GDPR handler om mere end navn og e-mail
GDPR står for General Data Protection Regulation, på dansk EU’s generelle databeskyttelsesforordning. Reglerne har været gældende siden 25. maj 2018 og sætter rammerne for, hvordan virksomheder og offentlige organisationer må behandle personoplysninger.
Personoplysninger er information, der kan knyttes til en bestemt person, enten direkte eller sammen med andre oplysninger. Det omfatter eksempelvis navn, e-mailadresse og leveringsadresse, men også IP-adresser og online-id’er kan være personoplysninger.
Derfor er GDPR relevant langt ud over kundekartoteket. En kontaktformular, en nyhedsbrevsliste eller et trackingværktøj kan alle indebære behandling af personoplysninger.
Behandling dækker i denne sammenhæng næsten alt, du gør med oplysningerne: indsamler, gemmer, analyserer, deler eller sletter dem. Reglerne gælder altså også for data, der bare ligger i et system.
Du skal have et lovligt grundlag for at bruge data
GDPR kræver, at enhver behandling af personoplysninger har et lovligt grundlag, også kaldet et behandlingsgrundlag. Det skal passe til det konkrete formål.
Samtykke er ét muligt grundlag, men ikke det eneste. Behandling kan eksempelvis også være nødvendig for at opfylde en aftale, overholde en retlig forpligtelse eller varetage en legitim interesse. Sidstnævnte kræver blandt andet en afvejning af virksomhedens interesser over for personens interesser og rettigheder.
En webshop kan eksempelvis behandle kundens navn og leveringsadresse for at gennemføre en bestilling. Kunden skal ikke give et særskilt GDPR-samtykke til den behandling, der er nødvendig for at levere varen.
Men oplysningerne må ikke automatisk bruges til ethvert andet formål. At en kunde har købt et produkt, er ikke i sig selv en fri adgang til at sende reklamer eller bruge kundens data til omfattende profilering.
Ud over behandlingsgrundlaget skal virksomheden blandt andet:
- Have et klart formål: Det skal være tydeligt, hvorfor oplysningerne behandles.
- Begrænse indsamlingen: Indsaml ikke flere oplysninger, end formålet kræver.
- Informere personen: Forklar blandt andet, hvad oplysningerne bruges til, og hvem de deles med.
- Begrænse opbevaringen: Gem ikke oplysninger længere, end der er behov for til formålet, medmindre andre regler kræver det.
- Beskytte oplysningerne: Sørg for passende sikkerhed og adgangsstyring.
Virksomheden skal også kunne dokumentere, at den overholder reglerne. En privatlivspolitik er derfor ikke nok, hvis den daglige håndtering af data ikke følger det, der står i den.
Når du bruger samtykke, skal brugeren have et reelt valg
Et gyldigt GDPR-samtykke skal være frivilligt, specifikt, informeret og utvetydigt. Brugeren skal forstå, hvad vedkommende siger ja til, og aktivt tilkendegive sit valg.
Det betyder eksempelvis, at et forhåndsafkrydset felt ikke er et gyldigt samtykke. Formuleringer som “Jeg accepterer, at mine data bruges til marketing” kan også være for upræcise, hvis det ikke fremgår, hvad behandlingen konkret omfatter.
Samtykket skal kunne dokumenteres, og det skal være lige så let at trække tilbage som at give. En tilbagetrækning ændrer ikke ved lovligheden af den behandling, der allerede er sket, men den behandling, som bygger på samtykket, skal ophøre.
Ved en nyhedsbrevstilmelding bør det derfor være tydeligt, hvem afsenderen er, og hvad personen tilmelder sig. Tilmeldingen bør ikke gemmes i generelle handelsbetingelser.
Her skal du samtidig skelne mellem GDPR og markedsføringsreglerne: GDPR regulerer behandlingen af personoplysninger, mens markedsføringsloven også stiller krav til, hvornår du må sende elektronisk markedsføring. Ét regelsæt erstatter ikke det andet.
Cookies og tracking kræver mere end et banner
GDPR bliver ofte brugt som samlebetegnelse for cookie-bannere, men cookie-reglerne og GDPR regulerer forskellige dele af processen.
Cookie-reglerne handler om at gemme eller tilgå oplysninger på brugerens enhed. GDPR handler om den efterfølgende eller samtidige behandling, hvis oplysningerne er personoplysninger.
Marketingcookies kræver som udgangspunkt samtykke, før de sættes. Hvis de indsamlede oplysninger kan knyttes til en person, skal behandlingen også overholde GDPR.
Et cookie-banner gør derfor ikke i sig selv et website lovligt. Den tekniske opsætning skal følge brugerens valg. Hvis annonceværktøjer begynder at tracke, før brugeren har accepteret det, løser bannerets formulering ikke problemet.
Det samme kræver opmærksomhed ved analytics. Du skal kende værktøjets faktiske dataindsamling og opsætning frem for blot at antage, at statistik er anonym. Data er ikke nødvendigvis anonyme, bare fordi du ikke kan se brugerens navn.
Hvem har ansvaret for oplysningerne?
GDPR skelner mellem to centrale roller:
- Den dataansvarlige bestemmer, hvorfor personoplysninger behandles, og de væsentlige rammer for hvordan.
- Databehandleren behandler personoplysninger på vegne af den dataansvarlige og efter dennes instruks.
Hvis en virksomhed bruger en nyhedsbrevsplatform til at opbevare abonnenter og udsende e-mails, vil virksomheden typisk være dataansvarlig, mens platformens leverandør er databehandler. Forholdet skal reguleres i en databehandleraftale.
Rollerne afhænger dog af den faktiske behandling. En leverandør er ikke automatisk databehandler, blot fordi den leverer et marketingværktøj. Hvis leverandøren bruger oplysninger til egne formål, kan ansvarsfordelingen være anderledes.
Du kan altså udlicitere opgaven, men ikke bare overlade hele ansvaret til leverandøren. Databehandleren har samtidig selvstændige forpligtelser efter GDPR.
Brugerne har rettigheder over deres oplysninger
Personen, oplysningerne handler om, kaldes den registrerede. GDPR giver blandt andet vedkommende ret til at:
- få information om behandlingen og indsigt i egne oplysninger
- få urigtige oplysninger rettet
- få oplysninger slettet i bestemte situationer
- gøre indsigelse mod visse behandlinger, herunder direkte markedsføring
- få visse oplysninger udleveret i et format, der kan bruges hos en anden udbyder, også kaldet dataportabilitet.
Rettighederne har betingelser og undtagelser. Retten til sletning betyder eksempelvis ikke, at en virksomhed altid skal slette alt med det samme. Nogle oplysninger kan være nødvendige at gemme på grund af lovkrav.
Start med de data, din marketing faktisk bruger
I praksis begynder GDPR-arbejdet med et overblik: Hvilke oplysninger indsamler I, hvor kommer de fra, hvilke systemer ligger de i, og hvem modtager dem?
Tag eksempelvis en leadformular. Her bør I kunne forklare, hvorfor hvert felt er nødvendigt, hvad indsendelsen udløser, hvor længe oplysningerne gemmes, og hvilke leverandører der får adgang. At nogen beder om et tilbud, er ikke automatisk en tilmelding til nyhedsbrevet.
Det overblik gør det lettere at vælge det rigtige behandlingsgrundlag, skrive forståelig information og håndtere brugerens valg. Det er også her, GDPR kan skabe værdi: færre overflødige data, tydeligere ansvar og mere gennemsigtighed for kunderne.