Bevakning · Digital Omnibus
Digital Omnibus och Article 88a.
EU:s reform av cookie- och dataskyddsreglerna föreslogs i november 2025. Article 88a inför ett consent-undantag för first-party audience measurement under stränga villkor. Här samlar vi vad som faktiskt står, varför GA4 inte kvalificerar i sin nuvarande form, och vad ni ska göra för att ligga rätt när full effekt nås 2028.
Det här är en levande sida. Vi uppdaterar den när lagstiftningen rör sig.
Bara om ni vill använda 88a-undantaget för att slippa cookie-bannern. GA4 fortsätter att fungera som idag om ni är OK med att behålla consent-flödet. Migration är en strategisk fråga om bannern, inte ett regulatoriskt tvång. Resten av sidan beskriver vad som krävs om ni vill kvalificera för undantaget.
Lägesbild
Vad som har hänt och vad som ligger framåt.
EU-kommissionen drog formellt tillbaka ePrivacy-regulationen i februari 2025 efter åtta år av låsta förhandlingar. Som ersättning lade kommissionen fram Digital Omnibus-paketet den 19 november 2025, ett reformpaket som bland annat ändrar GDPR och inför artikel 88a, ett consent-undantag för first-party audience measurement.
Förhandlingar mellan medlemsstater pågår under 2026 och 2027. Antagande väntas i slutet av 2026 eller under 2027. Full effekt på consent-fri first-party-analytics nås tidigast Q1 2028. EDPB och EDPS har redan publicerat en gemensam opinion (2/2026) som stödjer harmoniseringsmålen men reser frågor om scope. Detta betyder att texten kan skärpas innan slutgiltigt antagande.
Rådets utkast enligt läckor
Vad som framkommit under september och oktober 2026 och vad det kan betyda för analytics och marknadsföring.
Viktigt om källorna. Rådets förhandlingstexter är inte offentliga. Allt i det här avsnittet bygger på läckta utkast och rapportering i fackpress, inte på officiella dokument. Texten kan ändras flera gånger innan rådet har en position, och sedan igen i förhandlingarna med parlamentet.
Det irländska ordförandeskapet har cirkulerat kompromisstexter daterade 3 och 21 september 2026. Enligt rapporteringen innehåller de följande:
- Artikel 88a och 88b stryks. Cookie-regeln flyttas inte in i GDPR utan ligger kvar i ePrivacy-direktivets artikel 5(3), med en utökad lista över när samtycke inte krävs.
- Undantag för aggregerad mätning finns kvar. Listan omfattar bland annat anonym, aggregerad mätning som inte delas med tredje part eller kombineras med annan data. I sak liknar det kommissionens 88a, men under ett annat namn och i ett annat regelverk.
- Webbläsarsignaler stryks. Kravet på att respektera automatiska samtyckessignaler från webbläsaren (88b) är borta.
- Nytt undantag för kontextuell annonsmätning. Att mäta visning och resultat av annonser utan samtycke tillåts, men bara utifrån innehållet under ett enskilt besök. Ingen profilering, ingen lagring och ingen koppling till tidigare eller senare besök. Enligt rapportering om rådets text från 2 oktober kan frequency capping, alltså att begränsa hur många gånger samma person ser en annons, ändå bli tillåtet. Det är i så fall ett undantag från principen om enskilda besök och är inte bekräftat.
- Pseudonymiserad data. Utkastet gör pseudonymiserad data till icke-personuppgifter för den aktör som inte kan identifiera personen. EDPB har kritiserat liknande skrivningar som oförenliga med EU-domstolens praxis.
En ny kompromisstext daterad 2 oktober 2026 håller fast vid samma linje och lägger enligt rapporteringen till följande:
- Karenstiden kortas till fyra månader. Efter att en användare avvisat får sajten fråga igen tidigast efter fyra månader, mot sex i kommissionens förslag. Tidigare än så bara om tjänsten ändras väsentligt eller om samtyckesvalet försvunnit, till exempel för att användaren rensat sina cookies.
- Undantag för mediemätning. Publikmätning av medietjänster enligt European Media Freedom Act, alltså räckviddssiffror för webb, tv och radio, får ske utan samtycke. Data ska pseudonymiseras och får bara delas med mätföretaget. Undantaget gäller medietjänster och berör få andra sajter.
- Single-click reject-all finns kvar. Det ska gå att avvisa med en knapp eller motsvarande enkla sätt.
