Spårning utan cookies: så mäter du lagligt 2026

Du kan mäta trafik utan cookies, men det gör dig inte fri från regler. Du kan räkna besök med hashad statistik, flytta mätningen till en egen server eller låta Googles Consent Mode skicka anonyma signaler när besökaren säger nej. Alla tre metoderna ger dig mer data än en sajt som bara slutar mäta när någon tackar nej. Ingen av dem ersätter samtycke när du behöver följa en person, bygga annonsmålgrupper eller mäta konverteringar på individnivå. Här går vi igenom hur metoderna fungerar, vad svenska myndigheter kräver och hur du kombinerar dem på en vanlig företagssajt.

Kort sagt

• Spårning utan cookies räknar besök utan att spara något i webbläsaren, oftast genom att servern gör om IP-adress och webbläsarinformation till en anonym kod.
• Utan cookies kan du fortfarande behandla personuppgifter. IP-adresser omfattas av GDPR, så du behöver en laglig grund och tydlig integritetsinformation.
• Consent Mode v2 krävs för att Googles annons- och analysverktyg ska fungera fullt ut för besökare i EES. Det skickar anonyma signaler när besökaren nekar.
• Statistik- och marknadsföringskakor kräver aktivt samtycke, och det ska vara lika lätt att tacka nej som ja.
• Den hållbara lösningen för de flesta företag är en hybrid: anonym grundstatistik för alla besökare och fullständig mätning för dem som samtycker.

Innehållsförteckning

• Vad spårning utan cookies faktiskt betyder
• Fyra tekniker och hur de skiljer sig åt
• Consent Mode v2: Googles mellanväg
• Vad gäller i Sverige?
• Vad du förlorar och vad du vinner
• Så bygger du en hållbar mätning steg för steg
• Vår syn: mät mindre, men mät rätt
• Vanliga frågor
• Källor

Vad spårning utan cookies faktiskt betyder

En cookie, eller kaka som myndigheterna säger, är en liten textfil som webbplatsen sparar i besökarens webbläsare. Nästa gång personen kommer tillbaka känner sajten igen kakan, och analysverktyget kan koppla ihop besöken. Spårning utan cookies hoppar över det steget. Ingenting skrivs till webbläsaren. Mätningen bygger i stället på information som redan finns i varje anrop till servern.

Det vanligaste sättet beskrivs tydligt i en genomgång av hur cookieless tracking fungerar: servern tar IP-adressen och webbläsarens user agent, gör om dem envägs till en kort identifierare och kastar originaluppgifterna. Resultatet blir en kod som kan säga “det här är troligen samma besökare som för fem minuter sedan”, men inte vem personen är.

Tre missförstånd dyker upp gång på gång när vi pratar med företagare:

1. “Utan cookies är allt anonymt.” Inte nödvändigtvis. IMY påpekar att du fortfarande kan samla in personuppgifter, och en IP-adress räknas som en sådan när den kan kopplas till en person.
2. “Då slipper vi cookiebannern.” Bara om sajten inte använder några andra icke-nödvändiga kakor eller liknande tekniker. Har du en annonspixel, en inbäddad video eller en chattwidget som sätter egna kakor behövs bannern ändå.
3. “Siffrorna blir lika bra.” Nej. Du får bättre täckning, eftersom alla besökare räknas, men sämre precision per besökare. Mer om det längre ner.

Fyra tekniker och hur de skiljer sig åt

Begreppet täcker flera tekniker med helt olika juridiska och praktiska konsekvenser. Tabellen ger en översikt.

Hashad besöksstatistik

Det här är vad de flesta integritetsvänliga analysverktyg gör. Det fungerar bra för att svara på frågor som “hur många besökte tjänstesidan i september?” och “vilka kanaler driver trafik?”. Baksidan förklaras i en teknisk guide om cookieless tracking: när IP-adressen ändras, till exempel när någon går från kontorets wifi till mobilnätet, ser besökaren ut som en ny person. Många verktyg byter dessutom salt varje dygn för att öka integriteten, vilket innebär att samma person som kommer tillbaka på tisdagen räknas som ny. Antalet unika besökare blåses upp, och du kan inte följa en kundresa över flera dagar.

