GDPR: informasjonskapsler, skjemaer og personvernerklæring

Modul 9: E-post, synlighet i søkemotorer, GDPR, vedlikehold og flytting · Lesetid: 10 minutter

Læringsmål: Etter denne leksjonen kan du bringe GDPR-grunnlaget for et WordPress-nettsted i orden: vite hvilke personopplysninger du behandler, håndtere informasjonskapsler og eksternt innhold riktig, sette opp skjemaer ordentlig og utarbeide en personvernerklæring.

Nøkkelbegreper: personopplysninger, behandling, behandlingsgrunnlag, informasjonsplikt, personvernerklæring, cookieregelen fra det europeiske ePrivacy-direktivet, samtykke, funksjonelle og analytiske informasjonskapsler, sporingsinformasjonskapsler, cookiebanner, eksternt innhold, skjemaer, lagringstid, databehandler, databehandleravtale, datalekkasje

Denne leksjonen er generell informasjon, ikke juridisk rådgivning. For din egen situasjon kan du lese informasjonen fra Datatilsynet, eller spørre en fagperson.

Hva GDPR har med nettstedet ditt å gjøre

GDPR (personvernforordningen) handler om personopplysninger: alt som gjør at du direkte eller indirekte kan kjenne igjen en person. På et nettsted er det mer enn du tror: et navn og en e-postadresse fra et skjema, en bestilling, en konto, men også en IP-adresse og en informasjonskapsel med et unikt nummer.

Nesten alle WordPress-nettsteder behandler dermed personopplysninger: i skjemaer, kommentarer, kontoer, bestillinger, serverlogger, sikkerhetskopier, e-postlogger (leksjon 9.1) og i det nettstedet ditt sender til andre parter. Blant annet gjelder disse reglene:

• Du trenger et behandlingsgrunnlag for hver behandling (artikkel 6 i GDPR), for eksempel: nødvendig for å oppfylle en avtale (en bestilling), samtykke (et nyhetsbrev), eller en berettiget interesse.
• Du behandler ikke mer enn nødvendig, og lagrer ikke lenger enn nødvendig.
• Du informerer folk om hva du gjør (artikkel 13 i GDPR): det gjør du i personvernerklæringen din.
• Du sikrer opplysningene på en passende måte (https, oppdateringer, sikkerhetskopier: resten av dette kurset).
• Lar du en annen part behandle opplysninger for deg (webhotellet ditt, en e-posttjeneste, en utvidelse med en skytjeneste), er det en databehandler, og da inngår du en databehandleravtale (artikkel 28 i GDPR). Webhotell og store tjenester har som regel en slik avtale klar.
• Går det galt (et hackerangrep, en lekket sikkerhetskopi), er det en datalekkasje som noen ganger må meldes (leksjon 7.5).

Informasjonskapsler: ePrivacy-direktivet

For informasjonskapsler (og lignende teknikker som local storage og sporingspiksler) gjelder i tillegg cookieregelen fra det europeiske ePrivacy-direktivet (i Norge: ekomloven; i Nederland: artikkel 11.7a i Telecommunicatiewet). Kort fortalt, slik den nederlandske personvernmyndigheten forklarer det:

• Funksjonelle informasjonskapsler som er nødvendige for at nettstedet skal fungere (en innloggingskapsel, en handlekurv, det å huske selve cookievalget): tillatt uten samtykke. Du må likevel informere om dem.
• Analytiske informasjonskapsler med ingen eller liten innvirkning på personvernet: tillatt uten samtykke, forutsatt at de oppfyller visse vilkår. Tenk på statistikk du fører selv, eller som er satt opp på en personvernvennlig måte (ingen deling av data, forkortede IP-adresser, ingen sporing på tvers av andre nettsteder).
• Sporingsinformasjonskapsler og alt som følger besøkende eller lager profiler (annonser, sosiale medier, de fleste innebygde tjenester fra store plattformer): først etter samtykke, og dermed først lasting etter at den besøkende har sagt «ja».

