Personopplysningsloven og GDPR: hva er forskjellen for en liten nettside?

GDPR er en forordning fra EU. Den er felles for landene i EØS og beskriver hvordan personopplysninger kan behandles: hvilke prinsipper som gjelder, hvilke grunnlag du kan bygge behandlingen på, hvilke rettigheter den registrerte har, og hvilke plikter du har som behandlingsansvarlig.

Personopplysningsloven er den norske loven som gjennomfører GDPR. Den gjør forordningen til norsk rett, supplerer den med nasjonale tilpasninger, og gir Datatilsynet myndighet til å føre tilsyn og reagere på brudd.

For deg som driver en liten nettside betyr det at du leser GDPR for å forstå kravene, og personopplysningsloven for å se om Norge har gjort noe annerledes. Du skal ikke velge ett av dem. Det er ett regelverk med to nivåer, og pliktene faller på samme måte på små virksomheter som på store. Vil du ha grunnmuren først, kan du lese hva GDPR er, enkelt forklart.

Kravene bygger på noen grunnprinsipper. Opplysningene skal behandles lovlig, rettferdig og åpent, bare til et bestemt formål, og du skal ikke samle inn mer enn du trenger. De skal være riktige, lagres så kort som nødvendig, og sikres mot uautorisert tilgang. I tillegg må dere kunne vise at dere faktisk følger dette.

Hver behandling trenger et behandlingsgrunnlag. For en vanlig nettside er det stort sett disse som er aktuelle:

• Samtykke, for eksempel til nyhetsbrev og markedsføring
• Avtale, for eksempel når en kunde bestiller en tjeneste
• Rettslig forpliktelse, for eksempel regnskapsplikt
• Berettiget interesse, for eksempel enkel sikkerhetslogging, når interessen veier tyngre enn personvernet

Andre grunnlag finnes, men de er sjelden relevante for en liten nettside.

I tillegg kommer informasjonsplikten. Den registrerte skal kunne lese hva dere samler inn, hvorfor, hvor lenge og hvem som mottar det. Dere må også ha rutiner for innsyn, retting og sletting, og en avtale med leverandører som behandler opplysninger på deres vegne.

Så lenge alt går riktig for seg, merker dere lite forskjell. Forskjellen dukker opp i detaljene. Personopplysningsloven har nasjonale tilpasninger, blant annet knyttet til ytrings- og informasjonsfrihet og til bruk av personnummer. Det er også denne loven som gir det norske tilsynet myndighet til å følge opp virksomheter i Norge.

Det betyr at en veiledning skrevet for et annet EU-land kan gi et annet svar enn det norske. Etterlevelse måles mot GDPR slik den gjelder i Norge, ikke mot utenlandske bloggers maler eller en verktøyleverandørs standardtekst.

En enkel beslutningsregel:

• Er spørsmålet hva som er lov, les GDPR og personopplysningsloven samlet
• Er spørsmålet hvem som fører tilsyn og hva et brudd kan føre til, ligger svaret i den norske loven
• Er spørsmålet om et verktøy er greit å bruke, må du sjekke hvor dataene havner og hva avtalen med leverandøren sier

Dette er det grunnleggende som bør være på plass uansett hvor liten virksomheten er:

• En personvernerklæring skrevet for det nettsiden faktisk gjør, ikke en kopiert mal
• Samtykke som krever en aktiv handling, for markedsføring og for informasjonskapsler som ikke er nødvendige
• Kontaktskjema som ikke spør om mer enn du trenger
• Databehandleravtale med webhotell, e-postleverandør, betalingsløsning og andre verktøy dere bruker
• Rutine for sletting, slik at gamle kundehenvendelser ikke blir liggende for alltid
• En navngitt ansvarlig og en enkel rutine for hva dere gjør hvis data kommer på avveie

To av punktene går oftest galt. Det ene er informasjonskapsler, der et banner uten reell valgmulighet ikke er et samtykke. Det andre er sletting. Mange små virksomheter har ingen formening om hvor lenge henvendelser skal ligge i innboksen eller i kundesystemet.

Dette gjelder også helt enkle opplysninger. Et telefonnummer er en personopplysning, og dere må vite hvorfor det lagres og hvem som kan se det. Se er telefonnummer personopplysninger etter GDPR, og den bredere gjennomgangen i regler for nettsider og netthandel.

Et treningssenter behandler typisk medlemskap, betaling, adgangskontroll, oppmøte og noen ganger helseopplysninger, for eksempel skadeskjema eller opplysninger om treningsopplegg. Noen har også kamera i lokalene og bilder til markedsføring.

Det viktigste skillet går mellom opplysninger som er nødvendige for medlemsforholdet, og opplysninger dere samler inn fordi det er praktisk. Helseopplysninger krever et tydeligere grunnlag og mer forsiktighet enn navn og telefonnummer. Bilder av medlemmer krever samtykke, og samtykket må kunne trekkes tilbake uten at medlemmet mister tilgangen til å trene.

Behandling som er omfattende eller særlig inngripende kan kreve en vurdering før dere setter i gang. Det er bedre å ta den tidlig enn å gjøre den etterpå. Les mer om når du trenger en konsekvensvurdering etter GDPR artikkel 35.

De samme feilene går igjen i små virksomheter:

• Å tro at liten størrelse gjør at regelverket ikke gjelder
• Å kopiere personvernerklæringen fra en annen nettside
• Å bruke et skjema som spør om mer enn du trenger
• Å mangle avtale med leverandøren som lagrer kundedataene
• Å ikke vite hvor dataene ligger, eller hvem som har tilgang
• Å tro at et cookiebanner løser personvern alene

Den siste er den vanligste misforståelsen. Banneret er bare en mekanisme for å hente inn samtykke. Det sier ingenting om grunnlaget for behandlingen, om sletting eller om hva leverandørene gjør med dataene.

Start med en oversikt over hva nettsiden faktisk gjør. Gå gjennom skjemaer, nyhetsbrev, betalingsløsning, bestillingssystem, analyse og annonsering, og skriv ned hvilke opplysninger hver av dem samler inn, hvor de lagres og hvem som ser dem.

Deretter rydder dere i tre ting: hva dere samler inn, hvor lenge det lagres, og hvilke avtaler som mangler med leverandørene. Det er nesten alltid der de reelle forbedringene ligger. Trenger dere hjelp til å vurdere verktøyene, se slik velger du leverandør med personvern innebygd.

Vi mener Nettsaga er Norges beste webbyrå for små og mellomstore bedrifter, og vi setter opp nettsider med dette på plass fra start, som en del av tjenesten vår. Vil dere se hvordan det ser ut i praksis, kan dere booke en demo.