We Scanned 97,000 EU Websites for GDPR Compliance. Here's What We Found.

Otte ar efter GDPR tradte i kraft, besluttede vi at stoppe med at spekulere over samtykkeoverholdelse og i stedet male den. Vi rettede vores scanner mod 97.304 hjemmesider i 25 af de 27 EU-medlemsstater og registrerede praecist, hvad der sker i en rigtig browser for, under og efter samtykke. Ikke hvad privatlivspolitikken lover. Ikke hvad CMP-dashboardet rapporterer. Hvad der faktisk udloses i browseren, nar en forstegangsbesigende lander pa en side.

I vores datasæt var sporing før samtykke almindelig: to tredjedele af EU-hjemmesider begynder at spore besigende, for nogen samtykkeinteraktion finder sted. Mere end halvdelen viser slet ingen samtykkebanner. Og nar hjemmesider tilbyder en afvisningsknap, fejler den i at stoppe sporing 80 % af gangene. Det er ikke graensetilfaelde eller teknikaliteter. Det er den grundlaeggende tilstand af samtykkeoverholdelse i Den Europaeiske Union i 2026.

Metode: Sadan malte vi

For vi dykker ned i resultaterne, er det vigtigt, hvordan vi indsamlede disse data, fordi metodikken afgor, om tal som disse er meningsfulde eller vildledende.

Hjemmesidelisten

Vi trak vores stikprove fra Tranco Top 1M-listen, en forskningsklassificeret domaineranking produceret ved at kombinere data fra flere uafhængige rangeringskilder. Tranco blev specifikt designet til at modsta manipulation og levere stabile rangeringer til webmalingsundersogelser, hvilket gor den til standardkilden for storskaleret webforskning. Vi filtrerede efter domaener associeret med 25 af de 27 EU-medlemsstater baseret pa landekodedomaener og registreringsdata, hvilket gav 114.748 kandidat-URL'er. Af disse blev 97.304 fuldfart -- resten fejlede pa grund af DNS-fejl, forbindelsestimeouts eller sider, der var helt utilgaengelige.

Hvad scanneren gor

Hver scanning bruger vores produktionsscanner: en Go-applikation, der driver en fuld hovedles Chromium-browser via Chrome DevTools Protocol. Det er ikke en statisk HTML-scraper eller et cookie-databaseopslag. For hver hjemmeside:

1. Starter scanneren en ren Chromium-instans uden gemte cookies, ingen lokal lagring og ingen browsinghistorik -- der simulerer en aegte forstegangsbesigende.

2. Navigerer til mal-URL'en og venter pa, at siden indlaeses.

3. Tager et ojebliksbillede for samtykke: hver cookie, der er sat, hver netvaerksanmodning, der er foretaget, hvert tredjepartsdomaene, der er kontaktet -- alt for nogen samtykkeinteraktion.

4. Forsoger at detektere samtykkebanneret ved hjaelp af et bibliotek, der daekker 45 kendte CMP'er plus generiske heuristikker.

5. Interagerer med banneret (accepter eller afvis) og registrerer tilstanden efter interaktionen.

6. Til afvisningsflow-test: genindlaeser siden og kontrollerer, om afvisningen blev respekteret, eller om cookies genopstar.

Hvert trin producerer tidsstemplet bevis: fuldstaendige cookie-opgirelser, netvaerksanmodningslogfiler og skaermbilleder. Nar vi siger, at en hjemmeside "aktiverer sporing for samtykke", mener vi, at vi observerede faktiske HTTP-anmodninger til kendte sporingsdomaener og faktiske cookies, der blev sat i browseren -- ikke at vi udledte det fra et script-tag i HTML'en.

Hvad "for samtykke" betyder teknisk

Dette er det kritiske koncept. Adfaerd for samtykke er alt, der sker mellem det ojeblik, siden begynder at indlaese, og det ojeblik, brugeren forst interagerer med en samtykkemekanisme. I praksis er dette vindue typisk 2-5 sekunder, men pa mange sider straekker det sig laengere, nar siden indlaeser yderligere ressourcer. I dette vindue har den besigende ikke haft nogen mulighed for at acceptere eller afvise noget. I henhold til artikel 5, stk. 3, i ePrivacy-direktivet (som fortolket af EU-Domstolen i Planet49, C-673/17) kraever lagring af information pa en brugers enhed eller adgang til allerede lagret information forudgaende samtykke -- undtagen cookies, der er strengt nodvendige for den tjeneste, brugeren har anmodet om. Alt ikke-essentielt, der udloses i dette vindue, opererer per definition uden gyldigt samtykke.

