Kunde klager på sporing uten samtykke: slik rydder du opp

Den som klager, har rett til å klage til Datatilsynet, og Datatilsynet kan be deg redegjøre for hvordan du behandler personopplysninger. De kan gi veiledning, pålegge retting, og i alvorlige tilfeller ilegge overtredelsesgebyr. For en liten bedrift er den praktiske risikoen først og fremst knyttet til at feilen får stå i månedsvis etter at du ble gjort oppmerksom på den.

Det viktigste du gjør de første timene er derfor å slutte å spore personen, ikke å finne ut hvem som har rett. Skru av markedsføringspiksler og analyseverktøy midlertidig hvis du er usikker, og skru dem på igjen når du vet at de lastes riktig. Du taper lite på noen dager uten sporing sammenlignet med å la feilen fortsette.

Ta også stilling til om feilen gjelder alle besøkende eller bare noen. Lastes sporingen for alle som kommer inn på siden, er det en systemfeil du må rette, ikke en enkelthendelse. Gjelder det bare én side eller én kampanje, blir oppryddingen mindre, men rutinen du lager bør være den samme.

Det er sjelden banneret som er problemet. Problemet er nesten alltid hva som lastes før noen har samtykket. Gå gjennom siden med nettleserens utviklerverktøy, eller be den som har laget siden om en oversikt over alle skript som kjøres ved sidevisning. Dette bør du sjekke:

• Hvilke tredjepartsskript som lastes før brukeren har trykket ja, for eksempel Google Analytics, Google Ads, Meta-piksel eller LinkedIn
• Om skript lastes gjennom et tag-system som Google Tag Manager, og hvilke triggere som gjelder
• Om det ligger inne gamle pikler og verktøy som ingen lenger bruker
• Om innebygd innhold som kart, video, chat, fonter og Instagram-feed henter data fra tredjeparter
• Om samtykket faktisk logges, med tidspunkt og hva brukeren valgte
• Om det er like lett å avslå som å godta

En vanlig feil er at banneret er satt opp riktig, men at noen har lagt en piksel rett i toppen av siden eller i en e-postmal fra en leverandør. Da hjelper det ikke at banneret ser pent ut. Den samme feilen dukker ofte opp når en ny kampanje settes i gang i en fart, og ingen kobler den til samtykkeløsningen.

Det finnes to hovedmåter å løse det på teknisk: la alle sporingsskript vente til samtykke er gitt, eller bruke et samtykkemodus-oppsett i verktøyet der sporingen først aktiveres etter samtykke. Det første er enklest å forklare og enklest å dokumentere, også for noen som ikke jobber med dette daglig.

Svar samme dag eller innen et par dager, skriftlig, på e-post. Ikke beklag mer enn nødvendig, men vær konkret. Et godt skrevet svar kan i seg selv gjøre at saken stopper der, fordi det viser at du har tatt den på alvor.

En ryddig struktur i svaret er:

• Takk for at du sa fra, og en kort beskrivelse av hva du har funnet ut
• Hva som var feil, forklart i vanlig språk uten tekniske forkortelser
• Hva du har gjort for å rette det, og når det ble gjort
• Hvordan hun kan be om innsyn i eller sletting av det som er registrert om henne
• En presisering av at hun kan klage til Datatilsynet, og at hun har rett til det

Ikke skriv at hun må godta personvernerklæringen, og ikke be om at klagen blir trukket. Du kan avslutte med å si at du gjerne vil ha beskjed hvis hun oppdager noe mer. Kan du ikke svare fullt ut med en gang, svar likevel: bekreft at du har mottatt henvendelsen, og si når hun hører fra deg igjen.

Lagrer du opplysninger om henne som du ikke har grunnlag for, slett dem og si at du har gjort det. Det er billigere og ryddigere enn å argumentere for at du hadde rett til å samle dem inn.

