Personvern og GDPR for nettsider: hva du må gjøre

Hva GDPR krever av nettsiden din

GDPR er EUs personvernforordning, og den gjelder i Norge gjennom personopplysningsloven. Reglene gjelder alle virksomheter, uansett størrelse og bransje, og det skilles ikke mellom opplysninger som ligger i en database, i e-post eller på en nettside. Du finner helheten i regler for nettsider og netthandel.

På en nettside blir personopplysninger behandlet gjennom flere kanaler: kontaktskjema, booking, nyhetsbrev, nettbutikk, analyseverktøy, annonsering og chat. Hver av dem er en behandling du skal kunne forklare hvis noen spør.

Kjernen i regelverket er enkel: samle inn det du trenger, bruk det til det du har sagt, lagre det så kort som nødvendig og beskytt det. Personvern bør derfor ligge i oppsettet av nettsiden, ikke legges på som en tekst til slutt.

Kartlegg dataflyten først

Begynn med dataflyten, ikke med teksten. Spør hvilke opplysninger som samles inn, hvorfor, hvor de sendes, hvem som har tilgang, og hvor lenge de lagres. Når du kan svare på det, blir personvern konkret i stedet for abstrakt.

Et typisk eksempel: et kontaktskjema tar imot navn, e-post, telefon og melding. Opplysningene lagres i nettsideløsningen, sendes som e-post og havner kanskje i et kundesystem. Hvert ledd er et sted du må vite hva som skjer, og hvem som er ansvarlig.

Fallgruven er verktøy som ble satt opp en gang og aldri ryddet bort. Et gammelt analyseverktøy, en pixel ingen bruker, eller en chat som ikke lenger betjener noen. Fjern det du ikke har reelt behov for. Det gir både enklere oppsett og mindre å svare for.

Personvernerklæringen: konkret, ikke generisk

Alle som behandler personopplysninger skal ha en personvernerklæring. Den skal forklare hvilke opplysninger som samles inn, hvorfor, hvordan de lagres, hvem de deles med, og hvem som er behandlingsansvarlig. Den skal også si hvordan man ber om innsyn, retting eller sletting.

Den vanligste feilen er en lang og generisk erklæring som prøver å dekke alt og derfor ikke forklarer noe. Beskriv verktøyene du faktisk bruker, og skriv på et språk kundene dine forstår.

Legg erklæringen der folk ser den: lenke fra bunnteksten, ved skjemaet og der du ber om samtykke. Et skjema som ikke sier hva opplysningene skal brukes til, er et typisk sted der tilsyn ser etter.

Cookies, samtykke og sporing

Bruker nettsiden cookies eller lignende teknologier til analyse, annonsering eller innbygging av tredjepartsinnhold, må besøkende samtykke. Løsningen skal vise et banner ved første besøk, forklare hvilke typer cookies som brukes, og la brukeren akseptere eller avvise enkeltvalg. Det skal være mulig å endre valget senere.

Valgene skal ikke være forhåndsavkrysset, og avvisning skal være like enkel å finne som aksept. Sier noen nei til sporing, skal sporingen faktisk ikke skje. Et banner som bare kan lukkes, løser ingenting.

Den enkleste veien til mindre arbeid er å bruke færre verktøy. Personvernvennlig analyse uten cookies gir et enklere oppsett. Bruker du annonsering mot sosiale medier, gjelder egne krav. Se Facebook pixel, Messenger og GDPR.

Tredjeparter og konsekvensvurdering

Når du bruker leverandører som behandler opplysninger for deg, trenger du en databehandleravtale og en oversikt over hva de får tilgang til. Det gjelder webhotell, analyse, nyhetsbrev, betaling, chat og AI-verktøy. Bruker du captcha, må du også vurdere hCaptcha og GDPR. Du er som regel behandlingsansvarlig selv om noen andre har bygget nettsiden.

Behandling som medfører høy risiko for de registrerte krever en konsekvensvurdering, en DPIA. Det kan handle om omfattende sporing, profilering eller sensitive opplysninger. DPIA etter GDPR forklarer når og hvordan du gjør den.

Tar du i bruk AI på nettsiden, for eksempel en chatbot, må du vite hva den sender videre og hvor opplysningene lagres. AI for nettside går gjennom hva det kan brukes til, og hva du bør avklare før du setter det i gang.

Sikkerhet og rutiner ved databrudd

Sikkerhet er en del av personvernet. Bruk kryptert forbindelse, begrens hvem som har tilgang til administrasjonen, hold løsningene oppdatert og ta sikkerhetskopi. GDPR og kryptering forklarer hva som faktisk kreves av deg.

Får du et databrudd, må du ha en rutine for å begrense skaden, vurdere om det skal varsles, og dokumentere hva som skjedde. Dette går ikke an å improvisere midt i krisen. Se databrudd og brudd på GDPR.

Ta en gjennomgang når noe endres: et nytt skjema, et nytt verktøy, en ny kampanje. Skriv ned vurderingene du gjør underveis, slik at du kan vise dem fram senere. Det er dokumentasjonen som gjør at du står støtt hvis noen spør.

Hvor du bør begynne

Start med kartleggingen, rydd bort verktøy du ikke bruker, og skriv personvernerklæringen etter at du vet hva som faktisk skjer. Så lenge oppsettet er enkelt og forklart, er det langt lettere å holde det oppdatert. Nettsaga setter opp nettsider der dette er en del av løsningen fra starten, se nettside. Vil du se hvordan det ser ut i praksis, book en demo.

Vanlige spørsmål

Må alle nettsider ha personvernerklæring?

Ja, hvis nettsiden behandler personopplysninger. De fleste gjør det gjennom kontaktskjema, analyseverktøy, nyhetsbrev eller nettbutikk. Erklæringen skal beskrive behandlingen du faktisk har, ikke en standardtekst.

Trenger jeg cookie-banner?

Hvis du bruker cookies eller lignende teknologier til annet enn det som er strengt nødvendig for at nettsiden skal fungere, må du innhente samtykke. Banneret skal la brukeren velge per type, og valget skal kunne endres senere.

Er jeg ansvarlig hvis et byrå bygde nettsiden?

Ja. Det er virksomheten din som er behandlingsansvarlig for personopplysningene på nettsiden, også når noen andre har satt opp løsningen. Derfor bør du få oversikt over verktøyene som er i bruk.

Hvor lenge kan jeg lagre henvendelser fra skjemaet?

Du kan lagre dem så lenge du har et saklig behov for det formålet du oppgav, og ikke lenger. Bestem en lagringstid, rydd med jevne mellomrom og slett det du ikke lenger trenger.

Gjelder GDPR for små bedrifter?

Ja, regelverket gjelder alle virksomheter uansett størrelse. For en liten bedrift betyr det ofte at det viktigste er å ha oversikt over dataflyten og en personvernerklæring som stemmer med virkeligheten.