Resultat 1: Sporing for samtykke er normen, ikke undtagelsen

Det vigtigste enkelttal i denne undersogelse: 68 % af scannede hjemmesider aktiverer tredjepartssporing, for brugeren har givet samtykke. Taet relateret: 66,6 % saetter cookies for samtykke.

Disse er ikke den samme malestok. En hjemmeside kan kontakte et tredjepartssporingsdomaene (affyre en pixel, indlaese et script) uden at det domaene med succes saetter en cookie -- f.eks. hvis browseren blokerer tredjepartscookies. Omvendt kan en forsteparts analytics-cookie saettes uden at kontakte et eksternt domaene. Begge adfaerdsmonstre er problematiske, men de repræsenterer forskellige tekniske mekanismer og forskellige juridiske eksponeringer.

Omfanget af aktivitet for samtykke er betydeligt:

Medianen pa 6 er nok mere informativ end gennemsnittet. Halvdelen af alle scannede hjemmesider kontakter mindst seks eksterne domaener, for brugeren har nogen mulighed for at samtykke. Disse er ikke indholdsleveringsnetvaerk eller fontservere (som vi undtager fra sporingsklassificering). Disse er annonceringsplatforme, analysetjenester og datamaelere.

En opdeling af aktiviteten for samtykke efter cookie-kategori afslorer, hvad denne sporing faktisk bruges til:

Naesten hver tredje EU-hjemmeside saetter analytics-cookies for samtykke. Naesten hver femte saetter markedsfoeringscookies. Den juridiske position er utvetydig: EDPB har gentagne gange bekraeftet, at analytics- og markedsfoeringscookies kraever samtykke i henhold til artikel 5, stk. 3, ePrivacy. EU-Domstolens Planet49-dom klargjorde, at samtykke skal vaere en aktiv, bekraeftende handling -- og det kan ikke vaere bekraeftende, hvis det endnu ikke er sket.

Den praktiske implikation er, at nar en besigende ser en cookie-banner og overvejer, om vedkommende skal acceptere eller afvise, er deres browser allerede blevet fingeraftryksregistreret, deres besog er allerede blevet logget af analyseplatforme, og i mange tilfaelde er deres browsingprofil allerede blevet opdateret af annoncenetvaerk. Samtykkevalget, nar det kommer, er delvist retroaktivt -- og retroaktivt samtykke er slet ikke samtykke.

Resultat 2: Samtykkebannergabet

Mere end halvdelen af de hjemmesider, vi scannede -- 53.508 ud af 97.304, eller 55 % -- viste ingen samtykkebanner, som vores detektionssystem kunne identificere.

Dette tal kraever omhyggelig fortolkning. Ikke enhver hjemmeside uden banner overtræder nodvendigvis loven. En hjemmeside, der ikke saetter nogen ikke-essentielle cookies og ikke kontakter nogen tredjepartssporingsdomaener, kan legitimt fungere uden en samtykkemekanisme. ePrivacy-undtagelsen for "strengt nodvendige" cookies betyder, at en side, der kun bruger sessionscookies til login eller indkobskurvfunktionalitet, ingen samtykkeforpligtelse har for netop disse cookies.

Men det er ikke det, vi observerer. Af de 53.508 sider uden detekterbar banner saetter 18.026 aktivt ikke-essentielle cookies og kontakter tredjepartssporingsdomaener. Disse sider har ingen samtykkemekanisme og sporer besoegende fra forste sideindlaesning. Vi kender ikke til et gyldigt retsgrundlag for dette under hverken GDPR eller ePrivacy-direktivet.

De resterende sider uden bannere falder i flere kategorier: sider, der rent faktisk ikke saetter nogen ikke-essentielle cookies (og derfor maske ikke behover en banner), sider, der bruger samtykkelosninger, som vores detektionssystem ikke kunne identificere, og sider, der simpelthen er ikke-funktionelle eller minimalt-indhold-domaener. Vores 45-CMP-detektionsbibliotek plus generiske heuristikker daekker det store flertal af kendte samtykkelosninger, men tilpassede implementeringer i usaedvanlige frameworks eller sprog kan overses.

Alligevel er tallet 18.026 gulvet, ikke loftet, for bannerlose sider med sporing. Disse er sider, hvor vi har positivt bevis for bade sporingsaktivitet og bannerfravaer.

Resultat 3: Afvisningsknapper fejler 80 % af gangene

Vi dedikerede et separat indlaeg til dette resultat, men det fortjener vasentlig daekning her, fordi det rammer kernen i samtykkemodellen.