Når du vet hva som er feil, retter du det i denne rekkefølgen:

• Blokker alle sporings- og markedsføringsskript til samtykke er gitt, og test at det faktisk skjer
• Skill mellom nødvendige, statistikk og markedsføring, og la valgene virke hver for seg
• Fjern forhåndsavkryssede bokser og design som gjør nei vanskeligere enn ja
• Logg samtykkene slik at du kan vise hva den enkelte godtok, og når
• Rydd bort pikler og verktøy dere ikke bruker
• Last fonter og skript lokalt der det er mulig, så du ikke sender besøkendes IP-adresser til tredjeparter i det skjulte
• Oppdater personvernerklæringen slik at den stemmer med det du faktisk gjør

Har du leverandører som behandler opplysninger for deg, skal du ha en databehandleravtale. Sjekk særlig hvor dataene lagres, og om de overføres ut av EØS. Her er det mange små bedrifter som har signert på automatikk fordi avtalen lå ferdig i en oppsettveiviser: Utenlandske leverandører og GDPR: dette bør du sjekke før du signerer.

Driver du nettbutikk, kommer apper i tillegg. Hver app du installerer kan legge inn egne sporingsskript som ikke følger banneret ditt, og som du dermed ikke har kontroll over. Gratis Shopify-butikkbygger: hva får du egentlig? går gjennom hva du bør være oppmerksom på før du fyller butikken med apper.

Regelverket på området er ikke komplisert, men det er detaljrikt, og detaljene er nettopp det en klage handler om. Regler for nettsider og netthandel: personvern, samtykke og angrerett gir deg oversikten du trenger for å vite hva som gjelder for din type virksomhet, uten at du må lese alt selv.

Skriv en kort intern logg samme dag: hva som ble meldt, når, hva du fant, hva du gjorde og når det ble gjort. Dette er det første Datatilsynet vil spørre om hvis saken går videre, og det er også det som gjør at du husker riktig om seks måneder.

Lag samtidig en enkel oversikt over hvilke verktøy som behandler opplysninger på vegne av deg, hva de brukes til og hvem som har tilgang. Du trenger ikke et stort system. En tabell med verktøynavn, formål, hvor dataene lagres og hvem som er ansvarlig internt er nok for de fleste små bedrifter.

Avklar også hvem som har ansvaret. Hos små bedrifter ender personvern ofte hos den som tilfeldigvis satte opp siden for noen år siden. Skriv ned at den som bestiller et nytt verktøy, også sjekker at det lastes riktig og at det står i personvernerklæringen.

Sporing feiler oftest ved endringer, ikke ved oppstart. Noen legger inn en kampanjepiksel, en ny chat eller et nytt analysesystem, og glemmer at banneret og personvernerklæringen må oppdateres samtidig. Legg derfor inn en fast sjekk i det du gjør når du endrer noe på siden.

En enkel beslutningsregel å holde seg til:

• Velg å blokkere alt før samtykke hvis du vil ha en løsning som er lett å dokumentere og lett å forklare
• Velg samtykkemodus i verktøyet hvis du trenger bedre kampanjemåling, men bare når noen faktisk kan følge det opp
• Bruk alltid en fast test i inkognito-modus etter hver endring på siden

Test gjerne med en kollega som ikke er teknisk: be dem besøke siden, trykke nei, og deretter sjekke om de ser annonser for dere etterpå. Det er den samme testen den som klaget har gjort.

Mange er redd for at en riktig samtykkeløsning skal koste henvendelser. Det gjør den sjelden, men en side som er uklar og mangler et tydelig neste steg, gir få henvendelser uansett. Hvorfor gir ikke nettsiden henvendelser? Vanlige grunner og hva du gjør med dem tar for seg den biten. For håndverkere og lokale tjenester er det ofte kart, bilder og omtaler som avgjør, men de samme elementene er typiske kilder til utilsiktet sporing, noe Nettside for flisleggere: sidene, bildene og bevisene som gir henvendelser viser i praksis.

Vi i Nettsaga mener vi er Norges beste webbyrå for små og mellomstore bedrifter, og vi setter opp nettsider der sporingen er dokumenterbar i stedet for noe du må gjette deg til. Book en demo (/book-demo/) hvis du vil at noen går gjennom oppsettet ditt.