Det korte svar
Ja, GDPR gælder for jeres nye website eller webshop, så snart der løber personoplysninger igennem det. Det sker hurtigere, end mange iværksættere tror: en kontaktformular, en bestilling med navn og adresse, en cookiebanner til analyse, eller et chatvindue, der anmoder om en e-mailadresse — det er alle behandlinger af personoplysninger. Størrelsen på jeres virksomhed eller antallet af besøgende spiller ingen rolle.
Det, der dog varierer, er omfanget af det, der kræves af jer. Et informativt website med kun en adresse og telefonnummer kræver lidt. En webshop med kundekonti, betalingsoplysninger, leveringsadresser og et nyhedsbrev kræver mere: der er flere parter involveret, som behandler data på jeres vegne, og der skal være aftaler på plads.
Hvornår påvirker det jer konkret
GDPR kommer i billedet fra det øjeblik, jeres website eller webshop gør noget med oplysninger, som kan føres tilbage til en person. Tænk på en kontaktformular, der gemmer navn og e-mailadresse, et analyseværktøj, der følger besøgendes adfærd, en reklamepixel fra en tredjepart, en login-konto for kunder, eller en bestillingsproces, hvor adresse- og betalingsoplysninger registreres og sendes videre til en pakkeudbyder eller betalingsudbyder.
Hver af disse komponenter betyder, at der er en part, som behandler oplysningerne på jeres vegne: jeres hostingudbyder, jeres webshop-platform, jeres analyseleverandør, jeres e-mailmarketingværktøj. For disse parter gælder det i de fleste tilfælde, at der skal være en databehandleraftale. Hvordan I vurderer denne aftale, og hvad I skal være opmærksom på, er udarbejdet i vidensbanken med forklaring pr. situation.
Hvornår påvirker det jer mindre
Et rent informativt website uden formularer, uden sporings-cookies og uden tredjepart, som følger med, behandler få eller ingen personoplysninger. I så fald er påvirkningen fra GDPR begrænset. Men i praksis er dette sjældent: de fleste websites har i det mindste en kontaktformular eller et analyseScript, og begge tæller allerede som behandling.
Det er således ikke et spørgsmål om 'påvirker det mig eller ej', men snarere 'i hvilket omfang'. Et simpelt brochurewebsite kræver en kort privatlivserklæring og et blik på de anvendte værktøjer. En webshop med kundekonti og flere leverandører kræver et mere fuldstændigt overblik: hvilket værktøj behandler hvad, hvem er databehandler, og hvilke oplysninger gemmes hvor.
Hvad det betyder i praksis
Når I bygger et nyt website eller en ny webshop, opstår der normalt tre spørgsmål samtidigt. For det første: hvilke værktøjer og leverandører behandler snart oplysninger på jeres vegne, og har I med hver af dem en databehandleraftale? For det andet: er der en privatlivserklæring på webstedet, der forklarer, hvad I gør, og hvorfor? For det tredje: er denne nye behandling registreret i jeres behandlingsoversigt, så I på ethvert tidspunkt kan vise, hvad der sker?
Disse tre spørgsmål bør ikke besvares uafhængigt af hinanden. En webshop-platform, en betalingsudbyder og en forsendelsespartner er ofte alle tre databehandlere, og hver af dem bør få en plads i oversigten. Hvis noget går galt undervejs — for eksempel fordi en leverandør sender data videre uden sikkerhed — så er det et tidspunkt at kunne hurtigt vurdere, hvad der er sket, og om det skal anmeldes. En første indikation heraf får I med et par spørgsmål, der straks giver en retning.
Hvordan dette forholder sig til eksisterende forpligtelser
Et nyt websted eller webshop er normalt ikke en separat GDPR-forpligtelse, men en udvidelse af det, der allerede var gældende. Hvis dit firma allerede behandler personaledata eller allerede registrerer kundedata, kommer webstedet oveni: nye databehandlere, nye datastrømme, og således en tilføjelse til registret og de eksisterende databehandleraftaler. GDPR selv og retningslinjerne fra EDPB og Datatilsynet danner grundlaget; hvordan denne information er struktureret på denne platform, og hvor kildehenvisningen for hver del findes, læser du under forklaringen på, hvordan informationen er struktureret.
Om dit specifikke websted eller webshop fuldt ud opfylder GDPR, er noget, du bedst kan gennemgå med en jurist eller, hvis du er i tvivl om en konkret behandling, med Datatilsynet. Denne artikel giver vejledning, ikke juridisk rådgivning.
Kontroller selv, hvor du står
Vil du hurtigt se, hvilke dele der hører til dit nye websted eller webshop — hvilke værktøjer, hvilke databehandlere, hvilke dokumenter? Udfør den gratis quick-scan eller gennemse emnerne i videnbanken. Vil du overvåge dette strukturelt, når registret og overvågningen kommer ind, kan du oprette en forretningskonto og fortsæt herfra, hvor du nu står.