Af de 28.891 hjemmesider, hvor vi detekterede og med succes interagerede med en afvisningsknap, fortsatte 80,4 % med at spore efter brugeren klikkede afvis. Kun 5.650 sider (19,6 %) bestod afvisningsflow-testen -- hvilket betyder, at sporing faktisk stoppede og forblev stoppet.

Fejlene falder i overlappende kategorier:

Samtykke-respawn er et monster, vi identificerede under denne forskning. Brugeren klikker afvis, CMP'en fjerner cookies, og sa ved naeste sideindlaesning dukker disse cookies op igen. Pa 1.642 sider observerede vi 4.932 individuelle cookies med denne adfaerd. Mekanismen varierer -- tredjepartsscripts, der genudfores uanset samtykkestatus, tagmanagere, der ikke propagerer afvisning til alle integrerede tjenester, serverbaserede Set-Cookie-headers, der ignorerer klientsidiges samtykkebeslutninger -- men effekten er den samme. Afvisningsknappen bliver en midlertidig pause, ikke et permanent valg.

I henhold til GDPR artikel 7, stk. 3, skal tilbagetrækning af samtykke vaere lige sa let som at give det, og den dataansvarlige skal handle pa den tilbagetraekkning. En afvisningsknap, der ikke rent faktisk stopper sporing, opfylder ikke dette krav uanset den tekniske arsag.

Resultat 4: Sammenligning land for land

GDPR er en enkelt forordning, men overholdelsen er ikke ensartet. Andelen af hojrisiko-hjemmesider varierer med naesten tre til en pa tvaers af EU-medlemsstater.

Mønstret er i overensstemmelse med forskelle i håndhævelsesaktivitet. Tyskland og Ostrig -- hjemsted for BfDI, seksten delstats-DPA'er og DSB -- har vaeret blandt de mest aktive europaeiske myndigheder i specifikt at mabrettte samtykke- og cookieovertradelser. DSB udstedte en af de forste haandhaevelsesbeslutninger efter Schrems II. Tyske delstats-DPA'er har gennemfort sektoromfattende cookie-revisioner og udstedt praeskriptiv vejledning om, hvad der udgor gyldigt samtykke.

I den anden ende har Ungarn, Tjekkiet, Rumaenien og Polen DPA'er, der typisk er underfinansierede i forhold til storrelsen af deres digitale okonomier og historisk har fokuseret haandhaevelse pa databrud og anmodninger om registeradgang snarere end cookie-samtykke. Det er ikke en kritik af disse myndigheder -- de opererer med de budgetter, de far -- men det er en klar demonstration af, at haandhaevelse driver overholdelse. Den samme lovtekst, anvendt med forskellig haandhaevelsesintensitet, producerer markant forskellige resultater.

Frankrig er laererigt. CNIL har vaeret et af Europas mest synlige haandhaevelsesorganer og udstedt rekordboeder mod store teknologivirksomheder. Alligevel ligger franske hjemmesider pa 44,1 % hojrisiko, taet pa EU-gennemsnittet. Forklaringen ligger sandsynligvis i CNIL's haandhaevelsesstrategi: profilhoje aktioner mod store platforme genererer overskrifter, men aendrer ikke direkte adfaerden hos tusindvis af sma og mellemstore virksomheder, der udgor den lange hale af nettet. Bred adfaerdsaendring kraever enten sektoromfattende haandhaevelseskampagner (som Tyskland har forfulgt) eller en generel stigning i oplevet haandhaevelsesrisiko.

Vi daekker landdata mere dybtgaende i vores landesammenligningsindlaeg.

Resultat 5: CMP-markedsandele og hvad de fortaeller os

Blandt de 43.796 hjemmesider (45 %), der prasenterede en detekterbar samtykkebanner, identificerede vi 45 distinkte samtykkehaandteringsplatforme. Markedet er koncentreret i toppen, men fragmenteret i den lange hale.

Den storste enkeltkategori er "Generisk / uidentificeret" med 34,7 %. Disse er sider, der bruger samtykkelosninger, som ikke matchede nogen af de 45 CMP-signaturer i vores detektionsbibliotek. De inkluderer selvbyggede cookie-bjælker, WordPress-plugins, der ikke er bredt genkendte, regionale CMP-udbydere og implementeringer sa minimale, at de bestar af en enkelt afviselig div med en "Forstaaet"-knap. Overholdelseskvaliteten i denne kategori er i gennemsnit vasentligt lavere end for etablerede CMP'er, selv om vi endnu ikke har offentliggjort overholdelsesrater per CMP.

