De flesta samtyckesbanners skapas en gång, av den som hade CMP-inloggningen den veckan, och granskas aldrig igen. De gör sedan två typer av skada: de exponerar dig för en tillsynsmyndighet som redan har publicerat hur en kompatibel banner ser ut, och de svälter dina analyser. Google sätter ett hårt golv här – en GA4-egendom blir endast berättigad till beteendemodellering om den samlar in minst 1 000 händelser per dag med analytics_storage='denied' i minst 7 dagar, plus 1 000 dagliga samtyckande användare under 7 av de föregående 28 dagarna. Under det är nekad trafik helt enkelt borta.
Detta är en handbok för ombyggnad för den som äger bannern: tillväxtledaren, analysägaren eller utvecklaren som ärvde den. Sex kontroller, i ordning, var och en med en beslutspunkt, som slutar i en 14-kontrollersmatris som du kan bedöma din nuvarande banner mot. Den täcker webbplatser som säljer till EU, Storbritannien och Turkiet.
Vad bannern har att göra, i båda jurisdiktionerna
Två tillsynsorgan har skrivit ner designreglerna, så detta är inte en smakfråga. EDPB:s Rapport från Taskforce för cookiebanners (17 januari 2023) och Riktlinjer 03/2022 om vilseledande designmönster (v2.0, 14 februari 2023) fastställde EU:s baslinje. Turkiets KVKK publicerade sin cookieguide 2022 och en uppdaterad utgåva i mitten av 2025.
| Krav | EU / Storbritannien (ePrivacy + GDPR) | Turkiet (KVKK) |
|---|---|---|
| Avslag på det första lagret | Avsaknad av ett avvisningsalternativ på något lager är ett intrång | "Avvisa alla" måste ha samma visuella tyngd som "acceptera alla" |
| Förmarkerade kategorier | Tystnad och förkryssade rutor är inte samtycke | Icke-nödvändiga kategorier är som standard avstängda |
| Analys utan samtycke | Inte undantagen från de flesta medlemsstaters avläsningar | Utanför undantagen utgör analyser och mätningar en egen kategori. |
| Kakväggar | Fall för fall, hög ribba | Det är inte tillåtet att villkora åtkomst till innehåll genom att acceptera alla cookies |
| Tillbakadragande | Måste vara lika enkelt som att ge sitt samtycke | Inställningar tillgängliga från varje sida |
Verkställighetssignalen är verklig. Den 1 september 2025 CNIL bötfälld Google med 325 miljoner euro, och konstaterade att samtycket "inte gavs frivilligt, eftersom det var svårare att vägra cookies kopplade till personligt anpassad reklam än att acceptera dem." Knappasymmetri är inte ett kosmetiskt fynd.
Delprov 1 — Inventera varje tagg och motivera varje viktig en
Öppna webbplatsen i en ren webbläsarprofil, vägra allt och registrera vad som fortfarande sätter lagring. Acceptera sedan och registrera skillnaden. En rad per cookie eller lagringsnyckel: namn, sättare, syfte, kategori och den mening du skulle säga till en tillsynsmyndighet.
Beslutspunkten är väsentlighet, och bördan är din – EDPB:s arbetsgrupp erkände den praktiska svårigheten att bedöma den men var tydlig med att registeransvariga måste visa att det de klassificerar som väsentligt är väsentligt. Sessionsautentisering, varukorgsinnehåll och bedrägeribekämpningstokens fortsätter att gälla. Ett värmekartverktyg, ett testbibliotek och en marknadsföringspixel gör det inte.
Ett exempel på en typisk turkisk e-handelsutcheckning: sessionscookie, varukorgstoken och botskyddstoken är viktiga; GA4, metapixel, annonsremarketing, sessionsuppspelning och chattwidgeten kräver alla samtycke. Sex av åtta – ett förhållande som de flesta team aldrig har skrivit ner.
Pass 2 — Fixa det första lagret, inklusive dess tillgänglighet
Det första lagret behöver en tydlig redogörelse för vem som bearbetar vad och varför, "acceptera allt" och "avvisa allt" i identisk stil, en väg till detaljerade inställningar och inget förvalt. Lika framträdande är lättare att försvara när man gör det mätbart:
- Båda primärknapparna har samma storlek, vikt och behandling. Om den ena är en fylld knapp, är den andra det också.
- Textkontrast minst 4.5:1 och 3:1 för knappkanter och annat användargränssnitt som inte är text, per WCAG 2.2 kriterierna 1.4.3 och 1.4.11. Arbetsgruppen flaggade banners där "kontrasten mellan texten och knappens bakgrund är så minimal att texten är oläslig".
- Avvisa måste vara en riktig knapp. Arbetsgruppen avvisade avvisandealternativ som bestod av "en länk bakom formuleringar som 'avvisa'" utan tillräckligt visuellt stöd.
- Tangentbordet är nåbart i en sund ordning, ingen fokusfälla (WCAG 2.1.2). Vårt WCAG-revisionsverktyg fångar upp fel i kontrast och fokusordning.
