Hopp til innholdet
Nettsaga

Regler for nettsider og netthandel: personvern, samtykke og angrerett

Publisert 5. november 2026 · Hovedguide: Personvern og regler

Personvern og regler

Regler for nettsider og netthandel: personvern, samtykke og angrerett

En norsk nettside må forholde seg til flere regelverk samtidig: personvernreglene, reglene om informasjonskapsler, markedsføringsloven og, hvis du selger varer, angrerettloven. I tillegg kommer kravene til universell utforming. Du trenger ikke løse alt på én gang, men du bør kunne vise hvilke opplysninger du samler inn, hvorfor du har lov til det, og hvordan de er beskyttet.

Hvilke regler gjelder for nettsiden din

Reglene som treffer en vanlig bedriftsnettside kommer fra flere hold, og de overlapper hverandre. Personvernforordningen styrer hvordan du behandler opplysninger om kunder, potensielle kunder og tilfeldige besøkende. Reglene om informasjonskapsler styrer hva som kan lagres i nettleseren før brukeren har tatt stilling til det. Markedsføringsloven styrer hvordan du presenterer bedriften, prisene og reklamen. Angrerettloven gjelder når du selger til forbrukere på nett, og kravene til universell utforming gjelder hvordan nettsiden faktisk fungerer for brukeren.

Datatilsynet fører kontroll med at personvernreglene etterleves, og fungerer samtidig som ombud for den enkelte. Fatter tilsynet et vedtak, kan det klages, og saken kan ende hos Personvernnemnda, som kan prøve alle sider av den. For deg som driver virksomhet betyr det at en sak ikke stopper selv om du er uenig i tilsynets første vurdering. Datatilsynet og GDPR i EU: hvem fører tilsyn? forklarer ansvarsfordelingen.

En praktisk tilnærming er å begynne med det som er synlig på nettsiden: kontaktskjemaet, chatten, bookingkalenderen, nyhetsbrevpåmeldingen og kjøpsflyten. Det er der opplysningene faktisk kommer inn, og det er der de fleste feilene sitter. GDPR-krav for bedrifter: slik blir du compliant viser hvilke plikter som gjelder når du først har kartlagt, og i hvilken rekkefølge de bør løses.

Kartlegg hvilke personopplysninger du samler inn

Personopplysninger er alt som kan knyttes til en person: navn, e-postadresse, telefonnummer, IP-adresse, bestillingshistorikk, chatlogger og bilder av ansatte. GDPR artikkel 4: definisjoner og personopplysninger går gjennom definisjonene, og det er verdt å lese dem én gang, fordi de avgjør om reglene i det hele tatt gjelder for det du gjør.

Noen opplysninger er særlig følsomme. Det gjelder helse, men også praktiske ting du kanskje samler inn uten å tenke over det, som allergier i et påmeldingsskjema eller en kommentar i en chat. Sensitive personopplysninger etter GDPR viser hvor grensen går, og hvorfor du bør spørre om minst mulig. Et godt prinsipp for et påmeldingsskjema er å spørre bare om det du faktisk skal bruke svaret til, og slette det etterpå.

Prinsippene i GDPR artikkel 5: prinsipper for behandling av personopplysninger er den praktiske testen: samle inn det du trenger, bruke det til det du opplyste om, og ikke lagre det lenger enn nødvendig. Et skjema med tolv felt der du bare trenger tre, er et problem du kan fikse samme dag. Det samme gjelder en gammel kundeliste som ingen har rørt på flere år.

Behandlingsgrunnlag: hvorfor har du lov til å lagre opplysningene

Du må kunne peke på hvorfor du har lov til å behandle opplysningene. GDPR artikkel 6: behandlingsgrunnlag for personopplysninger lister grunnlagene, og i praksis bruker små bedrifter stort sett tre av dem: avtale, samtykke og berettiget interesse.

Et kjøp har avtale som grunnlag, og da trenger du ikke samtykke for å sende ordrebekreftelse og faktura. Nyhetsbrev og sporing til markedsføring krever derimot samtykke eller et annet klart grunnlag. GDPR og samtykke: slik lager du en samtykkeerklæring går gjennom hvordan et samtykke skal se ut for å være gyldig.

Fallgruven er å pakke samtykke inn i vilkårene, eller å bruke berettiget interesse som en universalunnskyldning for sporing. Et samtykke skal være frivillig, og det skal være like enkelt å trekke tilbake som å gi det. Klarer du ikke å forklare på én setning hvorfor en opplysning er lagret, er det et tegn på at grunnlaget mangler.

