Cookie-banneret sier avvist, men sporingen lastes likevel: slik tester og fikser du det

22. oktober 2026 spurte en Shopify-butikkeier på r/shopify hvordan andre håndterer skript som fortsetter å laste etter at den besøkende har trykket Avvis. Banneret sa én ting, nettleseren gjorde noe annet. Det er det vanligste cookie-problemet på alle plattformer: banneret lagrer valget, men ingenting på siden er koblet til for å lytte på det. WooCommerce, Shopify, en headless-løsning på Next.js eller Astro og et vanlig WordPress-nettsted feiler på samme måte, fordi lekkasjene kommer fra innebygde videoer, skrifttyper, temakode og taggoppsett, ikke fra selve banner-utvidelsen.

Denne guiden viser hvordan du med bare nettleseren sjekker hva nettstedet sender etter Avvis, hvilke kall som vanligvis slipper gjennom, hva Googles avanserte samtykkemodus sender med vilje, og hvordan du stopper hvert av dem. Den viser til lovtekst og leverandørdokumentasjon underveis. Det er en praktisk testguide, ikke juridisk rådgivning.

#Nye cookie-regler i Norge fra 2025: ekomloven § 3-15

Fra 1. januar 2025 gjelder ny ekomlov. Ekomloven § 3-15 sier at det ikke er tillatt å lagre eller skaffe seg tilgang til opplysninger i brukerens kommunikasjonsutstyr uten at brukeren er informert og har gitt samtykke, og at samtykket skal oppfylle kravene i personvernforordningen. Unntak gjelder ren overføring av kommunikasjon og det som er strengt nødvendig for en tjeneste brukeren uttrykkelig har bedt om.

Datatilsynets side om informasjonskapsler forklarer hva som er nytt: tidligere holdt det at nettleserens standardinnstillinger tillot cookies, nå må samtykket være frivillig, spesifikt, informert, utvetydig, dokumenterbart og like lett å trekke tilbake. Det skal være like lett å si nei som å si ja. Datatilsynet og Nkom har felles tilsyn med bestemmelsen.

#Hvorfor laster skriptene selv om brukeren har avvist

Innlegget som startet tråden, beskrev skillet presist:

Apppiksler er enkle. Dem tar Shopify seg av. Alt det andre? YouTube-videoer, Google Fonts, chat-widgeter, SEO- og analyseskript: nei. I januar 2022 tilkjente en domstol i München en besøkende 100 euro fordi et nettsted sendte IP-adressen hans til Google via Google Fonts, uten samtykke.

(u/Plus_Cell394, r/shopify, 22. oktober 2026, egen oversettelse)

Et banner styrer bare det som er registrert hos det. Kode som står fast i temaet, er limt inn i et bunntekstfelt, kommer fra en innebyggingsblokk eller lastes av en utvidelse som ignorerer bannerets grensesnitt, kjører ved sideinnlasting uansett svar. Banneret viser “Avvist” og har rett om sin egen status. Siden spurte det bare aldri.

#Gjelder regelen bare informasjonskapsler

Nei. EU-domstolen slo fast i Planet49 (C-673/17) at en forhåndsavkrysset boks ikke er gyldig samtykke, og at artikkel 5 nr. 3 i ePrivacy-direktivet gjelder uansett om opplysningene er personopplysninger. EDPBs retningslinjer 2/2023 om det tekniske virkeområdet (versjon 2.0, vedtatt 7. oktober 2024) tar med JavaScript der en aktør instruerer nettleseren til å sende asynkrone forespørsler med opplysninger, og har egne avsnitt om sporingspiksler og sporing basert bare på IP-adresse. Retningslinjene minner samtidig om at regelen kan gjelde uten at samtykke alltid kreves, fordi det finnes unntak. Om et unntak passer, er et juridisk spørsmål. Om kallet skjer i det hele tatt, kan du teste selv.

#Slik tester du cookie-banneret i nettleserens utviklerverktøy

Chrome, Brave, Firefox og Edge fungerer likt her.

1. Åpne en ny profil eller et privat vindu uten utvidelser. Annonseblokkere skjuler nettopp de kallene du leter etter.
2. Åpne utviklerverktøyene før siden lastes. Kryss av for “Preserve log” og “Disable cache” i Network-fanen.
3. Last forsiden og ikke rør banneret. Noter alle eksterne domener. Før et valg skal ingenting valgfritt lastes.
4. Trykk Avvis og gå gjennom en produktside, en side med video, kontaktsiden og handlekurven. Lekkasjer sitter ofte i maler forsiden ikke bruker.
5. Filtrer listen på domenebiter: google, gstatic, doubleclick, facebook, tiktok, youtube, hotjar, clarity, navnet på chatleverandøren.
6. I Application-fanen (Storage i Firefox) går du gjennom Cookies, Local storage og Session storage for hver opprinnelse. Alt utover lagringen av selve avslaget og funksjonelle øktcookies må kunne forklares.
7. Gjenta testen med Godta, så du ser at verktøyene virker når de er tillatt. Test også en tilbakevendende besøkende som trekker samtykket uten å tømme nettleseren.

