Hva som lastes på 10 norske nyhetssider, før og etter samtykke

Tallene under viser hva StackPatrol observerte før samtykkevalg og etter «Accept all», der et gjenkjennelig samtykkebanner ble funnet.

8 av 10 sider havnet i kategorien «Høy risiko». Snittet var omtrent 8 USA-eide leverandører per side før samtykke. For de 9 sidene der StackPatrol fant banner og kjørte måling etter samtykke, var snittet omtrent 18 USA-eide leverandører etter «Accept all». StackPatrol fant Sourcepoint-banner på 9 av 10 sider. NRK skilte seg ut ved at skanneren ikke fant et gjenkjennelig samtykkebanner i testen.

På de fire mest ekstreme sidene endte prøven etter samtykke med mellom 91 og 140 cookies, og mellom 41 og 53 leverandører etter at brukeren klikket «Accept all». ABC Nyheter gikk fra 21 cookies i baseline til 140 cookies etter samtykke i prøven etter samtykke. TV 2 gikk fra 9 til 27 USA-eide leverandører. Dagbladet gikk fra 14 til 25 USA-eide leverandører, og fra 15 cookies i baseline til 104 cookies etter samtykke.

Det er ikke nødvendigvis noe feil i dette i seg selv. Dette er nettopp hva «samtykke før lasting» er ment å bety: brukeren får et valg, og hvis de sier ja, kan flere annonse-, analyse- og måleverktøy lastes. Det jeg vil fremheve er hvor dramatisk forskjellen faktisk er når noen sier ja. For brukere som klikker «Accept all», blir den praktiske leverandørkjeden langt større enn baseline-tallet antyder, i de mest ekstreme tilfellene over 90-140 cookies og 40-50 leverandører i målingen etter samtykke.

Nettavisen har en av de beste baseline-målingene i hele utvalget. Før samtykke observerte StackPatrol 5 USA-eide leverandører og 16 leverandører totalt, relativt rent for en stor norsk nyhetsside. Så klikker du «Accept all». USA-eide leverandører hopper fra 5 til 22. Totalt antall leverandører går fra 16 til 41. Cookies går fra 14 til 94. I prøven etter samtykke dukker også 75 nye unike tredjepartsdomener opp, som ikke var synlige i baseline.

Slik jeg leser det, viser Nettavisen-caset at siden teknisk skiller tydelig mellom før og etter samtykke. Det er positivt. Samtidig viser det hvor mye som faktisk aktiveres når brukeren velger «Accept all». Et mer fremtredende eller like tilgjengelig avvisningsvalg ville trolig redusert hvor mange brukere som ender i post-consent-stacken.

TV 2 går fra 9 til 27 USA-eide leverandører etter samtykke. I prøven etter samtykke dukker teknologier som Adobe Marketing/Analytics, Amazon Ads, Connatix, LinkedIn Insight Tag, LiveRamp, Magnite, Media.net, PubMatic, Quantcast, Sharethrough, Sovrn, The Trade Desk, Xandr og Yieldmo opp. Totalt antall cookies går fra 20 til 91, og unike tredjepartsdomener fra 31 til 129.

ABC Nyheter er enda mer ekstrem i denne testen. Siden har laveste EU-score i utvalget, med 10. Etter «Accept all» observerte StackPatrol 18 nye USA-eide leverandører, 53 leverandører totalt og 140 cookies i prøven etter samtykke. 138 unike tredjepartsdomener ble også observert etter samtykke. Det betyr ikke automatisk at noe er ulovlig, men det viser bredden i moderne annonse- og RTB-infrastruktur når brukeren har samtykket.

Dagbladet skårer høyt på begge målinger. Allerede før samtykke observerte StackPatrol 14 USA-eide leverandører og 29 leverandører totalt. Baseline inkluderte JW Player, Maze, X/Twitter, Facebook SDK og flere Google-tjenester. Etter samtykke kom 11 nye USA-eide leverandører og 89 nye cookies på toppen. Det betyr at en Dagbladet-leser som klikker «Accept all» ender opp, i prøven etter samtykke, med 25 USA-eide leverandører, 44 leverandører totalt og 104 cookies. EU-score på 12 reflekterer denne tredjepartsavhengigheten.