Server-side-spårning

Server-side är egentligen inte en metod för att slippa kakor, utan en arkitektur. I stället för att varje skript på sajten skickar data direkt till Google, Meta och andra, går allt via en server du kontrollerar. Där kan du rensa bort IP-adresser, ta bort parametrar du inte vill dela och bestämma exakt vad som skickas vidare.

Det ger kontroll och ofta stabilare mätning, men det ändrar inte reglerna. Om servern sätter en kaka för att känna igen besökaren, eller om du skickar uppgifter till en annonsplattform för målgruppsbygge, gäller samma krav på samtycke som tidigare. Server-side är ett sätt att göra rätt sak bättre, inte ett sätt att kringgå bannern.

Fingerprinting: därför bör du avstå

Fingerprinting kombinerar skärmupplösning, typsnitt, språkinställningar, grafikkort och liknande till ett avtryck som kan känna igen en enhet utan kakor. Regeln i 9 kap. 28 § lagen om elektronisk kommunikation, som PTS utövar tillsyn över, handlar om att lagra eller hämta information i besökarens utrustning. Att läsa ut enhetens egenskaper för att känna igen den är just den sortens åtkomst. För ett seriöst företag finns ingen rimlig anledning att gå den vägen.

Consent Mode v2: Googles mellanväg

Använder du Google Analytics 4 eller Google Ads är Consent Mode v2 den del som berör dig mest. Enligt Googles utvecklardokumentation om consent mode fungerar det i två steg: först sätter du ett standardläge innan besökaren har valt, sedan uppdateras läget när besökaren klickar i bannern.

Version 2 lade till två parametrar utöver de tidigare ad_storage och analytics_storage:

• ad_user_data: om användardata får skickas till Google för annonsändamål.
• ad_personalization: om data får användas för personanpassade annonser och remarketing.

Båda måste sättas till antingen granted eller denied. Säger besökaren ja skickar taggarna fullständig data. Säger besökaren nej skickar de i det så kallade avancerade läget anonyma pingar utan kakor, som Google använder för att modellera hur många konverteringar som sannolikt skett. I grundläget laddas taggarna inte alls förrän samtycke finns, vilket ger mindre data men också minst risk.

Två saker att hålla isär:

• Consent Mode är inte en cookiebanner. Det är en signal mellan din banner och Googles taggar. Du behöver fortfarande en samtyckeslösning som ger besökaren ett verkligt val.
• Modellerad data är en uppskattning. Den är användbar för att se trender och styra budgetar i Google Ads, men den ska inte läsas som exakta siffror.

Utan v2 riskerar du att annonskonton tappar möjligheten att mäta och bygga målgrupper för besökare från EES och Storbritannien. För ett företag som annonserar är det alltså inte valfritt längre.

Vad gäller i Sverige?

Två regelverk och två myndigheter styr området. Lagen om elektronisk kommunikation reglerar själva kakorna och liknande tekniker, och där är PTS tillsynsmyndighet. GDPR reglerar personuppgifterna som samlas in, och där är IMY tillsynsmyndighet.

Samtycke ska vara aktivt

PTS sida om kakor slår fast att du måste fråga om samtycke innan du använder kakor, att samtycket ska lämnas aktivt och att besökaren ska kunna återkalla det. Undantaget är nödvändiga kakor, till exempel de som håller en varukorg eller en inloggning igång. Statistik- och marknadsföringskakor räknas i praktiken nästan aldrig som nödvändiga.

IMY uttrycker samma sak ur besökarens perspektiv i sin vägledning om kakor i vardagen: det ska vara ett aktivt val, opt-in, och det får inte vara förvalt att alla kakor sparas.

Bannern måste vara rättvis

Många företag tror att det räcker att ha en banner. IMY:s tillsyn visar att utformningen avgör. I beslutet mot Aktiebolaget Trav och Galopp konstaterade myndigheten att bolaget brutit mot artikel 6 och 7.3 i dataskyddsförordningen genom att inte göra det lika lätt att återkalla samtycke som att ge det.

