Cookiebannere er for længst blevet en fast del af brugernes oplevelse online — og en hyppig kilde til irritation. Brugerne skal træffe de samme valg igen og igen, ofte uden ret meget kontekst, og det fører til det, som tilsynsmyndighederne i stigende grad kalder »samtykketræthed«.
EU’s forslag til Digital Omnibus, der blev offentliggjort den 19. november 2025, skal gøre oplevelsen enklere. Kernen i diskussionen er maskinlæsbare samtykkesignaler: en model, hvor brugerne kan angive deres privatlivsindstillinger én gang i browseren eller på enheden og få dem anvendt automatisk på tværs af websites.
Det kan blive et skifte i den måde, samtykke gives og administreres på. Et skifte, der kan mindske friktionen, men som også rejser nye spørgsmål om interoperabilitet, kontrol og den praktiske implementering.
Her får du som digital professionel overblik over, hvordan det fungerer, hvad forslaget siger, og hvad det betyder for din tech-stack.
Kort fortalt: en ny mekanisme — ikke et nyt krav
Samtykke forsvinder ikke med Digital Omnibus. Det, der ændrer sig, er måden, samtykket udtrykkes, huskes og håndhæves på tværs af systemer.
Med præferencesignaler på browser- eller enhedsniveau i sigte kan brugerne indstille deres privatlivsvalg én gang i stedet for at forholde sig til det samme banner ved hvert besøg. Det ændrer ikke på, om der kræves samtykke. Det ændrer mekanismen.
Skal det fungere i praksis, skal maskinlæsbare samtykkesignaler være interoperable med eksisterende standarder, udløse reel teknisk adfærd på tværs af websites og tjenester og undgå at samle kontrollen hos få platforme.
Med tiden vil brugerne måske møde færre gentagne forespørgsler. Men bag kulisserne bliver opgaven ikke mindre:
– forskellige signalkilder (bannere, browsere, apps),
– flere downstream-systemer (analyse, annoncering, dataplatforme),
– løbende krav om dokumentation og håndhævelse.
Skiftet tilføjer et nyt lag af kompleksitet. Browsersignaler bliver endnu et input, som din Consent Management Platform (CMP) skal kunne håndtere. De erstatter ikke din CMP. De udvider i stedet det udvalg af signaler, som en CMP skal håndtere, så præferencerne anvendes korrekt på tværs af systemer.
Hvad er browsersamtykke?
Samtykke på browserniveau er en standardiseret, automatisk måde, hvorpå en browser eller et styresystem kan formidle en brugers privatlivspræferencer til et website.
Tænk på det som en teknisk instruks snarere end en visuel forespørgsel: I stedet for kun at basere sig på bannere og klik kan et website aflæse en præference, som brugeren tidligere har givet udtryk for, og handle automatisk ud fra den.
Idéen er ikke helt ny.
Vil samtykkesignaler under Digital Omnibus minde om Global Privacy Control (GPC)?
Browsersignaler som Global Privacy Control (GPC) findes allerede og er anerkendt i lovgivning som den amerikanske California Consumer Privacy Act (CCPA), hvor brugerne kan udtrykke bestemte privatlivsvalg på browserniveau.
GPC fungerer dog inden for en anden juridisk ramme (primært opt-out-systemer) og er som regel begrænset til bestemte typer behandling, fx salg eller deling af personoplysninger.
Overføres en lignende tilgang til EU, bliver det mere komplekst. Efter GDPR skal samtykke være specifikt, informeret og knyttet til bestemte formål og dataansvarlige. Det er langt mere komplekst at omsætte disse krav til et standardiseret, maskinlæsbart signal, der fungerer ensartet på tværs af websites, leverandører og anvendelser, end det er med de eksisterende opt-out-signaler.
I dag understøtter nogle browsere, fx Firefox, allerede GPC direkte. Andre gør ikke, men tillader det via tredjepartsudvidelser.
Det er ved at ændre sig. Californiens Opt Me Out Act (AB 566), der blev underskrevet i oktober 2025, kræver, at alle større browsere, herunder Chrome, Safari og Edge, senest den 1. januar 2027 tilbyder et indbygget opt-out-præferencesignal.
Artikel 88b: hvad EU’s Digital Omnibus lægger op til
Forslaget til Digital Omnibus indfører idéen om samtykkesignaler fra browseren i EU’s regelsæt med en ny artikel 88b:
- Artikel 88b vil kræve, at dataansvarlige understøtter automatiske mekanismer, så brugerne kan give eller afvise samtykke og gøre indsigelse. Websites skal respektere signalerne, når de først er givet, i stedet for at spørge brugerne igen og igen via individuelle bannere.
»Registrerede skal kunne give samtykke/udøve retten til indsigelse ved hjælp af automatiserede og maskinlæsbare midler. Det forventes, at standarderne udarbejdes af en eller flere europæiske standardiseringsorganisationer.« — Lovteksten til Digital Omnibus
- Forslaget pålægger også browserudbydere (bortset fra SMV’er) at stille den nødvendige tekniske infrastruktur til rådighed for de automatiske signaler.
- Europa-Kommissionen vil give standardiseringsorganer mandat til at udvikle de nødvendige tekniske standarder, og dataansvarlige, der følger standarderne, vil få en formodning om overholdelse.
- Brugerne kan også udtrykke deres præferencer via værktøjer som EU’s digitale identitetstegnebog.
En bemærkelsesværdig undtagelse: Udbydere af medietjenester er udtrykkeligt undtaget fra pligten til at respektere browsersignaler. Kommissionen begrunder det med, at medierne er afhængige af annonceindtægter for at være økonomisk bæredygtige. Undtagelsen gælder ikke for andre typer websites, apps eller onlinetjenester. Læs mere om det her.
