Den som bygger en ny webbplats eller webshop tänker först på design, betalningsmetoder och inventering. GDPR-sidan kommer ofta senare, eller inte alls. Vad som då konkret händer: du kan inte ge ett fullständigt svar när en besökare frågar vilka uppgifter du har om honom, dina avtal med hosting- och analyspartner saknas, och cookies kan placeras innan en besökare har gett sitt samtycke till det. Det är inte abstrakta risker, utan situationer som uppstår ganska snabbt i praktiken.
Det handlar inte om ett böter eller ett kontrollmoment. Det handlar om en serie svaga punkter där förordningen kräver något, och som bara blir synliga när någon frågar: en kund, en affärspartner eller besökaren själv.
Integritetspolicyn är den synliga delen
En saknad eller ofullständig integritetspolicy är vanligtvis det första som märks, även för besökare själva. Men policyn är bara utsidan. Bakom kulisserna kräver GDPR bland annat att du vet vilka parter som behandlar uppgifter för din räkning, och att du fastslår avtal om det. Utan dessa avtal har du ingen överblick över vad en hostingpartner, ett e-postverktyg eller en betaltjänst exakt gör med dina besökares uppgifter.
Cookies och spårningsverktyg utan samtycke
En webshop eller webbplats använder ofta analys, annonsöer eller chattwidgetar som samlar in uppgifter redan när sidan läses in. Sker det innan besökaren har gjort ett val, då förutsätts det samtycke som förordningen kräver för det. Det här är en av de punkter där tillsynsmyndigheter i allmänna riktlinjer uttryckligen tittar på, utan att det säger något om en individuell situation.
Ingen databehandlaravtal, ingen överblick
Varje verktyg som behandlar dina besökares eller kunders uppgifter — ett paketspårningssystem, ett nyhetsbrevverktyg, en recensionsplattform — är regel en databehandlare. GDPR kräver att du har ett databehandlaravtal med dem. Saknas det, mister du inte bara ett dokument, utan också överblicken över vem som bevarar vilka uppgifter var. Den överblicken är precis vad ett behandlingsregister gör synligt, och det är också vad en kund eller upphandlare kan fråga om. Vill du se hur ett sådant avtal ser ut i praktiken, kan du gå igenom kunskapsbanken efter ämne.
Om något går fel ändå
En webshop behandlar vanligtvis fler uppgifter än en genomsnittlig webbplats: namn, adress, betalningsuppgifter, ibland födelsedata. Går något fel hos en av de parter som behandlar dessa uppgifter, räknas anmälningsplikten vid en dataskada med, tillsammans med den klocka som hör till det. Utan överblick över vilka verktyg som behandlar vilka uppgifter är det svårt att snabbt avgöra om och hur man ska reagera. Du får en första indikation på situationen genom att svara på ett par korta frågor om situationen.
Frågor från besökare som du inte kan besvara
Varje besökare och kund har rätt att fråga vilka uppgifter du har om honom, eller att begära radering. Utan register och utan klarhet om vilka verktyg som bevarar uppgifter är det svårt att fullständigt besvara en sådan begäran inom den tid som förordningen ställer för det. Det påverkar inte bara relationen med just den besökaren, utan också intrycket som en affärspartner eller försäkringsbolag får av ditt företag om frågor ställs.
Där det oftast knipar
I praktiken är det sällan ett stort misslyckande. Det är en ansamling: ett saknat avtal här, en cookie som placeras för tidigt där, ingen överblick över var data exakt finns. Varje del för sig verkar liten, men tillsammans gör de det svårt att ge ett fullständigt svar på en fråga — från en besökare, en kund eller en tillsynsmyndighet. Hur den grundläggande datasäkerheten ansluter till detta läser du på sidan om datasäkerhet.
Denna text är en allmän beskrivning och ingen juridisk rådgivning om din egen webbplats eller webbutik. För bedömning av din specifika situation kan du vända dig till en jurist eller till Datainspektionen.
Vill du först se var din egen webbplats eller webbutik befinner sig för närvarande? Den kostnadsfria snabbscanningen ger en indikation på några minuter, utan att du behöver skapa ett konto.