Identifiera besökare på hemsidan: vad är lagligt i Sverige?

Ja, ni får se vilka bolag som besöker er hemsida, men lagen behandlar det som spårning. EU:s samtyckesregel för kakor, som i Sverige finns i 9 kap. 28 § lagen om elektronisk kommunikation (LEK), omfattar enligt EDPB även spårningsskript och pixlar, och EU-domstolen har slagit fast att IP-adresser kan vara personuppgifter. Vilka personer som besöker sajten visar verktygen vi granskat däremot inte: RB2B identifierar personer bara i USA och Warmly inte i Europa. Verktyg på bolagsnivå som Albacross, Leadfeeder (tidigare Dealfront), Leadinfo och Snitcher har sina servrar inom EU och har gratisplaner eller startpriser under 70 euro (cirka 780 kr enligt vår omräkning) i månaden vid årsbetalning.

Kontrollerat 15 oktober 2026 mot lagtext, myndigheternas beslut och leverantörernas egna sidor. Det här är inte juridisk rådgivning. Revexa bygger Leo, en köpsignal-agent som når bolag via publika köpsignaler som rekryteringar, finansiering och nya chefer i stället för att spåra besökare. Den identifierar alltså inte besökare på hemsidan, är fel val om det är det ni behöver och finns inte med i jämförelsen nedan.

Bolagsnivå eller personnivå: så fungerar det

Bolagsnivå (omvänd IP-uppslagning). Leverantörens javascript skickar besökarens IP-adress och sidan till leverantören, som slår upp vilket bolag som äger adressen. De flesta skript sätter också en förstapartskaka för att känna igen återkommande besök. Leadfeeder beskriver sitt skript som ett som "captures visitor IP addresses, domains, and location data" och matchar dem mot egna databaser (Leadfeeder). Distansarbetare är svårare att matcha, eftersom de oftast har dynamiska IP-adresser som byter ägare (Leadfeeder).

Träffsäkerheten är leverantörernas egna siffror. Leadinfo anger att bolagen den identifierar brukar motsvara runt 30 procent av trafiken (Leadinfo), och Warmly anger omkring 60 procent på bolagsnivå (Warmly). Vi har inte hittat något oberoende test.

Personnivå (identitetsgrafer). Verktyget matchar webbläsaren mot en identitet från andra sajter. RB2B använder ett nätverk av publicister med "1st and 3rd party cookies, device IDs and IP addresses" (RB2B), och Warmly letar efter kakor, fingeravtryck eller IP-adress. Båda håller det utanför Europa: RB2B identifierar inte personer utanför USA "for GDPR and CCPA compliance", och Warmly erbjuder det inte i Europa.

Fiktivt exempel. Ett SaaS-bolag i Malmö ser att ett logistikbolag i Jönköping har besökt prissidan tre gånger på en vecka. Verktyget visar bolaget, branschen och sidorna, men inte vem som satt vid datorn. Kontakterna som verktyget föreslår är beslutsfattare som passar er målgrupp, inte nödvändigtvis besökaren.

Reglerna i Sverige

Kakregeln i LEK, med PTS som tillsyn

Enligt 9 kap. 28 § LEK får uppgifter lagras i eller hämtas från en användares terminalutrustning "endast om abonnenten eller användaren får tillgång till information om ändamålet med behandlingen och samtycker till den". Undantagen gäller det som behövs för att överföra ett meddelande och det som är nödvändigt för en tjänst användaren uttryckligen har begärt (LEK). Samtycke betyder samma sak som i GDPR (1 kap. 8 §), och den som med uppsåt eller av oaktsamhet bryter mot regeln kan dömas till böter, om det inte är ett ringa fall (13 kap. 2 §).

PTS är tillsynsmyndighet och läser regeln brett: även "andra tekniker än kakor" som lagrar eller hämtar uppgifter omfattas (PTS). EDPB:s riktlinjer 2/2023 (version 2.0, oktober 2024) konkretiserar EU-regeln bakom paragrafen: javascript som får webbläsaren att skicka information omfattas tydligt, och den som spårar med bara IP-adressen måste följa regeln om den inte kan säkerställa att adressen inte kommer från användarens utrustning (EDPB). Vår läsning: att ta reda på besökarens arbetsgivare för säljändamål är ingen tjänst besökaren har bett om, så samtycke först är den säkra vägen.

GDPR och IMY: IP-adresser och berättigat intresse

IMY beskriver uppdelningen så här: PTS "är ensam tillsynsmyndighet över lagen om elektronisk kommunikation (LEK)", medan den efterföljande behandlingen av personuppgifter, "till exempel analys eller profilering", faller under GDPR och IMY (IMY).

IP-adresser kan vara personuppgifter. EU-domstolen kom fram till det i Breyer (C-582/14, 2016) för en webbplats som har rättsliga möjligheter att identifiera personen via internetleverantören (domen). Även en träff på bolagsnivå kan peka ut en person: Albacross skriver att IP-adressen och bolaget den matchas mot kan vara personuppgifter "for instance when it comes to sole traders" (Albacross). En enskild firma är ingen juridisk person (Bolagsverket).

