Egenbyggda CMP:er: därför fungerar det sällan att bygga sin egen samtyckesplattform

Många utvecklardrivna team gillar att lösa problem internt. Och vid första anblicken kan en plattform för samtyckeshantering (CMP) verka som ännu en JavaScript-uppgift: ”Varför inte bygga den själva?”

Men enligt dataskyddsförordningen (GDPR) står för mycket på spel.
Egenbyggda CMP:er uppfyller ofta inte de juridiska, tekniska och operativa kraven, och det kan bli dyrt att göra fel.

I det här inlägget går vi igenom:

• Varför interna CMP:er har svårt med efterlevnad och skalbarhet

• De dolda kostnaderna och riskerna med att bygga själv

• Vad professionella CMP:er erbjuder som egen kod inte kan

• Ett praktiskt ramverk för att välja mellan att bygga eller köpa

---

Vad är en egenbyggd CMP?

En egenbyggd CMP är en skräddarsydd lösning för cookiebanner och skripthantering, oftast skapad av interna utvecklingsteam. Verktygen är tänkta att:

• Be användarna om samtycke

• Blockera eller aktivera cookies/taggar utifrån användarnas val

• Logga och lagra samtyckespreferenser

Det låter enkelt, tills GDPR kommer in i bilden.

---

Därför brister de flesta interna CMP:er

GDPR (och brittiska UK GDPR) ställer mycket specifika krav på giltigt samtycke:

• Granulärt opt-in per ändamål

• Tydliga, informerade och frivilliga val

• Enkla sätt att tacka nej och återkalla samtycke

• Granskningsloggar som visar vilka samtyckesbeslut som fattats

• Geografiskt riktad tillämpning (EU- jämfört med icke-EU-användare)

Många egenbyggda banners är lätta gränssnittskomponenter som saknar den juridiska logik som krävs för att uppfylla kraven.

Här är de största svagheterna hos utvecklarbyggda CMP:er:

• Samtyckesgranularitet: Egenbyggda CMP:er förlitar sig ofta på ett enda godkännandealternativ, men GDPR kräver val på ändamålsnivå.

• Geografisk riktning: Utan korrekt regionsidentifiering kan samtyckesregler tillämpas för brett, eller inte alls.

• Kontroll på leverantörsnivå: Att manuellt underhålla logiken för hundratals analys- och annonstaggar är extremt svårt.

• Samtyckesloggning: Utan strukturerade och säkra samtyckesloggar har du inget försvar vid en granskning eller en utredning från tillsynsmyndigheten.

• Uppdatering av preferenser: Användare måste kunna ändra sitt samtycke när som helst, en teknisk utmaning som de flesta egenbyggda lösningar underskattar.

---

Dolda kostnader med att bygga en egen CMP

Det som ser ut som ett enkelt bygge blir en långvarig underhållsbörda.

Viktiga kostnadsområden är:

• Utvecklartid och alternativkostnad: Att bygga och underhålla en CMP drar bort utvecklarna från det egentliga produktarbetet.

• Juridisk risk: Fel i efterlevnaden kan leda till GDPR-böter eller klagomål från användare.

• Ständiga regeländringar: CMP:er måste följa nya regler (DSK-beslut, CNIL-vägledning, EDPB-uppdateringar).

• Förändringar i webbläsarekosystemet: Cookiebeteendet (ITP, ETP, Chrome-ändringar) utvecklas hela tiden och kräver löpande uppdateringar.

• Beredskap för granskning: Utan standardiserade granskningsloggar blir det jobbigt eller omöjligt att bevisa efterlevnad.

CMP:er är inte statiska verktyg - de kräver kontinuerliga uppdateringar, tester och efterlevnadsgranskningar.

---

Vad en professionell CMP erbjuder

En specialbyggd plattform för samtyckeshantering (som CookiePal eller andra certifierade CMP:er) ger dig:

• Certifierad efterlevnad: Uppfyller kraven i GDPR, Google CMP Partner Program och IAB TCF.

• Geobaserad tillämpning: Tillämpar rätt regler för EU, Storbritannien, Brasilien och andra regioner.

• Skriptkontroll på leverantörsnivå: Blockerar eller aktiverar specifika taggar utifrån användarnas val.

• Dokumentation av samtycken: För korrekta loggar för granskningar eller utredningar.

• Varumärkessäker designanpassning: Matchar webbplatsens stil och användarupplevelse.

• Uppdateringar för regler och webbläsare: Följer alltid de senaste efterlevnadskraven.

CMP:er är byggda för samtycke, inte hopplockade.

---

Bygga eller köpa: en snabb checklista

Använd den här som beslutsstöd:

• Om du behandlar användardata i EU → Köp

• Om du behöver kontroll på leverantörsnivå över skript → Köp

• Om du verkar globalt och behöver regionbaserade regler → Köp

• Om du har ett juridiskt team som bevakar dataskydd på heltid → Bygg

• Om dina utvecklare kan hantera ständiga uppdateringar → Bygg

Även stora techbolag har vänt sig till betrodda CMP:er, inte för att de inte kan bygga själva, utan för att risken inte är värd det.

Slutsats

Om du funderar på att bygga en egen CMP, kom ihåg:

Du kan bygga en banner. Men det betyder inte att du har byggt efterlevnad.

Samtyckeshantering är numera en juridisk disciplin, inte bara en utvecklaruppgift. Med en certifierad och skalbar CMP sparar du tid, minskar ditt ansvar och håller både användare och tillsynsmyndigheter nöjda.

I GDPR räcker inte halvmesyrer, och genvägar kan bli dyra.

---

Källor

• EDPB Guidelines 05/2020 on Consent
  https://edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-052020-consent-under-regulation-2016679_en

• IAB Europe TCF Requirements - https://iabeurope.eu/tcf/

• Google CMP Partner Program
  https://support.google.com/admanager/answer/11956195