Processen har inte kommit särskilt långt. Medlemsländernas EU-ambassadörer (Coreper) skulle ha röstat om rådets förhandlingsposition den 7 och 11 oktober, men beslutet sköts upp båda gångerna. Det är inte cookie-reglerna som stoppar det: Tyskland och Frankrike vill ha starkare skydd för företagshemligheter i Data Act-delen av paketet. Något nytt datum är inte satt. I parlamentet har över 1 750 ändringsförslag lämnats in i ITRE och LIBE. Ordförandeskapet siktar på en uppgörelse innan årsskiftet, men inget datum är satt.
Vad det kan betyda för analytics och marknadsföring
- Riktningen för first-party-analytics står sig. Ett undantag för aggregerad mätning utan delning till tredje part finns med i både kommissionens förslag och rådets utkast. Det är den del av paketet som ser stabilast ut.
- Ett direktiv i stället för en förordning. Ligger regeln i ePrivacy-direktivet måste varje land föra in ändringen i nationell lag, i Sverige i LEK. Det kan ta längre tid och ge större skillnader mellan länder än om regeln hade legat direkt i GDPR.
- Cookie-bannern ser ut som idag. Utan krav på webbläsarsignaler blir det ingen automatisk påverkan på samtyckesgraden från webbläsarinställningar. Bannern och CMP:n förblir det som avgör hur stor del av trafiken ni kan mäta fullt ut.
- Annonsmätning utan samtycke blir smal. Undantaget täcker kontextuell mätning inom ett besök. Konverteringsspårning som kopplar ett klick till ett senare köp, retargeting och målgrupper kräver fortsatt samtycke.
- Pseudonymisering ändrar inte cookie-kravet. ePrivacy 5(3) gäller all lagring och läsning på användarens enhet, oavsett om det är personuppgifter eller inte. Ändringen påverkar i så fall hur data får hanteras efter insamling, inte om en cookie kräver samtycke.
- Ingenting ändras i dag. Nuvarande GDPR och LEK gäller tills en ny text är antagen och införd.
Artikel 88a, de sex kriterierna
För att slippa consent enligt 88a-undantaget måste all mätning uppfylla samtliga punkter. Brister på en så faller hela undantaget.
- 01
Endast first-party
Datan måste samlas in och processas av den som driver sajten, inte en tredjepartstjänst. Det är en arkitekturfråga, inte en flagga som kan slås på eller av.
- 02
Ingen cross-site tracking
Datan får inte länkas mellan olika sajter eller domäner. Det räcker inte att funktionen är avstängd, arkitekturen måste utesluta möjligheten.
- 03
Ingen tredjepartsdelning
Datan får inte delas vidare till andra parter, oavsett om det är för rapportering, modellträning eller aggregerade insikter. Det inkluderar leverantörens egna sekundära användningar.
- 04
Aggregerad data, inte individnivå
Lagringen ska vara aggregerad, inte event-nivå med individ-identifierare. Det är skillnad mellan ”vi visar bara aggregat i rapporterna” och ”vi lagrar bara aggregat”. Det är det senare som krävs.
- 05
Definierat och dokumenterat ändamål
Varje datapunkt ska kunna kopplas till ett uttalat, avgränsat syfte. Inga insamlingar ”ifall vi behöver det senare”. Ändamålet ska framgå i CMP, integritetspolicy och intern dokumentation.
- 06
Hårda retentionsgränser
Cookies max 13 månader, data max 25 månader. Det betyder att backups och dataexport för långsiktiga analyser behöver hanteras separat och med tydlig juridisk grund.
Varför GA4 inte kvalificerar
Sex skäl. Det är en arkitekturfråga, inte en konfigurationsfråga. Flaggorna i UI:t räcker inte.
GA4 kvalificerar inte för 88a-undantaget i sin nuvarande form. Det är inte en konfigurationsfråga, det är en arkitekturfråga.
Sex skäl, ett i taget.
- 01
Tredjepartsdelning
När GA4 implementeras är ni first-party från användarens perspektiv, men Google är en tredje part som tar emot och processar datan på sina servrar. Google använder datan inte bara för era rapporter utan också för egna ändamål, modellträning och aggregerade insikter över hela ekosystemet. Det räknas som tredjepartsdelning även om ni inte aktivt slår på Data sharing-flaggorna.
- 02
Cross-site tracking inbyggt
GA4 är designat med cross-site-funktionalitet i grunden. Google Signals länkar inloggade Google-användare över sajter via deras Google-konto. Cross-domain tracking är en kärnfunktion. 88a kräver att arkitekturen utesluter den möjligheten, inte bara att den är avstängd just nu.
