Når man bygger et nyt website eller en ny webshop, tænker man først på design, betalingsmuligheder og lager. GDPR-siden kommer ofte senere, eller slet ikke. Hvad der så konkret sker: du kan ikke give et fuldstændigt svar, hvis en besøgende spørger, hvilke data du har om ham, dine kontrakter med hosting- og analysepartnere mangler, og cookies bliver muligvis placeret, før en besøgende har givet samtykke dertil. Disse er ikke abstrakte risici, men situationer, som opstår ret hurtigt i praksis.
Det handler ikke om én bøde eller ét kontrolmoment. Det handler om en række løse steder, hvor forordningen spørger efter noget, og som først bliver synlige, når nogen spørger efter det: en kunde, en forretningspartner eller den besøgende selv.
Privatlivserklæringen er den synlige del
En manglende eller ufuldstændig privatlivserklæring er normalt det første, som bliver bemærket, også af besøgende selv. Men erklæringen er kun ydersiden. Bag ved scenen kræver GDPR blandt andet, at du ved, hvilke parter der behandler data på dine vegne, og at du fastsætter aftaler herom. Uden disse aftaler har du ikke overblik over, hvad en hostingpartner, et e-mailværktøj eller en betalingstjeneste præcist gør med dine besøgendes data.
Cookies og sporingsværktøjer uden samtykke
En webshop eller et website bruger ofte analyser, annonceringspixels eller chatwidgets, som allerede indsamler data, når siden indlæses. Hvis det sker, før den besøgende har truffet et valg, handler det forud for det samtykke, som forordningen kræver dertil. Dette er et af de punkter, hvor tilsynsmyndigheder i generelle retningslinjer eksplicit kigger, uden at det siger noget om en individuel situation.
Ingen databehandleraftale, intet overblik
Hvert værktøj, som behandler data fra dine besøgende eller kunder — et pakke-spor-og-trace-system, et nyhedsbrevsværktøj, en anmeldelsesplatform — er som regel en databehandler. GDPR kræver, at du har en databehandleraftale med dem. Hvis den mangler, mister du ikke kun et dokument, men også overblikket over, hvem der behandler, hvilke data hvor. Dette overblik er præcist det, som et behandlingsregister gør synligt, og det er også det, som en kunde eller opdrætsgiver kan spørge efter. Vil du se, hvordan en sådan aftale i praksis ser ud, kan du gennemgå videnbanken emne for emne.
Hvis der så alligevel går noget galt
En webshop behandler normalt mere data end et gennemsnitligt website: navn, adresse, betalingsdata, nogle gange fødselsdato. Hvis der går noget galt med en af parterne, som behandler disse data, tæller underrettelsesbetingelsen ved et datalæk med, sammen med klokken, som hører til. Uden overblik over, hvilke værktøjer som behandler, hvilke data, er det vanskeligt hurtigt at afgøre, om og hvordan man skal reagere. Et første tegn på situationen får du med et par korte spørgsmål om situationen.
Spørgsmål fra besøgende, som du ikke kan besvare
Hver besøgende og kunde har ret til at spørge, hvilke data du har om ham, eller til at anmode om sletning. Uden register og uden klarhed over, hvilke værktøjer som behandler data, er sådan en anmodning vanskelig at besvare fuldstændigt inden for den frist, som forordningen fastsætter dertil. Det påvirker ikke kun forholdet til denne ene besøgende, men også det billede, som en forretningspartner eller forsikringsselskab får af dit firma, hvis der bliver spurgt dertil.
Hvor dette normalt gnider
I praksis er det sjældent ét stort savn. Det er en ophobning: en manglende kontrakt her, en cookie, der placeres for tidligt der, intet overblik over, hvor data præcis befinder sig. Hver del virker lille for sig selv, men sammen gør de det vanskeligt at give et fuldstændigt svar på et spørgsmål — fra en besøgende, en kunde eller en tilsynsmyndighed. Hvordan databeskyttelsen knytter sig hertil, kan du læse om siden om databeskyttelse.
Denne tekst er en generel beskrivelse og ikke juridisk rådgivning om dit eget websted eller webshop. For vurdering af din specifikke situation kan du kontakte en jurist eller Datatilsynet.
Vil du først se, hvor dit eget websted eller din webshop befinder sig i øjeblikket? Den gratis quick-scan giver på nogle få minutter en indikation uden, at du skal oprette en konto.