Personvern og informasjonskapsler: forskjellen forklart for små bedrifter

Personopplysninger er alle opplysninger som kan knyttes til en person. Det gjelder navn, telefonnummer og e-post, men også en IP-adresse, en ordre, en chatmelding eller et bilde. Når du har et kontaktskjema, en bookingkalender eller en nettbutikk, behandler du personopplysninger, selv om virksomheten er liten og du er alene om den.

Personvern handler derfor om hva du gjør med opplysningene: hvorfor du samler dem inn, hvor lenge du beholder dem, hvem du deler dem med, og hvordan den det gjelder kan få innsyn eller få dem slettet. Ansvaret ligger hos deg som driver virksomheten, ikke hos den som laget nettsiden.

En vanlig misforståelse er at personvern bare gjelder store selskaper eller nettsider med innlogging. Det stemmer ikke. En håndverker som får navn og adresse via et skjema, har de samme grunnleggende pliktene som en nettbutikk, selv om omfanget er mindre.

Informasjonskapsler er små filer som nettsiden ber nettleseren lagre. De brukes til helt ulike ting: å holde deg innlogget, huske at du valgte norsk språk, telle besøk eller følge deg videre til annonser på andre nettsteder.

Poenget er at informasjonskapsler er en mekanisme, ikke et regelverk. Noen kapsler inneholder ingen personopplysninger og er helt nødvendige for at siden skal fungere. Andre brukes til å bygge profiler over tid, og da blir personvernreglene relevante. Kapsler er knyttet til domenet de settes fra, og har du både et webområde og en nettside på samme domene, er det nyttig å kjenne forskjellen på nettside og webområde når du skal beskrive hvilke kapsler som gjelder hvor.

Kort sagt: personvern svarer på spørsmålet om hva du gjør med opplysningene om meg. Informasjonskapsler svarer på hvordan opplysningene lagres og hentes i nettleseren min. Du må svare på begge, og svarene hører hjemme på to steder på nettsiden.

Nesten alle nettsider har informasjonskapsler i flere kategorier. Du bør sortere dem slik:

• Nødvendige: kreves for at siden skal virke, for eksempel innlogging eller en handlekurv
• Funksjonelle: husker valg den besøkende har tatt, som språk eller region
• Statistikk: måler besøk og atferd, ofte via et tredjepartsverktøy
• Markedsføring: brukes til å vise annonser og måle effekten av dem

Nødvendige informasjonskapsler trenger du ikke samtykke for, fordi de er en forutsetning for tjenesten du tilbyr. De øvrige kategoriene krever et aktivt samtykke før de settes.

Feilen mange gjør, er å behandle alle kapsler likt: enten ved å slå på alt fra første sekund, eller ved å spørre om samtykke til noe de likevel ikke bruker. Gå gjennom listen over kapsler som faktisk settes på siden, og fjern det du ikke har bruk for. Det reduserer både risiko og mengden du må forklare.

Du trenger to dokumenter, og de skal ikke blandes sammen:

• En personvernerklæring som beskriver hvilke personopplysninger du behandler, hvorfor, hvor lenge, hvem du deler dem med og hvilke rettigheter den registrerte har
• En informasjonskapselerklæring som lister opp kapslene som settes, hva de brukes til, hvor lenge de varer og om de kommer fra en tredjepart

Begge må være lette å finne. Personvernerklæringen bør lenkes fra bunnen av alle sider, og i tillegg der du samler inn opplysninger: kontaktskjema, booking, påmelding til nyhetsbrev og kassen i en nettbutikk. Informasjonskapselerklæringen bør ligge i eller rett ved samtykkeløsningen, slik at den som sier ja eller nei, kan se hva valget gjelder.

Skriv konkret og på norsk. Listen over underleverandører, formål og lagringstider er det som gjør erklæringen nyttig. En generell tekst kopiert fra en mal sier sjelden noe sant om din virksomhet. Mer om pliktene rundt nettsider og netthandel finner du i regler for nettsider og netthandel.

Samtykke skal være frivillig, spesifikt og informert. I praksis betyr det at løsningen må fungere slik:

• Likeverdige valg: godta og avvis bør være like enkle å se og trykke på
• Ingen forhåndsavkryssede kategorier
• Mulighet for å velge per kategori, ikke bare alt eller ingenting
• Enkelt å endre valget senere, via en fast lenke
• Ingen blokkering av hele siden før den besøkende godtar markedsføring

Ikke-nødvendige kapsler bør være avslått til den besøkende aktivt har sagt ja. Det tekniske oppsettet må støtte dette, ellers hjelper det lite å ha et pent banner. Ta vare på dokumentasjonen av samtykkene, slik at du kan vise hva den enkelte godtok og når.

Samtykkebanneret er også en del av nettsiden og må fungere for alle. Det betyr tastaturnavigasjon, tydelig fokusmarkering, god kontrast og tekst som kan leses av hjelpemidler. Se hvordan universell utforming av nettsider påvirker kravene du bør stille til løsningen du velger.

Dette går igjen på små bedrifters nettsider:

• Banner som bare har én knapp, og ingen måte å si nei
• Skript som lastes før samtykke er gitt
• Statistikk satt opp for flere år siden og aldri ryddet i
• Manglende avtaler med leverandører som behandler opplysninger for deg
• Personopplysninger i skjema eller chat som lagres på ukjent sted og uten tidsgrense
• Samtykke innhentet for markedsføring, men brukt til noe annet

Punkt fire er lett å overse. Når et verktøy eller et firma behandler personopplysninger på dine vegne, bør du ha en skriftlig avtale som beskriver hva de kan gjøre med opplysningene. Les mer om hvordan du stiller krav til leverandøren i nettside og GDPR: slik velger du leverandør med personvern innebygd.

Punkt to er teknisk, men viktig. Mange bannerer ser riktige ut, mens kapslene likevel settes i det siden lastes. Test i nettleseren med utviklerverktøy, eller be om en gjennomgang av oppsettet. Grunnreglene for personvern og samtykke er oppsummert i personvern, samtykke og angrerett.

Bruk denne listen før du publiserer, og gjenta den når du legger til nye verktøy:

• Personvernerklæring som er oppdatert og lenket fra alle sider
• Oversikt over hvilke kapsler som settes, med formål og varighet
• Samtykkeløsning som blokkerer ikke-nødvendige kapsler til samtykke er gitt
• Rutine for å svare på forespørsler om innsyn og sletting
• Avtaler med leverandører som behandler opplysninger for deg
• Fast gjennomgang hvert år, eller hver gang du bytter verktøy

En enkel beslutningsregel:

• Velg en ferdig samtykkeløsning hvis du bare trenger statistikk og enkel annonsering, og vil ha noe som er testet av mange
• Velg en tilpasset løsning hvis du har innlogging, flere tjenester eller en nettbutikk med egne behov
• Hent en gjennomgang fra noen med erfaring hvis du er usikker på hvilke opplysninger som faktisk samles inn

Hos Nettsaga mener vi at vi er Norges beste webbyrå for små og mellomstore bedrifter, og vi setter opp nettsider der personvern og samtykke er en del av tjenesten vår fra starten. Vil du se hvordan det ser ut i praksis, kan du booke en demo på /book-demo/.