Två regelverk som samverkar
Reglerna om cookies finns i lagen om elektronisk kommunikation, LEK. Den gäller all lagring av och åtkomst till information i besökarens enhet, oavsett om det handlar om personuppgifter eller inte. Tillsynsmyndighet är PTS.
GDPR gäller all behandling av personuppgifter, till exempel namn och e-post från ett kontaktformulär, IP-adresser och identifierare i analysverktyg. Tillsynsmyndighet är IMY. Eftersom många cookies innehåller identifierare som räknas som personuppgifter gäller ofta båda regelverken samtidigt.
Vilka cookies kräver samtycke?
| Typ av cookie | Exempel | Samtycke krävs? |
|---|---|---|
| Nödvändiga | Inloggning, säkerhet, lastbalansering, sparat cookieval | Nej |
| Inställningar | Valt språk eller region | Ofta, om de inte är nödvändiga för en tjänst besökaren begärt |
| Statistik | Google Analytics 4 och liknande analysverktyg | Ja |
| Marknadsföring | Annonspixlar, ommarknadsföring, inbäddade sociala medier | Ja |
Även inbäddade videor och kartor kan sätta cookies från tredje part. Dessa bör laddas först efter samtycke, eller visas med en bild som besökaren klickar på för att aktivera.
Så ska en korrekt cookiebanner fungera
- Inga cookies utöver nödvändiga sätts innan besökaren har gjort ett val.
- Det är lika enkelt att neka som att godkänna, till exempel med två likvärdiga knappar.
- Förkryssade rutor räknas inte som samtycke.
- Besökaren får veta vilka cookies som används, i vilket syfte och hur länge de sparas.
- Det går att ändra eller återkalla samtycket lika enkelt som att lämna det.
- Valet sparas så att bannern inte visas vid varje sidvisning.
IMY har granskat cookiebanners som styr besökaren mot att godkänna, och design som gör det svårare att neka bör undvikas. Använder du Google Analytics 4 kan samtyckesläge användas så att mätning bara sker i den omfattning besökaren har godkänt.
GDPR utöver cookies
Cookies är bara en del. Varje formulär som samlar in personuppgifter, nyhetsbrevsregistrering och koppling till CRM innebär behandling som ska ha en rättslig grund, vara begränsad till det som behövs och beskrivas i integritetspolicyn. Personuppgifter ska skyddas, till exempel genom krypterad anslutning med https och genom att formulärsvar inte sparas längre än nödvändigt.
Använder du tjänster som lagrar data utanför EU, till exempel vissa nyhetsbrevs- eller analysverktyg, behöver du kontrollera att överföringen har stöd i GDPR. Det gäller även integrationer som vi bygger, se integrationer för webbplatsen.
Så gör du webbplatsen rätt steg för steg
- 1Kartlägg vilka cookies och tredjepartstjänster webbplatsen använder i dag.
- 2Dela in dem i nödvändiga, inställningar, statistik och marknadsföring.
- 3Installera en samtyckeslösning som blockerar icke nödvändiga cookies tills besökaren valt.
- 4Gör neka lika enkelt som godkänn och lägg en länk till cookieinställningarna i sidfoten.
- 5Gå igenom alla formulär och se till att de bara samlar in det som behövs.
- 6Skriv eller uppdatera integritetspolicyn med syften, rättslig grund, lagringstid och rättigheter.
- 7Testa att inga statistik- eller annonsskript laddas innan samtycke har lämnats.
Vad integritetspolicyn ska innehålla
Integritetspolicyn är den information du ger besökarna om hur webbplatsen behandlar personuppgifter. Den ska vara skriven på ett enkelt språk och vara lätt att hitta, oftast via en länk i sidfoten och vid varje formulär.
- Vem som är personuppgiftsansvarig och hur man kontaktar er.
- Vilka personuppgifter som samlas in och i vilket syfte.
- Rättslig grund för varje behandling, till exempel samtycke eller avtal.
- Hur länge uppgifterna sparas.
- Vilka mottagare som får uppgifterna, till exempel leverantörer av nyhetsbrev eller CRM.
- Om uppgifter överförs utanför EU och med vilket stöd.
- Besökarens rättigheter, bland annat att få tillgång till, rätta och radera uppgifter, och rätten att klaga hos IMY.
Vanliga fel är att policyn är kopierad från en annan verksamhet, att den nämner tjänster som inte längre används eller att den saknar uppgift om hur länge formulärsvar sparas. Gå igenom den varje gång webbplatsen får en ny integration.
Vad som ingår när vi bygger din webbplats
I alla våra WordPress-paket ingår grundläggande GDPR- och cookieanpassning: samtyckeslösning, formulär som bara samlar in nödvändiga uppgifter och https. Integritetspolicyns innehåll ansvarar du för som personuppgiftsansvarig, men vi hjälper till att beskriva vad webbplatsen tekniskt gör. Läs mer om WordPress-webbplatser för företag och om säkerhet i WordPress.
Vill du få en befintlig webbplats genomgången eller bygga en ny som är rätt från början kan du skicka en offertförfrågan eller räkna på kostnaden i priskalkylatorn.