Uppföljningen kan vila på berättigat intresse (artikel 6.1 f), men med gränser. IMY skriver att behandling för direktmarknadsföring "kan betraktas som ett berättigat intresse", att ni alltid måste sluta om personen invänder och att bedömningen alltid ska dokumenteras (IMY). EDPB:s utkast till riktlinjer 1/2024 drar två gränser: när spårning används för direktmarknadsföring är samtycke troligen rätt grund även för behandlingen som följer, och en intresseavvägning faller knappast ut positivt för spårning av personer över flera sajter (EDPB). Ni måste också berätta var ni fått uppgifterna senast vid första kontakten (artikel 14.3 b). Mer om avvägningen finns i guiden om GDPR och B2B-mail.

Marknadsföringslagen när ni mailar personen

Till en fysisk person får ni bara skicka marknadsföring med mail om personen har samtyckt i förväg, med ett undantag för egna kunder (19 § marknadsföringslagen). Varje marknadsföringsmail ska ha en giltig adress där mottagaren kan be er sluta, och det gäller "även vid marknadsföring till en juridisk person" (20 §) (lagtexten). Till aktiebolag och andra juridiska personer krävs alltså inget samtycke, men till enskilda firmor krävs det. Säljer ni till Tyskland gäller UWG §7, som kräver samtycke i förväg även mellan företag (guiden om Tyskland).

På gång i EU

EU-kommissionens förslag Digital Omnibus (COM(2025) 837) skulle flytta regeln in i GDPR som artikel 88a och undanta bland annat publikmätning som webbplatsen gör "solely for its own use" (förslaget). Den 15 oktober 2026 väntade förslaget på utskottsbeslut i Europaparlamentet (lagstiftningsobservatoriet), så dagens regler gäller. Vår läsning är att inget föreslaget undantag täcker identifiering av besökare för försäljning.

Så har PTS och IMY agerat

• PTS stickprov 2022 till 2023. PTS granskade från 7 oktober 2022 ett urval webbplatser, bland dem Tele2, Swedbank och Folkhälsomyndigheten. PTS krävde bland annat att besökaren ska kunna neka "på ett lika enkelt sätt och vid samma tillfälle och i samma vy" som att samtycka, att färgerna inte får framhäva ja-knappen och att statistikverktyget Matomo inte får sätta kakor före samtycke. Ärendena avslutades 31 oktober 2023 sedan bristerna rättats (Tele2, Folkhälsomyndigheten).
• IMY:s reprimander 2025. Den 30 april 2025 fick ATG en reprimand bland annat för vilseledande design på kakbannern, Aller Media för att ha angett berättigat intresse "utan att motivera intresset eller visat att en intresseavvägning har gjorts" och Warner Music för otillräcklig information om rätten att återkalla samtycke (IMY).
• Meta-pixeln 2024. IMY beslutade 29 augusti 2024 att Apoteket ska betala 37 miljoner kronor efter att ha använt Meta-pixeln och fört över integritetskänsliga personuppgifter till Meta (IMY). Fallet gäller säkerhet, inte samtycke, men visar att ett inbäddat skript kan skicka mer än avsett.

Vi har inte hittat någon svensk vägledning eller något beslut som gäller just verktyg för besöksidentifiering.

Verktygen och vad de själva säger

I bokstavsordning. Kronbeloppen är vår omräkning, se under tabellen.

Albacross (Stockholm) identifierar bolag och säljer krediter för verifierade mailadresser och telefonnummer, med Cognism som angiven partner för kontaktdata. Albacross är tydligast av de sex: "you must obtain valid consent and inform your visitors on your website" om skriptet (GDPR-frågor, checklista). Uppgifterna som behandlas omfattar en "Fingerprint hash", och när Albacross lägger in era besökares data i sin egen databas blir bolaget självt personuppgiftsansvarigt. Starter kostar 59 euro (cirka 660 kr) i månaden vid årsbetalning (priser).

Leadfeeder (tidigare Dealfront) identifierar bolag och säljer kontaktuppgifter från planen Activate. Dealfront bytte namn till Leadfeeder den 24 mars 2026 (FAQ). Leadfeeder skriver att tjänsten är GDPR-kompatibel (Leadfeeder), har servrarna hos AWS på Irland och ingår biträdesavtalet automatiskt (GDPR). Samtyckesläget skjuter bara upp kakan: utan samtycke "the tracker will still work and identify companies", och Leadfeeder avråder från att blockera hela skriptet eftersom ni då ser färre bolag (hjälpcenter). Med EDPB:s läsning är det försiktiga valet att blockera hela skriptet. Gratisplanen Lite visar de senaste 100 bolagen per månad (priser).

Leadinfo (Nederländerna) identifierar bolag och har en databas med "+300M decision makers". Leadinfo räknar IP-adressen som en personuppgift, har servrarna på Irland, erbjuder spårning utan kakor och låter er välja rättslig grund, men rekommenderar samtycke "before activating the Leadinfo tracking code" (GDPR). Leadinfo har ingen svensk sajt och visar priser i euro, pund, dollar och danska kronor (priser).

