Kakor på hemsidan: vad Post- och telestyrelsen skriver om samtycke

Kort svar: ja, enligt Post- och telestyrelsen (PTS) måste en webbplats som använder kakor först fråga besökaren om samtycke. Undantaget är nödvändiga kakor. Samtycket ska lämnas aktivt och gå att ta tillbaka, och det ska vara lika enkelt att tacka nej som att tacka ja. Här går vi igenom vad myndigheten skriver, vilken lagtext som ligger bakom och var du hittar källorna själv.

Texten beskriver vad myndigheterna skriver. Den är inte juridisk rådgivning och säger inte hur just din webbplats ska se ut. För ditt eget fall hänvisar vi till källorna nedan och till PTS.

Vad säger lagen om kakor?

Regeln finns i 9 kap. 28 § lagen (2022:482) om elektronisk kommunikation, förkortad LEK. Du kan läsa hela lagen på riksdagens webbplats. Första stycket lyder: "Uppgifter får lagras i eller hämtas från en abonnents eller användares terminalutrustning endast om abonnenten eller användaren får tillgång till information om ändamålet med behandlingen och samtycker till den."

Med terminalutrustning menas till exempel besökarens dator eller mobiltelefon. En kaka är en liten fil som sparas där, så att en webbplats kan känna igen enheten eller komma ihåg något. Paragrafens andra stycke gör två undantag där samtycke inte krävs:

• lagring eller åtkomst som behövs för att överföra ett elektroniskt meddelande via ett elektroniskt kommunikationsnät
• lagring eller åtkomst som är nödvändig för att tillhandahålla en tjänst på användarens uttryckliga begäran

Det andra undantaget är det som i vardagen brukar kallas nödvändiga kakor.

Vem granskar kakor i Sverige?

Två myndigheter nämns ofta, och det är lätt att blanda ihop dem. I ett beslut från april 2025 beskriver Integritetsskyddsmyndigheten (IMY) fördelningen så här: PTS är "ensam behörig tillsynsmyndighet" över LEK, som ställer krav på lagring av kakor i terminalutrustning. Personuppgiftsbehandling som sker efteråt, till exempel analys eller profilering, omfattas i stället av dataskyddsförordningen (GDPR), där IMY är tillsynsmyndighet. Det framgår av IMY:s tillsynsbeslut mot Aller Media AB.

Kort sagt: själva frågan om kakan får placeras på besökarens enhet hör till PTS. Vad som händer med uppgifterna därefter hör till IMY. Därför handlar kakfrågan både om hur bannern ser ut och om hur uppgifterna används.

Vad PTS skriver på sin kaksida

PTS har en egen informationssida, Kakor (cookies), som vänder sig till den som har en webbplats. Sidan inleds med att du "måste först fråga om samtycke" och att användaren ska lämna samtycket aktivt och kunna återkalla det. PTS delar upp kraven i två delar.

Informationskravet

Enligt PTS ska du skriva vilka kakor du använder och till vad. Myndigheten räknar upp vad som behöver förklaras:

• ändamålen med kakorna
• att användaren när som helst kan återkalla sitt samtycke
• vilka kakor som används på webbplatsen
• om kakorna är tredjepartskakor, alltså kakor som samlar in och delar information med en annan part, till exempel för riktad marknadsföring
• hur länge varje kaka sparas på användarens utrustning
• vilken typ av information kakorna samlar in och använder

PTS skriver att informationen ska vara så tydlig och fullständig att användaren förstår vad samtycket innebär, och att sättet att lämna den ska vara användarvänligt.

Kravet på samtycke

Enligt PTS måste ett samtycke vara frivilligt, specifikt, informerat och givet aktivt. Myndigheten tar upp flera konkreta punkter på sin sida:

• Det ska vara lika enkelt att tacka ja som nej. Användaren ska kunna tacka nej vid samma tillfälle och i samma vy som hen kan tacka ja.
• Knapparna för ja och nej ska utformas på liknande sätt, och ja-knappen får inte vara designad så att den är enklare att klicka på.
• Om användaren varken tackar ja eller nej får bara nödvändiga kakor lagras.
• Användaren ska kunna samtycka specifikt för varje ändamål.

Att ta tillbaka sitt samtycke

PTS skriver att användaren när som helst ska kunna återkalla sitt samtycke, och att det ska vara lika enkelt att återkalla som att ge det. Som exempel på en lösning nämner myndigheten en knapp eller ikon som syns på alla sidor och som öppnar kakbannern igen, eller en länk i sidfoten till sidan om kakor. Möjligheten ska ligga högt upp på sidan, så att användaren inte behöver scrolla eller leta.

Vad PTS skriver att samtycke inte får se ut som

PTS har en lista över sätt att inhämta samtycke som myndigheten inte godtar:

• förkryssade val, där användaren måste avmarkera något för att neka
• kakvägg, alltså att hindra användare som inte tackat ja till kakor från att komma in på webbplatsen
• tvingat samtycke, till exempel att neka inloggning bara för att personen inte accepterar kakor för ett annat ändamål som marknadsföring
• samtycke genom passivitet, där fortsatt användning av sajten tolkas som ett ja
• "Jag förstår", som enligt PTS inte är samma sak som att samtycka

Samma tankegång finns på EU-nivå. Europeiska dataskyddsstyrelsen (EDPB) skriver i sina riktlinjer 05/2020 om samtycke att tillgång till tjänster inte får göras beroende av att användaren samtycker till lagring av information i sin utrustning, vilket riktlinjerna kallar cookie walls (punkt 39). Där står också att förkryssade rutor är ogiltiga och att tystnad eller att bara fortsätta använda en tjänst inte kan ses som ett aktivt val (punkt 79). Enligt exempel 16 räcker det inte att användaren scrollar eller sveper över en sida (punkt 86). Riktlinjerna gäller samtycke enligt GDPR.

