Argumentet som myndigheten grep efter
Den belgiska dataskyddsmyndigheten försökte i egenskap av ansvarig tillsynsmyndighet avsluta ett cookieklagomål utan att någonsin granska cookiebannern. Dess förslag var att avvisa ärendet som rättsmissbruk enligt artiklarna 77 och 80.1 i dataskyddsförordningen. Klagomålet gällde samtyckesbannern hos Vlaamse Radio- en Televisieomroeporganisatie, den flamländska public service-sändaren, och det kom från noyb, integritetsorganisationen som lämnar in klagomål i stor skala genom representationsvägen i artikel 80.1.
Den österrikiska dataskyddsmyndigheten invände. Den invändningen flyttade ärendet ut ur Belgien och in i mekanismen för enhetlighet, och det är skälet till att Europeiska dataskyddsstyrelsen till slut avgjorde saken enligt artikel 65.1 a i stället för att den belgiska myndigheten helt enkelt avslutade ärendet.
Resultatet är Bindande beslut 1/2026. Det antogs den 28 maj 2026 och offentliggjordes den 14 juli 2026. Antagandet är den äldre händelsen. Offentliggörandet den 14 juli är det som lade resonemanget framför var och en som driver en banner i Europeiska unionen.
Vad styrelsen beslutade den 28 maj
Europeiska dataskyddsstyrelsen fann inget rättsmissbruk, och den fann att inget av de två rekvisit som en sådan slutsats kräver var uppfyllt. Med tillämpning av de kriterier som Europeiska unionens domstol har utvecklat slog styrelsen fast att varken det objektiva eller det subjektiva rekvisitet förelåg.
Därefter ålade den den ansvariga tillsynsmyndigheten att pröva klagomålet i sak och att lämna in ett nytt utkast till beslut enligt artikel 60.3. Någon frist för det nya utkastet anges inte.
Läst noggrant är detta ett processuellt avgörande och ingenting mer. Det skapar ingen regel om bannerdesign. Det slår inte fast att sändaren gjort något fel. Ingenting har avgjorts i sak, ingen sanktion har fastställts, och frågan om bannern var laglig står exakt där den stod 2021 och väntar på svar.
Volym gör inte ett mandat misstänkt
En processuell nödutgång stängdes nyss, och det var den som de flesta operatörer i tysthet räknade med. Argumentet hade en uppenbar dragningskraft. Det här klagomålet är ett av tusentals som lämnats in av en aktivistorganisation, så man behandlar själva inlämnandet som bristen och avvisar. En nationell tillsynsmyndighet drev faktiskt det argumentet i rollen som ansvarig myndighet. Styrelsen underkände det i ett bindande beslut.
Principen är enligt rapporteringen att ett giltigt mandat enligt artikel 80.1 inte blir misstänkt enbart därför att den representerande organisationen verkar i stor skala. Den formuleringen kommer från rapporteringen om beslutet och inte från beslutstexten, och den bör av det skälet hanteras försiktigt. Utgången i sig råder det ingen tvekan om.
Följden för en ägare är direkt. Er exponering i en samtyckesbanner avgörs av bannerns utformning, inte av vem som klagade på den eller hur många klagomål den parten lämnade in. Varje försvar som byggs på klagandens identitet eller genomströmning är nu ett försvar som en ansvarig myndighet har prövat och förlorat med.
Fem år i kön, och fortfarande levande
Klagomålet lämnades in den 10 augusti 2021. Först nu, nästan fem år senare, skickas det tillbaka för ett beslut i sak. Det låg i en kö, och den väntan förändrade ingenting i dess ställning.
Lärdomen vi drar är att ett vilande klagomål behåller sin fulla kraft. En banner ni rättade 2023 pensionerar inte det klagomål som någon lämnade in mot den version ni körde 2021. Utgå från att den version ni släppte för flera år sedan fortfarande går att pröva, för i det här fallet gör den det.
Vad detta ändrar på er webbplats
Utgå från att den banner ni körde för flera år sedan fortfarande går att pröva, och inte från hur gammalt ert arkiv är. Om ni inte kan visa upp samtyckesgränssnittet så som det såg ut 2021 eller 2022 kan ni inte visa vad en tillsynsmyndighet faktiskt skulle pröva, och ni kommer att diskutera en skärm ni inte längre har.
För därför versionerade uppgifter om själva bannern. Formuleringen, knapparnas hierarki, förvalen, det lager där avslag erbjöds. Det är sådant en prövning i sak tittar på, och det är sådant som ändras i tysthet varje gång en samtyckesplattform rullar ut en uppdatering.
Och sluta läsa antalet inlämnade klagomål som en risksignal. Hur många klagomål en organisation lämnar in säger er ingenting om huruvida det som riktas mot er kommer att prövas. Bindande beslut 1/2026 pekar på att det kommer att göra det.
Läs vidare: EU skriver om GDPR | En första begäran om data kan vara missbruk
