Får du spåra användare som avvisar cookies? Det här är fortfarande tillåtet enligt GDPR

När en användare klickar på ”Avvisa alla” i din cookiebanner utgår många webbplatsägare från att allt måste upphöra – analys, mätning, optimering och rapportering.

Det stämmer inte helt.

GDPR kräver inte att webbplatser blir blinda efter ett avvisande, men den sätter strikta gränser för vilken typ av spårning som är tillåten. Nyckeln är att förstå skillnaden mellan nödvändig behandling och samtyckesbaserad spårning.

Den här artikeln förklarar vad du fortfarande kan göra efter att en användare har avvisat cookies – och var de flesta webbplatser går över gränsen för vad som är tillåtet.

---

1. Vad ”avvisa cookies” egentligen innebär

När en användare avvisar cookies tackar hen nej till icke nödvändig spårning, till exempel:

• Analyscookies

• Reklamcookies

• Identifierare för remarketing

• Beteendebaserad profilering

Avvisandet gäller all spårningsteknik, inte bara cookies – inklusive pixlar, local storage och identifierare som liknar fingerprinting.

GDPR kräver att detta val respekteras omedelbart och fullt ut.

---

2. Vad du inte får spåra efter ett avvisande

När samtycket har nekats måste du sluta använda:

• Analysverktyg som bygger på identifierare

• Reklam- och retargeting-pixlar

• Konverteringsspårning kopplad till användarens beteende

• Spårning över flera webbplatser eller sessioner

• All profilering eller attribuering som kopplas till individer

Även data som verkar anonymiserad kan vara olaglig om den över tid kan kopplas till en användare eller enhet.

---

3. Vad du fortfarande kan göra utan samtycke

GDPR tillåter viss begränsad behandling utan samtycke när den är strikt nödvändig för att driva webbplatsen.

Det gäller bland annat:

• Säkerhetsövervakning

• Förebyggande av bedrägerier

• Lastbalansering

• Felloggning

• Åtkomstloggar på serversidan

• Teknisk hantering av förfrågningar

Dessa uppgifter måste förbli ändamålsbegränsade och får inte återanvändas för analys eller marknadsföring.

---

4. Aggregerad och anonym data: gå försiktigt fram

Många webbplatser förlitar sig på ”anonym” eller ”cookiefri” analys efter ett avvisande.

GDPR gör dock en tydlig skillnad:

• Verkligt anonyma uppgifter är tillåtna

• Pseudonymiserade uppgifter räknas fortfarande som personuppgifter

Om uppgifterna:

• Finns kvar över flera sessioner

• Använder identifierare (även hashade)

• Kan kopplas tillbaka till en enhet eller ett beteende

krävs samtycke ändå.

Det här är ett av de vanligaste misstagen när det gäller efterlevnad.

---

5. Varför berättigat intresse sällan fungerar här

Vissa företag försöker motivera spårning efter ett avvisande med berättigat intresse.

I de flesta fall håller det inte, eftersom:

• Spårningen inte är strikt nödvändig

• Användarnas förväntningar åsidosätts

• Påverkan på integriteten väger tyngre än affärsnyttan

Europeiska tillsynsmyndigheter underkänner genomgående berättigat intresse som rättslig grund för spårning i analys- och marknadsföringssyfte.

---

6. Bästa praxis: mät utan att spåra individer

Det säkraste GDPR-anpassade tillvägagångssättet efter ett avvisande är att:

• Avsluta all spårning på användarnivå

• Undvika bestående identifierare

• Använda övergripande driftmått

• Hålla tekniska loggar åtskilda från analysverktyg

• Se till att webbplatsens beteende inte ändras efter ett avvisande

Om spårning fortfarande sker efter ett avvisande ökar risken för bristande efterlevnad avsevärt.

---

7. Så säkerställer Cookiepal att avvisanden respekteras

Cookiepal ser till att följande gäller när en användare avvisar cookies:

• Alla icke nödvändiga skript förblir blockerade

• Analys- och marknadsföringstaggar utlöses inte

• Samtyckesstatus tillämpas på hela webbplatsen

• Spårningen följer användarens val

• Samtyckesloggar sparas för att du ska vara redo för granskning

Det garanterar att ett avvisande verkligen betyder ett avvisande – inte delvis spårning.

---

Sammanfattning

Att avvisa cookies betyder inte att din webbplats måste sluta fungera – men det betyder att du måste sluta spåra användare utöver det som är strikt nödvändigt.

GDPR tillåter begränsad driftsbehandling, men analys, reklam och profilering kräver uttryckligt samtycke. Att respektera ett avvisande är inte bara ett lagkrav – det är också en signal om förtroende.

Med en CMP som Cookiepal kan du respektera användarnas val samtidigt som din webbplats förblir stabil, transparent och regelrätt.

---

Källor och referenser

• GDPR Article 4(1) & 4(11) – Definition of Personal Data and Consent
• GDPR Article 6 – Lawful Bases for Processing
• GDPR Article 7 – Conditions for Valid Consent
• GDPR Recital 32 – Clear and Affirmative Consent
• GDPR Recital 47 – Legitimate Interest Limitations
• European Data Protection Board (EDPB) Guidelines 05/2020 on Consent
• CNIL (France) Cookie and Tracking Guidance
• UK ICO Guidance on Cookies and Similar Technologies