Informasjonskapsler og måling

Nesten alle nettsteder måler besøk. Spørsmålet er ikke om det er lov å telle, men hva verktøyet gjør på besøkerens enhet, hvilke opplysninger det sender og til hvem. Kapitlet gjelder for alle som driver et nettsted i Norge. Byggsikts faktiske bruk er beskrevet i personvernerklæringen.

Hva loven krever

Ekomloven § 3-15

Regelen om informasjonskapsler står i ekomloven av 2024, ikke i personopplysningsloven:

«§ 3-15. Bruk av informasjonskapsler mv. Det er ikke tillatt å lagre eller å skaffe seg tilgang til opplysninger i sluttbrukers eller brukers kommunikasjonsutstyr uten at den aktuelle sluttbrukeren eller brukeren er informert om blant annet hvilke opplysninger som behandles, formålet med behandlingen og hvem som behandler opplysningene, og uten at den aktuelle sluttbrukeren eller brukeren har gitt samtykke.» ¹

Samme paragraf bestemmer at «Samtykke skal oppfylle kravene til samtykke i personvernforordningen»¹. Det er to unntak. Første ledd gjelder ikke for teknisk lagring av eller adgang til opplysninger «utelukkende for det formål å overføre kommunikasjon i et elektronisk kommunikasjonsnett»¹, eller som er «strengt nødvendig for å levere en informasjonssamfunnstjeneste etter den aktuelle sluttbrukerens eller brukerens uttrykkelige forespørsel»¹.

Loven har «Ikrafttredelse 01.01.2025»². Den gamle ekomloven av 2003 er «Opphevet ved lov 13 des 2024 nr. 76 (i kraft 1 jan 2025 iflg. res. 13 des 2024 nr. 3095).»³ Henvisninger til «ekomloven § 2-7 b» i eldre personvernerklæringer viser derfor til en opphevet lov.

Tre ting regelen sier — og én den ikke sier

1. Det er handlingen som utløser regelen, ikke ordet «cookie». Regelen gjelder å «lagre» eller «skaffe seg tilgang til» opplysninger i brukerens utstyr ⁴. Datatilsynet beskriver bestemmelsen som en spesialregulering som «gjelder uavhengig av om du behandler personopplysninger eller ikke»⁵.
2. Både informasjon og samtykke kreves, og samtykket må komme først. Kravene er kumulative («og uten at …»), og samtykket måles mot personvernforordningen ⁴; se forordningens definisjon av samtykke og vilkårene for samtykke ⁶.
3. Unntakene er snevre. Det andre unntaket krever at lagringen er «strengt nødvendig» for en tjeneste brukeren uttrykkelig har bedt om ⁷.

Det regelen ikke sier, er at et verktøy uten informasjonskapsler er unntatt fra personvernretten. Personvernforordningen gjelder all behandling av personopplysninger, og Datatilsynet skriver at «En IP-adresse vil som regel i seg selv regnes som en personopplysning.»⁸

Hva «uten informasjonskapsler» betyr — og ikke betyr

Vår vurdering, ut fra ordlyden i § 3-15 og forordningen:

• Et måleverktøy som verken lagrer noe på enheten eller leser noe fra den, faller utenfor § 3-15 første ledd. Da trengs ikke samtykke etter ekomloven.
• Et verktøy som ikke setter informasjonskapsler, men som bruker annen lokal lagring i nettleseren eller leser egenskaper fra enheten for å kjenne den igjen, gjør det loven forbyr uten samtykke: å «skaffe seg tilgang til opplysninger i sluttbrukers eller brukers kommunikasjonsutstyr»¹. Datatilsynet skriver at kravene gjelder «all bruk av teknologi som omfattes av ekomloven § 3-15»⁹, ikke bare informasjonskapsler.
• Selv et verktøy som er helt fritt for lagring på enheten, behandler som regel IP-adresser og besøksopplysninger. Da gjelder hele personvernforordningen: behandlingsgrunnlag ¹⁰, informasjon ¹¹, dataminimering ¹² og reglene om overføring ut av EØS (se kapittel 3.8).

«Uten informasjonskapsler» er altså et svar på ekomlovens spørsmål, ikke på personvernforordningens.

