GDPR: cookies, formulär och integritetspolicy

Modul 9: E-post, synlighet i sökmotorer, GDPR, underhåll och flytt · Lästid: 10 minuter

Lärandemål: Efter den här lektionen kan du få grunden i GDPR på plats för en WordPress-webbplats: veta vilka personuppgifter du behandlar, hantera cookies och externt innehåll korrekt, utforma formulär på rätt sätt och upprätta en integritetspolicy.

Nyckelbegrepp: personuppgifter, behandling, rättslig grund, informationsplikt, integritetspolicy, cookieregeln från det europeiska ePrivacy-direktivet (i Sverige: lagen om elektronisk kommunikation; i Nederländerna: artikel 11.7a i Telecommunicatiewet), samtycke, funktionella och analytiska cookies, spårningscookies, cookiebanner, externt innehåll, formulär, lagringstid, personuppgiftsbiträde, personuppgiftsbiträdesavtal, personuppgiftsincident

Den här lektionen är allmän information, inte juridisk rådgivning. För din egen situation kan du läsa informationen från Integritetsskyddsmyndigheten (IMY) eller fråga en expert.

Vad GDPR har med din webbplats att göra

GDPR (dataskyddsförordningen) handlar om personuppgifter: allt som direkt eller indirekt kan identifiera en person. På en webbplats är det mer än du tror: ett namn och en e-postadress från ett formulär, en beställning, ett konto, men även en IP-adress och en cookie med ett unikt nummer.

Nästan varje WordPress-webbplats behandlar alltså personuppgifter: i formulär, kommentarer, konton, beställningar, serverloggar, säkerhetskopior, e-postloggar (lektion 9.1) och i det som din webbplats skickar till andra parter. Bland annat gäller dessa regler:

• Du behöver en rättslig grund för varje behandling (artikel 6 GDPR), till exempel: nödvändigt för att fullgöra ett avtal (en beställning), samtycke (ett nyhetsbrev), eller ett berättigat intresse.
• Du behandlar inte mer än nödvändigt och sparar inte längre än nödvändigt.
• Du informerar personer om vad du gör (artikel 13 GDPR): det gör du i din integritetspolicy.
• Du skyddar uppgifterna på lämpligt sätt (https, uppdateringar, säkerhetskopior: resten av den här kursen).
• Låter du en annan part behandla uppgifter åt dig (ditt webbhotell, en e-posttjänst, ett tillägg med en molntjänst), är det ett personuppgiftsbiträde och du behöver ett personuppgiftsbiträdesavtal (artikel 28 GDPR). Webbhotell och stora tjänster har oftast ett sådant förberett som standard.
• Går det fel (en hackning, en läckt säkerhetskopia) är det en personuppgiftsincident som du ibland måste anmäla (lektion 7.5).

Cookies: ePrivacy-direktivet

För cookies (och liknande tekniker som local storage och spårningspixlar) gäller dessutom cookieregeln från det europeiska ePrivacy-direktivet (i Sverige: lagen om elektronisk kommunikation; i Nederländerna: artikel 11.7a i Telecommunicatiewet). Kort sammanfattat, så som den nederländska dataskyddsmyndigheten (Autoriteit Persoonsgegevens) förklarar den:

• Funktionella cookies som behövs för att webbplatsen ska fungera (en inloggningscookie, en varukorg, att komma ihåg själva cookievalet): får användas utan samtycke. Du måste dock informera om dem.
• Analytiska cookies med inga eller ringa konsekvenser för integriteten: får användas utan samtycke, om de uppfyller vissa villkor. Tänk på statistik som du för själv eller som är inställd på ett integritetsvänligt sätt (ingen delning av uppgifter, förkortade IP-adresser, ingen spårning över andra webbplatser).
• Spårningscookies och allt som följer besökare eller skapar profiler (annonser, sociala medier, de flesta inbäddade tjänster från stora plattformar): endast efter samtycke, och alltså först ladda efter att besökaren har sagt "ja".

En cookiebanner frågar om detta samtycke. Den nederländska dataskyddsmyndigheten nämner bland annat: förklara vilka cookies du använder och för vad, att neka ska vara lika enkelt som att acceptera, och inga förkryssade rutor i förväg. En banner som bara har "OK", eller som redan laddar spårningskoden innan ett val gjorts, uppfyller inte kraven. Det finns många cookietillägg för WordPress; välj ett som verkligen blockerar skript tills samtycke getts, och kontrollera detta (uppgiften i den här lektionen hjälper dig).

Externt innehåll: vad din webbplats skickar till andra

Även utan cookies skickar din webbplats uppgifter till andra parter så snart en sida laddar något från dem. Besökarens webbläsare hämtar det då från den parten, som åtminstone ser IP-adressen. Exempel:

I Tyskland ansåg en domstol (LG München I, januari 2022) att det stred mot GDPR att ladda typsnitt från en extern tjänst utan samtycke, eftersom besökarens IP-adress då lämnades ut. Det är inget nederländskt avgörande, men det visar vad det handlar om: du måste kunna förklara varje extern källa.

Formulär

Ett formulär är en behandling. Tänk på:

• Fråga bara efter det du behöver. För en begäran om återuppringning behöver du ett namn och telefonnummer, inte adress och födelsedatum.
• Via https (lektion 3.1), annars skickas uppgifterna okrypterat över internet.
• Var sparas uppgifterna? Många formulärtillägg sparar varje inskickat formulär även i databasen, utöver e-posten. Efter några år finns där tusentals poster. Ställ in en lagringstid eller stäng av lagringen om e-posten räcker. Även e-postloggen för ditt SMTP-tillägg (lektion 9.1) innehåller dem.
• Samtycke till ett nyhetsbrev ska vara en separat ruta som inte är förkryssad i förväg. Ett kontaktformulär är ingen anmälan till nyhetsbrevet.
• Spamskydd: se tabellen ovan.