Jämför sedan din text med EDPB:s sex mönsterfamiljer: överbelastning, hopp över, omrörning, hindrande, ombytlig, lämnad i mörkret. ”Omrörning” är design som ”påverkar det val användarna skulle göra genom att vädja till sina känslor eller använda visuella nudges” – vilket är vad ”Acceptera för den bästa upplevelsen” gör.
Pass 3 — Bygg det andra lagret och uttagsvägen
Niver två är växlar per kategori, alla avstängda som standard, var och en med en syftesbeskrivning och en lagringsperiod, som var och en kan sparas oberoende av varandra.
Det är vid återkallelse som implementeringar misslyckas. Det måste vara lika enkelt som att ge samtycke, och KVKK-guiden förväntar sig att inställningarna ska vara tillgängliga från varje sida. En permanent sidfotslänk eller en liten flytande kontroll fungerar båda; en rad i integritetspolicyn gör det inte. Testa det genom att återkalla samtycke från en produktsida med två klick.
Pass 4 — Samtycke via elektronisk kommunikation så att ett avslag fortfarande är mätbart
Detta pass avgör om efterlevnad kostar dig din analys. Googles samtyckesläge har två former:
- Grundläggande: Taggarna laddas inte förrän användaren interagerar. Ingenting skickas i förväg, "inte ens standardstatusen för samtycke". Enklast att försvara, och du förlorar all signal från vägrare.
- Avancerat: Taggar laddas med samtycke inställt på nekat som standard och skickar pings utan cookies. Du behåller formen av nekad trafik och blir berättigad till modellering.
Avancerat är den enda vägen till beteendemodellering, vilket kräver att "taggar laddas innan samtyckesdialogrutan visas, och Google-taggar laddas i alla fall, inte bara om användaren samtycker." Observera att behörighet inte är modellering: Google anger att uppfyllandet av de publicerade tröskelvärdena "inte garanterar behörighet". Behandla modellerade siffror som riktade, aldrig som ett experiments avgörande mätvärde.
Beslutspunkt: om trafiken från EES, Storbritannien och Turkiet tillsammans inte rimligen kan klara 1 000 nekade händelser per dag, bygg inte mätplanen alls på modellering. Använd konverteringsdata på serversidan och din egen ordertabell som sanningskälla.
Pass 5 — Instrumentera själva banderollen
Bannern är ett steg i en tratt och nästan ingen mäter den. Logga fyra händelser, inga personuppgifter, genom en mekanism som inte i sig kräver samtycke: bannern visas (nämnaren); val gjort, med vilket val; lager två öppnat; och ingen interaktion alls.
Segmentera alla fyra efter land och enhet. Andelen mobila interaktioner är oftast den överraskande faktorn, och den du kan förbättra utan att röra vid valfri arkitektur: bannerhöjd, om den täcker den primära uppmaningen till handling, om den dyker upp igen vid varje ruttbyte.
Godkänd 6 — Testa bara det du har tillåtelse att testa
Rättvist spel: bannerhöjd, position, textens tydlighet, kategorinamn, layout på lager två, om bannern blockerar innehåll. Inte rättvist spel: knappasymmetri, förmarkerade rutor, dolda avvisningsvägar, extra steg på avvisningsprocessen. Det är inte förlorande varianter, det är fynd.
Var också skeptisk till standardhänvisningen. Det ofta citerade påståendet att borttagning av första sidans opt-out "ökar samtycket med 22–23 procentenheter" kommer från Nouwens et al., CHI 2020, vars skrapning täckte tusentals platser men vars kausala experiment kördes med 40 deltagarnaRiktningen är trovärdig; magnituden bör inte anges som ett riktmärke, och samma artikels siffra på 8–20 poäng för detaljerade kontroller på första lagret har samma förbehåll. Leverantörernas "genomsnittliga samtyckesgrad" är ännu svagare: självvalda kundbaser, inte oberoende verifierbara.
Poängsätt din nuvarande banner: 14 kontroller
En poäng vardera. Under 12, fixa innan du spenderar pengar på tester.
| # | Kolla upp | Godkänd tröskel |
|---|---|---|
| 1 | Avvisa alternativ på första lagret | Present, som en knapp |
| 2 | Acceptera/avvisa visuell paritet | Samma storlek, vikt, fyllnadsgrad |
| 3 | Kontrast på knapptexten | ≥4.5: 1 |
| 4 | Kontrast i icke-textuellt användargränssnitt | ≥3: 1 |
| 5 | Förmarkerade icke-nödvändiga kategorier | Ingen |
| 6 | Dokumenterad cookie-inventering | Varje nyckel har ett namngivet syfte |
| 7 | Essentiell motivering skriven | En mening per viktig kaka |
| 8 | Inga taggar aktiveras före ett val | Verifierad i en ren profil |
| 9 | Återkallelse från valfri sida | ≤2 klick |
| 10 | Tangentbordsmanövrerbart, ingen fokusfälla | WCAG 2.1.2 uppfyllde |
| 11 | Ingen känslomässig knuff-kopia | Ingen "bästa upplevelse"-inramning |
| 12 | Ingen kakvägg | Innehåll nåbart efter avslag |
| 13 | Samtyckesstatus loggad | Registrering sparad per val |
| 14 | Instrumenterad bannertratt | Alla fyra händelser utlöses |
Var detta bryts ner
Detta är en handbok för gränssnitt och mätningar, inte ett juridiskt yttrande, och fyra saker ligger utanför den.