- 03
Inte aggregerad lagring
GA4 lagrar data på event-nivå med
client_idoch tidstämplar. Datan är på individnivå bakom UI:t även om individer inte syns i rapporterna. 88a kräver aggregerad lagring, inte aggregerad visning. - 04
Ändamålsbegränsning bryts
Google har enligt sina villkor rätt att använda aggregerad och härledd data för egna syften (produktförbättring, modellträning, branschinsikter). Det går utanför ändamålsbegränsningen som 88a kräver.
- 05
Tredjelandstransfers
GA4-data passerar fortfarande genom US-infrastruktur i många konfigurationer. CNIL i Frankrike och DPA i Österrike har redan dömt mot GA-användning under GDPR av just denna anledning. Schrems II-frågan är inte löst, även om Data Privacy Framework gör situationen mer praktiskt hanterbar.
- 06
Designhistoriskt arv
GA4 är fundamentalt designat för att fungera med consent (via Consent Mode v2) och förlita sig på Googles modellering när consent saknas. Verktyg som Plausible eller Matomo är designade från grunden för att fungera utan consent. 88a är skrivet för att gynna den senare designfilosofin.
Kan GA4 delvis uppfylla 88a-kraven?
En hybridväg diskuteras: egen GTM Server Container på till exempel Cloud Run som fångar request, anonymiserar IP, filtrerar bort allt som kan vara individnivå, och skickar bara avgränsade aggregat vidare till Google. Tekniskt komplicerat, juridiskt grätt. Diskussionen pågår om en sådan setup faktiskt klarar 88a-kraven, eller om Googles fortsatta behandling i USA bryter undantaget redan i sig.
Vår bedömning idag är att hybridvägen kan hålla i vissa avgränsade fall (till exempel en helt aggregerad besöksräkning) men inte räcker för full event-baserad analys. Den som vill bygga produktanalys, attribution eller funnels med samma datakälla behöver en annan arkitektur.
Verktyg som kan klara 88a-kraven
Inget verktyg klarar 88a-kraven av sig själv. Det är setupen som avgör. Men vissa verktyg gör det avsevärt enklare att bygga en setup som klarar kraven.
- Piwik PRO (Polen, EU-residency). Klarar oftast 88a-kraven med rätt setup. Designat för EU-marknaden från start.
- Matomo (open source, kan self-hostas). Full kontroll över lagring och retention. Tyngre att drifta själv.
- Plausible (Tjeckien, privacy-first by design). Lättviktigt, lämpar sig för sajter där produktanalys inte är behovet.
- Fathom (privacy-first, US-baserat). Kan potentiellt klara 88a-kraven om data-residency hanteras, värt att titta på men US-frågan kvarstår.
- Egna server-side-implementationer. Mest arbete, mest kontroll. När varken Piwik PRO eller Matomo passar er stack är det här vägen.
Andra reformer i samma paket
88a är den mest omtalade delen men inte den enda.
- Single-click reject-all i CMP:er. Krav på att avvisa-alla ska vara lika lätt som att acceptera. Många dagens banners faller på det här.
- Browser- och OS-nivå-signaler. Standardiserade privacy-signaler som måste respekteras. Det här kommer att förändra hur CMP och tagging hanterar consent över tid. Enligt läckta utkast från september 2026 har rådet strukit det här kravet.
- Sex månaders karenstid. Innan en användare får frågan igen efter att ha avvisat. Slutet på dagliga banner-prompts på samma sajt. I rådets kompromisstext från oktober 2026 är karenstiden kortad till fyra månader.
- ”Non-risk”-cookies utan popup. Rena besöksräkningar utan personliga inslag triggar inte cookie-banner.
EDPB:s motvilja
EDPB och EDPS publicerade Joint Opinion 2/2026 i februari 2026. De stödjer harmoniseringsmålen men reser oro över att förslagen ”narrowing scope” av dataskyddet. Specifikt krävde de tydligare definitioner av aggregerad analys och tredjepartsdelning, samt skarpare skydd mot att 88a tolkas brett.
Konsekvensen för svenska bolag: texten i artikel 88a kan skärpas innan slutgiltigt antagande. Det vi planerar för idag baseras på utkastet från november 2025. Vi följer förhandlingarna och uppdaterar den här sidan när det rör sig.
Parallella spår att hålla koll på
- Digital Fairness Act (DFA). Annonseras Q4 2026 med fokus på dark patterns och addictive design. Påverkar UX kring consent och dataval.
- UK Data Use and Access Act 2025 (DUAA). Storbritannien har redan implementerat liknande analytics-undantag. Vägledande för hur 88a kan komma att tolkas i praktik.