Integritetspolicyn

WordPress skapar vid installationen ett utkast till sidan Integritetspolicy och har under Inställningar > Integritet en hjälp med exempeltexter; tillägg som behandlar uppgifter kan lägga till text där. Det är en början, inte ett slutresultat. Enligt artikel 13 GDPR ska en integritetspolicy bland annat beskriva:

• vem du är och hur man når dig;
• vilka personuppgifter du behandlar, för vad och på vilken rättslig grund;
• med vem du delar dem (personuppgiftsbiträden, andra parter) och om de förs utanför EU;
• hur länge du sparar dem;
• vilka rättigheter personer har (tillgång, rättelse, radering, invändning) och att de kan lämna in ett klagomål till Integritetsskyddsmyndigheten (IMY);
• vilka cookies och externa tjänster din webbplats använder.

Lägg en länk till integritetspolicyn i sidfoten (lektion 4.3), så att den går att hitta på varje sida, och vid varje formulär.

WordPress har under Verktyg även funktioner för att exportera personuppgifter och radera dem på begäran av en användare. Praktiskt vid en begäran om tillgång eller radering, men de hittar bara uppgifter från WordPress och från tillägg som är anslutna till det.

En enkel stegplan

1. Gör en lista över alla behandlingar på din webbplats: formulär, konton, beställningar, kommentarer, statistik, nyhetsbrev, loggar, säkerhetskopior.
2. Kontrollera vad din webbplats skickar till andra parter när den laddas (uppgiften i den här lektionen).
3. Ta bort det som inte behövs; byt ut det som kan göras mer integritetsvänligt.
4. Ordna samtycke för det som blir kvar och verkligen behöver samtycke, med en banner som blockerar skript.
5. Teckna personuppgiftsbiträdesavtal och skriv (eller skriv om) din integritetspolicy.
6. Gå igenom det igen varje år (lektion 9.4), och efter varje nytt tillägg som behandlar uppgifter.

Sammanfattning

• Nästan varje WordPress-webbplats behandlar personuppgifter: formulär, konton, IP-adresser, loggar, säkerhetskopior.
• Funktionella och begränsade analytiska cookies får användas utan samtycke; spårning endast efter samtycke, och laddas då först efteråt.
• Externt innehåll (typsnitt, videor, kartor, captcha) skickar uppgifter till andra; gör det lokalt eller ladda det först efter ett klick.
• Fråga i formulär bara efter det som behövs, spara inte inskickade formulär i oändlighet, nyhetsbrevsruta separat och inte förkryssad i förväg.
• En integritetspolicy enligt artikel 13 GDPR, synlig på varje sida; personuppgiftsbiträdesavtal med ditt webbhotell och dina tjänster.

Quiz

Uppgift

Uppgift A9.3: Vad skickar din webbplats till andra? Ange adressen till din webbplats. Programmet laddar startsidan som en ny besökare utan cookies och utan samtycke, och ger en översikt: vilka cookies servern placerar direkt (bara namnen), och från vilka andra domäner sidan laddar skript, typsnitt, iframes eller bilder. Kända tjänster för statistik, annonser, sociala medier, typsnitt och video rapporteras med namn (orange: "kontrollera att detta bara laddas efter samtycke, eller byt ut det"). Dessutom kontrolleras om det finns en länk till en integritetspolicy på startsidan.

Uppgift D9.3: Din behandlingslista och integritetspolicy. Gör en lista över alla behandlingar på din webbplats (formulär, konton, beställningar, kommentarer, statistik, nyhetsbrev, loggar, säkerhetskopior) med för varje behandling: vilka uppgifter, för vad, rättslig grund, var de lagras, hur länge, och vilket personuppgiftsbiträde. Jämför listan med din integritetspolicy och markera vad som redan finns med. Anteckna vad du lägger till eller tar bort, och vilka externa tjänster från uppgift A9.3 du byter ut eller lägger bakom samtycke.

Läs mer

Dessa artiklar handlar om WebOké självt; förklaringar för din egen webbplats hittar du hos dataskyddsmyndigheten i ditt land (i Sverige: Integritetsskyddsmyndigheten, IMY).

• Cookies på WebOké: se eller ändra ditt val
• Cookies (Autoriteit Persoonsgegevens): https://www.autoriteitpersoonsgegevens.nl/themas/internet-slimme-apparaten/cookies
• Cookies och din organisation: se till att ha en god policy (Autoriteit Persoonsgegevens): https://www.autoriteitpersoonsgegevens.nl/themas/internet-slimme-apparaten/cookies/cookies-en-uw-organisatie-zorg-voor-een-goed-beleid
• Tydliga cookiebanners (Autoriteit Persoonsgegevens): https://www.autoriteitpersoonsgegevens.nl/themas/internet-slimme-apparaten/cookies/heldere-cookiebanners
• Rätt till information (Autoriteit Persoonsgegevens): https://www.autoriteitpersoonsgegevens.nl/themas/basis-avg/privacyrechten-avg/recht-op-informatie
• Personuppgiftsincidenter (Autoriteit Persoonsgegevens): https://www.autoriteitpersoonsgegevens.nl/themas/beveiliging/datalekken
• Integritet i WordPress (wordpress.org, Engelska): https://wordpress.org/documentation/article/settings-privacy-screen/