Skriv resultatet inn i en tabell: domene, side, før valg, etter Avvis, etter Godta. Det er rettelseslisten din.

#Hva som oftest lekker etter Avvis

Google beskriver personvernforbedret modus for YouTube (youtube-nocookie.com) som at visninger i den innebygde spilleren ikke påvirker personaliseringen på YouTube. Det står ikke at spilleren ikke sender noe til Google, så domenebytte alene er ingen løsning.

Skrifttyper er tilfellet med en dom. LG München I (3 O 17493/20, 20. januar 2022) kom til at det krenket den besøkendes rettigheter å sende den dynamiske IP-adressen hans til Google via Google Fonts uten samtykke, påla nettstedet å slutte og tilkjente 100 euro i erstatning. Retten la vekt på at Google Fonts kan brukes uten at nettleseren kobler seg til en Google-server.

#Googles samtykkemodus v2: hva grunnleggende og avansert fortsatt sender

Ser du kall til Google Analytics etter Avvis, sjekk først hvilken modus du kjører. Googles oversikt over samtykkemodus skiller mellom:

• Grunnleggende: Google-taggene er blokkert til brukeren har svart på banneret. Ifølge Google sendes ingen data før samtykke, ikke engang standardstatusen.
• Avansert: taggene lastes med en gang med avslag som standard. Så lenge samtykke mangler, sender de samtykkestatus og målinger uten informasjonskapsler. Med analytics_storage avslått leser og skriver ikke Google Analytics egne cookies, men målinger sendes fortsatt til Analytics-domener “for grunnleggende måling og modellering”.

Avansert modus gir altså kall til Google etter Avvis med vilje. Om det holder for ditt nettsted, er nettopp spørsmålet etter § 3-15, og det avgjør du med rådgiveren din, ikke med taggen. En kommentator på r/woocommerce sa det samme fra testerens side:

For Google betyr ikke en nettverksforespørsel alene at oppsettet er feil: avansert Consent Mode kan sende pinger uten informasjonskapsler mens samtykke er avslått.

(u/anamap_alex, r/woocommerce, 7. oktober 2026, egen oversettelse)

To konfigurasjonsfeil fra Googles implementeringsveiledning gir ekte lekkasjer i begge moduser: standardkommandoen må kjøre før config og event, og et banner som lastes asynkront trenger wait_for_update.

#Shopify, WooCommerce og headless: kode som går forbi banneret

Ifølge Shopifys dokumentasjon om web pixels følger web pixel-apputvidelser Customer Privacy API og kjøres først etter samtykke i regioner der det kreves. Temakode får ikke den beskyttelsen. Til den bruker du Customer Privacy API med analyticsProcessingAllowed(), marketingAllowed() og hendelsen visitorConsentCollected. Standardtilstanden avhenger av butikkens personverninnstillinger: i regioner uten samtykkekrav er alt tillatt, så et marked med feil innstilling ser ut som et ødelagt banner.

WooCommerce, WordPress og headless har ingen sandkasse på plattformnivå. Sjekk felt for kode i topp og bunn, utvidelser som skriver ut egne tagger (anmeldelser, chat, Meta- og Google-integrasjoner) og innebygd innhold i innlegg. Ser du to kall til fbevents.js etter Godta, er pikselen lastet to ganger, fra GTM og fra en utvidelse. Vår guide til Google Analytics 4 viser hvordan Google-tagger kobles til samtykke, og artikkelen om tredjepartsskript viser hvordan du ser hva hvert skript laster.

#Slik tetter du hver lekkasje

• Video og kart: bytt iframen med en plassholder som lager iframen først etter klikk eller samtykke. Server forhåndsbildet fra egen server, ellers er det selv et tredjepartskall.
• Skrifttyper: last ned filene, server dem fra eget domene med @font-face og fjern alle lenker til fonts.googleapis.com.
• Chat: vis en lokal “Chat med oss”-knapp og last leverandørskriptet etter klikk eller samtykke.
• Hardkodede piksler: flytt dem til taggbehandleren eller plattformens pikselsystem, så samtykkesjekken gjelder.
• Taggbehandler: sett samtykkekrav på hver tagg og test i forhåndsvisning med avslag.

Kjør så testen på nytt og fyll ut tabellen igjen. Kolonnen “etter Avvis” skal nå bare vise ditt eget domene og tjenester du bevisst tillater, med begrunnelsen skrevet ved siden av. Datatilsynet krever at samtykket er dokumenterbart, og tabellen er et godt utgangspunkt for den dokumentasjonen.

Vår EU-gjennomgang for WooCommerce tar denne testen på hver mal, og den gratis nettstedsjekken viser tredjepartskall for en offentlig adresse.