Lagen
Berättigat intresse eller samtycke för cookies – vad gäller?
Kort svar: För cookies som inte är strikt nödvändiga gäller alltid kravet på samtycke – inte berättigat intresse. Lagen om elektronisk kommunikation (2022:482) kräver information och aktivt samtycke för att lagra eller läsa information i en användares enhet, oavsett om personuppgifter behandlas. Berättigat intresse kan i vissa fall vara rättslig grund för den efterföljande behandlingen enligt GDPR, men ersätter aldrig själva cookie-samtycket.
Varför kan jag inte använda berättigat intresse för cookies?
Många blandar ihop två olika regelverk. Det är just denna sammanblandning som får företag att tro att de kan “slippa” cookie-bannern genom att åberopa berättigat intresse.
- Lagen om elektronisk kommunikation (LEK), 9 kap. 28 § styr själva placeringen och avläsningen av cookies. Den kräver information och samtycke – med undantag för strikt nödvändig lagring. Här finns ingen “berättigat intresse”-väg. Tillsyn: Post- och telestyrelsen (PTS).
- GDPR (dataskyddsförordningen) styr behandlingen av de personuppgifter som cookies kan samla in. Här finns flera rättsliga grunder, varav samtycke (art. 6.1.a) och berättigat intresse (art. 6.1.f) är två. Tillsyn: Integritetsskyddsmyndigheten (IMY).
För icke-nödvändiga cookies måste du först passera LEK-kravet på samtycke. Eftersom samtycke alltså redan krävs för att lägga cookien, blir samtycket i praktiken den naturliga grunden även för den efterföljande databehandlingen – du kan sällan luta dig mot berättigat intresse i stället. Läs mer i vår guide cookies och GDPR-lagen i Sverige.
Vad är skillnaden mellan samtycke och berättigat intresse?
Samtycke (GDPR art. 4.11 och art. 7) måste vara frivilligt, specifikt, informerat och otvetydigt, och ges genom en aktiv handling. EU-domstolen slog i Planet49 (C-673/17) fast att förkryssade rutor inte är giltigt samtycke. Användaren ska också kunna återkalla sitt samtycke lika lätt som att lämna det (art. 7.3). Vad som krävs för giltighet beskriver vi i vad är ett giltigt samtycke.
Berättigat intresse (GDPR art. 6.1.f) kräver att den personuppgiftsansvariga gör en intresseavvägning: ditt intresse vägs mot individens rättigheter. Det kräver ingen ruta att klicka i – men det ställer höga krav på dokumentation och kan aldrig användas som genväg förbi cookie-samtycket.
En central skillnad är ansvarsskyldigheten (art. 5.2): du måste kunna bevisa att din grund är korrekt. Det var här Aller Media föll.
Vad lärde Aller Media-fallet oss om berättigat intresse?
Under 2025 genomförde IMY en omgång cookie-relaterad tillsyn som myndigheten själv beskrev som sin största. Flera bolag fick reprimander – men inga sanktionsavgifter utdömdes, av proportionalitetsskäl:
- Aller Media AB behandlade personuppgifter utan rättslig grund. Bolaget åberopade berättigat intresse men kunde inte styrka att grunden var korrekt. Lärdomen: berättigat intresse är inte en magisk formel – utan en dokumenterad intresseavvägning håller den inte.
- Warner Music Sweden AB gav otillräcklig information om rätten att återkalla samtycke. Informationen om att man kan återkalla måste ges före samtycket, och det måste uttryckligen framgå att rätten finns – det räcker inte att bara förklara hur man ändrar sina cookie-inställningar.
- ATG (Aktiebolaget Trav och Galopp) använde vilseledande design (ett så kallat dark pattern) som gjorde det svårare att neka än att godkänna.
Sammantaget visar besluten att tillsynsmyndigheten ser strängt på försök att kringgå ett giltigt, frivilligt samtycke.
Vilka cookies kräver inte samtycke?
Strikt nödvändiga cookies är undantagna från samtyckeskravet. Hit hör:
- Varukorg i en webbutik
- Inloggningssession
- Språkval
- Säkerhetstoken
- Att komma ihåg användarens cookieval
Statistik och marknadsföring räknas INTE som nödvändigt och kräver alltid samtycke. Se hur vår tjänst hanterar detta under så fungerar det.
Förändras rättsläget framöver?
Sannolikt, men inget är beslutat ännu. EU-kommissionen lade den 19 november 2025 fram Digital Omnibus-förslaget, som vill integrera cookie-reglerna (ePrivacy-direktivets art. 5) i GDPR och förenkla samtyckeskraven. Förhandlingarna väntas pågå genom mitten och senare delen av 2026, och förslaget kan ändras väsentligt. Den separata ePrivacy-förordningen (förslag sedan 2017) har aldrig antagits. Tills vidare gäller dagens regler – och du bör planera utifrån dem.
Vanliga frågor
Kan jag använda berättigat intresse istället för en cookie-banner? Nej. Icke-nödvändiga cookies kräver samtycke enligt LEK 9 kap. 28 §, oavsett vilken GDPR-grund du senare åberopar. Berättigat intresse ersätter inte cookie-samtycket.
Vad hände med Aller Media? IMY konstaterade att bolaget behandlade personuppgifter utan rättslig grund – det åberopade berättigat intresse men kunde inte styrka det. Det blev en reprimand, inte en sanktionsavgift.
Behöver jag samtycke för Google Analytics (GA4)? Ja. GA4 är lagligt i Sverige 2026 om det konfigureras korrekt – med Consent Mode v2, samtycke via en integrerad CMP och dataöverföring grundad på EU-US Data Privacy Framework. Från 15 juni 2026 styrs all spårning i Google Ads av användarens samtycke, och Google Signals tas bort som “backstop”.
Hur länge gäller ett cookie-samtycke? Svensk lag anger ingen exakt gräns. Som europeisk referens rekommenderar franska CNIL cirka 6–13 månader innan du frågar igen.
Den här artikeln är allmän information och utgör inte juridisk rådgivning.
Testa 14 dagar gratis och få en cookie-banner som uppfyller kraven på giltigt samtycke.
Källor
Vill du komma igång?
Skapa en cookiebanner som följer lagen — 14 dagar gratis, sedan från 39 kr/mån.
Testa 14 dagar gratis