Lagen

IMY:s cookie-tillsyn 2025 – lärdomar från Warner Music, ATG och Aller Media

Svensk Cybersäkerhet Uppdaterad 6 juni 2026 4 min läsning

Kort svar: Under 2025 genomförde Integritetsskyddsmyndigheten (IMY) sin största omgång cookie-relaterade tillsynsbeslut hittills och riktade reprimander mot Warner Music Sweden, ATG och Aller Media – men inga sanktionsavgifter. Lärdomen är tydlig: du måste informera om rätten att återkalla samtycke innan du ber om det, göra det lika lätt att neka som att godkänna, och kunna styrka varje rättslig grund du åberopar.

IMY granskade hur flera svenska aktörer hanterade samtycke och personuppgifter kopplade till cookies. Myndigheten beskrev det som sin största omgång cookie-relaterade tillsynsbeslut.

Resultatet blev reprimander – alltså formella tillrättavisningar – men inga sanktionsavgifter, eftersom IMY bedömde att avgifter inte var proportionerliga i de här fallen. En reprimand är ändå ett formellt konstaterande av att reglerna brutits.

Tre beslut sticker ut, och vart och ett illustrerar ett vanligt misstag.

Warner Music Sweden fick kritik för otillräcklig information om rätten att återkalla samtycke.

Den centrala principen:

Informationen om att man kan återkalla samtycket måste ges innan användaren samtycker.
Det måste uttryckligen framgå att man har rätt att återkalla.
Det räcker inte att bara berätta hur man hanterar sina cookie-inställningar.

Detta hänger ihop med GDPR artikel 7.3, som säger att det ska vara lika lätt att återkalla samtycke som att ge det. En länk till “Inställningar” långt ner på sidan besvarar inte frågan om användaren ens vet att rättigheten finns. Läs mer om vad som krävs i vår guide om vad ett giltigt samtycke är.

ATG: vad är ett “dark pattern” och varför är det olagligt?

ATG (Aktiebolaget Trav och Galopp) kritiserades för vilseledande design – på engelska dark patterns.

Ett dark pattern är ett gränssnitt som styr användaren mot ett val hen egentligen inte vill göra. I ATG:s fall var det svårare att neka cookies än att godkänna dem.

Varför är det ett problem? Ett samtycke enligt GDPR artikel 4.11 måste vara frivilligt. Om “Godkänn allt” är en stor, tydlig knapp medan “Neka” är gömd, otydlig eller kräver fler klick, är valet inte längre fritt – och då är samtycket sannolikt ogiltigt.

Tumregel: “Neka” ska vara lika synligt och lika lätt att klicka som “Godkänn”, redan i den första banderollen.

Aller Media: räcker det att åberopa berättigat intresse?

Aller Media behandlade personuppgifter utan giltig rättslig grund. Företaget åberopade berättigat intresse men kunde inte styrka det.

Här aktualiseras ansvarsskyldigheten i GDPR artikel 5.2: det räcker inte att hänvisa till en rättslig grund – du måste kunna visa att den håller. För berättigat intresse innebär det normalt en dokumenterad intresseavvägning (balanstest).

Notera också att för cookies som inte är strikt nödvändiga är samtycke den relevanta grunden enligt lagen om elektronisk kommunikation (2022:482), 9 kap. 28 §. Berättigat intresse fungerar inte som grund för att lagra eller läsa information i användarens enhet för till exempel statistik eller marknadsföring.

Vad är strikt nödvändigt – och vad kräver samtycke?

Cookies som är strikt nödvändiga kräver inget samtycke. Exempel:

Varukorg i en webbshop
Inloggningssession
Språkval
Säkerhetstoken
Att komma ihåg användarens cookieval

Det som kräver samtycke är bland annat:

Statistik och analys (till exempel Google Analytics)
Marknadsföring och annonsspårning

En vanlig fälla är att klassa analys som “nödvändigt”. Det är det inte. Mer om gränsdragningen finns i guiden om cookies och GDPR-lagen i Sverige.

Vad bör du göra nu?

Praktisk checklista baserad på besluten:

Informera före samtycke om att rätten att återkalla finns – och hur man gör.
Gör “Neka” lika lätt som “Godkänn” redan i den första vyn.
Sätt inga icke-nödvändiga cookies förrän aktivt samtycke har getts.
Dokumentera din rättsliga grund (särskilt vid berättigat intresse).
Spara bevis på samtycken (vad, när och vilken version av banderollen).

Så fungerar det hos oss om du vill automatisera detta. Testa 14 dagar gratis.

Vanliga frågor

Fick Warner Music, ATG och Aller Media böter? Nej. IMY utfärdade reprimander, inte sanktionsavgifter, eftersom myndigheten bedömde att avgifter inte var proportionerliga i dessa fall. En reprimand är ändå ett formellt konstaterande av regelbrott.

Vilken myndighet ansvarar för cookies i Sverige? Det är delat. Post- och telestyrelsen (PTS) har tillsyn över själva cookie-reglerna i lagen om elektronisk kommunikation, medan IMY ansvarar för behandlingen av personuppgifter enligt GDPR. Tillsynen 2025 gällde GDPR-aspekterna och låg därför hos IMY.

Måste “Neka alla” finnas i den första rutan? Svensk lag anger ingen exakt knapputformning, men ATG-beslutet visar att det sannolikt strider mot kravet på frivillighet om det är märkbart svårare att neka än att godkänna. Att ha ett lika tydligt “Neka”-alternativ direkt är den säkra vägen.

Hur länge gäller ett cookie-samtycke? Svensk lag sätter ingen exakt gräns. Som europeisk referenspunkt rekommenderar franska CNIL ungefär 6–13 månader innan man frågar igen. Det är vägledning, inte svensk lag.

Den här artikeln är allmän information, inte juridisk rådgivning. Vid osäkerhet om ditt specifika fall, rådfråga jurist.

Källor

Vill du komma igång?

Skapa en cookiebanner som följer lagen — 14 dagar gratis, sedan från 39 kr/mån.

Testa 14 dagar gratis