- Nationella undantag. Frankrike, Spanien och Italien har redan idag nationella undantag för first-party-analytics. Sverige följer EDPB:s striktare linje fram till Digital Omnibus harmoniserar bilden.
Regulatorisk tidslinje
Var i förändringen vi befinner oss, och vad som kommer.
Åtta års förhandlingar slutar utan resultat. Kommissionen söker ny väg.
Artikel 88a, single-click reject-all, webbläsarsignaler, sex månaders karenstid.
Irländskt ordförandeskap sedan 1 juli. Läckta utkast i september stryker 88a och lägger undantaget i ePrivacy 5(3). EU-ambassadörerna har två gånger i oktober skjutit upp beslutet om rådets mandat. Parlamentet kvar i utskott (ITRE och LIBE), trilog ej startad. Nu är tid att börja förbereda.
Sajter med first-party-mätning som uppfyller 88a-kraven får ta bort cookie-banners.
Vad ni ska göra härnäst
Sex arbetsområden som tillsammans tar er från ”GA4 + cookie-banner” till en first-party-arkitektur som uppfyller 88a-kraven. De flesta kan göras parallellt.
- 01
Audit mot 88a-kriterierna
Bedöm var er nuvarande setup står mot de sex kriterierna. Det är ofta första gången brister blir explicita istället för diffusa.
- 02
Migrationsplan
Från GA4 till en arkitektur som klarar 88a-kraven, eller till en hybrid som täcker era kritiska use cases. Beslut om vilka rapporter och analyser ni faktiskt behöver bevara.
- 03
First-party-arkitektur via server-side
GTM Server Container på Cloud Run, Stape, eller egen lösning. Detta är förutsättningen för det mesta som följer.
- 04
Ändamålsdokumentation
Per data-användning. En datapunkt utan dokumenterat syfte hör inte hemma i en setup som ska klara 88a-kraven.
- 05
CMP-omställning
Respekt för signaler från webbläsare och OS, single-click reject-all, karenstid innan ny fråga (sex månader i kommissionens förslag, fyra i rådets text), ändamålsmärkning. Många befintliga CMP-installationer behöver konfigureras om från grunden.
- 06
Löpande validering
Setupen är inte stabil. Verktyg uppdateras, deploys ändrar dataLayer, jurister tolkar om. Validera kontinuerligt att ni fortsätter uppfylla 88a-kraven.
Vill ni veta var ni står just nu? Mätningsdiagnos är ett bra första steg Vi inkluderar 88a-bedömning som del av den.
Vi hjälper er ligga rätt 2027.
Läs mer om vår löpande GDPR-tjänst, eller mejla hej@addinginsight.se.
Boka 30 minuterUppdateringslog
Vi noterar här när sidan uppdateras. Mindre språkjusteringar loggas inte.
- 14 oktober 2026Statusuppdatering. Rådets kompromisstext från 2 oktober kortar karenstiden från sex till fyra månader och lägger till ett undantag för mediemätning. EU-ambassadörerna (Coreper) sköt upp beslutet om rådets mandat 7 och 11 oktober, på grund av oenighet om Data Act, inte cookie-reglerna. Inget nytt datum är satt.
- 2 oktober 2026Nytt avsnitt om rådets utkast enligt läckor. Det irländska ordförandeskapets texter från 3 och 21 september stryker enligt rapporteringen 88a och 88b, behåller ett undantag för aggregerad mätning i ePrivacy 5(3), lägger till ett undantag för kontextuell annonsmätning och ändrar synen på pseudonymiserad data. Texterna är inte offentliga. Rådet saknar fortfarande mandat och trilogen har inte startat. Status och tidslinje uppdaterade.
- 23 juni 2026Statusuppdatering. Rådet har gått in i konkret kompromissfas under cypriotiskt ordförandeskap, med reviderade texter i maj, och smalnar av paketet mot ändringar som kan samla konsensus. Ordförandeskapet lämnas över till Irland 1 juli. Parlamentet ligger kvar i utskottsfas (ITRE och LIBE), ingen plenaromröstning på data-paketet ännu. Kärntidslinjen i övrigt oförändrad.
- 11 maj 2026Första publicering. Lägesbild, 88a-kriterier, sex skäl till att GA4 inte kvalificerar, hybrid-diskussion, verktyg, parallella reformer, EDPB Joint Opinion 2/2026 och tidslinje.
Källor: EU Commission Digital Omnibus FAQ, EDPB-EDPS Joint Opinion 2/2026, ClickPort, McDermott, Osborne Clarke, Agence Europe, PPC Land, Acompli, TechTimes. Fullständiga länkar på begäran.