En cookiebanner ber om dette samtykket. Den nederlandske personvernmyndigheten nevner blant annet: forklar hvilke informasjonskapsler du bruker og hva de brukes til, det skal være like enkelt å avslå som å godta, og ingen forhåndsavkryssede bokser. En banner som bare har «OK», eller som allerede laster sporingskoden før det er gjort et valg, oppfyller ikke kravene. Det finnes mange cookie-utvidelser for WordPress; velg en som faktisk blokkerer skript til samtykke er gitt, og kontroller dette (oppgaven i denne leksjonen hjelper deg med det).

Eksternt innhold: hva nettstedet ditt sender til andre

Også uten informasjonskapsler sender nettstedet ditt opplysninger til andre parter, så snart en side laster noe fra dem. Nettleseren til den besøkende henter det da hos den parten, som i hvert fall ser IP-adressen. Eksempler:

I Tyskland kom en domstol (LG München I, januar 2022) til at det å laste skrifttyper fra en ekstern tjeneste uten samtykke var i strid med GDPR, fordi IP-adressen til den besøkende dermed ble videreformidlet. Det er ingen nederlandsk avgjørelse, men den viser hva saken dreier seg om: du må kunne forklare hver eneste eksterne kilde.

Skjemaer

Et skjema er en behandling. Legg merke til:

• Spør bare om det du trenger. For en tilbakeringingsforespørsel trenger du et navn og telefonnummer, ikke adresse og fødselsdato.
• Via https (leksjon 3.1), ellers sendes opplysningene ukryptert over internett.
• Hvor blir opplysningene av? Mange skjema-utvidelser lagrer hver innsending også i databasen, i tillegg til e-posten. Da ligger det tusenvis av innsendinger der etter noen år. Sett en lagringstid, eller slå av lagringen hvis e-posten er nok. Også e-postloggen til SMTP-utvidelsen din (leksjon 9.1) inneholder dem.
• Samtykke til nyhetsbrev er en egen boks, som ikke er forhåndsavkrysset. Et kontaktskjema er ikke en påmelding til nyhetsbrevet.
• Spambeskyttelse: se tabellen ovenfor.

Personvernerklæringen

WordPress lager ved installasjonen en utkastside kalt Personvernerklæring, og har under Innstillinger > Personvern en hjelpefunksjon med eksempeltekster; utvidelser som behandler data, kan legge til tekst der. Det er en start, ikke et sluttresultat. En personvernerklæring beskriver, i henhold til artikkel 13 i GDPR, blant annet:

• hvem du er, og hvordan folk kan nå deg;
• hvilke personopplysninger du behandler, til hvilket formål og på hvilket grunnlag;
• hvem du deler dem med (databehandlere, andre parter), og om de går utenfor EU;
• hvor lenge du lagrer dem;
• hvilke rettigheter folk har (innsyn, retting, sletting, innsigelse), og at de kan klage til Datatilsynet;
• hvilke informasjonskapsler og eksterne tjenester nettstedet ditt bruker.

Legg en lenke til personvernerklæringen i bunnteksten (leksjon 4.3), slik at den er lett å finne på hver side, og ved hvert skjema.

WordPress har under Verktøy også funksjoner for å eksportere personlige data og slette dem på forespørsel fra en bruker. Nyttig ved en innsyns- eller sletteforespørsel, men de finner bare data fra WordPress og fra utvidelser som er koblet til dette.

