I oktober 2024 publicerade IMY sin hittills mest detaljerade cookievägledning, som förtydligar förväntningarna på samtyckeshanteringsplattformar (CMP:er) och cookieimplementationer på svenska webbplatser. Vägledningen är i sig inte juridiskt bindande, men återspeglar IMY:s tolkning av e-dataskyddsdirektivet så som det införlivats i lagen om elektronisk kommunikation (LEK) och ger en färdplan för efterlevnad.
Vägledningen fastställer flera centrala principer. För det första måste samtycke inhämtas innan några icke-nödvändiga cookies placeras. Det gäller analyticscookies, marknadsföringscookies och all teknik som får åtkomst till information lagrad på användarens enhet. Endast cookies som är strikt nödvändiga för en tjänst som användaren uttryckligen har begärt är undantagna.
För det andra måste alternativet att avvisa vara lika enkelt att hitta och använda som alternativet att acceptera. IMY konstaterar uttryckligen att cookiebanners som kräver att användare navigerar genom inställningspaneler för att avvisa cookies inte uppfyller kravet på frivilligt samtycke. Myndigheten rekommenderar att acceptera och avvisa presenteras som likvärdigt framträdande alternativ på det första lagret i en cookiebanner.
För det tredje tar IMY upp cookie-väggar — att villkora åtkomst till en webbplats med att användaren samtycker till icke-nödvändiga cookies. Vägledningen anger att cookie-väggar i regel inte ger giltigt samtycke, eftersom samtycke som ges under sådana förhållanden inte kan anses vara frivilligt. Det finns snäva undantag för betalda alternativ, men ribban är hög.
För organisationer verksamma i Sverige är de praktiska konsekvenserna tydliga. Se över din CMP-konfiguration så att avvisa är lika tillgängligt som acceptera. Granska din cookieinventering för att bekräfta att inga icke-nödvändiga cookies aktiveras innan samtycke inhämtats. Dokumentera den rättsliga grunden för varje cookiekategori. Och avgörande: testa din implementation — IMY har uppgett att man använder automatiserade verktyg för att kontrollera efterlevnad, vilket innebär att en teoretisk efterlevnad som fallerar i praktiken kommer att upptäckas.