Villkor, integritet och cookies i en butik

Modul 5: Skyldigheter och villkor · Lästid: 11 minuter

Lärandemål: Efter den här lektionen kan du erbjuda köpvillkor så att de gäller, komplettera en butiks integritetspolicy med de behandlingar som hör till försäljning, bedöma vilka cookies en butik får sätta utan samtycke och neutralt välja om ett förtroendemärke passar dig.

Nyckelbegrepp: köpvillkor, tillhandahålla, tillhandahålla elektroniskt, kryssruta för godkännande, integritetspolicy, personuppgiftsbiträde, personuppgiftsbiträdesavtal, lagringstid, funktionella cookies, spårningscookies, order attribution, samtycke, förtroendemärke, tvistlösningsnämnd, ODR-plattformen

Den här lektionen förklarar reglerna som de gäller den 9 november 2026. Det är inte juridisk eller skattemässig rådgivning. Är du osäker på din situation, fråga en jurist, din branschorganisation eller din redovisningskonsult.

Köpvillkor: att ha dem räcker inte

Köpvillkor är de fasta överenskommelser du använder vid varje beställning: leverans, betalning, garanti, ansvar, reklamationer. De är inte obligatoriska, men nästan alla butiker har dem. Fallgropen: villkor som kunden inte kunde läsa i tid gäller kanske inte.

I Nederländerna säger artikel 6:234 BW (den nederländska civillagen) att du ska ge kunden villkoren före eller när avtalet ingås. Online får det ske elektroniskt, om kunden kan spara dem och läsa dem igen senare. Gör du inte det kan kunden ogiltigförklara bestämmelserna. I praktiken:

• en länk till villkoren precis vid beställningsknappen, med en kryssruta som börjar tom ("Jag har läst köpvillkoren");
• villkoren som pdf eller text i eller med bekräftelsemejlet, så att kunden har dem;
• en fast sida som alltid går att nå, till exempel via sidfoten.

Tyskland har en liknande regel (kunden ska på ett rimligt sätt kunna ta del av "Allgemeine Geschäftsbedingungen", AGB). I Belgien gäller villkoren om kunden kunde känna till dem innan avtalet ingicks och har godtagit dem. Tanken är densamma överallt: visa dem i tid och låt kunden spara dem. I Sverige gäller för distansförsäljning till konsumenter distansavtalslagen, lagen (2005:59) om distansavtal och avtal utanför affärslokaler, och e-handelslagen.

Vad som inte får stå i villkoren är minst lika viktigt. Villkor får inte begränsa en konsuments lagstadgade rättigheter. "Returer endast i originalförpackning, oöppnad" eller "ingen ångerrätt för varor på rea" strider mot ångerrätten (lektion 5.2). En bestämmelse som bara står i dina villkor ersätter heller aldrig den obligatoriska informationen (lektion 5.1 och 5.4). Branschorganisationer och förtroendemärken har ofta standardvillkor; det är en säkrare start än att skriva själv eller kopiera en text från en annan butik (det sistnämnda är inte heller tanken med upphovsrätten).

Integritet: vad en butik behandlar utöver det vanliga

Grunderna i GDPR för en webbplats (personuppgifter, rättslig grund, integritetspolicy, formulär, personuppgiftsbiträden) finns i WordPress-kursen, lektion 9.3. En butik behandlar mer, och via fler parter:

Så här gör du:

1. Nämn varje behandling i din integritetspolicy, med syfte, rättslig grund, lagringstid och mottagare. WordPress har en hjälpmall under Inställningar > Integritet; WooCommerce lägger själv till textförslag för butiken där. Använd dem som start, inte som färdig text.
2. Teckna personuppgiftsbiträdesavtal med parter som behandlar uppgifter för din räkning (webbhotell, utskickstjänst, bokföringsprogram). För betalleverantörer och transportörer skiljer sig rollen från part till part; läs vad de själva anger.
3. Ställ in lagringstider under WooCommerce > Inställningar > Konton och integritet (lektion 2.3): inaktiva konton raderas efter en viss tid, obetalda, misslyckade och avbrutna beställningar flyttas till papperskorgen, och för återbetalade och slutförda beställningar anonymiseras personuppgifterna. Tänk på den skattemässiga arkiveringsskyldigheten (lektion 5.6): spara fakturauppgifterna i din bokföring om du tar bort dem ur butiken. I Sverige är arkiveringstiden 7 år (bokföringslagen).
4. Vet vad du gör vid en personuppgiftsincident (KB 6749 och kursen Säker online). En hackad butik med kunduppgifter är nästan alltid anmälningspliktig.

Cookies i en butik

Reglerna för själva cookies (i Nederländerna Telecommunicatiewet, i EU ePrivacy-direktivet) finns också i WordPress-kursen, lektion 9.3. Tumregeln: funktionella cookies, som behövs för den tjänst besökaren efterfrågar, får sättas utan samtycke. För spårning och det mesta av statistiken behöver du samtycke i förväg.

