Google Fonts og Google Maps på nettsiden: hva GDPR krever

Når en nettside bruker Google Fonts eller et innebygd Google Maps-kart, kan nettleseren kontakte Googles servere for å hente filer. Da deles teknisk informasjon, blant annet IP-adresse, med Google. Det er behandling av personopplysninger, og den må ha et behandlingsgrunnlag.

Det er forskjell på om fontene ligger på din egen server eller hentes fra Google. Samme forskjell gjelder kartet: et statisk bilde eller et kart som først lastes etter et valg, oppfører seg annerledes enn en direkte innebygd løsning som starter med én gang siden åpnes.

Mange nettsider får dette indirekte gjennom et tema, et plugin eller en mal. Du har fortsatt ansvar for å vite hva som lastes. En rask gjennomgang av regler for nettsider og netthandel gir deg oversikten over personvern, samtykke og angrerett på samme sted.

Den vanligste løsningen er å selv hoste fontene. Da laster du ned fontfilene og legger dem på domenet ditt, slik at besøkendes nettleser henter dem fra deg i stedet for fra Google. Mange temaer og byggeløsninger har en innstilling for dette, men ikke alle.

Et enda enklere alternativ er å bruke systemfonter. Det betyr at nettsiden bruker fonter som allerede finnes på enheten. Det kan gi et mindre personvernavtrykk og raskere lasting, men du må sjekke at designet fortsatt ser bra ut på Windows, Mac, Android og iPhone.

Sjekk hvordan fontene lastes i praksis:

• Se etter `fonts.googleapis.com` eller `fonts.gstatic.com` i kildekoden.
• Test i et privat vindu og følg med i nettverkspanelet i utviklerverktøyene.
• Sjekk om et plugin, tema eller en sidebygger legger inn fontene automatisk.
• Undersøk om fontene også brukes i e-postsignatur, annonser eller landingssider.

For et kontaktskjema eller en besøksadresse er det sjelden nødvendig å laste et fullt interaktivt kart med én gang. Du kan velge mellom tre hovedløsninger, og de har ulik personvernprofil.

Dette er valgene:

1. Statisk kartbilde med lenke til Google Maps. Besøkende ser hvor dere ligger, men kartet lastes ikke som et interaktivt tredjepartselement.
2. Interaktivt kart som lastes etter samtykke. Besøkende får et valg før Google Maps får kontakt med nettleseren.
3. Direkte innebygd kart som lastes med én gang. Det er den løsningen som gir minst kontroll, fordi tredjeparten kontaktes før besøkende har tatt stilling til det.

Hvis lokal synlighet er viktig, kan du jobbe med Google Bedriftsprofil og innholdet på siden uten at selve kartet må lastes automatisk. SEO for restauranter: slik blir du synlig i Google og på kart viser hvordan lokal synlighet henger sammen med kart og søk.

Hvis du velger en løsning der Google kontaktes først etter et aktivt valg, må samtykket være frivillig, tydelig og enkelt å trekke tilbake. Det holder ikke at det står noe i en personvernerklæring langt nede på siden. Valget må komme der det er relevant.

Et vanlig oppsett er at kartet vises som en plassholder med en kort forklaring og en knapp. Først når besøkende velger å vise kartet, lastes Google Maps. Da bør det også være like enkelt å velge det bort, og valget bør kunne endres senere.

Samtykke henger tett sammen med informasjonskapsler og andre lagringsteknologier. Informasjonskapsler på nettsiden: dette sier reglene forklarer hvordan du skiller mellom nødvendige og ikke-nødvendige løsninger.

Personvernerklæringen skal være konkret nok til at en besøkende forstår hvilke tredjeparter som kan kontaktes, hva som deles og hvorfor. Unngå generelle formuleringer som «vi bruker Google-tjenester» uten å si hvilke tjenester og i hvilken sammenheng.

Dette bør være med:

• hvilke tjenester som brukes, for eksempel Google Fonts og Google Maps
• hvilke opplysninger som kan overføres, som IP-adresse og teknisk informasjon om nettleseren
• formålet med behandlingen og behandlingsgrunnlaget
• at overføring til land utenfor EØS kan være aktuelt, dersom leverandøren behandler data der
• hvordan besøkende kan trekke tilbake et samtykke eller be om innsyn
• når tredjeparten først kontaktes, for eksempel etter samtykke

Hvis du deler data med en leverandør som behandler på dine vegne, må du vurdere om det trengs en databehandleravtale. Datadeling etter GDPR: hva er lov, og hva må du avtale? går gjennom hva du bør avklare før du signerer eller tar i bruk en ny tjeneste.

En praktisk gjennomgang tar ikke lang tid. Poenget er å vite hva som faktisk lastes, ikke bare hva som står i en innstilling.

Dette bør du sjekke:

• at fonter hentes fra eget domene, eller at du bevisst har valgt systemfonter
• at Google Maps ikke laster før besøkende har tatt et valg, hvis du bruker samtykkebasert løsning
• at plassholderen har en tydelig tekst og en knapp som fungerer på mobil
• at personvernerklæringen nevner tjenestene og formålet
• at samtykkevalget kan endres senere
• at du har testet siden i privat vindu og med treg tilkobling
• at du har notert hvilke valg du har tatt og hvorfor

Beslutningsregel: Velg selvhostede fonter hvis du vil ha kontroll og ikke trenger Google Fonts direkte. Velg et statisk kart eller et kart som lastes etter samtykke hvis kontaktsiden bare skal vise adresse og veibeskrivelse. Velg interaktivt kart med samtykke hvis besøkende faktisk trenger å zoome og utforske kartet.

Den vanligste feilen er at et tema eller et plugin laster Google Fonts automatisk, selv om du trodde du hadde slått det av. En annen er at kartet ligger i bunnteksten på alle sider, slik at det lastes overalt, ikke bare på kontaktsiden.

Mange oppdager også at samtykkebanneret bare gjelder informasjonskapsler, mens selve kartet lastes før banneret er besvart. Da hjelper det lite at banneret ser riktig ut. Test derfor selve nettverkskallet, ikke bare teksten i banneret.

For lokale tjenestebedrifter er det lett å kopiere en innebygd kartkode rett fra Google. Nettside for snekkere: dette må være med viser hvordan en enkel kontaktside kan bygges med tydelig adresse, åpningstider og veibeskrivelse uten at kartet må være det første som lastes.

Hvis du vil vite hvordan din nettside faktisk laster fonter og kart, kan du book en demo. Vi i Nettsaga mener vi er Norges beste webbyrå for små og mellomstore bedrifter, og tjenesten vår er bygget for å gjøre nettsiden trygg, rask og enkel å drive.

En gjennomgang bør starte med hva som lastes i dag, ikke med hva som står i en policy. Da ser du raskt om fontene ligger lokalt, om kartet venter på samtykke, og om personvernerklæringen stemmer med det som faktisk skjer.