Hvordan overholder min hjemmeside GDPR? Et spørgsmål mange i skrivende stund søger svar på. I dag er det pokkers vigtigt at være 100% GDPR compliant, da det både er et spørgsmål om at beskytte EU-borgeres personlige data og overholde den foranderlige lovgivning på området.
I denne guide lære du, hvad der skal til for at blive GDPR compliant. Hvilke udbydere der kan hjælpe dig, og hvordan du implementerer de nødvendige tiltag.
Bemærk, at denne guide udelukkende fokuserer på, hvordan din hjemmeside bliver GDPR compliant. Ikke, hvordan din virksomhed generelt overholder persondatalovgivningen. Det kan du læse mere om på Datatilsynets hjemmeside.
Hvad er GDPR og hvorfor er det så vigtigt?
Lad os først få styr på, hvad GDPR egentlig er for noget. Hvis du allerede har en idé om, hvad GDPR går ud på, så spring dette indledende trin over og gå direkte næste afsnit.
Som tidligere nævnt, vil jeg ikke udpensle GDPR i generel forstand, men i stedet fokusere på den del af datasikkerhed, som påvirker brugerne af din hjemmeside.
GDPR, ift. din hjemmeside, betyder kort sagt hvordan du sikrer, at alt data, som du tracker på dine besøgende, bliver sikret og behandlet efter bogen. Derved kan besøgende trygt stole på, at deres persondata ikke ender i uvedkommendes hænder eller anvendes til formål, som de ikke har givet samtykke til.
Måske er du én af dem som hverken har Google Analytics, Facebook pixel eller andre tredjeparts trackingsystemer implementeret?
Og tænker måske: så har jeg vel ikke brug for at indhente samtykke, da jeg jo ikke tracker noget?
Måske!
Men, hvis du eksempelvis blot har en kontaktformular, så lagrer du faktisk data. Navn, e-mail og øvrige oplysninger forsvinder jo ikke efter de er indtastet i formularen. Det lagres ofte et sted i en database, og kan findes frem igen, hvis man ved hvor man skal søge. Derfor er det pokkers vigtigt, at du altid får indhentet samtykke, inden besøgende klikker sig rundt på din side.
Samtykke
Et samtykke indsamles via en cookiedeklaration eller et cookiebanner, som vist herunder:
Som du kan se på billedet ovenover, er der 3 valgmuligheder ift. hvad man ønsker at give sit samtykke til.
“Kun nødvendige cookies” svarer til en så skrabet version af din hjemmeside som muligt. Her er kun de helt nødvendige funktioner aktiveret for at din hjemmeside kan fungere. På det helt basale og tekniske plan. Dvs. at stort set alle cookies er deaktiverede.
Denne type cookies er ikke nødvendige at indsamle samtykke til, da de er “livsnødvendige” for at dine brugere overhovedet kan indlæse siden. Derfor vil feltet ofte være krydset af uden mulighed for at ændre på det.
“Tillad valgte” giver nok lidt sig selv. Som hovedregel må man ikke, på forhånd, have tilvalgt andre end nødvendige cookies for dine besøgende. Hvis man trykker på “Tillad valgte” uden at have foretaget sig andet, vil det altså i dette eksempel betyde, at man udelukkende har godkendt “Kun nødvendige cookies”.
“Tillad alle cookies” er selvfølgelig den, som vi gerne vil have vores besøgende til at tilvælge. Her aktiveres alle cookies, og besøgende vil altså blive tracket via Google eller Facebook cookies (hvis du har disse implementeret).
Når besøgende har givet deres samtykke, skal følgende være muligt, for at du lever 100% op til GDPR-kravene:
- Folk skal kunne se hvad de har givet samtykke til.
- Folk skal kunne trække deres samtykke tilbage igen, hvis de ønsker det.
Disse to funktioner skal være tilgængelige, og dette sker ofte via en “privatlivspolitik” eller “persondatapolitik”. En side som automatisk viser den enkelte besøgendes samtykke, og samtidig giver dem mulighed for at fra- eller tilvælge andre cookies. Se eksemplet herunder:
Hvad skal jeg overholde på min hjemmeside for at være GDPR compliant?
