Vad som händer när du öppnar en vanlig svensk webbplats

Vi mätte 12 webbplatser i en vanlig webbläsare och skrev ner varje utgående anrop. Den här sidan är hela underlaget: vad vi såg, hur vi mätte, och vad mätningen inte visar.

Sajterna namnges inte. De är inte poängen, och flera av dem skulle kunna bli kunder. Mottagarna namnges däremot — det är det fyndet handlar om, och allt vi säger om dem står i deras egna offentliga villkor, underbiträdeslistor och sellers.json-filer.

Kort

Orden, i klartext

Resten av sidan använder ett tiotal ord som är självklara i branschen och obegripliga utanför den. Här är vad de betyder.

Hur vi mätte

Vi öppnade förstasidan på varje sajt i en riktig webbläsare, utan att logga in, och loggade varje anrop som gick vidare till någon annan än sajten själv. Varje sajt besöktes i två lägen — ett där vi tryckte neka i cookierutan och ett där vi tryckte acceptera — och tre gånger i varje läge, eftersom annonsauktioner inte ger samma svar två gånger.

Varje anrop har en tidsstämpel, och den jämförs med klockslaget då cookierutan faktiskt besvarades. Det är skillnaden mellan »anropet skedde före klicket« och »anropet skedde i den körning där vi klickade«. Den skillnaden är inte akademisk: en tidigare version av vårt verktyg blandade ihop dem, och felet beskrivs längst ned på sidan.

Ett besök, ritat

Så här ser den mest annonstunga av sajterna ut. Mitt i bilden står du som besökare. Varje linje går till ett land där ett av företagen som fick uppgifterna om ditt besök hör hemma.

Så läser du bilden. Orange linjer är mätta: dit går uppgifterna om ditt besök, och tjockleken visar hur många företag som hör hemma i landet. Röda linjer är nästa led — från ett av de företagen vidare till dess egna underleverantörer, enligt listor företagen själva publicerar. De röda strecken som slutar i tomma intet betyder något särskilt: där tillåter villkoren att uppgifterna lämnas vidare till någon som inte står i någon lista alls, och då går det inte att rita vart. Rutan till höger är samma bild en gång till, förstorad, eftersom halva Europa annars blir en enda klump.

Siffran efter varje land är antalet företag, inte antalet anrop. De företag vi inte kan placera syns inte på kartan — rutan under världsvyn säger hur många de är. Att de saknas betyder att vi inte vet var de finns, inte att de inte fick något.

Sajterna, en rad var

Så läser du en rad. På den lokala nyhetssajten fick 99 olika företag uppgifter om besökaren. 29 av dem fick uppgifterna redan innan besökaren hunnit svara på cookierutan. 30 av de 99 går inte att ta reda på vilka de är. De svarade från 174 olika webbadresser — samma företag använder ofta ett dussin — och webbläsaren skickade 2 933 anrop till dem under besöket. 124 kakor sattes av någon annan än sajten själv.

Ett streck betyder noll. »Anrop« är varje gång webbläsaren hämtade något från ett annat företag än sajten — en bild, ett skript, en annons eller bara en signal om att någon är på sidan. Över alla sajterna hörde 272 webbadresser till 132 företag.

Det ingen ser: ledet efter

Den som godkänner ett företag godkänner i praktiken också företagets egna underleverantörer. Vilka de är står i en förteckning företaget publicerar själv — om det gör det. Vi slog upp 17 av de 132. 8 av dem hade en förteckning som går att läsa utifrån, med länder. Resten publicerar ingen alls, namnger företag utan att säga var de finns, eller lägger listan bakom inloggning. De övriga 115 har vi inte hunnit slå upp — vilket inte är samma sak som att deras kedjor är korta.

Annonsbranschen har dessutom en egen öppenhetsfil, sellers.json, där varje system ska lista vilka det handlar med. Googles fil listar 969 768 konton. 688 088 av dem har hemlighållen identitet — vilket standarden uttryckligen tillåter. Filen finns, den är publik, den går att hämta. Parterna går ändå inte att namnge.

Sammanlagt över de 50 system som publicerar en sådan fil: 1 105 787 konton, varav 688 183 hemlighållna. Källa: varje systems egen fil, hämtad 2026-10-02.

Avtalen gäller en produkt, inte ett bolag

Det här är fyndet vi själva blev mest överraskade av. Ett företags databehandlingsavtal gäller inte automatiskt allt företaget säljer. Vi har läst villkoren för 10 produkter hos 5 leverantörer, och de säger olika saker inom samma bolag. För ytterligare 11 produkter hos samma leverantörer har vi inte läst villkoren, och säger därför ingenting om dem.

Konkret: Microsofts databehandlingsbilaga gäller två av de fem Microsoft-produkter vi sett i mätningarna. Clarity, som spelar in vad besökaren gör på sidan, har inget biträdesavtal alls — dess egna villkor säger att Microsoft och kunden är självständiga personuppgiftsansvariga, och att Microsoft får använda uppgifterna »for any purpose … including to … create user profiles«. Microsoft Advertisings taggvillkor säger rakt ut att Microsoft äger uppgifterna. »Vi använder Microsoft« är alltså inte ett svar på någonting.

Felet i vårt eget verktyg

Under arbetet hittade vi en bugg i mätningen. Anropen märktes med körningens avsedda samtyckesläge redan innan cookierutan hanterats. En mottagare som bara råkade dyka upp i acceptanskörningen fick då etiketten »laddas först efter samtycke« — fast den i själva verket laddades före klicket.

Felet var ensidigt, och åt det farliga hållet. Mätningen kunde aldrig anklaga någon felaktigt. Den kunde däremot fria någon felaktigt. På en sajt hade tio av fyrtiotvå mottagare friskrivits av den gamla logiken — däribland DoubleClick och Google Analytics. Alla tio fick i själva verket anrop före klicket.

Vi skriver det här på en publik sida därför att det är den sortens fel ingen upptäcker åt en, och därför att en mätning som inte går att räkna efter inte är värd någonting.

Vad underlaget inte bär

• Ingen av siffrorna säger att någon bryter mot GDPR. Vi mäter vad som sker, inte vad som är lagligt. Det finns undantag, och bedömningen är inte vår.
• Att en mottagare inte syntes betyder att vi inte såg den — inte att den aldrig förekommer. Sex körningar är sex stickprov.
• Vi har inte mätt vad som utbyts mellan systemen. Vi ser att webbläsaren leddes från ett företag till ett annat, alltså att det andra fick besökarens IP-adress. Vad som skickas server till server är osynligt utifrån.
• Tolv sajter är tolv sajter. De är inte slumpvis valda — de kommer ur arbete vi redan gjort — och säger ingenting om svenska webbplatser i allmänhet.
• Kedjan vi ritar bygger på vad leverantörerna uppger om sig själva, utom där vi uttryckligen skriver »observerat«. En uppgiven kedja är inte en mätt kedja.

Bevisgrader

Tre av dem står kort i ordlistan högst upp. Här är alla fyra, som de används i varje rapport vi lämnar. De blandas aldrig ihop:

Mätningen gjordes 2026-10-02. Siffrorna på den här sidan räknas fram ur de sparade mätfilerna av bin/matrapport.py — de skrivs inte för hand.

Maxmach Insight är en tjänst från Maxmach AB (556808-5939). Sidan sätter inga cookies och anropar ingen tredjepart. Gratiskontrollen visar observationer. En fullständig granskning och bedömning görs separat med Maxmach.