Det korta svaret
En del av att göra en ny webbplats eller webshop GDPR-kompatibel kan du göra själv: skapa en integritetspolicy, ställa in cookies korrekt och kontrollera vilka uppgifter du faktiskt samlar in. Det är steg som kräver främst överblick och disciplin, inte juridisk utbildning. En annan del blir svårare att hålla full överblick över själv: att bedöma avtal med din värdleverantör, betalningsleverantör eller analytikerverktyg, och att bedöma om en särskild koppling mellan verktyg kräver extra uppmärksamhet.
Gränsen ligger alltså inte mellan "kan jag göra det själv" kontra "måste jag ringa en jurist", utan vid frågan hur många parter som har insyn i dina uppgifter och hur känsliga dessa uppgifter är. En enkel broschyrwebbplats med ett kontaktformulär är mer överblickbar än en webshop med kundkonton, betalningsuppgifter och marknadsföringsverktyg som är kopplade till varandra.
Vad du vanligtvis kan ordna själv
Grunden för en integritetspolicy kan de flesta företag skapa själva, särskilt med en bra utgångspunkt. Den innehåller vem du är, vilka uppgifter du samlar in, varför och hur länge du sparar dem. Det är inte ett kreativt arbete utan en fråga om att beskriva din egen praktik noggrant. Samma gäller för kakbanderollen: om du vet vilka kakor din webbplats placerar och varför, är det att ställa in samtycke ett tekniskt steg som du själv eller tillsammans med din webbplatsbyggare kan hantera.
Du kan också själv skapa en överblick över de uppgifter du samlar in via formulär, konton eller en beställningsprocess. Denna överblick är förresten inte bara användbar för din webbplats: det är exakt den typ av information som också går in i ett behandlingsregister. Den som väl har denna överblick behöver inte skapa den på nytt när ett annat tillfälle uppstår, som när en kund frågar om ett avtal eller en försäkringsgivare frågar hur du hanterar uppgifter.
Där det blir mer komplicerat
Så fort din webbplats eller webshop skickar uppgifter till andra parter, som ett värdbolag, ett e-postmarknadsföringsverktyg, en betalningsleverantör eller en analystjänst, uppstår en behandlaravtalrelation. GDPR förväntar sig att denna relation är dokumenterad i ett avtal. Många av dessa parter har ett standardavtal klart, men det betyder inte att du kan skriva under det utan att titta. Frågan är alltid: vad får denna part göra med uppgifterna, var lagras de, och vad händer vid ett datakränkning hos denna part.
Det här är den punkt där att göra det själv blir mindre självklar. Inte för att det behöver vara komplicerat, utan för att överblicken snabbt blir större än en webshop: de flesta företag använder tio till tjugo SaaS-verktyg samtidigt, och varje verktyg som behandlar personuppgifter kräver i princip en egen kontroll. kunskapsbasen där detta har utretts per situation ger per ämne det korta svaret och källan i lagstiftningen, så att du själv kan bedöma om ett avtal räcker eller om något saknas.
Säkerhet är en annan fråga än texten på din webbplats
Vid sidan av texten på din webbplats spelar också tekniken bakom en roll: är anslutningen säker, lagras lösenord och kunduppgifter på rätt sätt, och vem har tillgång till hanteringen av webshopen. Det är inte juridiska frågor utan praktiska, och de hör till den större bilden. På sidan om skydd av sekretess och uppgifter läser du var den typen av frågor kommer från och varför tillsynsmyndigheter alltid tittar på dem vid en datakränkning.
När kallar du in någon annan
Det finns ingen skarp gräns för när egna åtgärder slutar och när verksamheten börjar outsourcas. För en enkel webbplats med ett kontaktformulär räcker det ofta att hantera det själv, förutsatt att du håller överblicken och håller den uppdaterad. När det gäller en webbshop med kundkonton, flera marknadsföringsverktyg och internationella leverantörer blir överblicken snabbt svårhanterlig, och det är just då många företag väljer att låta processen övervakas i stället för att upprätthålla den manuellt.
Oavsett om du fortsätter att göra det själv eller överlåter det till någon annan är det din beslut; lagen föreskriver ingen arbetsmetod, bara ett resultat. Om du är osäker på din egen situation är det en fråga för en jurist eller Myndigheten för dataskydd, inte något som ett system kan besluta för dig.
Ta reda på själv hur det förhåller sig i ditt fall
Många företag börjar med frågan om de överhuvudtaget behöver göra något, och den frågan är ofta snabbare att besvara än man tror. Läs de vanliga frågorna om vad som är nödvändigt och vad som inte är det eller gör den kostnadsfria kontrollen för att se hur din webbplats eller webbshop står till för närvarande. Om du sedan vill veta hur systemet bakom gdpria.eu håller denna överblick för dig kan du läsa det på sidan som visar var informationen kommer ifrån.
Kunskapsbanken och den första kontrollen är kostnadsfria, även utan konto. Om du vill att överblicken över dina verktyg och avtal förblir automatiskt uppdaterad kan du lugnt titta på vad som krävs för det.