Det korta svaret
Ja, GDPR gäller för er nya webbplats eller webbutik så snart personuppgifter flödar genom den. Det händer snabbare än många företagare tror: ett kontaktformulär, en beställning med namn och adress, en cookie-banner för analys, eller ett chattfönster som frågar efter en e-postadress — det är allt behandlingar av personuppgifter. Storleken på er verksamhet eller antalet besökare spelar ingen roll.
Det som skiljer sig åt är omfattningen av vad som krävas av er. En informativ webbplats med bara en adress och telefonnummer kräver lite. En webbutik med kundkonton, betalningsuppgifter, leveransadresser och ett nyhetsbrev kräver mer: där är flera parter inblandade som behandlar uppgifter för er räkning, och det hör avtal till.
När påverkar detta er konkret
GDPR träder i bild från det ögonblick då er webbplats eller webbutik gör något med uppgifter som kan hänföras till en person. Tänk på ett kontaktformulär som sparar namn och e-postadress, ett analysverktyg som följer besökarnas beteende, en annonspixel från en tredje part, ett inloggningskonto för kunder, eller en beställningsprocess där adress- och betalningsuppgifter samlas in och skickas vidare till en paketdienst eller betalningsleverantör.
Var och en av dessa komponenter innebär att det finns en part som behandlar uppgifterna för er räkning: er värdleverantör, er webbutikplattform, er analysleverantör, er e-postmarketingverktyg. För dessa parter gäller i de flesta fall att det bör finnas ett databehandlaravtal. Hur ni bedömer avtalet och vad ni ska observera förklaras i kunskapsbanken med vägledning för varje situation.
När påverkar detta er mindre
En helt informativ webbplats utan formulär, utan spårningscookies och utan tredje parter som övervakar, behandlar få eller inga personuppgifter. I det fallet är påverkan från GDPR begränsad. Men i praktiken är detta sällsynt: de flesta webbplatser har åtminstone ett kontaktformulär eller ett analysskript, och båda räknas redan som behandling.
Det är alltså inte en fråga om 'påverkar detta mig eller inte', utan 'i vilken utsträckning'. En enkel broschyrwebbplats kräver en kort integritetspolicy och en granskning av de verktyg som används. En webbutik med kundkonton och flera leverantörer kräver en mer fullständig överblick: vilket verktyg behandlar vad, vem är databehandlare, och vilka uppgifter lagras var.
Vad detta innebär i praktiken
När ni bygger en ny webbplats eller webbutik uppstår det vanligtvis tre frågor samtidigt. För det första: vilka verktyg och leverantörer kommer att behandla uppgifter för er räkning, och har ni ett databehandlaravtal med var och en av dem? För det andra: finns det en integritetspolicy på webbplatsen som förklarar vad ni gör och varför? För det tredje: är denna nya behandling införd i er behandlingsregister, så att ni när som helst kan visa vad som händer?
Dessa tre frågor bör inte besvaras löst från varandra. En webbutikplattform, en betalningsleverantör och en leveranspart är ofta alla tre databehandlare, och var och en av dem bör få en plats i registret. Om något går fel på vägen — till exempel för att en leverantör skickar uppgifter oskyddat — är det ett tillfälle att snabbt kunna bedöma vad som har hänt och om detta är anmälningspliktigt. En första indikation på detta får ni med några frågor som omedelbar ger vägledning.
Hur detta förhåller sig till befintliga skyldigheter
En ny webbplats eller webbutik är vanligtvis ingen separat GDPR-skyldighet, utan en utökning av vad som redan gällde. Om ditt företag redan hanterar personals uppgifter eller redan registrerar kunduppgifter kommer webbplatsen överst: nya processorer, nya dataflöden, och därmed ett tillägg till registret och de befintliga databehandlaravtalen. GDPR själv och vägledningen från EDPB och Datainspektionen utgör utgångspunkten; hur denna information är strukturerad på denna plattform och var källan för varje del finns framgår av förklaringen av hur informationen är strukturerad.
Huruvida din specifika webbplats eller webbutik helt uppfyller GDPR är något som du bäst går igenom med en jurist eller, om du är osäker på en specifik behandling, med Datainspektionen. Denna artikel ger vägledning, inte juridisk rådgivning.
Kontrollera själv var du står
Vill du snabbt se vilka komponenter som hör till din nya webbplats eller webbutik — vilka verktyg, vilka processorer, vilka dokument? Gör den kostnadsfria snabbkontroll eller bläddra genom ämnena i kunskapsbanken. Vill du följa detta strukturellt så snart registret och övervakningen kommer på plats kan du skapa ett affärskonto och fortsätta från där du är nu.