GDPR och cookies

GDPR reglerar hur personuppgifter får samlas in, lagras och behandlas, vilket påverkar allt från kontaktformulär till analysverktyg på webbplatsen. Webbplatsen måste ha en rättslig grund för varje typ av databehandling och informera besökare tydligt om vad som samlas in. Bristande efterlevnad kan leda till sanktioner från Integritetsskyddsmyndigheten.

Ja, om webbplatsen använder cookies som inte är strikt nödvändiga för grundfunktionaliteten, exempelvis analys- eller marknadsföringscookies, krävs samtycke innan de aktiveras. Strikt nödvändiga cookies, som de som krävs för en varukorg, kräver inte samtycke men bör ändå omnämnas i cookiepolicyn. Vi implementerar samtyckeslösningar som skiljer mellan dessa kategorier korrekt.

En personuppgift är all information som direkt eller indirekt kan kopplas till en identifierbar person, exempelvis namn, e-postadress, IP-adress eller cookie-ID. Även beteendedata som kan kombineras för att identifiera en individ omfattas. Det innebär att de flesta webbplatser hanterar personuppgifter i någon form, ofta utan att vara medvetna om det.

En integritetspolicy ska tydligt förklara vilka personuppgifter som samlas in, varför, hur länge de sparas och vilka rättigheter besökaren har enligt GDPR. Den ska även ange vem som är personuppgiftsansvarig och hur besökare kan kontakta verksamheten i frågor om sina uppgifter. Texten behöver vara begriplig, inte bara juridiskt korrekt.

Ja, samtycke måste ges genom en aktiv handling, exempelvis att klicka i en ruta eller trycka på en knapp, förifyllda kryssrutor räknas inte som giltigt samtycke. Besökaren ska också lika enkelt kunna neka som acceptera. Vi bygger samtyckeslösningar som uppfyller dessa krav utan att försämra användarupplevelsen i onödan.

Utan giltigt samtycke bryter användningen mot GDPR eftersom Google Analytics samlar in identifierbar besöksdata via cookies. Det kan leda till sanktioner samt krav på att åtgärda hanteringen retroaktivt. Vi säkerställer att analysverktyg endast aktiveras efter att korrekt samtycke lämnats.

Det beror på vilket land och vilka skyddsåtgärder som finns på plats, eftersom överföring till länder utanför EU/EES kräver extra rättslig grund, exempelvis standardavtalsklausuler. Vissa amerikanska molntjänster har särskilda utmaningar kopplade till detta efter tidigare rättsliga avgöranden. Vi rekommenderar att granska var data faktiskt lagras innan val av tjänsteleverantör görs.

Den personuppgiftsansvariga bestämmer syftet och medlen för behandlingen av personuppgifter, medan biträdet behandlar uppgifterna på uppdrag av den ansvariga, exempelvis en hostingleverantör eller ett CRM-system. Ett personuppgiftsbiträdesavtal krävs mellan parterna för att reglera ansvar och säkerhet. Detta är särskilt relevant vid integrationer mot tredjepartssystem.

Ja, ett kontaktformulär behöver informera om hur inskickade uppgifter behandlas, även om det inte alltid kräver ett separat kryssruteval om syftet är tydligt och avgränsat. Bästa praxis är att länka till integritetspolicyn i anslutning till formuläret. Vi bygger in detta som standard i formulär vi utvecklar.

Personuppgifter får bara sparas så länge det finns ett berättigat syfte med lagringen, därefter ska de raderas eller anonymiseras. Exakt tidsgräns beror på ändamålet, till exempel bokföringslagens krav eller hur länge en kundrelation är aktiv. Vi hjälper till att sätta upp rutiner och tekniska lösningar för radering när lagringstiden löpt ut.

Rätten att bli glömd innebär att en person kan begära att deras personuppgifter raderas om det inte finns en rättslig grund att fortsätta behandla dem. Verksamheten måste kunna hantera sådana förfrågningar inom rimlig tid och radera uppgifterna även från kopplade system. Vi bygger tekniska lösningar som gör radering praktiskt genomförbar, inte bara teoretiskt möjlig.

Ja, om spårningsverktyg blockeras eller aktiveras felaktigt påverkas datakvaliteten i analys- och annonsplattformar, vilket försvårar uppföljning och optimering av marknadsföring. Dessutom riskerar felaktig hantering sanktioner som kan skada varumärket. En korrekt implementerad samtyckeslösning skyddar därför både juridik och marknadsföringseffektivitet.

Consent mode är en teknik som justerar hur verktyg som Google Analytics och Google Ads samlar in data beroende på besökarens samtyckesval. Det gör att viss mätning kan fortsätta i modellerad form även utan fullt samtycke, samtidigt som juridiska krav respekteras. Vi implementerar consent mode för kunder som använder Googles marknadsföringsverktyg.

Ja, analysverktyg som Google Analytics kräver samtycke innan icke nödvändiga cookies eller liknande tekniker aktiveras. Bannern ska vara ett verkligt val, där besökaren kan tacka nej lika enkelt som att godkänna. Alternativet är att använda ett analysverktyg som mäter helt utan personuppgifter och cookies.

Vi bygger in samtyckeshantering, dataminimering och tydlig informationstext redan i projektets tekniska grund, inte som ett tillägg i efterhand. Integrationer granskas för var data lagras och vilka avtal som krävs med tredje part. Vi rekommenderar också alltid juridisk rådgivning för den formella integritetspolicyn, eftersom vi levererar den tekniska lösningen.