Krever sporing uten cookies samtykke?

Ja, hvis en identifikator lagres eller leses på brukerens enhet og sendes til en tredjepart for noe som ikke er strengt nødvendig. Fnac-saken gjaldt et API-kall med en bruker-ID, ikke en cookie, og CNIL krevde samtykke likevel.

Er server-side tagging en måte å slippe samtykke på?

Nei. Server-side tagging endrer hvor dataene sendes fra, ikke om du trenger samtykke. Sendes en ID om en identifiserbar person videre til en tredjepart, må samtykket være på plass, og et nei må stoppe kallet.

Kan samtykkebanneret blokkere kall fra serveren min?

Nei. Et banner holder tilbake skript i nettleseren. Kall som backend-en din gjør, må du selv knytte til samtykket den besøkende har gitt.

Hvor stor ble boten til Fnac?

7 millioner euro totalt: 6 millioner til Fnac Darty Participations et Services og 1 million til Fnac Direct. I tillegg må Fnac vise at de har rettet opp innen en måned, ellers påløper 10 000 euro per dag.

Et nei må stoppe sporingen, ikke bare cookiene

Mange tenker på samtykke som et spørsmål om cookies. Trykker den besøkende «Avvis», blir cookiene borte, og så er saken løst. Den franske datatilsynsmyndigheten CNIL har nettopp vist hvorfor det ikke holder.

Fnac fikk 7 millioner euro i bot fordi appen fortsatte å sende data om brukerne til en tredjepart etter at de hadde sagt nei. Det var ingen klassisk cookie involvert. Det var et vanlig API-kall.

Hva skjedde i Fnac-saken?

CNIL fattet vedtaket 22. oktober 2026 og publiserte det 29. oktober, etter en klage fra personvernorganisasjonen noyb. Boten ble fordelt på to selskaper: 6 millioner euro til Fnac Darty Participations et Services og 1 million euro til Fnac Direct (CNILs omtale av saken).

Fnac-appen ga hver bruker en egen ID. Når brukeren så på produkter, sendte appen ID-en og produktene til et tredjepartsdomene gjennom et API-kall. Dataene ble brukt til personlige anbefalinger og til å trene anbefalingsalgoritmen. Kallene fortsatte etter at brukerne hadde avslått sporing.

Fnac har én måned på seg til å vise at de har rettet opp, ellers påløper 10 000 euro per dag. Hele vedtaket ligger på Légifrance (SAN-2026-015).

Hvorfor krevde dette samtykke når det ikke var en cookie?

Regelen i ekomdirektivet (artikkel 5(3), i Frankrike gjennomført i artikkel 82 i personvernloven) handler ikke om cookies som teknologi. Den handler om å lese eller lagre informasjon på brukerens enhet. En ID som appen lagrer og sender videre, er nettopp det. CNIL behandlet derfor kallet som en sporer, og da må samtykket være på plass før det skjer.

Navnet på teknikken spiller altså liten rolle. Cookie, localStorage, en ID i en app, et piksel eller et kall fra en anbefalingsmotor: hvis en identifikator følger med til en tredjepart for noe som ikke er strengt nødvendig, trenger du samtykke. Den gjennomgangen har vi også i Hvilke cookies krever samtykke?

Hva må et nei faktisk stoppe?

Et nei betyr at sporingen ikke skal skje. Det er ikke nok at cookiene ikke blir satt hvis dataene sendes likevel. I praksis betyr det at «Avvis» må stoppe:

Piksler og tagger som sender en bruker-ID eller enhets-ID, også når de ikke setter cookies.
Kall til anbefalings- og personaliseringstjenester som får med en ID og hva brukeren ser på.
Server-side tagging og Conversions API-er som sender hendelser videre fra din egen server.
CDP-er og analyseverktøy som bygger profiler på tvers av besøk.
SDK-er i apper som sender data til tredjeparter.

Det samme gjelder i motsatt retning: trekker noen tilbake et samtykke, skal disse kallene stoppe fra da av. CNIL har slått ned på akkurat dette før, blant annet i saken mot American Express, der reklamesporing fortsatte etter at samtykket var trukket tilbake.

Hva kan et samtykkebanner blokkere, og hva kan det ikke?

Her er det verdt å være ærlig. Et samtykkeverktøy som Consentify jobber i nettleseren. Det holder tilbake skript, piksler og innbygginger det kjenner igjen til den besøkende har sagt ja, og slipper dem aldri løs hvis svaret er nei. Det dekker det meste av sporingen på et typisk nettsted.

Men et banner kan ikke stoppe kall som nettstedet ditt gjør fra sin egen server. Sender backend-en din bruker-ID-er til en anbefalingsmotor, en CDP eller en server-side tagg, må du selv sjekke samtykket før du sender. Det samme gjelder apper. Det er der Fnac-saken lå, og det er der mange nettsteder har et hull uten å vite det.

Slik sjekker du nettstedet ditt

Det tar et kvarter, og du trenger ingen spesialverktøy:

Åpne nettstedet i et privat vindu og trykk «Avvis» i banneret.
Åpne Network-fanen i utviklerverktøyene og klikk deg rundt på noen sider, gjerne produktsider og handlekurven.
Se etter forespørsler til andre domener enn ditt eget. Sjekk om URL-en eller innholdet inneholder noe som ser ut som en ID, for eksempel uid, user_id, client_id eller en lang tilfeldig streng som går igjen.
Spør utvikleren eller byrået om nettstedet sender data fra serveren, for eksempel via server-side Google Tag Manager, Meta Conversions API eller en anbefalingstjeneste. Hvis ja: sjekkes samtykket før hvert kall?
Gå gjennom widgets for anbefalinger, «andre så også på» og personalisering. De sender ofte data selv om de ser ut som en del av siden.

For det som laster i nettleseren før noen har valgt, kan du kjøre en gratis GDPR-skanning. Den viser hvilke sporere og tredjepartsforespørsler som kjører før samtykke. Er du byrå, er dette en god sjekk å legge inn før hver kundeside går live, særlig på nettbutikker.

Kort oppsummert

Samtykke gjelder sporingen, ikke teknologien. Et nei skal stoppe alle kall som sender en identifikator til en tredjepart, også de som ikke setter cookies og de som går via din egen server. Banneret tar seg av nettleseren. Resten må du sørge for selv, og Fnac-saken viser at tilsynene sjekker det.