ePrivacy är ett direktiv, så undantaget för analys tolkas olika mellan medlemsstaterna och en design som uppfyller en myndighet kanske inte uppfyller en annan. Lagen rör sig också: kommissionens förslag om digital omnibus, KOM(2025) 837 slutlig av den 19 november 2025, skulle flytta cookiereglerna in i GDPR och undanta aggregerad förstapartsmätning av publik – men parlamentets egna lagstiftningsresultat visar det i tidiga skeden, med ett EESK-yttrande den 18 mars 2026 och ingen utskottsomröstning eller rådets ståndpunkt publicerad. Inlägg som tillkännager trepartsmöten och en fastställd tidslinje löper före ärendet. Utforma för dagens regler och håll inventeringen i en form som du snabbt kan omkategorisera.
Den hoppar också över mobilappar, där ATT och Android-samtyckesytor har sina egna mekanismer, och den förutsätter en CMP – flera varumärken i en taggbehållare behöver samtyckesstatus per domän. [INTERNA DATA BEHÖVS: anonymiserad samtyckesfrekvens före/efter och mobil icke-interaktionsfrekvens från en ombyggnad av Switas-bannern, helst en fastighet i EU och en i Turkiet, för att ersätta de leverantörsriktmärken som denna artikel medvetet vägrar att citera.]
Vanliga frågor och svar
Sänker en knapp för att avvisa alla min konverteringsfrekvens?
Det sänker din samtyckesgrad, vilket inte är samma sak. Konvertering på webbplatsen påverkas inte av om någon accepterade annonscookies; det som förändras är din möjlighet att tillskriva det i annonsplattformar. Budgetera för sämre tillskrivning, inte sämre intäkter.
Kan jag betrakta Google Analytics som absolut nödvändigt?
Inte i Turkiet – den uppdaterade KVKK-guiden placerar analyser och mätningar i en egen kategori, utanför undantagen för teknisk överföring och uttryckligen begärda tjänster. Inom EU varierar ståndpunkten mellan medlemsstaterna, men standardinställningen är att det krävs samtycke.
Grundläggande eller avancerat samtyckesläge?
Avancerat, såvida inte ditt juridiska team specifikt har invänt mot cookiefria pings före ett val. Basic är renare att försvara och ger dig all insyn i nekad trafik, inklusive behörighet för modellering.
Hur lång tid tar det innan jag kan fråga igen efter ett avslag?
Det finns inget fast antal i nuvarande EU- eller turkiska regler; kravet är att upprepade uppmaningar inte får innebära hinder. Förslaget om digital omnibus skulle lägga till en gräns på sex månader per ändamål, men det är inte lag. Att lagra avslaget i sex månader och inte upprepa uppmaningen är nu en försvarbar policy.
Behöver jag en separat banner för Turkiet?
Vanligtvis inte en separat banner, men du behöver landsspecifik kategorilogik och turkisk text med samma knappparitet. KVKK-reglerna ligger tillräckligt nära EDPB:s baslinje för att en välbyggd banner ska fungera både när text och kategorier är lokaliserade.
Är en kakvägg någonsin acceptabel?
Behandla det som otillgängligt. KVKK-guiden tillåter inte villkor för åtkomst till innehåll genom att alla cookies accepteras, och EU-kraven är höga. "Samtycke eller betalning" på nyhetssajter är en separat, omtvistad fråga, inte en mall för e-handel.
Hur ofta bör detta granskas på nytt?
Poängsätt de 14 kontrollerna kvartalsvis och omedelbart efter eventuella byten av tagghantering eller integration av nya leverantörer. De flesta regressionsresultaten visas som en ny pixel, inte en omdesign av bannern.
Skapa din egen banner, eller ge den till oss
Kör de 14 kontrollerna på din livebanner den här veckan; det tar under en timme med en ren webbläsarprofil och en kontrastkontroll. Om du hellre vill att gränssnittet, tagglagret och samtyckesposterna granskas tillsammans, med en prioriterad korrigeringslista istället för en poäng, prata med oss om en tillgänglighets- och efterlevnadsrevision.
Källor
- EDPB, Rapport från arbetsgruppen för cookiebanners, antagen 17 januari 2023
- EDPB, Riktlinjer 03/2022 om vilseledande designmönster, v2.0 antagen 14 februari 2023
- KVKK, Çerez Uygulamaları Hakkında Rehber (uppdaterad utgåva, 2025)
- CNIL, Google bötfällde 325 miljoner euro, 1 September 2025
- Google, översikt över samtyckesläget
- Google, GA4 beteendemodellering för samtyckesläge
- Google, EU:s policy för användares samtycke
- W3C, WCAG 2.2
- Nouwens, Liccardi, Veale, Karger, Kagal, mörka mönster efter GDPR, CHI 2020
- Europaparlamentets lagstiftningståg, förslag till förordning om digital omnibus, KOM(2025) 837 slutlig