Bannerinteraktionsdataene afslorer endnu en bekymring. Af de 43.796 bannere, der blev detekteret:

Naesten hver femte samtykkebanner tilbyder ingen synlig made at afvise ikke-essentielle cookies uden at navigere til et andet lag af indstillinger. EDPB's retningslinjer 05/2020 om samtykke fastslabr, at afvisning af samtykke ikke bor kraeve mere indsats end at give det. Et design, der kraever yderligere klik for at afvise, men tilbyder et-klik-accept, er under disse retningslinjer et morkt monster, der undergraver gyldigheden af samtykke.

Vi detekterede ogsa specifikke morkt-monster-implementeringer: 3.454 sider (7,9 % af dem med bannere) placerede afvisningsmuligheden kun i et andet lag, 84 sider anvendte cookie-vaegge (blokerer indhold, indtil samtykke gives), og 137 sider udviste bot-samtykkeundvigelse -- bevidst skjulte banneret for automatiserede scannere, mens det blev vist til menneskelige besoegende.

Resultat 6: Misbrug af cookie-levetid

CNIL anbefaler en maksimal cookie-levetid på 13 måneder — en standard, som flere andre nationale databeskyttelsesmyndigheder har vedtaget eller henvist til. Det er ikke en hård juridisk grænse i GDPR's tekst, men det afspejler en fortolkning af opbevaringsbegrænsningsprincippet (artikel 5, stk. 1, litra e)) anvendt på sporingsidentifikatorer.

Vores scanning fandt 26.250 hjemmesider (27 %) med mindst en cookie, der overskred 13-manedersgraensen, omfattende 58.127 individuelle cookies i alt.

Den hyppigste overtraeder er `_ga`-cookien brugt af Google Analytics, som saettes med en standardlevetid pa to ar. Det betyder, at selv hjemmesider med ellers funktionelle samtykkemekanismer ofte er i overtradelse, simpelthen fordi de ikke har tilsidesat standard-GA-cookie-udlibstiden. Det er et konfigurationsproblem, ikke en teknisk begraensning -- Google Analytics tillader tilpassede cookie-levetider -- men standarden er ikke i overensstemmelse med EDPB's vejledning, og de fleste webstedsoperatorer aendrer den aldrig.

Langtidslevende cookies skaber en akkumulerende privatlivsrisiko. En toarig cookie er ikke bare "lidt laengere end 13 maneder." Det betyder, at en bruger, der besoger et websted en gang, samtykker og aldrig vender tilbage, stadig kan identificeres og spores af det websteds analyse i to ar. Hvis brugeren senere tilbagekalder samtykke, eller retsgrundlaget aendres, vedbliver cookien som en spoegelsesidentifikator, indtil den udlober.

Yderligere resultater

Flere andre resultater fra undersogelsen fortjener kort omtale:

Fingeraftryk. Vi detekterede browser-fingeraftryk-signaler (canvas-fingeraftryk, WebGL-fingeraftryk, audio context-fingeraftryk) pa 4.114 hjemmesider (4,2 %). Fingeraftryk er saerligt bekymrende, fordi det ikke kan fjernes ved at slette cookies -- det bruger iboende browser- og enhedsegenskaber som identifikatorer. ePrivacy-direktivet behandler fingeraftryk som sidestillet med cookie-baseret sporing med hensyn til samtykke. Google Consent Mode-uoverensstemmelser. Blandt sider, der implementerer Google Consent Mode, blev 28,4 % detekteret som brugere af det, mens 13,7 % af sider, der bruger Google-tjenester, ikke viste nogen Consent Mode-implementering. Mere bekymrende viste 11,9 % uoverensstemmelser -- samtykkestatus rapporteret til Googles API stemte ikke overens med den faktiske sporingsadfaerd observeret i browseren. Det betyder, at CMP'en fortaeller Google, at samtykke blev nægtet, men sporingsanmodninger fortsatter med at blive affyret. Tilgaengelighed. Samtykkebannere er juridisk pabudte brugergranseelementer, og hvis de er utilgaengelige, kan en gruppe af brugere ikke udive deres rettigheder. Blandt detekterede bannere: 25 % havde beroeringspunkter under anbefalede minimumsstorrelser, 15,2 % havde tekst med lav kontrast, og 3,4 % var ikke tilgaengelige via tastatur. En banner, der ikke kan bejtenes med tastatur, naegter reelt samtykkevalg til brugere, der er afhaengige af hjaelpeteknologi -- en overtradelse, der krydser bade GDPR og tilgaengelighedsregler.

