Facebook pixel og GDPR: hva du må gjøre

Hva pixel og Messenger faktisk gjør på nettsiden

Facebook pixel er et skript som lastes fra Metas domene og sender hendelser tilbake dit: sidevisninger, klikk, kjøp og skjemautsendelser. Samtidig settes informasjonskapsler i nettleseren, og besøket kan kobles til en Facebook-profil. Det er koblingen som gjør pixelen nyttig for annonsering, og den samme koblingen gjør den personvernfølsom.

Advanced matching skjerper dette. Når noen fyller ut et skjema og trykker send, kan feltene sendes videre til Meta sammen med hendelsen. Det var kjernen i en sak det svenske datatilsynet behandlet, der opplysninger fra skjemafelter havnet hos Meta fordi funksjonen var slått på uten at bedriften hadde tatt stilling til det.

Messenger-vinduet er en egen behandling. Chattepluginen laster skript og informasjonskapsler fra Facebook, og meldinger, navn og metadata havner hos Meta selv om kunden aldri skriver noe. Mange har pluginen på alle sider fordi den følger med i malen.

Samtykke må komme før sporingen starter

For besøkende i EU og Storbritannia krever GDPR et forhåndssamtykke før pixelen får sette informasjonskapsler og sende data. Samtykket må være aktivt, informert og spesifikt, og det må gjelde markedsføring, ikke informasjonskapsler generelt. Et banner som vises, men ikke stopper pixelen, oppfyller ikke kravet.

Samtykke etter personvernforordningen og reglene om informasjonskapsler er to spor som i flere land håndheves av ulike myndigheter. Du må forholde deg til begge. Informasjonskapsler på nettsiden: dette sier reglene viser hvordan du skiller kategoriene og hva som skal ligge bak et aktivt valg.

Dokumenter valget. Du bør kunne vise hvilken tjeneste som ble lastet, hvem som er leverandør, formålet, og at brukeren aktivt valgte det til. Samtykket skal kunne trekkes like enkelt tilbake, og pixelen må slutte å sende data når det skjer.

Slik setter du opp pixel og Messenger riktig

Start med kartlegging. Åpne nettstedet i et privat vindu, åpne utviklerverktøyene og se på nettverksfanen. Finn alle forespørsler til connect.facebook.net og facebook.com/tr før du har trykket ja i banneret. Da ser du hva som faktisk lastes, ikke bare hva du tror malen gjør.

Bytt til en samtykkeløsning som blokkerer skriptet teknisk, ikke bare viser en boks. Pixelen skal kategoriseres som markedsføring med opt-in og lastes først etter at valget er tatt. Samme gjelder konverterings-API og andre Meta-verktøy. Test på nytt etter hver oppdatering av tema og plugins, fordi innstillinger ofte faller tilbake.

For Messenger: vurder om chatten trengs på alle sider. En vanlig løsning er å laste pluginen først når kunden klikker på chatteknappen, og å si det i personvernerklæringen. Rydd samtidig i gamle piksel-ID-er fra tidligere byråer og testpiksler som fortsatt står i koden, og slå på domenebegrensning i Metas verktøy.

Dokumentasjon, overføring og ansvar

Du er behandlingsansvarlig for behandlingen du setter i gang på nettsiden din. Det hjelper ikke å vise til at Meta har ansvar for sin del. I en avgjørelse fra det østerrikske datatilsynet ble nettstedets eier holdt ansvarlig for bruken av pixelen, ikke Meta.

Personvernerklæringen skal navngi tjenesten, oppgi leverandøren med land, formålet, rettslig grunnlag, mottakere, lagringstid og rettighetene til den som besøker siden. Ved overføring til USA må du også si noe om overføringsgrunnlaget og risikoen. Personvern og GDPR for nettsider: hva må du gjøre? viser hvordan erklæringen henger sammen med det du faktisk gjør.

Les avtalene med Meta, ikke bare godta dem. Vilkårene for forretningsverktøy beskriver rollene mellom dere, og du bør vite hvilke innstillinger for datadeling og lagring som er slått på. Overføringsspørsmålet har vært i bevegelse siden Schrems II, så sjekk hvilket grunnlag som gjelder nå og noter det.

Kunder kan be om innsyn og sletting. Data som ligger hos Meta med en pseudonym ID, er krevende å hente ut og slette. Du bør ha en beskrevet rutine for hvordan du håndterer en slik henvendelse, selv om svaret blir at deler av dataene ligger hos Meta.

Vanlige feil, DPIA og hva du gjør ved brudd

Feilene går igjen: pixelen lastes i header før banneret, banneret har bare «godta alle», det finnes ingen dokumentasjon på samtykke, og chattepluginen ligger på alle sider. En annen klassiker er at pixelen samler inn skjemadata fra et kontaktskjema som ikke har noe med annonsering å gjøre.

Sporer du systematisk over mange sider, kobler data med annen informasjon eller følger enkeltpersoner over tid, kan du måtte gjøre en konsekvensvurdering. DPIA etter GDPR: når og hvordan gjøre en konsekvensvurdering forklarer terskelen og hvordan du gjennomfører den. Skriv konkret, med de verktøyene du faktisk bruker.

Har pixelen sendt data uten samtykke over tid, må du vurdere om forholdet skal meldes. Databrudd og brudd på GDPR: hva må bedriften gjøre? går gjennom vurderingen og dokumentasjonskravet. Mange oppdager dette først når de tester siden i et privat vindu.

Vil du ha hjelp til å få kontroll på sporing, samtykke og teksten som hører til, kan du se på Nettsagas tjeneste for nettsider. Der begynner vi med det som faktisk lastes på siden din. Du kan booke en demo her: book en demo.

Vanlige spørsmål

Er Facebook pixel forbudt etter GDPR?

Nei, pixelen er ikke forbudt, men den krever et gyldig samtykke før den får spore, og du må kunne dokumentere behandlingen. Bruker du den uten samtykke, eller uten å vite hva den sender, ligger bruddet der.

Må jeg ha samtykke selv om jeg bare bruker Messenger-chatten?

Ja, chattepluginen setter informasjonskapsler og laster skript fra Facebook allerede når siden lastes. Du kan redusere omfanget ved å laste pluginen først når kunden klikker på chatteknappen.

Hvordan sjekker jeg at pixelen ikke laster før samtykke?

Åpne siden i et privat vindu, åpne nettverksfanen i utviklerverktøyene og se etter forespørsler til connect.facebook.net eller facebook.com/tr. Kommer de før du har trykket ja, laster pixelen for tidlig.

Hva skal stå i personvernerklæringen om Facebook pixel?

Navn på tjenesten, at leverandøren er Meta med land, formålet med sporingen, rettslig grunnlag, at data kan overføres til USA, lagringstid og hvordan kunden bruker rettighetene sine.

Trenger jeg databehandleravtale med Meta?

Du bør gå gjennom Metas vilkår for forretningsverktøy, som beskriver rollene mellom dere, og ta vare på det du har godtatt. Les også hvilke innstillinger for datadeling som er slått på i kontoen din.