GDPR og cookies på Shopify: samtykke, pixels og ansvar

Kort svar: En dansk Shopify-webshop skal have aktivt samtykke, før den bruger cookies, pixels og lignende teknologier til statistik og markedsføring. Shopify har et indbygget cookiebanner, automatiske privatlivsindstillinger og en Customer Privacy API, men de styrer kun det, der er koblet korrekt på. Du har selv ansvaret for, at alle scripts, apps og annoncetags respekterer kundens valg.

Det er let at overse, at et cookiebanner kan se rigtigt ud, mens Meta-pixlen eller Google-tagget fyrer, før kunden har klikket på noget. Risikoen ligger sjældent i banneret selv, men i de scripts, der er lagt ind uden om det. Denne side handler om den del: hvad reglerne kræver, hvad Shopify løser, og hvad du selv skal tjekke.

To regelsæt: cookiereglerne og GDPR

Cookiereglerne og GDPR overlapper, men de er ikke det samme.

Cookiebekendtgørelsen (BEK nr. 1148 af 9. december 2011) handler om at gemme eller læse oplysninger på kundens enhed. Det gælder cookies, men også pixels og lignende teknologier. Digitaliseringsstyrelsen fører tilsyn med reglerne og har i 2025 udgivet en ny cookievejledning sammen med Datatilsynet.

GDPR handler om behandling af personoplysninger: kundedata i ordrer, nyhedsbrevslister, kundeservice og de data, din tracking sender videre. Her fører Datatilsynet tilsyn.

Har du læst, at Erhvervsstyrelsen fører tilsyn med cookies, er det forældet. Det er i dag Digitaliseringsstyrelsen.

Hvad kræver et gyldigt samtykke?

Ifølge myndighedernes vejledning skal samtykket være frivilligt, specifikt, informeret og utvetydigt. I praksis betyder det for dit cookiebanner:

• Kunden skal kunne sige ja eller nej aktivt allerede i bannerets første lag.
• Muligheden for at afvise skal være lige så tydelig som muligheden for at acceptere.
• Kunden skal kunne vælge pr. formål, fx statistik og markedsføring hver for sig.
• Det skal være lige så let at trække samtykket tilbage som at give det.
• Kunden skal kunne se formål, hvem der står bag, og hvor længe oplysningerne gemmes.

Statistik og markedsføring kræver samtykke. Kun teknisk nødvendige funktioner, fx det der skal til for at kurven og checkout virker, er undtaget. At en app kalder noget »funktionelt«, afgør ikke, om det er nødvendigt.

Hvad Shopify selv tilbyder

Shopify har tre byggesten, du bør kende:

Det indbyggede cookiebanner og privatlivsindstillingerne. Banneret er inkluderet i alle Shopify-planer og sættes op i Shopify-admin under Indstillinger > Kundeprivatliv – ingen ekstra app nødvendig. Du kan konfigurere det med regionale indstillinger. Vælger du de automatiske indstillinger, sætter Shopify banneret op for besøgende i Storbritannien og EØS. Bannerets samtykke bruges af Shopifys pixel manager, som understøtter både app pixels og custom web pixels. I markeder med samtykkekrav afhænger udførelsen af den enkelte pixels konfigurerede tilladelser. Se Shopifys privatlivsindstillinger.

Customer Privacy API. API’et læser og videregiver kundens samtykke til Shopify-styrede pixels, målgrupper og checkout. Det er også grundlaget, hvis du bruger et andet samtykkebanner. Shopify respekterer samtykket fra tredjepartsværktøjer, der er korrekt integreret med API’et.

Understøttelse af Google Consent Mode v2. Shopify understøtter Consent Mode v2, men kun når privatlivsindstillingerne er sat korrekt op, og der er indhentet gyldigt samtykke. Ifølge Shopifys dokumentation bliver data fra kunder i EØS ikke brugt til personaliseret annoncering uden det.

