Nettside og GDPR: slik velger du leverandør med personvern innebygd

Personvern innebygd er kravet i GDPR artikkel 25 om at personvern skal være en del av løsningen, ikke noe som legges på etterpå. På engelsk kalles det privacy by design and by default. Personvernrådet har påpekt at kravene ikke er lavere for små og mellomstore bedrifter, men anbefaler samtidig at små virksomheter begynner i det små, med få behandlingsaktiviteter og leverandører med gode referanser.

For deg som skal kjøpe nettside betyr det fire konkrete ting du kan se etter i tilbudet: at løsningen samler inn minst mulig opplysninger som standard, at sporing er av til brukeren aktivt samtykker, at data i størst mulig grad lagres innenfor EØS, og at du kan få utlevert eller slettet det brukerne har lagt igjen.

En leverandør som har dette på plass gir deg kortere vei til et forsvarlig oppsett. Men ansvaret blir ikke flyttet. Leverandøren kan levere verktøyene og dokumentasjonen, men du må vite hva som faktisk behandles på nettsiden din.

Et enkelt prøvespørsmål: be leverandøren forklare muntlig, uten å bruke støtteark, hva som skjer med en henvendelse fra noen trykker send i kontaktskjemaet. Får du et klart svar, er sjansen stor for at oppsettet er gjennomtenkt.

Mange tenker på GDPR som en tekst nederst på siden. I praksis handler det om måten nettsiden oppfører seg på. Personopplysninger behandles typisk gjennom flere kanaler samtidig:

• kontaktskjema, booking og prisforespørsler
• analyseverktøy som måler besøk og atferd
• informasjonskapsler og sporing fra tredjepart
• nyhetsbrev og e-postmarkedsføring
• nettbutikk, kasse og betalingsløsninger
• annonsering og pikseler fra annonseplattformer
• chat, kundesystem og CRM

Et kontaktskjema er det vanligste eksempelet. Så snart skjemaet samler inn navn, e-post, telefon og en melding, behandler du personopplysninger. Ofte er skjemaet i tillegg koblet til e-post, CRM, e-postmarkedsføring eller andre tredjepartstjenester. Da må du ha oversikt over alle disse leverandørene, ikke bare den som laget nettsiden.

Brukeren bør samtidig få tydelig informasjon om hvordan henvendelsen behandles, og hvor personvernpraksisen er beskrevet. Dette er ikke en detalj for store selskaper. Det gjelder også en håndverker med én ansatt og et skjema med fem felt. Mer om hvilke regler som gjelder finner du i guiden om regler for nettsider og netthandel.

Still spørsmålene skriftlig, slik at svarene kan legges ved avtalen. Dette bør du få svar på:

• Hvilke personopplysninger samler løsningen inn som standard, og kan noe av det slås av?
• Hvor lagres dataene, og brukes underleverandører utenfor EØS?
• Leverer dere databehandleravtale, og får vi en oppdatert liste over underleverandører?
• Hvilke tredjepartsverktøy settes opp, og hvem har ansvaret for at de er lovlige å bruke?
• Hvordan er samtykkeløsningen koblet til det som faktisk lastes inn på siden?
• Får vi tilgang til og eierskap over dataene hvis vi bytter leverandør senere?
• Hvem oppdaterer personvernerklæringen når vi legger til et nytt verktøy?

Svaret på det siste spørsmålet sier mye. Personvernerklæringen må være tydelig formulert og oppdateres jevnlig, og det er sjelden noe man gjør én gang ved lansering.

Be også om å se hvordan de håndterer endringer. En leverandør som kan forklare hva som skjer når du senere vil legge til en annonsepiksel eller et bookingverktøy, har som regel også orden på grunnoppsettet.

Du er behandlingsansvarlig. Det betyr at du bestemmer hvorfor opplysningene samles inn og hva de brukes til. Leverandøren som behandler data på dine vegne er databehandler. Der det er relevant skal det finnes en databehandleravtale mellom dere, og du bør også kjenne de underleverandørene som sitter lenger bak i kjeden.

