1. mai 2018 trer EUs personvernforordning (GDPR) i kraft. Den gjelder alle virksomheter som behandler personopplysninger om EU-borgere, og den gjelder i Norge gjennom EØS-avtalen.

Det er seks måneder igjen. Det høres lenge ut. Det er det ikke.

Hva er GDPR?

GDPR (General Data Protection Regulation) er EUs nye regelverk for behandling av personopplysninger. Det erstatter det gamle personopplysningsdirektivet fra 1995 og er langt mer konkret og strengt.

Det viktigste prinsippet: folk har rett til å vite hva slags data du samler inn om dem, hvorfor, og hva du gjør med det. De har også rett til å be om at dataene slettes.

Brudd kan gi bøter på opptil 4 % av global omsetning eller 20 millioner euro: det høyeste av de to.

Hva betyr det for en vanlig SMB-nettside?

Du trenger ikke juridisk avdeling for å forstå hva som må til. For de fleste norske SMB-nettsider dreier det seg om noen konkrete punkter:

Kontaktskjemaer og e-post Samler du inn navn og e-post via et kontaktskjema, behandler du personopplysninger. Du må ha et rettslig grunnlag for dette (som regel samtykke) og du må lagre opplysningene forsvarlig.

Google Analytics Analytics samler inn anonymiserte data om besøkende. Du bør ha en oppdatert personvernerklæring som beskriver dette, og du bør aktivere IP-anonymisering i Analytics-konfigurasjonen.

Nyhetsbrev og e-postlister Har du en e-postliste, må hvert abonnement være basert på et aktivt og dokumenterbart samtykke. Forhåndsavkryssede bokser og vage formuleringer holder ikke lenger.

Informasjonskapsler (cookies) Dersom nettsiden bruker cookies til sporing eller markedsføring, må du informere besøkende og innhente samtykke, ikke bare ha en setning i bunnteksten.

Personvernerklæring Du trenger en tydelig, forståelig personvernerklæring som forklarer hva du samler inn, hvorfor og hvordan besøkende kan utøve rettighetene sine. Ikke bare en juridisk tekst ingen leser.

Hva bør du gjøre nå?

Du trenger ikke gjøre alt på én gang, men du bør starte kartleggingen:

  1. Gå gjennom nettsiden og identifiser alle steder der personopplysninger samles inn.
  2. Sjekk om du har et gyldig grunnlag for innsamlingen.
  3. Vurder om personvernerklæringen din er oppdatert og forståelig.
  4. Sjekk samtykkeløsningen for nyhetsbrev og e-postlister.
  5. Sett opp en plan for å lukke de punktene som ikke er i orden innen mai.

Et konkurransefortrinn for de som er tidlig ute

GDPR er ikke bare en compliance-øvelse. Bedrifter som kommuniserer personvern tydelig og respekterer brukernes data, bygger tillit, og tillit er en konkurransefordel.

De fleste norske SMB-er vil vente til de må. De som er tidlig ute, slipper stresset og kan bruke det som et positivt signal til kunder og samarbeidspartnere.

Usikker på hva GDPR betyr konkret for din nettside? Ta kontakt: vi hjelper deg med en enkel gjennomgang av hva som bør på plass før mai 2018.