Personvernerklæring: hva den må inneholde

Personvernerklæringen er dokumentet som forteller besøkende hva du gjør med opplysningene deres. Den skal ligge lett tilgjengelig, være skrevet i et språk folk forstår, og stemme med det nettsiden faktisk gjør. Personvernerklæring for nettside: mal, innhold og engelsk versjon viser hvilke punkter som må med, og hvordan du lager en engelsk versjon hvis du har kunder utenfor Norge.

Et godt utgangspunkt er å svare på seks spørsmål: hvem som er ansvarlig, hvilke opplysninger som samles inn, hvorfor, med hvilket grunnlag, hvem de deles med, og hvor lenge de lagres. Deretter rettighetene den registrerte har, og hvordan man klager til Datatilsynet. Skriv kort, og bruk ordene folk faktisk bruker selv.

Den vanligste feilen er en kopiert mal som beskriver verktøy du ikke bruker, og som mangler verktøy du faktisk bruker. Legger du til en chat, et booking-system eller en ny betalingsløsning, må erklæringen oppdateres samme uke. GDPR og personvernerklæring: slik lager du en god erklæring gir flere eksempler på hva som bør stå hvor.

Informasjonskapsler, samtykke og sporing

Informasjonskapsler som er strengt nødvendige for at nettsiden skal fungere, kan settes uten samtykke. Alt annet, som statistikk, annonsering og sporing på tvers av nettsteder, krever at brukeren har tatt et aktivt valg. Informasjonskapsler på nettsiden: dette sier reglene forklarer skillet.

I praksis betyr det at banneret ikke kan være forhåndsavkrysset, at avslag må være like enkelt som ja, og at sporing ikke skal lastes før valget er tatt. Mange oppdager først her at annonseverktøyene har lastet i bakgrunnen hele tiden. Google Ads: retningslinjer, cookie consent og Consent Mode v2 går gjennom hvordan annonseoppsettet må henge sammen med samtykkeløsningen.

Sosiale medier og pikseler er samme regelverk i annen innpakning. Facebook pixel, Messenger og GDPR: hva du må gjøre tar for seg hva som må være på plass før du måler konverteringer eller svarer kunder i en chatboks på nettsiden.

Sikkerhet etter GDPR artikkel 32

Sikkerhet er ikke et produkt du kjøper, men en sum av tiltak som står i forhold til risikoen. GDPR artikkel 32: sikkerhet og kryptering av e-post beskriver hva som kreves: egnede tekniske og organisatoriske tiltak, vurdert mot hva slags opplysninger du har og hva som kan gå galt.

For de fleste små bedrifter er de viktigste tiltakene kjedelige: to-faktor på alle admin-kontoer, oppdaterte systemer, egne brukere i stedet for én felles innlogging, og en backup som faktisk er testet. Tilganger bør ryddes hver gang noen slutter. Kryptert forbindelse på hele nettsiden er i praksis et minstekrav i dag.

Verktøyene du bruker, gjør deg avhengig av andre. Da trenger du en databehandleravtale, og du må vite om du er behandlingsansvarlig eller databehandler i det enkelte tilfellet. GDPR artikkel 28 og databehandleravtale: hva kreves? og Behandlingsansvarlig og databehandler etter GDPR: hvem er hvem? avklarer rollene.

Skjer det likevel et brudd, gjelder egne rutiner for vurdering og varsling. Databrudd og brudd på GDPR: hva må bedriften gjøre? beskriver gangen, og det er lurt å ha lest den før du trenger den. Den viktigste forberedelsen er å vite hvem som gjør hva når noe først skjer.

Universell utforming av nettsider

Universell utforming handler om at flest mulig kan bruke nettsiden uten tilpasning: navigere med tastatur, lese med skjermleser, se innholdet med nedsatt syn, og forstå skjemaer og feilmeldinger. Det er et krav for mange nettløsninger, men det er også ren brukervennlighet for alle. Universell utforming av nettsider: hva kreves? går gjennom hva som gjelder for din type virksomhet.

Konkrete tiltak som gir effekt raskt: tekstalternativ på bilder som formidler noe, tydelig fokusmarkering når man tabber seg gjennom siden, ledetekster som er knyttet til riktig felt, og feilmeldinger skrevet i tekst i stedet for bare rød ramme. Kontrast på knapper og lenker er nesten alltid for svak i ferdige maler.