I praksis betyr dette at du ikke kan skylde på leverandøren hvis nettsiden sporer besøkende uten samtykke. Du kan derimot velge en leverandør som gjør det enkelt for deg å ha kontroll: som dokumenterer hvilke data som behandles og hvorfor, og som velger verktøy som holder seg innenfor regelverket.

For små bedrifter er den vanligste feilen ikke mangel på dokumenter, men mangel på oversikt. Du har kanskje en personvernerklæring, men vet ikke at skjemaet sender kopi til tre systemer, eller at en plugin laster inn en tjeneste du aldri har tatt stilling til.

Samtykkeløsningen og personvernerklæringen beskriver samme virkelighet fra to vinkler. Banneret sier hva brukeren velger, erklæringen sier hva som skjer med valget. Sier banneret én ting og erklæringen noe annet, blir begge svekket.

Cookies og GDPR møtes først når informasjonskapsler brukes til sporing, analyse eller markedsføring. Da kan de knyttes til persondata eller atferd, og samtykke må vurderes sammen med erklæringen, ikke som en separat øvelse.

En ryddig løsning har tre kjennetegn: at ingenting sporende lastes før brukeren har valgt, at det er like enkelt å avslå som å akseptere, og at valget kan endres senere. Klarer leverandøren å vise deg dette i praksis, er mye gjort.

Er du usikker på hva som faktisk lastes på siden din i dag, kan du åpne den i et verktøy som viser nettverksforespørsler og se hvilke domener som kontaktes før du har trykket på noe.

Disse går igjen hos små og mellomstore bedrifter:

• Annonsepiksel eller analyse lastes før samtykke, eller lastes selv når brukeren avslår.
• Personvernerklæringen er skrevet for en annen virksomhet og aldri tilpasset.
• Skjemaet er koblet til et CRM eller nyhetsbrev som ikke er nevnt noen steder.
• Plugin-oppdateringer har lagt til nye tjenester uten at noen har fulgt med.
• Ingen har ansvar for å oppdatere erklæringen når et nytt verktøy tas i bruk.

Bygger du selv i WordPress, er det siste punktet særlig relevant, fordi hver plugin kan ha egne integrasjoner. Guiden om nettside med WordPress steg for steg viser hvordan du kommer i gang, men personvern må uansett gjennomgås hver gang du legger til noe nytt.

Et godt prinsipp er å velge personvernvennlige standarder der det er mulig, for eksempel analyse som ikke bruker cookies, og å sette risikable integrasjoner bak korrekt samtykke i stedet for å la dem kjøre fritt.

Du kan komme langt selv med en enkel nettside, men det krever at du har tid til å følge opp. Bruk denne regelen:

• Velg leverandør med personvern innebygd hvis nettsiden skal ha kontaktskjema koblet til kundesystem, nyhetsbrev, nettbutikk, annonsering eller flere tredjepartsverktøy.
• Gjør det selv hvis nettsiden er liten, uten sporing og uten tredjeparter, og du er komfortabel med å skrive personvernerklæring og teste oppsettet selv.
• Bland løsningene bare hvis du vet hvem som har ansvar for hva, og har det skriftlig.

Skal du bygge selv, finnes det hjelp å få. Slik lager du en enkel nettside selv tar deg gjennom det grunnleggende, og ny nettside i WordPress viser hvordan du setter opp og bruker den etterpå.

Prisen på en nettside kan ligge et sted mellom rundt 10 000 og 250 000 kroner, avhengig av omfang. Personvernarbeidet er en del av dette og påvirkes av hvor mange verktøy som kobles til, hvor mange skjemaer som brukes, om det er nettbutikk, og hvor mye dokumentasjon du trenger. Be alltid om å få personvernpunktene spesifisert i tilbudet, ikke som en setning i en fotnote.

Nettsaga lager nettsider og nettbutikker med personvern innebygd, og dokumenterer hva som behandles og hvorfor. Vi har 4,6 av 5 stjerner på Google fra 35 omtaler, og over 1 200 bedrifter har valgt oss. Kundene våre fikk 119 000 kundehenvendelser de siste 12 månedene, og et norsk team i Oslo jobber som webbyrå i hele Norge. Alt er på ett sted: nettside, Google Bedriftsprofil, oppføringer, omtaler, annonser og kundesystem, og første steg er å booke en demo.