Hvordan vil browsersignaler fungere rent teknisk?
Hvis forslaget vedtages, vil samtykkesignaler fra browseren tilføje et nyt lag til den måde, brugerpræferencer formidles og håndhæves på i hele det digitale økosystem.
Selvom de præcise specifikationer endnu ikke er fastlagt, vil den overordnede arkitektur sandsynligvis bestå af flere komponenter, der spiller sammen:
| Hos brugeren | På signalniveau | Ved håndhævelsen |
|---|---|---|
| Brugerne kan indstille deres privatlivspræferencer via forskellige grænseflader, fx browserindstillinger, styresystemer eller særlige værktøjer. Præferencerne kan spænde fra overordnede valg (fx at acceptere eller afvise sporing) til mere detaljerede indstillinger, afhængigt af hvordan standarderne udvikler sig. | Præferencerne omsættes til et maskinlæsbart format og sendes automatisk, når brugeren besøger et website eller bruger en tjeneste. Den endelige struktur for signalerne, herunder hvordan formål, leverandører og juridiske krav gengives, afhænger af det standardiseringsarbejde, der i øjeblikket drøftes på EU-plan. | Websites og tjenester skal kunne fortolke og handle ud fra signalerne. I praksis er det her, Consent Management Platforms (CMP’er) spiller en central rolle: De modtager signaler fra forskellige kilder, afstemmer dem med den enkelte websites konfiguration og sørger for, at scripts, tags og datastrømme aktiveres eller blokeres i overensstemmelse med brugernes præferencer og de juridiske krav. |
Efterhånden som rammen tager form, bliver interoperabilitet mellem browsere, websites, leverandører og samtykkesystemer afgørende.
Aktører i branchen, herunder CMP-udbydere som iubenda, bidrager aktivt til diskussionerne om standardisering for at sikre, at en fremtidig løsning er teknisk gennemførlig, opfylder de juridiske krav og fungerer i hele økosystemet.
Hvad der ikke ændrer sig
Samtykke forsvinder ikke. Digital Omnibus fjerner ikke kravet om samtykke. Det ændrer måden, præferencer udtrykkes og overføres på.
Det her forbliver det samme:
- Der kræves stadig samtykke til annoncering, profilering, sporing på tværs af websites og de fleste former for tredjepartsanalyse.
- Grundmodellen med opt-in er uændret.
- Brugere, der ikke har indstillet præferencer på browserniveau, vil fortsat se og bruge bannere som hidtil.
- Der er stadig brug for en CMP til at vise bannere, når der ikke registreres noget signal, lade brugerne administrere detaljerede præferencer for et bestemt website, gemme dokumentation for samtykke og styre scripts ud fra præferencerne.
Hvornår træder kravene i Digital Omnibus i kraft?
Europa-Kommissionen offentliggjorde Digital Omnibus den 19. november 2025. Der er tale om et forslag, ikke lovgivning, og teksten kan ændre sig væsentligt under forhandlingerne mellem Europa-Parlamentet og Rådet.
Dine nuværende forpligtelser efter GDPR og ePrivacy-direktivet gælder fuldt ud, og du behøver ikke gøre noget, før teksten er endelig og vedtaget.
Vedtages forslaget i sin nuværende form, vil den trinvise indførelse se sådan ud:
| Fase | Tidspunkt |
|---|---|
| Ikrafttrædelse | 20 dage efter offentliggørelse i EU-Tidende |
| Regler om cookies/terminaludstyr (art. 88a) | 6 måneder efter ikrafttrædelsen |
| Maskinlæsbare signaler (art. 88b) gælder for dataansvarlige | 24 måneder efter ikrafttrædelsen |
| Browsere/styresystemer skal have indbygget understøttelse af signaler | ~48 måneder efter ikrafttrædelsen (SMV’er undtaget) |
Hvad betyder det for iubenda-brugere?
Hos iubenda bakker vi op om at gøre samtykkeoplevelsen enklere og mindske samtykketrætheden — uden at gå på kompromis med brugernes kontrol. Det er principper, vi har arbejdet hen imod fra starten.
Samtidig tilføjer skiftet til browsersignaler nye lag af kompleksitet. Skal modellen fungere i praksis, skal brugerpræferencer fra forskellige kilder fortolkes, afstemmes og håndhæves ensartet.
Det er her, samtykkeinfrastrukturen gør en forskel. Vores produkter er udviklet til at håndtere flere typer samtykkesignaler, håndhæve præferencer på tværs af leverandører og teknologier og tilpasse sig, efterhånden som standarderne udvikler sig.
Hos iubenda har vi styr på det
- Vores juridiske team følger nøje hver eneste udvikling på globalt plan: hvordan Digital Omnibus skrider frem i EU-forhandlingerne, hvordan GPC udvikler sig som anerkendt opt-out-signal, og hvilke tekniske standarder EU’s standardiseringsproces fører til.
- Når kravene er endelige, omsætter vi dem til klar, praktisk vejledning og produktopdateringer, så din opsætning forbliver opdateret uden at du selv skal tyde lovgivningen.
- Vores Privacy Controls and Cookie Solution kan allerede aflæse GPC-signaler og er bygget til at tilpasse sig nye signalkilder, efterhånden som de opstår. Vi sørger for, at den følger med.
Ansvarsfraskrivelse: Dette indlæg handler om et lovforslag, ikke endelig lovgivning. Indholdet afspejler iubendas fortolkning pr. marts 2026 og kan ikke betragtes som juridisk rådgivning. Kontakt din egen juridiske rådgiver for vejledning, der passer til din virksomhed.