I praktiken betyder det:

• Knappen “Neka” ska finnas i samma vy som “Acceptera alla”, inte gömd bakom “Inställningar”.
• Knapparna ska vara lika framträdande i färg, storlek och placering.
• Besökaren ska kunna ändra sig lika enkelt, till exempel via en länk i sidfoten.

Utan cookies betyder inte fritt fram

Även om du byter till hashad statistik behandlar du personuppgifter i det ögonblick servern tar emot IP-adressen. Då behöver du en laglig grund, vanligtvis berättigat intresse, och du ska förklara behandlingen i din integritetspolicy. Att det kan gå fel visar IMY:s beslut mot Aller Media, där bolaget fick en reprimand för att ha behandlat en besökares personuppgifter utan laglig grund enligt artikel 6.1 f.

Och följderna kan bli dyra. I beslutet mot Apohem 2024 fick bolaget en sanktionsavgift på 8 miljoner kronor för att inte ha vidtagit tillräckliga tekniska och organisatoriska åtgärder för att skydda personuppgifter som hanterades på webbplatsen. Spårningsteknik som installeras utan genomtänkt kontroll är precis den sortens risk.

Ansvaret ligger alltid hos dig

IMY har gjort klart att det inte räcker att hänvisa till en standardinställning i ett verktyg eller till vad en leverantör rekommenderade. Det är företaget som äger webbplatsen som är personuppgiftsansvarigt. Det gäller oavsett om tekniken kommer från en webbyrå, en samtyckesplattform eller ett analysverktyg. Är du osäker på om din lösning håller juridiskt, särskilt om du hanterar känsliga uppgifter som hälsa, ta hjälp av en jurist med inriktning på dataskydd innan du driftsätter den.

Vad du förlorar och vad du vinner

Det är frestande att se spårning utan cookies som en ren vinst. Det är det inte. Som en genomgång av cookieless webbanalys är tydlig med är verktygen byggda för samlad statistik, inte för att följa en enskild person över flera dagar eller enheter.

Det här vinner du:

• Grundstatistik för alla besökare, även dem som tackar nej till kakor.
• Färre skript som laddas, vilket ofta ger snabbare sidor.
• En enklare banner om du lyckas ta bort alla icke-nödvändiga kakor.
• Mindre juridisk exponering, eftersom färre uppgifter samlas in.

Det här förlorar du:

• Pålitliga siffror för återkommande besökare.
• Attribution över flera besök, till exempel att någon hittade dig via en annons på måndagen och bokade på torsdagen.
• Remarketing och lookalike-målgrupper i Meta och Google.
• Möjligheten att personanpassa innehåll utifrån tidigare besök.

För en tandläkarklinik eller en massör som vill veta vilka behandlingssidor som läses mest räcker anonym statistik långt. För en e-handel som lägger tiotusentals kronor i månaden på annonser är modellerad och samtyckesbaserad data fortfarande avgörande. Det är därför de flesta landar i en hybrid.

Så bygger du en hållbar mätning steg för steg

1. Inventera vad sajten gör i dag. Gå igenom alla skript, pixlar, inbäddningar och formulär. Många sajter laddar kakor från verktyg som ingen längre minns att de installerade.
2. Bestäm vilka frågor du behöver svar på. Behöver du veta antal besök och populära sidor, eller måste du mäta kostnad per bokning i annonskontot? Svaret styr hur mycket data du behöver.
3. Sätt upp anonym grundstatistik. Välj ett analysverktyg som räknar besök utan kakor och dokumentera den lagliga grunden i integritetspolicyn.
4. Lägg samtyckesbaserad mätning ovanpå. Använd en banner där Neka och Acceptera är likvärdiga, och koppla den till Consent Mode v2 så att Googles taggar respekterar valet.
5. Överväg server-side om du annonserar mycket. Det ger kontroll över vad som skickas till annonsplattformar och minskar dataförlust från blockerare, men kräver drift och underhåll.
6. Testa innan lansering. Öppna sajten i ett privat fönster, neka allt och kontrollera i webbläsarens utvecklarverktyg att inga marknadsföringskakor sätts.
7. Följ upp regelbundet. Nya plugin, kampanjer och verktyg tillkommer. Gör en genomgång minst en gång per år och vid varje större ändring.