För en butik innebär det:

• Funktionella: WooCommerces cookies för varukorgen och sessionen (woocommerce_cart_hash, woocommerce_items_in_cart, wp_woocommerce_session_...) och betalleverantörens cookies under betalningen. De är tillåtna och hör hemma i din cookiepolicy.
• Order attribution: WooCommerce har en funktion som registrerar via vilken kanal en beställning kom in (sökmotor, kampanj, e-post). Den använder cookies som börjar med sbjs_, som standard bara under besöket. Om du behöver be om samtycke beror på hur du använder uppgifterna; det är mätning, inte nödvändigt för beställningen. Du kan stänga av funktionen under WooCommerce > Inställningar > Avancerat > Funktioner. Ta reda på vad som gäller för dig och skriv in det i din cookiepolicy.
• Spårning och annonser: pixlar från sociala medier, annonsnätverk och statistik som delar uppgifter med tredje part. Läs in dem först efter samtycke. En cookiebanner som läser in allt innan besökaren har valt uppfyller inte kraven.

Fallgrop: en stor grön "Acceptera"-knapp bredvid en "Neka" som du får leta efter. Tillsynsmyndigheter kräver att det är lika lätt att neka som att acceptera.

Förtroendemärken och tvister

Ett förtroendemärke är en frivillig överenskommelse med en organisation som granskar din butik, ger dig standardvillkor och ofta erbjuder en tvistlösning. Exempel: Thuiswinkel Waarborg i Nederländerna, BeCommerce i Belgien, Trusted Shops i Tyskland; det finns fler. De skiljer sig i krav, granskning och kostnad. Ett förtroendemärke är inte obligatoriskt och ersätter inte lagen; det kan däremot ge förtroende och hjälpa dig att hålla koll på reglerna. Jämför dem utifrån vad de granskar, vad de kräver av dig och vilken tvistlösning som ingår.

En aktuell punkt om tvister: fram till 2025 skulle webbutiker länka till den europeiska ODR-plattformen för tvistlösning online. Plattformen stängdes den 20 juli 2025 (förordning (EU) 2024/3228) och skyldigheten att länka till den har upphört. Finns länken kvar i dina villkor eller din sidfot, ta bort den; den pekar på något som inte längre finns. Europeiska kommissionen hänvisar nu till en lista över tvistlösningsorgan per land.

I praktiken: så ser det ut i WooCommerce

Hos Tehus Example:

1. Sidorna Villkor och Integritetspolicy; under WooCommerce > Inställningar > Avancerat > Sidinställningar är villkorssidan vald (kryssruta för godkännande i kassan) och under Inställningar > Integritet integritetssidan.
2. Under Konton och integritet: integritetstexten som WooCommerce visar vid registrering och i kassan hänvisar till integritetspolicyn.
3. En cookiebanner som läser in spårning först efter samtycke; testad i ett privat fönster med utvecklarverktygen (fliken Nätverk och Lagring): inga anrop till annons- eller statistiktjänster innan valet.
4. Villkoren som pdf med bekräftelsemejlet (via ett tillägg) eller en länk i mejlets extra innehåll.

Sammanfattning

• Köpvillkor gäller bara om du tillhandahåller dem elektroniskt före eller när avtalet ingås, så att kunden kan spara dem (NL 6:234 BW); de får inte begränsa konsumentens rättigheter. I Sverige gäller distansavtalslagen med 14 dagars ångerrätt och e-handelslagen.
• En butik behandlar fler personuppgifter än en vanlig webbplats; skriv in varje behandling med rättslig grund, lagringstid och mottagare i din integritetspolicy och ställ in lagringstider i WooCommerce.
• Varukorgs- och sessionscookies är funktionella; spårning och annonser först efter samtycke; order attribution medvetet på eller av.
• Förtroendemärken är frivilliga; jämför dem neutralt. Den obligatoriska länken till ODR-plattformen har upphört sedan den 20 juli 2025.

Quiz

Uppgift

Uppgift A5.5: Villkor, integritet och cookies. Ange adressen till din butik. Programmet hämtar startsidan utan cookies, som en ny besökare som inte har valt något än, och noterar bara namnen på de cookies som webbplatsen sätter. Det letar efter en länk till dina köpvillkor och en länk till din integritetspolicy (även på tyska, engelska och franska) och hämtar båda sidorna. Grönt om båda länkarna finns och sidorna svarar 200, det inte finns några kända statistik- eller annonsskript i HTML-koden och inga statistik- eller annonscookies (som _ga, _fbp) sätts innan besökaren väljer. Orange om ett sådant skript redan finns i HTML-koden ("läses det in först efter samtycke?"), om order attribution-cookies (sbjs_) sätts (info), eller om det fortfarande finns en länk till ODR-plattformen. Rött om någon av de två länkarna saknas, en sida inte går att nå, eller spårnings- eller annonscookies sätts utan val. Programmet ser bara HTML-koden utan JavaScript; skript som senare läser in andra skript kontrollerar du själv med fliken Nätverk i din webbläsare.

Fråga till dig själv (bedöms inte): vilka behandlingar från tabellen i den här lektionen saknas fortfarande i din integritetspolicy?

Läs mer

• Gratis WordPress-kurs 9.3: GDPR: cookies, formulär och integritetspolicy
• Cookies (Autoriteit Persoonsgegevens, nederländska): https://autoriteitpersoonsgegevens.nl/themas/internet-slimme-apparaten/cookies
• Är det här en dataläcka och behöver jag anmäla det?
• Burgerlijk Wetboek bok 6, artikel 6:234 (wetten.overheid.nl, nederländska): https://wetten.overheid.nl/BWBR0005289/
• Stängningen av ODR-plattformen och tvistlösningsorgan per land (Europeiska kommissionen, engelska): https://consumer-redress.ec.europa.eu/site-relocation_en
• Thuiswinkel.org (förtroendemärket Thuiswinkel Waarborg, nederländska): https://www.thuiswinkel.org/