NRK er den eneste siden der StackPatrol ikke fant et gjenkjennelig samtykkebanner i testen. Jeg sjekket også manuelt på desktop, i inkognito-modus og på to telefoner, uten å se et samtykkebanner. Det betyr fortsatt ikke at NRK ikke setter cookies. Baseline-rapporten viste 26 cookies og 6 leverandører i skanningen uten interaksjon. Cookies fra tns-cs.net og nrkstream.tns-cs.net ble observert, med navnene i00 og srp. Google Analytics, Sentry, WordPress.com/Jetpack Stats, Akamai og jsDelivr ble også observert.

Det jeg ikke kan svare på, er om NRK har en juridisk vurdering som sier at dette er strengt nødvendig telemetri som ikke krever samtykke, eller om det finnes tekniske årsaker til at banneret ikke ble vist i mine tester. Begge deler er mulig. Det jeg kan si, er at StackPatrol observerte cookies og tredjepartsleverandører uten at brukeren hadde gjort et aktivt samtykkevalg.

E24 og Nettavisen topper listen med EU-score på 66 og 46, og er de eneste som havner på middels risiko i denne testen. E24 holder seg relativt lav også etter samtykke, med +7 USA-eide leverandører. Nettavisen har, som nevnt, en ren baseline, men endrer seg dramatisk når brukeren sier ja.

Mye av det som trekker noen Schibsted- og Amedia-sider opp, er at deler av stacken faktisk ligger i nordisk eller europeisk infrastruktur: Pulse, SPiD, AID login, Adnuntius, Adform og Readpeak. Det finnes fortsatt avhengigheter til globale leverandører som Google Fonts, Xandr og andre annonseplattformer. Men funnene viser også at det er fullt mulig å drive en moderne nyhetsside med høyere europeisk andel i stacken.

Google, i en eller annen form, ble observert på alle 10 sider, Analytics, Tag Manager, DoubleClick, Fonts, GStatic eller Publisher Tag. Xandr/AppNexus, nå del av Microsoft Invest, ble observert på 9 av 10. Sourcepoint leverte samtykkebanneret på 9 av 10. Store CDN- og infrastrukturleverandører som Akamai, Cloudflare og andre globale aktører går igjen flere steder. Dette er standard adtech- og webinfrastruktur i 2026. Det er ikke spesielt norsk.

Det interessante er at europeiske alternativer allerede finnes side om side med de globale leverandørene: Adform, Adnuntius, Improve Digital, Readpeak, Smart AdServer/Equativ, RTB House, Schibsted sin egen Pulse/SPiD-stack og Amedia sin AID login. Infrastruktur finnes. Flere av husene har den allerede integrert.

Det finnes enkle tiltak som ikke nødvendigvis krever store endringer. Google Fonts kan erstattes med selvhostede fonter eller europeiske alternativer. reCAPTCHA kan vurderes opp mot alternativer som hCaptcha eller Friendly Captcha. Ikke-essensielle annonse- og sporingspiksler bør vente til etter samtykke. Flere funn antyder at USA-baserte analyse-, annonse- eller sporingsleverandører kan være synlige før banneret er brukt. Dette kan ofte undersøkes og justeres i tag manager eller CMP-konfigurasjon.

Den vanskeligste delen er annonsestackene. Xandr, Magnite, PubMatic, Google og andre er fortsatt sentrale i annonseøkonomien. Dette er en reell avveiing, ikke noe jeg later som har en enkel løsning. Men bedre synlighet er et første steg. Hvis du ikke vet hvilke leverandører, cookies og domener som faktisk lastes, er det også vanskelig å vurdere risiko, dokumentasjon og alternativer.

Jeg deler ikke dette for å henge ut noen. Norske mediehus gjør fortsatt viktig journalistikk, og de fleste er bevisste på disse problemstillingene. Poenget med StackPatrol er å gjøre det enkelt å se hva som faktisk skjer, slik at samtalen om alternativer kan starte fra fakta i stedet for antagelser.

Det jeg mener er verdt å fremheve, er at den tekniske virkeligheten bak en norsk nyhetsforside ofte er langt mer kompleks enn den ser ut utenfra. På de største sidene snakker vi om over 100 cookies og 40-50 leverandører per besøk etter samtykke. Dette er informasjon norske mediehus, annonsører, DPO-er, byråer og lesere bør få rask tilgang til, uten å måtte være tekniske selv.