Efter tredjepartscookien: förstapartsdata som bygger resultat och förtroende

Tredjepartscookien tappar kraft, samtidigt skärps kraven på hur data får samlas in och användas. Företag som vill navigera rätt vänder sig ofta till en gdpr jurist för att översätta reglerna till vardagliga beslut. För marknadsförare betyder det ett skifte från bred spårning till relationer byggda på förstapartsdata och tydligt samtycke.

I svensk rätt implementerar lagen om elektronisk kommunikation artikel 5.3 i ePrivacy-direktivet, som kräver förhandsinformation och samtycke innan icke nödvändiga cookies får placeras eller läsas. GDPR styr sedan hur personuppgifter, vilket många cookies är enligt GDPR:s skäl 30, får behandlas. I februari 2025 publicerade Integritetsskyddsmyndigheten en praktisk vägledning som klargör att profilering som bygger på cookies normalt kräver dokumenterad konsekvensbedömning och giltigt samtycke innan spårning aktiveras. Den röda tråden är att legitimt intresse inte räcker för den typen av åtgärder när de omfattas av ePrivacy-reglerna.

Samma månad fastställde Stockholms förvaltningsrätt en sanktionsavgift på 13 miljoner kronor mot en aktör som kombinerade data från cookies med köphistorik och tredjepartsdata för profileringssyften utan korrekt samtycke. Domen visar att avancerad målgruppsbyggnad får ske först efter att samtycke inhämtats och att användaren enkelt kan återkalla det. För den som vill förstå myndigheternas förväntningar finns fördjupning hos Integritetsskyddsmyndigheten, som beskriver både kraven och hur risker bör bedömas.

Tre vägar som gör integritet till en konkurrensfördel

Från cookies till kundrelationer, så vinner förstapartsdata

När tredjepartscookies försvinner blir förstapartsdata navet i marknadsföringen. Uppgifter som lämnas direkt av kunden, till exempel preferenser i en kundklubb, i kombination med kontextuell annonsering eller interaktioner i en app, kan användas för personalisering utan att förlita sig på externa spårningsnätverk. I kombination med kontextuell annonsering, där budskapet anpassas till sidans innehåll i stället för till individens historik, kan räckvidd och relevans bibehållas med lägre integritetsrisk.

Branschvägledningar lyfter att statistik och marknadsföringscookies normalt kräver ett aktivt ja, medan strikt nödvändiga cookies för exempelvis säkerhet och inloggning kan vara undantagna. E‑postmarknadsföring och beteendebaserad annonsering kräver i regel opt in. Det innebär att marknadsförare bör planera för att stora delar av publiken är oadresserbar tills samtycke givits, och att värdet skapas genom att stärka utbytet med de kunder som väljer att dela data.

Samtidigt diskuteras lösningar där webbläsare hanterar preferenser för att minska antalet cookie-banners. Om det blir verklighet flyttas delar av ansvaret till plattformar, men riktningen förändras inte. Förstapartsdata, tydliga värdeerbjudanden och kontext spelar huvudroller oavsett teknikskifte.

Teknikval som minskar risk och ökar signalstyrkan

Teknikstacken bör stötta integritet som standard. Server side taggning kan minska exponeringen av personuppgifter genom att datapunkter filtreras och aggregeras innan de lämnar den egna miljön. IP‑adresser bör anonymiseras och lagringstider kortas, så att analysdata inte sparas längre än syftet kräver. Denna dataminimering gör mätning mer hållbar, samtidigt som signalerna ofta blir renare och mer användbara.

Svensk rätt kräver tydlig information i första skiktet, kategorisering av cookies och lagrad samtyckslogg som kan visas upp vid tillsyn. Före profilering bör en konsekvensbedömning genomföras som kartlägger vilka datakällor som kombineras, till exempel CRM, köphistorik och webbdata, och vilka riskreducerande åtgärder som införs. Detta är särskilt viktigt eftersom kombination av cookieinsikter med andra personuppgifter bedöms som mer integritetskänsligt.

Ett genomförande kan planeras i tydliga etapper. En inventering av cookies och nulägesanalys tar ofta 2 till 4 veckor. Därefter följer teknisk implementering av taggning, samtyckesflöden och loggning under cirka 4 till 12 veckor beroende på systemens uppbyggnad. Avsluta med driftsättning och utbildning, och sätt en rutin för kvartalsvisa samtycksrevisioner och uppdateringar.

Gör samtycke enkelt på riktigt, och mät det som betyder något

Samtycke ska vara frivilligt, informerat och lika enkelt att återkalla som att ge. En tvåstegsbanner fungerar väl i praktiken, där ett kort första lager beskriver syften och val, och ett andra lager ger detaljer och möjlighet att justera per kategori som statistik eller marknadsföring. Förifyllda rutor bör undvikas. Skript för icke nödvändiga cookies får inte aktiveras innan samtycke registrerats, och innehåll som inte är nödvändigt får inte sättas bakom en cookievägg.

Myndigheten har under 2025 riktat mer uppmärksamhet mot “dark patterns”, och möjligheter till avregistrering och återkallelse behöver vara tydligt tillgängliga och loggas. Branschråd betonar att loggar för samtycke bör sparas i flera år, och att de ska kunna kopplas till rättigheter som åtkomst och radering. Tydliga rutiner för detta ger spårbarhet vid klagomål från användarna eller förfrågningar vid tillsyn.

Styr uppföljningen med affärsnära och juridiska mått. Sikta på en samtycksgrad mellan 60 och 80 procent efter UX‑förbättringar och A B‑tester. Följ målgruppererna byggda på förstapartsdata, konsekvensbedömning ens kompletthet och hur många risker som stängts i den. Säkerställ att samtyckslogg finns för 100 procent av användare som accepterat, och att triggers, som en ökning av klagomål, leder till en snabb intern genomgång.

Mer värde med mindre data, så hålls kursen även när reglerna skärps

Marknadsföring efter tredjepartscookiens utfasning handlar om att göra mer med mindre data. Förstapartsdata, sparsamma teknikval och samtycken som respekteras ger en stabil grund för resultat och förtroende. Den som styr mot detta tidigt minskar risker, bygger starkare kundrelationer och står bättre rustad när nästa förändring i regelverket kommer.