr. domæne for op til 50 undersider til 96 USD for over 7.000 — med dollarkursen på 6,66 kr. den 19. oktober 2026 er det 53 til 639 kr. om måneden. Hos Cookie Information koster banneret fra 19,50 EUR om måneden for op til 500 undersider og fra 40 EUR for op til 5.000, og en app koster fra 1.500 EUR pr. app pr. år.
Prisen for at tage fejl er 200.000 kr. som bundlinje
Danske cookiesager er indtil nu afgjort med kritik og påbud, ikke med bøder. Datatilsynet har givet alvorlig kritik til DMI i februar 2020, til golf.dk i november 2020, til Alstrøm — Din Isenkræmmer i oktober 2021, hvor 18 tredjepartscookies blev sat ved sideindlæsning, til eb.dk i oktober 2022 for farvemæssig nudging og manglende formålsoplysning i første lag, til letfinans.dk i december 2022 og til Berlingske Media i februar 2024.
Én sag skiller sig ud. Den 6. oktober 2023 indstillede Datatilsynet Texas Andreas Petersen A/S til en bøde på ikke under 200.000 kr. for at indsamle og videregive oplysninger om de besøgende på selskabets hjemmeside til Google og Meta uden lovligt grundlag. Tilsynet kunne ikke fastsætte et beløb ud fra omsætningen og satte derfor et minimum. Sagen er en domstolssag.
De 200.000 kr. er værd at holde op mod de 3.740 kr. ovenfor, men regnestykket er ikke en forsikringspræmie. Pointen er, hvad sagen handlede om: ikke en mangelfuld tekst, men data der forlod sitet uden grundlag. Det er den fejl, en indkøbt cookiepolitik ikke retter.
Et beslægtet spor er cookie-vægge. Den 8. februar 2023 fandt Datatilsynet Gul og Gratis' model med betalt adgang til 29 kr. om måneden i princippet forenelig med reglerne, mens Jysk Fynske Mediers væg til 99 kr. om måneden blev afvist, fordi de to valg ikke var ligeværdige. Prisen og ligeværdigheden afgør det, ikke selve konstruktionen.
Cookiepolitik, cookiedeklaration og privatlivspolitik er tre ting
De tre bliver løbende blandet sammen, og det er en af grundene til, at politikker bliver forkerte.
Cookiedeklarationen er listen: hver cookie med navn, afsender, formål og udløbstid. Den bør genereres af CMP'ens scanning, så den opdaterer sig selv, når en ny integration kommer ind. Skrives den i hånden, er den forældet inden for et kvartal.
Cookiepolitikken er teksten omkring listen: hvad I bruger cookies til, hvordan samtykket gives og trækkes tilbage, og hvem der er modtagere. Det er den, § 3, stk. 2, stiller krav til.
Privatlivspolitikken er GDPR-dokumentet: behandlingsgrundlag, kategorier af oplysninger, opbevaringsperioder, videregivelse til tredjelande og de rettigheder, den besøgende har. Den dækker også alt det, der ikke er cookies — formularer, nyhedsbrev, ansøgninger.
Et site kan godt have alle tre på én side, men det skal fremgå, hvad der er hvad, og listen må ikke være den eneste tekst. Jeg har beskrevet, hvordan selve samtykkeboksen skal opføre sig, i gennemgangen af cookie banner-kravene.
Den dyre fejl er en politik, der ikke passer til sitet
Den almindeligste tilstand jeg møder, er ikke et site uden cookiepolitik. Det er et site, hvor politikken og virkeligheden er to forskellige ting. Den indkøbte eller skabelonbaserede tekst nævner fire cookies; scanningen finder nitten. Eller omvendt: politikken opregner Hotjar og LinkedIn Insight Tag, som blev fjernet for to år siden.
Begge afvigelser er dokumentation imod dig selv. En politik, der nævner færre cookies end sitet sætter, viser, at oplysningskravet ikke er opfyldt. En politik, der nævner flere, viser, at ingen har set på den siden den blev købt — og tager troværdigheden fra resten.
Og selv en præcis politik hjælper ikke, hvis tags fyrer før samtykket. Det er derfor, de 750 kr. for en opsætning og de 2.000 kr. for et dokument ikke er samme vare. Teksten beskriver; opsætningen bestemmer. Den del af arbejdet ligger i tag-styringen, og den er beskrevet i gennemgangen af Google Consent Mode og i opsætningen i Google Tag Manager.
Rækkefølgen jeg ville bruge
- Scan sitet først. Du kan ikke skrive en politik om cookies, du ikke har talt. Det er også her, de fem glemte scripts dukker op.
- Fjern det, ingen bruger. Hver cookie, du sletter, er en linje mindre i politikken og en risiko mindre. Det er den billigste rettelse, der findes.
- Sæt blokeringen op, før du sætter banneret op. Et banner uden blokering er et skilt, ikke en kontrol.
- Lad CMP'en generere deklarationen, og skriv kun teksten omkring den selv. Så er listen rigtig i næste kvartal uden at nogen gør noget.
- Giv politikken sin egen URL, link den fra footeren, og lad linket virke efter samtykket. Det er "vedvarende tilgængelig" i praksis.
- Verificér bagefter, at afvisning faktisk stopper noget. Åbn netværksfanen, afvis alt, og se om der stadig går kald til Google og Meta. Det er det tjek, de danske afgørelser er faldet på — og det samme tjek, der afgør, om din konverteringssporing overlever samtykket.
Hele rækken koster en eftermiddag for et almindeligt virksomhedssite, og under 2.000 kr. om året i abonnement. Det dyre er ikke compliance. Det dyre er at købe teksten og springe de fem andre punkter over, og så stå med en politik, der dokumenterer en opsætning, ingen har bygget.
Begynd med at scanne dit eget site og tælle, hvor mange af cookierne i din nuværende politik faktisk findes der — og hvor mange der findes på sitet uden at stå i politikken. Er der afvigelser i begge retninger, er teksten ikke problemet, opsætningen er. Vil du have det afgjort på skrift, så send mig URL'en: jeg scanner sitet, sammenholder det med politikken, tjekker om tags reelt holdes tilbage før samtykket, og siger hvad der skal rettes og i hvilken rækkefølge. Det ligger under de 2.000 kr., en standardpolitik koster — og du får svaret på, om du overhovedet har brug for en ny tekst. Se hvad jeg laver.