GDPR for nettstedet ditt: informasjonskapsler, eksternt innhold, skjemaer og personvernerklæring
Nesten alle nettsider behandler personopplysninger: navn og e-postadresser fra et skjema, bestillinger og kontoer, men også IP-adresser og informasjonskapsler (cookies). Da gjelder GDPR (personvernforordningen) og, for cookies, den nederlandske telekommunikasjonsloven (Telecommunicatiewet). Her leser du hva du bør passe på med din egen nettside.
Denne artikkelen er ikke juridisk rådgivning. Den gir hovedlinjene slik den nederlandske tilsynsmyndigheten Autoriteit Persoonsgegevens (AP) forklarer dem. Er du usikker på din egen situasjon, les sidene til AP eller spør en fagperson.
Cookies og samtykke
| Type | Krever samtykke? |
|---|---|
| Funksjonelle cookies som siden trenger, for eksempel en innloggingscookie, en handlekurv eller å huske cookievalget | Nei, men du må forklare dem |
| Analytiske cookies med ingen eller små konsekvenser for personvernet | Nei, hvis de oppfyller vilkårene til AP |
| Sporingscookies og alt som følger besøkende eller lager profiler, for eksempel annonser og de fleste innebygde tjenester fra store plattformer | Ja, og de skal først lastes etter at den besøkende har gitt samtykke |
En cookiebanner ber om dette samtykket. Ifølge AP forklarer du hvilke cookies du bruker og hvorfor, det skal være like enkelt å avslå som å godta, og ingen avkrysningsbokser skal være forhåndsavkrysset. En banner som laster sporingskoden før den besøkende har valgt, oppfyller ikke kravene. Velg en cookie-plugin som faktisk blokkerer skript, og sjekk det i utviklerverktøyene i nettleseren din (F12, fanen Nettverk).
Vil du telle besøkende uten cookiebanner? Les Mål besøkende uten cookiebanner.
Eksternt innhold
Laster en side noe fra en annen aktør, henter nettleseren til den besøkende det hos denne aktøren. Aktøren ser da minst IP-adressen, også uten cookies. Gå derfor gjennom hva siden din laster utenfra:
- Skrifttyper fra en ekstern tjeneste: legg dem på ditt eget webhotell.
- Videoer: bruk plattformens personvernvennlige innebyggingsmodus, eller et bilde som først laster videoen etter et klikk.
- Kart: et bilde med en lenke til kartet.
- Captchaer, chatvinduer og widgets: velg en variant uten ekstern tjeneste, eller last dem først etter samtykke.
- Avatarer i kommentarer går i WordPress som standard via Gravatar. Slå dem av hvis du ikke trenger dem (Innstillinger > Diskusjon).
Det som gjenstår, nevner du i personvernerklæringen din.
Skjemaer
- Spør bare om det du trenger. For en forespørsel om å bli ringt opp holder det med navn og telefonnummer.
- Sørg for at siden din bare fungerer via https: se Aktiver og forny SSL-sertifikat og løs problemer.
- Mange skjema-plugins lagrer hver innsending også i databasen, i tillegg til e-posten. Angi en lagringstid, eller slå av lagringen hvis e-posten er nok. Også loggen til en SMTP-plugin inneholder innsendinger.
- Påmelding til nyhetsbrevet skal være en egen avkrysningsboks, ikke forhåndsavkrysset.
Personvernerklæringen
I personvernerklæringen forteller du blant annet de besøkende:
- hvem du er og hvordan de når deg;
- hvilke opplysninger du behandler, til hvilket formål og på hvilket rettslig grunnlag;
- hvem du deler dem med, og om de overføres utenfor EU;
- hvor lenge du lagrer dem;
- hvilke rettigheter de har, for eksempel innsyn og sletting, og at de kan klage til AP;
- hvilke cookies og eksterne tjenester siden din bruker.
WordPress lager ved installasjonen en utkastside Personvernerklæring og gir eksempeltekster under Innstillinger > Personvern. Det er et utgangspunkt, ikke en ferdig tekst. Legg en lenke til personvernerklæringen i bunnteksten og ved hvert skjema. Under Verktøy kan du eksportere eller slette personopplysningene til en bruker hvis noen ber om det.
Bygger du siden din med AI Builder, kan den lage en personvernerklæring ut fra det som står på siden din, og vise en cookiebanner for tjenester fra andre aktører. Les alltid gjennom teksten og fyll inn det som mangler.
Databehandleravtalen med webhotellet ditt
Lar du en annen aktør behandle personopplysninger for deg, for eksempel webhotellet ditt, en e-posttjeneste eller en plugin med en skytjeneste, er denne aktøren en databehandler. Da inngår du en databehandleravtale. Med WebOké har du den allerede: den er et vedlegg til våre alminnelige vilkår. Se Databehandleravtale: hvor finner jeg den? For andre tjenester du bruker på siden din, ordner du det med den aktuelle tjenesten.
Går noe galt, for eksempel et hackerangrep eller en lekket sikkerhetskopi, kan det være et brudd på personopplysningssikkerheten som du må melde. Se Brudd på personopplysningssikkerheten hos AP og Hjelp! Siden min er hacket. Hvordan løser jeg det, og hvordan forebygger jeg det?
En kort trinnvis plan
- Lag en liste over alt på siden din som behandler personopplysninger: skjemaer, kontoer, bestillinger, kommentarer, statistikk, nyhetsbrev.
- Se hva siden din sender til andre aktører når den lastes.
- Fjern det som ikke trengs, og erstatt det som kan gjøres mer personvernvennlig.
- Be om samtykke for det som gjenstår og som faktisk krever det.
- Ordne databehandleravtaler og skriv eller omskriv personvernerklæringen din.
- Gå gjennom det på nytt hvert år, og etter hver nye plugin eller tjeneste.
Cookievalget på selve weboke.nl finner du i Cookies hos WebOké: se eller endre valget ditt. Det gjelder vår side, ikke din.
Les mer hos Autoriteit Persoonsgegevens
- Cookies: sørg for gode retningslinjer
- Tommelfingerregler for tydelige cookiebannere
- Rett til informasjon
Vil du lære mer? Ta det gratis WordPress-kurset, leksjon 9.3 GDPR: cookies, skjemaer og personvernerklæring.