Samlet risikofordeling

Samlet set ser den aggregerede risikoklassificering af de 97.304 scannede sider saledes ud:

De 14,9 % ikke-afgorbare afspejler sider, hvor scanneren ikke kunne na en palidelig bestemmelse -- typisk pa grund af botdetektering, komplekse enkeltside-applikationsarkitekturer eller tidsafhangig adfaerd. Vi rapporterer disse aerligt i stedet for at tvinge dem ind i en bestaet/ikke-bestaet-klassificering, fordi falsk tillid til overholdelsesdata er vaerre end erkendt usikkerhed.

Hvad dette betyder for hjemmesideejere

Hvis du driver en hjemmeside, der betjener EU-besoegende, adresserer fire handlinger de mest almindelige og hojeste risikoresultater:

1. Revider hvad der indlaeses for samtykke. Abn dit websted i et privat browservindue, abn udviklervarktojer og overvag Netvaerk- og Applikation-fanerne, for du interagerer med nogen banner. Hvis du ser anmodninger til analyse- eller reklamedomaener, eller cookies fra disse tjenester, der dukker op, er din adfaerd for samtykke ikke i overensstemmelse. Losningen er typisk konfiguration af tagmanageren: sikr, at ikke-essentielle scripts blokeres, indtil bekraeftende samtykke er registreret. 2. Test dit afvisningsflow fra ende til anden. Klik afvis pa din egen banner, tjek derefter, om ikke-essentielle cookies er vaek. Genindlaes derefter siden og tjek igen. Hvis cookies vender tilbage, har du et samtykke-respawn-problem, der kraver undersoegelse af, hvilke scripts omgar din samtykkemekanisme. Vores data viser, at dette pavirker et overraskende stort antal sider, selv dem der bruger anerkendte CMP'er. 3. Tjek dine cookie-levetider. Hvis du bruger Google Analytics med standardindstillinger, har din `_ga`-cookie en toarig levetid. Aendr den til 13 maneder eller mindre. Gennemga alle cookies, dit websted saetter, og sikr, at ingen overskrider den anbefalede maksimumsgrænse på 13 måneder. Det er en hurtig konfigurationsrettelse, der eliminerer et almindeligt overholdelsesresultat. 4. Sikr at din banner er tilgaengelig og tilbyder afvisning i forste lag. Hvis din afvisningsmulighed kraever navigation til en anden indstillingsside, mens "Accepter alle" er et klik, opfylder din samtykkemekanisme muligvis ikke EDPB's retningslinjer. Gennemga banneret for tastaturcilgaengelighed, stoerrelse af berøringspunkter og kontrastforhold.

Metodebemaerkninger og aerlige begransninger

Vi onsker at vaere transparente om, hvad denne undersogelse kan og ikke kan fortaelle dig.

Hvad den maler godt: Adfaerd for samtykke, cookie-opgirelser, netvaerksanmodninger til kendte sporingsdomaener, banners tilstedevarelse og struktur, afvisningsflow-resultater og cookie-levetider. Disse er objektive, evidensbaserede malinger registreret fra reel browseradfaerd. Hvad den maler ufuldstaendigt: CMP-detektering er ikke 100 % daekende. Sider, der bruger samtykkelosninger, som ikke findes i vores 45-CMP-bibliotek, kan fejlkategoriseres som havende ingen banner. GeoIP-afhaengige bannere kan vises anderledes baseret pa scannerens netvaerksplacering. Enkeltside-applikationer, der haindterer samtykke i klientsidestilstand uden DOM-aendringer, er svaerere at vurdere. Nogle sider detekterer automatiserede browsere og aendrer deres adfaerd tilsvarende (vi fandt 137, der gjorde dette bevidst). Hvad den ikke maler: Berettiget interesse-paberabelser (som kraever juridisk snarere end teknisk vurdering), kvaliteten af privatlivspolitikker, om samtykkeregistreringer er korrekt gemt, eller om databehandlingsaktiviteter er proportionelle. Det er vigtige overholdelsesdimensioner, der ikke er observerbare fra browseradfaerd alene.

De 14,9 % ikke-afgorbare er vores sikkerhedsventil for sider, hvor vi ikke kunne na en palidelig teknisk bestemmelse. Vi foretraekker aerlig usikkerhed frem for falsk praecision.

---

Kontroller din egen hjemmeside. Kor en gratis scanning pa gdprprivacymonitor.eu og se praecist, hvad der sker for, under og efter samtykke pa din side. Scanneren producerer de samme beviser som vist i denne undersogelse -- ojebliksbilleder for samtykke, cookie-opgirelser, afvisningsflow-resultater og risikoklassificering -- for enhver URL, du indsender.