Hva fikk Kristiansand kommune bot for?

Datatilsynet kom fram til at kommunen brøt GDPR artikkel 6, 12 og 13 ved å bruke sporingspikslene Meta Pixel og Snap Pixel på 116111.no, nettsiden til Alarmtelefonen for barn og unge. Opplysninger om besøkende ble delt med tredjeparter uten lovlig grunnlag, og de besøkende fikk ikke god nok informasjon om det.

Var dette en sak om cookie-banneret?

Nei, ikke i hovedsak. Vedtaket bygger på personvernforordningen (GDPR), ikke på cookie-regelen i ekomloven. Kjernen er at pikselen sender personopplysninger til en annen virksomhet. Det krever et lovlig grunnlag og tydelig informasjon, uansett hvordan banneret ser ut.

Hvilke andre nettsteder var med i tilsynet?

Datatilsynet kontrollerte seks nettsteder. I tillegg til 116111.no gjaldt det apotekfordeg.no, bibel.no, drdropin.no, ifengsel.no og nhi.no. Alle delte besøkendes personopplysninger ulovlig. De fem andre fikk irettesettelse.

Kan vi bruke Meta Pixel på nettsiden vår?

Det er ikke forbudt i seg selv, men det stiller krav. Pikselen kan bare lastes etter et gyldig samtykke, personvernerklæringen må forklare delingen, og du må vurdere om innholdet på siden kan avsløre noe sensitivt om den som besøker den. På sider om helse, tro eller sårbare situasjoner bør du spørre om pikselen trengs i det hele tatt.

← Blogg

Aktuelt

Datatilsynets cookie-bot: hvorfor pikselen kostet 250 000 kr

Saken omtales ofte som Norges første cookie-bot. Men gebyret på 250 000 kroner til Kristiansand kommune handlet ikke om et dårlig banner. Det handlet om at besøkendes opplysninger ble sendt videre til Meta og Snap uten lovlig grunnlag.

Publisert 21. oktober 20266 min lesing

I 2025 avsluttet Datatilsynet et digitalt tilsyn med seks norske nettsteder. Alle seks delte opplysninger om besøkende med tredjeparter på en ulovlig måte. Fem fikk irettesettelse. Kristiansand kommune fikk et overtredelsesgebyr på 250 000 kroner for nettsiden 116111.no.

Saken er nyttig å forstå for alle som har en piksel fra Meta, Snap, TikTok eller LinkedIn på nettsiden sin. Den viser hvordan Datatilsynet ser på sporingsverktøy, og hvorfor et pent banner ikke er hele svaret.

Hva saken gjaldt

116111.no er nettsiden til Alarmtelefonen for barn og unge. Den drives av Kristiansand kommune. Barn og unge som opplever vold, overgrep eller omsorgssvikt kan finne hjelp der.

På siden lå Meta Pixel og Snap Pixel. Dette er små skript som melder fra til Meta og Snap når noen besøker siden. Slik kan annonseplattformene måle kampanjer og bygge målgrupper. Men det betyr også at opplysninger om besøket forlater nettstedet.

I vedtaket om overtredelsesgebyr kom Datatilsynet fram til at kommunen brøt GDPR artikkel 6, 12 og 13. Artikkel 6 handler om lovlig grunnlag for å behandle personopplysninger. Artikkel 12 og 13 handler om plikten til å informere tydelig om behandlingen.

Kort sagt: opplysningene ble delt uten et grunnlag som holdt, og de besøkende fikk ikke vite godt nok hva som skjedde.

Mange omtaler saken som en cookie-bot. Det er forståelig, for sporingspiksler bruker ofte informasjonskapsler. Men grunnlaget for gebyret var personvernforordningen, ikke cookie-regelen i ekomloven.

Forskjellen betyr noe. Cookie-regelen handler om å lagre og lese informasjon på brukerens enhet. GDPR handler om hva du gjør med personopplysningene etterpå. En piksel gjør begge deler. Den setter eller leser en identifikator, og den sender opplysninger om besøket til en annen virksomhet.