Nödvändiga kakor

PTS beskriver nödvändiga kakor som sådana som måste finnas för att webbplatsen ska fungera som det är tänkt. Exemplen på PTS sida är kakor som minns vad som ligger i en varukorg i en nätbutik, en kaka som ger tillgång till skyddade delar av en banktjänst under inloggningen, och kakor som krävs för att webbplatsen ska fungera.

Myndigheten drar också en gräns. Undantaget gäller när kakan är nödvändig för att en tjänst som användaren begär ska fungera. Enligt PTS handlar det "inte om vilka kakor du tycker är nödvändiga", och som exempel på något som inte räknas nämns att samla in statistik. I ett av sina beslut förklarar PTS att "icke-nödvändiga kakor" normalt är kakor som inte behövs för en tjänst som användaren uttryckligen begär.

PTS granskning 2022 och 2023

Ibland hjälper det att se hur myndigheten har tillämpat reglerna. På sidan Vägledande beslut beskriver PTS att myndigheten under 2022 och 2023 granskade hur olika webbplatsinnehavare lever upp till kakreglerna. Granskningen inleddes i oktober 2022. Publicerade avslut finns för Folkhälsomyndigheten, Konsumentverket, Swedbank och Tele2. PTS skriver att samtliga webbplatsinnehavare rättade sig efter myndighetens bedömning, så att granskningen kunde avslutas utan ytterligare åtgärd.

I beslutet om Tele2, daterat 31 oktober 2023, går det att se vilka brister PTS hade misstänkt. Myndigheten bedömde att Tele2 behövde:

• göra det möjligt att neka icke-nödvändiga kakor lika enkelt, vid samma tillfälle och i samma vy som samtycke lämnas
• använda färger och kontraster så att alternativet att samtycka inte framhävs framför alternativet att neka
• se till att en viss kaka inte placeras före samtycke
• i första lagret av kakbannern ange de kategorier som kakorna delats in i, här "Inställningar", "Statistik" och "Marknadsföring"
• informera om rätten att när som helst återkalla samtycket, i samma vy som samtycket inhämtas
• göra det lika lätt att återkalla samtycke som att ge det

Tele2 vidtog åtgärder, PTS kontrollerade webbplatsen och ärendet avslutades. Beslutet säger alltså inget om vad som gäller för andra sajter. Men det visar hur myndigheten resonerar när den granskar en kakbanner, och det är samma punkter som återkommer på PTS informationssida.

Hur det hänger ihop med personuppgifter och GDPR

Kakor och personuppgifter är två olika regelverk som ofta möts på samma sajt. Enligt IMY:s beslut mot Aller Media AB gäller GDPR den behandling som sker efter att uppgifterna har samlats in. I det ärendet konstaterade IMY att bolaget hade behandlat klagandens personuppgifter utan laglig grund enligt artikel 6.1 f i dataskyddsförordningen och gav en reprimand. Klagomålet var ett av flera som rörde kakor och kakbanners och som samordnades i en arbetsgrupp inom EDPB.

Det som är viktigast att känna till här är att kakbannern bara är den första delen: den styr om kakorna får placeras, och GDPR styr vad som får göras med uppgifterna efteråt.

Varför frågan dyker upp vid varje ny sajt

En ny webbplats innehåller sällan bara text. Den har ofta verktyg för statistik, inbäddade videor, formulär, chattfunktioner eller annonspixlar, och många av dem sätter kakor eller läser information på besökarens enhet. Därför hamnar kakfrågan på bordet i nästan alla projekt, ofta sent, när sajten redan är nästan klar.

Det är en fördel att ha frågan med från början. Då kan bannerns utseende, texterna och placeringen av länken för att ändra sitt val planeras tillsammans med resten av designen i stället för att byggas på i efterhand. Det gäller både en vanlig företagssajt och en tjänst med AI-funktioner som skickar data vidare. Har du en pågående sajt eller ett nytt projekt kan du läsa mer om hur vi arbetar på sidorna för webbyrå i Umeå och designbyrå i Umeå, eller kontakta oss för att prata om ditt projekt.

Källor och uppdateringar

Regler och myndigheternas tolkning kan ändras. Uppgifterna i den här texten är hämtade den 6 oktober 2026 från följande sidor:

• Lag (2022:482) om elektronisk kommunikation, Sveriges riksdag
• Kakor (cookies), PTS, uppdaterad 2024-05-14
• Vägledande beslut, PTS, uppdaterad 2024-09-13
• Beslut om att avsluta ärendet, Tele2, PTS
• Tillsynsbeslut Aller Media AB, IMY
• Guidelines 05/2020 on consent, EDPB

Kontrollera alltid den aktuella lydelsen hos myndigheterna. Texten är allmän information och inte juridisk rådgivning.