RB2B identifierar personer i USA och bolag globalt via Demandbase. På startsidan står "Person-Level ID is US-only, GDPR doesn't apply" (RB2B), och för global bolagsidentifiering gäller "you MUST use a Consent Management Solution" (GDPR). Två saker att veta för ett svenskt bolag. På frågan om skriptet samlar in EU-besökares IP-adresser för att veta när det ska slå till svarar RB2B att insamlingen är "incidental". Och GDPR gäller ett bolag som är etablerat i EU oavsett var behandlingen sker (artikel 3.1).

Snitcher (Nederländerna) identifierar bolag och visar kontaktuppgifter till personer bara om ni väljer det (priser). Snitcher bygger på berättigat intresse enligt artikel 6.1 f och har sina data i Frankfurt. Samtyckesläget skjuter upp kakor, inte skriptet: inga kakor eller beständig lagring sätts före samtycke, men en tillfällig identifierare sparas i sessionStorage (GDPR).

Warmly identifierar personer utanför Europa och bolag i Europa. Kunden kan lägga både javascriptet och kakan bakom kakbannern, eller bara kakan, eftersom skriptet "allows for account identification without dropping a cookie" (Warmly).

Jämförelsetabell

"Pris från" är det lägsta listpriset för minsta nivån den 15 oktober 2026. Kronbeloppen är vår omräkning med 1 euro = 11,16 kr och 1 dollar = 9,97 kr (Riksbanken, 14 oktober 2026). Webbesök är en köpsignal av flera: se köpsignalverktygen jämförda, guiden om intent-data och nordiska dataverktyg i alternativ till Vainu och Dealfront.

Checklista för en laglig uppsättning

1. Ladda hela skriptet först efter samtycke. Lägg skriptet, inte bara kakan, under statistik eller marknadsföring i er samtyckeshantering, och gör det lika lätt att neka som att godkänna, i samma vy. Räkna med färre identifierade bolag.
2. Stanna på bolagsnivå. Slå inte på funktioner på personnivå för besökare i Europa, och behandla träffar på enskilda firmor som personuppgifter.
3. Teckna personuppgiftsbiträdesavtal och läs vem som ansvarar för vad. Leadfeeder, Leadinfo och Albacross beskriver er som personuppgiftsansvariga och sig själva som biträden; Albacross och Leadinfo blir själva ansvariga när de återanvänder era besökares data, så nämn dem i integritetspolicyn.
4. Uppdatera integritetspolicyn och kaklistan. Ange leverantör, ändamål, uppgifter (IP-adress, sidor, kak-id), hur länge kakorna lever och om tredje part har åtkomst. Albacross, Leadfeeder, Leadinfo och Snitcher har färdiga textförslag, och RB2B listar vad som ska framgå.
5. Maila inte identifierade personer utan rättslig grund. Dokumentera intresseavvägningen, berätta var ni fått uppgifterna i första mailet, sluta direkt vid invändning, ha en avregistreringsadress i varje mail och filtrera bort enskilda firmor. Vårt råd: skriv inte att ni sett personens besök, eftersom ni sällan vet vem som besökte sajten.
6. Bestäm lagringstid. Bestäm hur länge ni sparar besöksdata och kontakter som aldrig svarar, dokumentera det (artikel 5.1 e) och använd verktygets inställningar för radering eller anonymisering, till exempel Leadfeeders IP-anonymisering.

Vanliga frågor

Är det lagligt att identifiera besökare på hemsidan i Sverige?

Ja, på bolagsnivå, om skriptet laddas först efter samtycke enligt 9 kap. 28 § LEK, ni informerar besökarna och har ett personuppgiftsbiträdesavtal med leverantören. Att identifiera enskilda personer bygger på spårning över flera sajter, som EDPB bedömer knappast klarar en intresseavvägning, och RB2B och Warmly erbjuder det inte i Europa.

Vem har tillsyn, PTS eller IMY?

Båda. PTS har tillsyn över kakregeln i LEK, alltså själva lagringen och läsningen i besökarens enhet. IMY har tillsyn över GDPR och därmed över behandlingen av personuppgifter som följer, till exempel analys, profilering och era säljmail.

Fungerar RB2B i Sverige?

Bara på bolagsnivå. RB2B identifierar personer enbart i USA och kräver ett samtyckesverktyg för bolagsidentifiering utanför USA. Är ert bolag etablerat i Sverige gäller GDPR för er egen behandling, även när besökarna finns i USA.

Är Leadfeeder (Dealfront) GDPR-kompatibelt?

Leadfeeder säger det, har servrarna hos AWS på Irland och ingår biträdesavtalet automatiskt. Resten avgör er uppsättning: samtyckesläget skjuter bara upp kakan, så det försiktiga valet är att blockera hela skriptet tills besökaren samtycker.

Får vi maila någon på ett bolag som besökt sajten?

Ofta, med berättigat intresse och en dokumenterad intresseavvägning. Till aktiebolag och andra juridiska personer krävs inget samtycke enligt marknadsföringslagen, men varje mail ska ha en avregistreringsadress, och till enskilda firmor krävs samtycke. Berätta var ni fått uppgifterna och sluta direkt om personen invänder.