Lagen
Måste rätten att återkalla samtycke visas innan man samtycker?
Kort svar: Ja. I Integritetsskyddsmyndighetens (IMY) tillsynsbeslut mot bland andra Warner Music Sweden under 2025 slogs fast att en webbplats måste informera om rätten att återkalla samtycke innan användaren samtycker till cookies. Det räcker inte att enbart förklara hur man ändrar sina cookie-inställningar i efterhand. Den här artikeln är allmän information och utgör inte juridisk rådgivning.
Vad säger lagen om att återkalla samtycke?
Samtycke till cookies för till exempel statistik och marknadsföring regleras i Sverige av två regelverk samtidigt:
- Lagen om elektronisk kommunikation (2022:482), “LEK”, 9 kap. 28 § — lagring av information i en användares enhet (cookies) kräver information och samtycke, utom när lagringen är strikt nödvändig. Tillsyn utövas av Post- och telestyrelsen (PTS).
- Dataskyddsförordningen (GDPR) — när cookies leder till behandling av personuppgifter gäller GDPR:s krav på giltigt samtycke. Tillsyn utövas av Integritetsskyddsmyndigheten (IMY).
Enligt GDPR artikel 7.3 ska det vara lika lätt att återkalla samtycke som att ge det. Detta hänger ihop med att ett samtycke ska vara informerat (artikel 4.11) och med den ansvarsskyldighet som följer av artikel 5.2 — den som samlar in samtycke måste kunna visa att kraven är uppfyllda.
Vad slog IMY fast i Warner Music-beslutet?
Under 2025 fattade IMY det myndigheten själv beskrev som sin största omgång cookie-relaterade tillsynsbeslut hittills. Ett av besluten gällde Warner Music Sweden AB.
IMY:s slutsats: bolaget gav otillräcklig information om rätten att återkalla samtycke. Den centrala principen som beslutet etablerar är:
- Information om att man kan återkalla samtycke måste ges före att samtycke lämnas.
- Det måste uttryckligen framgå att användaren har rätt att återkalla sitt samtycke.
- Det räcker inte att enbart informera om hur man hanterar eller ändrar sina cookie-inställningar.
Med andra ord: en text som bara säger “du kan ändra dina inställningar när som helst” är sannolikt inte tillräcklig. Det måste tydligt framgå att man har en rätt att ta tillbaka sitt samtycke, och den informationen ska finnas tillgänglig redan i samband med själva samtycket.
IMY utfärdade i denna omgång reprimander, inte sanktionsavgifter — myndigheten bedömde att avgifter inte var proportionerliga i det aktuella läget. Det betyder dock inte att kraven är frivilliga; samma brister kan bedömas annorlunda framöver.
Var och hur ska informationen visas?
Det finns ingen exakt formulering föreskriven i lag, men utifrån IMY:s resonemang bör du se till följande på din cookie-banner:
- Synlig text redan i bannern om att samtycke är frivilligt och kan återkallas.
- En tydlig formulering i stil med: “Du kan när som helst återkalla ditt samtycke.”
- En lika lätt väg att neka eller dra tillbaka som att godkänna — i ATG-beslutet underkände IMY just en design som gjorde det svårare att neka än att godkänna (en så kallad dark pattern).
- Information om vad cookies används till och vilka kategorier som kräver samtycke.
Strikt nödvändiga cookies — som varukorg, inloggningssession, språkval, säkerhetstoken och att komma ihåg själva cookievalet — kräver inte samtycke. Statistik och marknadsföring kräver det däremot alltid.
Vill du se hur ett korrekt samtyckesflöde byggs i praktiken kan du läsa Så fungerar det och vår guide om vad som krävs för ett giltigt samtycke.
Hur ser rättsläget ut framåt?
Rättsläget kan komma att ändras. EU-kommissionen lade den 19 november 2025 fram det så kallade Digital Omnibus-förslaget, som bland annat vill integrera cookie-reglerna i GDPR och förenkla samtyckeskraven. Förslaget är inte antaget — förhandlingar väntas pågå genom mitten till sent 2026, och innehållet kan ändras väsentligt. Den separata ePrivacy-förordningen (förslag från 2017) har aldrig antagits.
Tills nya regler är på plats gäller dagens krav, inklusive den tydliga informationen om återkallelse. Läs mer i vår översikt Cookies och GDPR-lagen i Sverige.
Vanliga frågor
Måste rätten att återkalla samtycke nämnas redan i cookie-bannern? Sannolikt ja. IMY:s Warner Music-beslut visar att informationen om att man har rätt att återkalla ska ges innan samtycke lämnas, vilket i praktiken innebär att den bör finnas i eller direkt kopplad till bannern.
Räcker det att skriva “du kan ändra dina inställningar när som helst”? Nej, sannolikt inte. Enligt IMY räcker det inte att enbart informera om hur man hanterar cookie-inställningar — det måste uttryckligen framgå att man har en rätt att återkalla sitt samtycke.
Fick Warner Music böter? Nej. IMY utfärdade en reprimand, inte en sanktionsavgift, eftersom en avgift inte bedömdes proportionerlig. Liknande brister kan dock bedömas strängare i framtiden.
Måste det vara lika lätt att neka som att godkänna? Ja. GDPR artikel 7.3 kräver att det är lika lätt att återkalla som att ge samtycke, och IMY underkände i ATG-beslutet en design som gjorde det svårare att neka än att godkänna.
Vill du ha en cookie-banner som uppfyller IMY:s krav på information om återkallelse? Testa 14 dagar gratis.
Den här artikeln är allmän information och utgör inte juridisk rådgivning.
Källor
Vill du komma igång?
Skapa en cookiebanner som följer lagen — 14 dagar gratis, sedan från 39 kr/mån.
Testa 14 dagar gratis