En enkel steg-for-steg-plan

1. Lag en liste over alle behandlinger på nettstedet ditt: skjemaer, kontoer, bestillinger, kommentarer, statistikk, nyhetsbrev, logger, sikkerhetskopier.
2. Se hva nettstedet ditt sender til andre parter når det lastes (oppgaven i denne leksjonen).
3. Fjern det som ikke er nødvendig; erstatt det som kan gjøres mer personvernvennlig.
4. Ordne samtykke for det som blir igjen og faktisk trenger samtykke, med en banner som blokkerer skript.
5. Inngå databehandleravtaler, og skriv (eller skriv om) personvernerklæringen din.
6. Se på det igjen hvert år (leksjon 9.4), og etter hver ny utvidelse som behandler data.

Oppsummering

• Nesten alle WordPress-nettsteder behandler personopplysninger: skjemaer, kontoer, IP-adresser, logger, sikkerhetskopier.
• Funksjonelle og begrensede analytiske informasjonskapsler er tillatt uten samtykke; sporing først etter samtykke, og da først lasting.
• Eksternt innhold (skrifttyper, videoer, kart, captchaer) sender data til andre; gjør det lokalt eller last det først etter et klikk.
• Spør bare om det nødvendige i skjemaer, ikke lagre innsendinger for alltid, eget og ikke forhåndsavkrysset nyhetsbrevvalg.
• En personvernerklæring i henhold til artikkel 13 i GDPR, lett å finne på hver side; databehandleravtaler med webhotellet og tjenestene dine.

Quiz

Oppgave

Oppgave A9.3: Hva sender nettstedet ditt til andre? Fyll inn adressen til nettstedet ditt. Programmet laster forsiden slik en ny besøkende uten informasjonskapsler og uten samtykke ville sett den, og gir deg en oversikt: hvilke informasjonskapsler serveren setter umiddelbart (bare navnene), og fra hvilke andre domener siden laster skript, skrifttyper, iframer eller bilder. Kjente tjenester for statistikk, annonser, sosiale medier, skrifttyper og video blir meldt med navn (oransje: «kontroller om dette først laster etter samtykke, eller erstatt det»). I tillegg kontrolleres det om det finnes en lenke til en personvernerklæring på forsiden.

Oppgave D9.3: Din behandlingsliste og personvernerklæring. Lag en liste over alle behandlinger på nettstedet ditt (skjemaer, kontoer, bestillinger, kommentarer, statistikk, nyhetsbrev, logger, sikkerhetskopier) med for hver behandling: hvilke opplysninger, til hvilket formål, grunnlag, hvor de lagres, hvor lenge, og hvilken databehandler. Sammenlign listen med personvernerklæringen din, og kryss av det som allerede står der. Noter hva du legger til eller fjerner, og hvilke eksterne tjenester fra oppgave A9.3 du erstatter eller setter bak et samtykke.

Les mer

Disse artiklene handler om WebOké selv; forklaringen for ditt eget nettsted finner du hos personvernmyndigheten i ditt land (i Norge: Datatilsynet).

• Cookies hos WebOké: se eller endre valget ditt
• Informasjonskapsler (Autoriteit Persoonsgegevens): https://www.autoriteitpersoonsgegevens.nl/themas/internet-slimme-apparaten/cookies
• Informasjonskapsler og din organisasjon: sørg for en god policy (Autoriteit Persoonsgegevens): https://www.autoriteitpersoonsgegevens.nl/themas/internet-slimme-apparaten/cookies/cookies-en-uw-organisatie-zorg-voor-een-goed-beleid
• Tydelige cookiebannere (Autoriteit Persoonsgegevens): https://www.autoriteitpersoonsgegevens.nl/themas/internet-slimme-apparaten/cookies/heldere-cookiebanners
• Rett til informasjon (Autoriteit Persoonsgegevens): https://www.autoriteitpersoonsgegevens.nl/themas/basis-avg/privacyrechten-avg/recht-op-informatie
• Datalekkasjer (Autoriteit Persoonsgegevens): https://www.autoriteitpersoonsgegevens.nl/themas/beveiliging/datalekken
• Personvern i WordPress (wordpress.org, engelsk): https://wordpress.org/documentation/article/settings-privacy-screen/