Hva Datatilsynet sier

To tilsyn, to spørsmål

«Datatilsynet og Nasjonal kommunikasjonsmyndighet (Nkom) har felles tilsynsmyndighet med ekomloven § 3-15. […] Nkom har ansvaret for å vurdere om en teknisk løsning er omfattet av bestemmelsen, og om unntakene fra kravet til informasjon og samtykke i § 3-15 andre ledd er oppfylt. Datatilsynet har ansvar for å vurdere om det gis tilstrekkelig informasjon og om samtykket oppfyller kravene i personvernforordningen.»¹³

Datatilsynet knytter lovendringen til EU-retten: «Med lovendringen fra 1. januar 2025 er norsk rett i samsvar med EU-retten når det gjelder informasjonskapsler og lignende teknologier, og internettbrukere i Norge får et sterkere vern mot sporing på nett.»¹⁴

Samtykket

Tilsynet lister vilkårene: «For at et samtykke skal være gyldig etter personvernforordningen og ekomloven, må det være: frivillig spesifikt informert utvetydig gitt gjennom en aktiv handling dokumenterbart mulig å trekke tilbake like lett som det ble gitt»¹⁵. Og tidspunktet: «Virksomheten må innhente samtykke før informasjonskapsler eller lignende teknologier brukes, for eksempel før en informasjonskapsel plasseres.»¹⁶

Et samtykke må kunne avslås uten at tjenesten blir utilgjengelig: «Det må være mulig for en bruker å takke nei til sporingsverktøy og likevel kunne bruke tjenesten din.»¹⁷

Andre behandlingsgrunnlag

Når personopplysninger behandles gjennom informasjonskapsler, sier tilsynet at andre grunnlag enn samtykke «nesten aldri» kan brukes: «Dersom virksomheten din behandler personopplysninger gjennom bruk av informasjonskapsler, kan andre rettslige grunnlag i personvernforordningen enn samtykke nesten aldri brukes for videre behandling av slike personopplysninger.»¹⁸ Berettiget interesse, som Byggsikt bruker for registerpubliseringen (se kapittel 02), er derfor ikke en vei rundt samtykkekravet for måling.

Tredjepartsverktøy

• Ansvaret kan bli delt: «Hvis virksomheten bruker tredjepartsinformasjonskapsler eller tilsvarende, vil dere også kunne ha felles behandlingsansvar med tredjeparten for behandlingen av personopplysninger ved bruk av slik teknologi.»¹⁹
• Tilsynets anbefaling: «Vår anbefaling er derfor å velge verktøy som lover å bare behandle personopplysninger på dine vegne og slik du bestemmer.»²⁰
• Overføring: «Dersom landet det er snakk om er USA, sjekk om virksomheten står på lista over godkjente virksomheter.»²¹
• Minimering: «Dersom du i dag har et analyseverktøy som samler inn opplysninger som du ikke bruker til noe, bryter du loven.»²²
• Og den korteste regelen: «Hvis du ikke har kontroll over et sporingsverktøy, vær føre var og fjern det.»²³

Merk at tilsynets side om analyse og sporing selv opplyser at «Oppdatering av denne artikkelen er under arbeid»²⁴.

Hva du bør få vite som besøkende

Informasjonen om et måleverktøy bør forklare hvilke opplysninger det behandler, formålet og hvem som behandler dem. Når samtykke kreves etter ekomloven § 3-15, må det foreligge før opplysningene lagres eller leses på enheten. En personvernerklæring eller en plan om senere endring erstatter ikke samtykke. ^{25 26}

At et verktøy omtales som uten informasjonskapsler, avgjør ikke alene hvilke regler som gjelder. Annen lagring eller tilgang på enheten kan også omfattes, og behandling av personopplysninger må vurderes etter forordningen. ^{25 26}

En sideadresse eller sidetittel kan inneholde personopplysninger. Hva et analyseverktøy sender, og til hvem, er derfor relevant selv om opplysningene allerede er synlige på nettstedet. ²⁷

Byggsikts bruk av informasjonskapsler og besøksmåling er beskrevet i personvernerklæringen. Den beskrivelsen må leses som informasjon om faktisk bruk, ikke som en godkjenning av et verktøy eller en fremtidig løsning.

Kilder

• Lov om elektronisk kommunikasjon (ekomloven), LOV-2024-12-13-76, § 3-15 ²⁸
• Lov om elektronisk kommunikasjon 2003, opphevet ²⁹
• Personvernforordningen i norsk EØS-tekst, vedlegg til personopplysningsloven ³⁰
• Datatilsynet: Bruk av informasjonskapsler og andre sporingsteknologier ²⁶
• Datatilsynet: Råd for analyse og sporing på nettsted ³¹
• Datatilsynet: Bruk av sporingsverktøy på nettsteder og i apper ³²
• Nkom: Informasjonskapsler/cookies (i kildeledgeren, ikke analysert i denne versjonen) ³³
• Data Privacy Framework List: Cloudflare, Inc. ³⁴ og Google LLC ³⁵ (gjengitt 2026-10-16, ikke kontrollert på nytt)