Det er den andre delen Datatilsynet slo ned på. Selv med et banner som ser riktig ut, må delingen ha et lovlig grunnlag. Og den må forklares i personvernerklæringen.

Siden 1. januar 2025 ligger cookie-regelen i ekomloven § 3-15, og samtykket skal følge GDPR-nivå. Vi har forklart endringen i artikkelen om at § 2-7b er opphevet. Datatilsynet fører nå tilsyn med samtykket også. Et nettsted med samme oppsett i dag kan dermed bryte to regelverk samtidig.

Innholdet på siden avgjør hvor alvorlig det er

Se på hvilke nettsteder som var med i tilsynet. Det var en hjelpetelefon for barn, et apotek, en legetjeneste, et helseleksikon, en side om tro og en side om livet i fengsel.

Felles for dem er at selve besøket kan si noe sensitivt. At noen leser om en bestemt sykdom, eller oppsøker en hjelpetelefon, kan avsløre helse, livssituasjon eller tro. Når en piksel sender adressen til siden videre, følger den informasjonen med.

116111.no skilte seg ut fordi brukerne er barn og unge i sårbare situasjoner. Det er nettopp den gruppen GDPR gir ekstra vern.

Lærdommen for andre er enkel. Jo mer sensitivt innholdet er, desto høyere er terskelen for å sende data om besøket til en annonseplattform. På noen sider er det riktige svaret å fjerne pikselen helt.

Ansvaret ligger hos deg, ikke hos Meta

Pikselen er Metas eller Snaps verktøy. Men det er nettstedseieren som velger å legge den inn. Derfor er det du som er ansvarlig for at delingen er lovlig.

Det gjelder også når et byrå eller en tidligere ansatt har lagt inn skriptet. Kristiansand kommune fant andre lignende verktøy på siden da de ryddet, blant annet Google Analytics. Det er et vanlig mønster: sporingsskript blir liggende lenge etter at kampanjen er over.

Ifølge kommunens egen omtale av saken ble gebyret lavere enn først varslet. Datatilsynet la vekt på at kommunen samarbeidet godt og satte i gang tiltak. Kommunen slo av alle tredjeparts sporingsverktøy på siden. Det sier noe om hva som teller når tilsynet først er i gang.

Fem ting å sjekke på egen side

Du trenger ikke vente på et tilsyn for å finne ut om du har samme problem. Start her:

Lag en liste over alle piksler og sporingsskript på siden, også de som er lagt inn via Google Tag Manager.
Åpne siden i inkognitomodus og se om noe sendes til Meta, Snap, TikTok eller andre før du har svart på banneret.
Gå gjennom sidene med sensitivt innhold og vurder om de trenger sporing i det hele tatt.
Sjekk at personvernerklæringen nevner hver mottaker og hva dataene brukes til.
Fjern skript fra kampanjer og verktøy dere ikke bruker lenger.

Punkt 4 dekker vi i detalj i malen for personvernerklæring etter GDPR artikkel 13. Hvordan banneret bør se ut, viser vi i eksemplene på gyldige samtykkebannere.

Datatilsynet har også en egen veiledning om bruk av sporingsverktøy på nettsteder og i apper. Den er verdt å lese før du legger inn neste piksel.

Hva saken betyr framover

Gebyret var ikke stort sammenlignet med hva GDPR åpner for. Men saken viser at Datatilsynet bruker digitale tilsyn. De kan sjekke mange nettsteder på kort tid. Og de ser på hva som faktisk sendes, ikke bare på hva banneret lover.

Hele tilsynet er oppsummert i Datatilsynets omtale av avgjørelsene mot de seks nettstedene. Vil du se saken i sammenheng med resten av cookie-reglene, finner du det i gjennomgangen av samtykke til cookies i Norge.