Personvernarbeidet begynner med en oversikt over hvilke opplysninger dere bruker, hvorfor og hvem som får dem. Et cookie-banner eller en standard personvernerklæring løser ikke dette alene.
Denne artikkelen er en praktisk innføring, ikke en full juridisk vurdering av et bestemt oppsett. Ved tvil om behandlingsgrunnlag, sensitive opplysninger eller leverandørkjeder bør dere få en konkret faglig vurdering. Reglene må knyttes til det virksomheten faktisk gjør.
Skill mellom tre forskjellige spørsmål
GDPR regulerer behandling av personopplysninger. Ekomloven har egne regler om lagring og uthenting av opplysninger på brukerens utstyr. Markedsføringsloven regulerer blant annet markedsføring på e-post og SMS. Flere regler kan gjelde samtidig.
Et gyldig grunnlag for å svare på en forespørsel gir derfor ikke automatisk rett til å abonnere personen på et nyhetsbrev eller dele opplysninger med en annonseplattform.
Kartlegg formål og behandlingsgrunnlag
Lag en oversikt over skjemaer, e-postlister, CRM, analyseverktøy og annonsetagger. Skriv hvilket formål hver behandling har, hvilke opplysninger som trengs og hvilket grunnlag dere bygger på. Samtykke er ett av flere mulige grunnlag etter GDPR; Datatilsynet forklarer vurderingen.
Ikke be om flere felt i et kontaktskjema enn dere trenger. Et vanlig skjema bør heller ikke invitere kunden til å sende sensitive opplysninger hvis mottaket ikke er laget for det.
Kontroller sporing før samtykke
Fra 1. januar 2025 krever ekomloven et GDPR-gyldig forhåndssamtykke for cookies og lignende teknologier som ikke faller innenfor de snevre unntakene. Se Datatilsynets veiledning.
Brukeren må kunne gjøre et reelt valg og trekke det tilbake. Test nettstedet i en ny nettleserøkt før valg, etter avslag, etter godkjenning og etter tilbaketrekking. Undersøk også video, kart, chat og integrasjoner som kan laste tredjepartsteknologi. At en løsning kalles serverbasert eller «cookieless», avgjør ikke alene hvilke regler som gjelder.
Hold nyhetsbrev adskilt fra kontakt
Forbrukertilsynets veileder beskriver hovedregelen om forhåndssamtykke til elektronisk markedsføring til fysiske personer. Dette kan også omfatte en personlig jobbadresse.
Unntaket for eksisterende kundeforhold forutsetter blant annet adresse mottatt ved salg, egne tilsvarende ytelser og enkel, gebyrfri reservasjonsmulighet ved innsamling og senere utsendelser. En nedlasting eller en ubesvart tilbudsforespørsel er ikke i seg selv et slikt kundeforhold. Dokumenter vurderingen og abonnementet.
Avklar leverandører, tilgang og lagring
Finn ut hvilke leverandører som mottar opplysninger, hvilke roller de har og hvilke avtaler som trengs. Undersøk også eventuell behandling utenfor EØS. Et kjent produktnavn er ikke dokumentasjon på at deres konkrete bruk er riktig.
Personvernprinsippene omfatter blant annet dataminimering, lagringsbegrensning og sikkerhet. Lag rutiner for tilgang, sletting og håndtering av forespørsler om rettigheter. Ikke la gamle eksportfiler leve uten ansvarlig eier.
Gjør kontrollen til en del av endringer
Når et nytt skjema eller verktøy tas i bruk, kontroller dataløpet før publisering. Oppdater informasjonen til brukerne og test at den stemmer med løsningen. En integrasjon som endres kan også endre hvilke data som deles.
Begynn med én konkret gjennomgang: fyll ut hvert skjema med testdata og følg opplysningene til alle mottakere. Det gir et bedre utgangspunkt enn bare å lese teksten i banneret.