Hvor det typisk går galt

Det afgørende er, om et script kører i pixel manager med de rigtige tilladelser, ikke om leverandøren er Shopify eller en tredjepart. Scripts uden om pixel manager skal have særskilt samtykkehåndtering. Se Shopifys pixelvejledning. Kontrollér især:

• Scripts i temaet. En pixel, der er indsat direkte i theme.liquid, kender ikke kundens valg, medmindre nogen har kodet det.
• Apps. En app kan selv lægge tracking ind. At den er installeret fra App Store, beviser ikke, at den respekterer samtykket.
• Custom pixels og Google Tag Manager. Kører de i pixel manager, skal samtykketilladelserne kontrolleres dér. Kører scripts uden om manageren, skal samtykket håndteres særskilt. Signaler til Google Consent Mode v2 skal også sættes op; Shopifys dokumentation beskriver manuel kode til custom pixels.
• Et tredjepartsbanner, der ikke er koblet til Shopify. Bruger du fx Cookiebot eller et andet banner, skal det være forbundet til Shopifys privatlivsindstillinger. Ellers kan to systemer have hver sin opfattelse af, hvad kunden har valgt.

Derfor vælger jeg ikke cookieløsning ud fra bannerets design. Jeg starter med en liste over alt, der sætter cookies eller sender data, og ser derefter, om Shopifys banner kan styre det hele, eller om der skal et tredjepartsbanner til. Bruger du Cookiebot, er opsætningen af Cookiebot til Shopify et emne for sig.

Consent Mode v2 er ikke selve samtykket

Consent Mode fortæller Googles tags, hvad kunden har valgt. Det indhenter ikke samtykket for dig, og det gør ikke tracking lovlig i sig selv. Hvis banneret ikke er sat rigtigt op, sender Consent Mode bare de forkerte signaler videre.

Hvis du annoncerer på Google, er Consent Mode v2 dog nødvendig for at bruge data fra kunder i EØS til personaliseret annoncering. Det er et af de steder, hvor korrekt samtykke både er et juridisk og et kommercielt spørgsmål.

Server-side tracking løser ikke samtykket

Server-side tracking flytter, hvorfra data sendes: fra kundens browser til en server. Det kan give mere stabile målinger, men det fjerner ikke behovet for et lovligt grundlag for at behandle personoplysninger. Og hvis browseren stadig sætter cookies eller pixels, gælder samtykkekravet fortsat. Behandl server-side tracking som en målingsbeslutning, ikke som en compliance-løsning.

GDPR er mere end cookies

Et cookiebanner løser kun samtykkedelen. En webshop behandler også personoplysninger i ordrer, kundekonti, nyhedsbreve og kundeservice. Gennemgå derfor også:

• Privatlivspolitik. Den skal beskrive den behandling, du faktisk foretager, og passe med banneret og cookieoversigten.
• Databehandleraftaler. Shopify, apps, e-mailsystem, fragtsystem og regnskabsprogram behandler data for dig. Afklar, hvilke aftaler der dækker hvad.
• Kundens rettigheder. Hav en proces for, hvem der besvarer anmodninger om indsigt og sletning, og hvor data ligger uden for Shopify.
• Sikkerhedsbrud. Aftal, hvem der gør hvad, hvis der sker et brud på persondatasikkerheden.
• Nyhedsbreve. Samtykke til markedsføring via e-mail er en separat ting fra cookiesamtykket.

Brug Datatilsynets vejledning til mindre virksomheder som udgangspunkt, og få juridisk hjælp til politikker og aftaler. Min rolle er den tekniske del: at kortlægge, hvor data flyder hen, og sikre at systemerne gør det, politikken lover.

Tjekliste: test din opsætning

1. Lav en liste over alle scripts, pixels og apps, der sætter cookies eller sender data. Notér, om de kommer fra temaet, en app, Tag Manager eller Shopifys kunde-events.
2. Fjern dubletter, fx en Meta-pixel, der både ligger i temaet og i en app.
3. Åbn butikken i en ren browsersession, og tjek netværkskald og cookies, før du klikker på banneret.
4. Afvis alt, og kontrollér lagring og netværkskald mod de dokumenterede samtykkeindstillinger. Undersøg også eventuelle målinger uden cookies; de er ikke automatisk lovlige.
5. Accepter delvist og helt, og kontrollér, at kun de valgte kategorier aktiveres.
6. Træk samtykket tilbage, og kontrollér adfærden bagefter.
7. Gennemfør et testkøb, og tjek at købshændelsen sendes én gang og respekterer samtykket.
8. Gentag testen, når du installerer en ny app eller skifter tema.

Har du brug for hjælp?

Jeg hjælper webshops med at kortlægge tracking, vælge mellem Shopifys banner og en tredjepartsløsning, og teste at samtykket faktisk bliver respekteret hele vejen gennem butikken. Kontakt mig, hvis du vil have gennemgået din opsætning. Er du ved at opdatere de juridiske sider, så tjek også det nye krav om en fortrydelsesknap på Shopify.