En bra mätning börjar dock med en sajt som är byggd för att mätas. Vet du inte vilka sidor som ska leda till förfrågningar blir även perfekt data svår att använda. Vår checklista för en bra företagshemsida går igenom vad som behöver finnas på plats.

Vår syn: mät mindre, men mät rätt

När vi bygger hemsidor för företag i Malmö och resten av Skåne ser vi samma mönster: sajter som laddar fem olika spårningsskript men där ingen tittar på datan, och en cookiebanner som är utformad för att få folk att klicka ja. Det ger varken bättre beslut eller trygghet.

Vi tycker att mätning ska utgå från affären. En lokal verksamhet behöver veta vilka sidor som leder till samtal och bokningar, och om det syns i Google. Det går att svara på med anonym statistik och några väl valda mål. Annonserar du på Facebook och Instagram behövs mer, och då ska det göras ordentligt med ett ärligt samtycke.

Vi har också en princip om att kunden äger sin hemsida. Det gäller datan också. Du ska veta vilka verktyg som är installerade, varför de finns där och vad de skickar. Eftersom design, utveckling och SEO sitter i samma team hos oss behöver ingen gissa vem som lade in vilken tagg. Ansvaret för den juridiska bedömningen är ändå alltid ditt, och därför vill vi att du förstår lösningen, inte bara att den fungerar.

— Weblyftet

Vill du ha en sajt där mätning, hastighet och synlighet i Google är genomtänkt från start? Vår företagshemsida kostar 9 999 kr per år och inkluderar design, texter, SEO, drift och uppdateringar till fast pris. Har du redan en sajt och undrar var den läcker trafik kan en SEO-audit vara ett bra första steg, och annonserar du i sociala medier hjälper vi till med Meta-annonsering.

Vanliga frågor

Behöver jag en cookiebanner om jag bara använder statistik utan cookies?

Inte för själva statistiken, så länge den verkligen inte sparar eller läser något i besökarens enhet. Men du behöver fortfarande informera om behandlingen i din integritetspolicy, eftersom IP-adresser är personuppgifter. Har sajten andra kakor, till exempel från en inbäddad video eller en annonspixel, krävs bannern ändå.

Är Consent Mode v2 obligatoriskt?

Det är inget lagkrav, men Google kräver det för att annons- och mätfunktioner ska fungera fullt ut för besökare i EES och Storbritannien. Annonserar du i Google Ads eller använder GA4 med annonskopplingar bör du ha det på plats. Det ersätter inte en korrekt utformad samtyckesbanner.

Gör server-side-spårning att jag slipper samtycke?

Nej. Server-side ändrar var datan hanteras, inte vilka regler som gäller. Sätter lösningen kakor för att känna igen besökare, eller skickar den uppgifter till annonsplattformar för marknadsföring, krävs samtycke på samma sätt som tidigare.

Varför visar min cookiefria statistik fler unika besökare än förut?

Hashade identifierare ändras när IP-adressen byts, till exempel mellan wifi och mobilnät, och många verktyg byter salt varje dygn. Då räknas samma person som flera besökare. Titta hellre på sidvisningar, källor och konverteringar än på antalet unika besökare.

Vem ansvarar om spårningen på min sajt bryter mot reglerna?

Det gör du som äger webbplatsen. IMY har varit tydlig med att en leverantörs rekommendation eller en standardinställning i ett verktyg inte fritar företaget från ansvar. Be därför alltid om en förklaring av vilka verktyg som används och varför.

Källor

• PTS: Kakor (cookies)
• PTS: Underrättelse till Tele2 om 9 kap. 28 § LEK
• IMY: Var säker på nätet, om kakor och AI i vardagen
• IMY: Tillsynsbeslut Aktiebolaget Trav och Galopp
• IMY: Tillsynsbeslut Aller Media AB
• IMY: Tillsynsbeslut Apohem AB
• Google for Developers: Set up consent mode on websites
• TinyAnalytics: How does cookieless tracking work
• PostHog: How to do cookieless tracking
• Plausible: Cookieless web analytics

Rekommendationer

• Hur fungerar SEO? Enkel förklaring för företagare

Made with BabyLoveGrowth to improve search visibility