- mai kom og gikk. GDPR gjelder nå.
Datatilsynet har varslet at de ikke vil jage SMB-er i race for å finne brudd den første dagen. Men regelverket er i kraft, og "vi fikk det ikke til i tide" er ikke et holdbart svar på lang sikt.
Har du ikke gått gjennom nettsiden din ennå, er i dag like godt som noen dag. Her er hva som faktisk bør være på plass.
1. Personvernerklæring
Nettsiden din trenger en personvernerklæring som er skrevet for å leses, ikke for å unngås. Den skal forklare:
- hvilke personopplysninger du samler inn
- hvorfor du samler dem inn (rettslig grunnlag)
- hvem som eventuelt får tilgang til dem
- hvor lenge de lagres
- hvordan brukeren kan be om innsyn, retting eller sletting
Erklæringen skal være lett å finne, ikke bare et lenke i bunnteksten med mikroskrift.
2. Cookie-samtykke
Bruker nettsiden cookies til sporing, analyse eller markedsføring, må du ha et synlig samtykkebanner som lar brukeren velge. Det er ikke nok å informere. Brukeren må aktivt samtykke til ikke-nødvendige cookies.
Det betyr at Google Analytics, Facebook Pixel, remarketing-tagger og lignende ikke skal lastes før brukeren har sagt ja.
3. Kontaktskjemaer
Kontaktskjemaer samler inn personopplysninger. Sjekk at:
- det er tydelig hva informasjonen brukes til
- du ikke ber om mer informasjon enn du trenger
- opplysningene lagres forsvarlig og ikke lenger enn nødvendig
- du har et system for å håndtere forespørsler om innsyn eller sletting
4. E-postlister
Dette er der mange bedrifter har mest å rydde opp i.
En GDPR-gyldig e-postliste betyr at hvert abonnement er basert på et aktivt, dokumentert samtykke, og at du kan bevise det. Kontakter som ble lagt til manuelt, ble importert fra en konferanse eller ikke har bekreftet abonnementet sitt, er i gråsonen.
Mange bedrifter sendte re-permission-kampanjer i april og mai. Har du ikke gjort det, bør du vurdere å gjennomgå listen og fjerne kontakter du ikke har gyldig samtykke for.
5. Databehandleravtaler
Bruker du tredjepartstjenester som behandler personopplysninger på vegne av deg (e-postplattform, CRM, analyseverktøy, chatfunksjon) skal du ha en databehandleravtale med leverandøren.
De fleste store leverandører (Mailchimp, Google, HubSpot) har oppdatert avtalene sine og lagt til GDPR-vilkår. Sjekk at du har akseptert dem.
Ikke vær redd: vær systematisk
GDPR er ikke designet for å straffe bedrifter som gjør en ærlig innsats for å behandle data ansvarlig. Det er designet for å straffe dem som ignorerer det.
Datatilsynet i Norge har varslet veiledning og dialog som utgangspunkt, ikke bøter ved første avvik. Men regelverket gjelder, og det forventes at bedrifter jobber aktivt for å etterleve det.
De viktigste tingene nå:
- ha en lesbar personvernerklæring på plass
- håndter cookies riktig
- vit hva du har av personopplysninger og hvor de er
Resten kan dere jobbe dere gjennom systematisk.
Usikker på hva som mangler på nettsiden din? Ta kontakt: vi går gjennom siden og gir deg en konkret liste over hva som bør på plass.