En vanlig fallgruve er å stole på en automatisk test som gir grønt lys. Den fanger noen tekniske feil, men ikke om skjemaet er mulig å fullføre med skjermleser. Prøv selv: naviger gjennom kontaktskjemaet med bare tastaturet, og se hvor du mister oversikten.

Regler for nettbutikk: angrerett og kjøpsloven

Selger du til forbrukere på nett, har kunden rett til å angre kjøpet innen fristen, og du må opplyse om det på en måte som er lett å finne. Angrerett ved nettkjøp: loven, fristen og kjøpsloven forklarer hovedreglene og hvilke unntak som finnes.

Skjemaene er en del av rutinen, ikke bare en PDF nederst på siden. Slik lager du angrerettsskjema og returskjema for netthandel viser hvordan du lager skjemaene slik at de er enkle å fylle ut og enkle for deg å behandle. En retur som starter med et uklart skjema, blir raskt en dårlig kundeopplevelse.

Kjøpsloven gjelder i tillegg, og den handler om noe annet enn angrerett. Kjøpsloven ved netthandel: hva nettbutikken må vite tar for seg reklamasjon og mangler. Husk også at vilkårene må stemme med det du faktisk leverer, ellers blir de et irritasjonsmoment i stedet for et vern.

Markedsføringsloven: reklame, priser og nyhetsbrev

Markedsføringsloven setter rammen for hvordan du kan beskrive bedriften, produktene og prisene. Hovedregelen er at markedsføringen skal være tydelig og ikke villedende, og at du skal kunne dokumentere påstandene du bruker. Det gjelder også påstander du har arvet fra en leverandør.

Nyhetsbrev og SMS er der de fleste feilene skjer, fordi det er lett å importere en kundeliste og sende i vei. Markedsføringsloven og e-postmarkedsføring: regler for nyhetsbrev går gjennom samtykke, avmelding og hvordan du skiller markedsføring fra en vanlig henvendelse fra en kunde.

Priser skal merkes slik at kunden ikke må gjette, og rabatter bør være reelle. Sammenligner du med egen tidligere pris, bør du kunne vise at den har vært brukt over tid og ikke bare satt opp for anledningen. Skriv konkret hva som er inkludert, særlig frakt og tillegg, og la det stå i samme format overalt.

Slik holder du etterlevelsen ved like

Etterlevelse er ikke et prosjekt som blir ferdig, men noe som må holdes ved like. Sett opp en fast runde, for eksempel hvert kvartal, der dere går gjennom hvilke verktøy som er i bruk, hvem som har tilgang, og om personvernerklæringen fortsatt stemmer med praksis.

Det som oftest blir liggende, er sletting. Gamle henvendelser, kundelister fra kampanjer og chatlogger samler seg opp uten at noen har bestemt hvor lenge de skal lagres. GDPR-sjekkliste og maler for små bedrifter gir et rammeverk du kan følge, og gjør det enklere å fordele oppgavene mellom to personer i stedet for å ha dem i ett hode.

Vil du at struktur, skjemaer og samtykke skal henge sammen fra starten, er det dette Nettsaga jobber med. Du kan book en demo hvis du vil se hvordan det ser ut, og lese mer om nettside for bedriften først.

Vanlige spørsmål

Hva er GDPR enkelt forklart?
Personvernforordningen er reglene for hvordan virksomheter kan samle inn, bruke og lagre opplysninger om personer. Den gjelder også for en liten nettside med et kontaktskjema.
Må nettsiden min ha personvernerklæring?
Ja, hvis du behandler personopplysninger, og det gjør du så snart du har et kontaktskjema, en chat eller en nettbutikk. Erklæringen skal beskrive det du faktisk gjør, ikke hva malen sier.
Trenger jeg samtykke for alle informasjonskapsler?
Nei. Kapsler som er strengt nødvendige for at siden skal fungere, kan settes uten samtykke. Statistikk, annonsering og sporing krever at brukeren har tatt et aktivt valg.
Gjelder angrerett når jeg selger til bedrifter?
Hovedregelen er at angreretten gjelder forbrukere. Selger du til næringsdrivende, er utgangspunktet et annet, men det finnes unntak du bør kjenne til.
Er universell utforming lovpålagt for nettsider?
Det finnes krav til universell utforming for nettløsninger, men omfanget avhenger av hva slags virksomhet du driver. Sjekk hva som gjelder for deg før du bestiller ny nettside.

Alle artikler om personvern og regler

Relaterte artikler