Lagen
Digital Omnibus: flyttas cookie-reglerna in i GDPR 2026?
Kort svar: EU-kommissionen lade den 19 november 2025 fram ett “Digital Omnibus”-paket som vill flytta in cookie-reglerna (i dag ePrivacy-direktivets artikel 5) i GDPR och förenkla samtyckeskraven. Förslaget är inte antaget – förhandlingarna väntas pågå genom mitten/sent 2026 och innehållet kan ändras väsentligt. Fram till dess gäller nuvarande regler: i Sverige lagen om elektronisk kommunikation och GDPR.
Vad är Digital Omnibus?
“Digital Omnibus” är ett samlingsförslag (omnibus = flera ändringar i ett paket) som EU-kommissionen lade fram den 19 november 2025. Syftet är att förenkla och samordna EU:s digitala regelverk, och en av de mest uppmärksammade delarna handlar om cookies.
Kort om begreppen:
- Cookies (kakor): små textfiler eller annan lagring som webbplatser placerar i din enhet.
- ePrivacy-direktivet: EU-regelverket vars artikel 5 i dag styr att lagring i en enhet kräver information och samtycke. I Sverige är detta genomfört via lagen om elektronisk kommunikation (2022:482), 9 kap. 28 §.
- GDPR: dataskyddsförordningen, som styr behandling av personuppgifter.
Vad vill förslaget ändra för cookies?
Förslaget vill integrera cookie-reglerna i GDPR i stället för att ha dem i ett separat ePrivacy-regelverk, och samtidigt förenkla hur samtycke hämtas in. Tanken är bland annat att minska antalet upprepade cookie-rutor och göra reglerna mer enhetliga i hela EU.
Viktigt att förstå:
- Förslaget är inte antaget. Det är ett kommissionsförslag som ska förhandlas av Europaparlamentet och rådet.
- Förhandlingarna väntas pågå genom mitten/sent 2026, och innehållet kan ändras väsentligt innan det blir lag.
- Detta är inte juridisk rådgivning. Ingen bör ändra sin cookie-hantering nu enbart utifrån ett förslag.
Det är värt att notera att en separat ePrivacy-förordning föreslogs redan 2017 men aldrig antogs, och dess status är fortfarande olöst. Det visar hur länge cookie-reglerna har varit under omförhandling.
Vad gäller fram till dess?
Tills något nytt faktiskt antas gäller dagens regler oförändrat:
- Samtycke krävs för cookies som inte är strikt nödvändiga (statistik, marknadsföring, spårning).
- Strikt nödvändiga undantag kräver inte samtycke: varukorg, inloggningssession, språkval, säkerhetstoken och att komma ihåg dina cookieval.
- Samtycke enligt GDPR ska vara frivilligt, specifikt, informerat och otvetydigt genom en aktiv handling (art. 4.11). Förkryssade rutor är inte giltigt samtycke (EU-domstolen, Planet49, C-673/17).
- Det ska vara lika lätt att återkalla sitt samtycke som att ge det (art. 7.3).
Läs mer i vår guide om cookies och GDPR-lagen i Sverige och om vad som krävs för ett giltigt samtycke.
Vad säger IMY:s senaste tillsyn?
Att reglerna kan förenklas i framtiden betyder inte att tillsynen vilar. Under 2025 fattade Integritetsskyddsmyndigheten (IMY) sin största omgång cookie-relaterade tillsynsbeslut hittills. Besluten blev reprimander – inte sanktionsavgifter, av proportionalitetsskäl – men principerna är tydliga:
- Warner Music Sweden AB: otillräcklig information om rätten att återkalla samtycke. Informationen om att man kan återkalla måste ges före samtycke, och det måste uttryckligen framgå att rätten finns – det räcker inte att bara förklara hur man hanterar cookie-inställningar.
- ATG (Aktiebolaget Trav och Galopp): vilseledande design (dark pattern) som gjorde det svårare att neka än att godkänna.
- Aller Media AB: behandlade personuppgifter utan giltig rättslig grund – åberopade berättigat intresse men kunde inte styrka det.
Slutsatsen: dagens krav gäller fullt ut, och ett kommande Digital Omnibus ändrar inte det förrän det faktiskt är antaget.
Hur bör jag agera nu?
- Fortsätt följa nuvarande regler. Ändra inte cookie-hanteringen utifrån ett förslag.
- Säkerställ giltigt samtycke med tydlig information om rätten att återkalla, och gör det lika enkelt att neka som att godkänna.
- Förbered Google Consent Mode v2 om du annonserar mot EES. Från 15 juni 2026 styrs all spårning i Google Ads av användarens samtycke, och Google Signals tas bort som “backstop”. En Google-certifierad samtyckesplattform (CMP) är ofta enklaste vägen.
- Håll dig uppdaterad om förhandlingarna under 2026.
Se hur en samtyckeslösning fungerar i praktiken på Så fungerar det, eller testa 14 dagar gratis.
Vanliga frågor
Flyttas cookie-reglerna in i GDPR nu? Nej, inte ännu. Digital Omnibus är ett förslag från 19 november 2025 som vill göra det, men det är inte antaget och kan ändras under förhandlingarna 2026.
Behöver jag ändra min cookie-banner på grund av Digital Omnibus? Sannolikt inte i nuläget. Inget är beslutat, så dagens krav på information och samtycke gäller fortfarande. Avvakta tills något faktiskt antas.
Vad händer med ePrivacy-förordningen? Den föreslogs 2017 men har aldrig antagits, och dess status är fortfarande olöst. Digital Omnibus är ett nytt försök att lösa cookie-frågan, delvis genom att flytta den till GDPR.
Kan jag fortsätta använda Google Analytics 4 i Sverige 2026? Ja, sannolikt om det är korrekt konfigurerat: Consent Mode v2, samtycke via en integrerad CMP, kort datalagring och med EU-US Data Privacy Framework som grund för dataöverföring (antaget 10 juli 2023).
Källor
Vill du komma igång?
Skapa en cookiebanner som följer lagen — 14 dagar gratis, sedan från 39 kr/mån.
Testa 14 dagar gratis