Hvis din hjemmeside på ingen måde anvender cookies og ikke leverer data til eksterne tjenester som Google og YouTube, behøver du ikke deklarere og indhente samtykke. Altså samtykke fra en cookie-politik på din hjemmeside. Du behøver med andre ord ikke at have et cookie-banner.
Det er dog sjældent, at hjemmesider hverken tracker eller leverer data til eksterne tjenester, eksempelvis via Google Analytics, en Facebook Pixel eller via en chatfunktion.
Så når du benytter eksterne samarbejdspartnere/udbydere til diverse tracking, nyhedsbrevstilmeldinger osv. så SKAL du have folks accept inden de bevæger sig rundt på din hjemmeside eller interagerer med den.
Du tænker måske nu: Jeg har slet ikke styr på, hvilke data jeg sender videre til 3. parts udbydere eller om jeg overhovedet benytter nogle tracking funktioner.
Det behøver du heldigvis ikke at have 100% styr på selv (selvom det er en god ide). Der findes nemlig mange udbydere i dag, som specialiserer sig i at gøre det så nemt som muligt for webansvarlige, at sørge for at deres hjemmesider er GDPR compliant.
Hvis du er nysgerrig på at se hvilke cookies du sætter hos dine besøgende, så trykker du blot på hængelåsen ved siden af URL’en i adresselinjen, inden du har accepteret nogen form for cookies i en eventuel dialogboks. Efter du har trykket på hængelåsen, klikker du på “cookies”. Hvis der står andet end CookieConsent, så er den gal, og så anvendes cookies faktisk inden man har afgivet sit samtykke. Jeg har med vilje implementeret cookies forkert i eksemplet herunder:
Hvordan implementerer jeg GDPR cookiedeklaration og privatlivspolitik?
Der er som sagt flere udbydere, som tilbyder at hjælpe dig med at gøre din hjemmeside GDPR compliant. Jeg vil i denne guide fokusere på Cookiebot, som er en af de billigste på markedet, og som efter min personlige mening, leverer de redskaber du har behov for, på en brugervenlig måde.
Hvorfor vælge cookiebot?
Pris er selvfølgelig altid vigtigt, men brugervenligheden på deres platform er heldigvis ligetil og enkel. Ikke alt mulig pladder og ekstra funktionalitet, som man ikke umiddelbart har brug for eller ikke kan overskue. Dernæst, så giver Cookiebot dig mulighed for at scanne din hjemmeside igennem fra top til tå, så du er sikker på, at du ikke overser nogle cookies. Du kan tilmed bede Cookiebot om at scanne din hjemmeside i bestemte intervaller, så du er sikker på, at du også med tiden indhenter det nødvendige samtykke.
Slutteligt er implementeringen ret enkel (dog en lille smule teknisk), og spiller desuden fint sammen med Google Tag Manager – hvordan du implementerer via Google Tag Manager, kan du læse mere om her.
Inden du går i gang med nedenstående, så er det nemmest, og mest overskueligt, hvis du allerede har installeret alt tracking du ønsker (Analytics, Facebook pixel osv.).
Sådan implementerer du Cookiebot
Lad os starte med at se på, hvordan du implementerer deklarationen og privatlivspolitikken.
Start med at besøge Cookiebot.com. Du kan benytte deres “Try it for free” tilbud til at starte med, ellers opret en konto. Hvis du kun har ét domæne, og har under 100 undersider (alle sider på nær forsiden), så behøver det ikke at koste dig en krone.
Når du har oprettet en konto, og logget ind, så burde du ramme denne side.
Det første vi skal have gjort er at tilføje domænet, så Cookiebot kan påbegynde en scanning af din hjemmeside. Tryk på fanen “Domæner”, hvis du ikke allerede er herunder, og tryk dernæst på det grønne plus-ikon.
Efter du har trykket “OK”, skulle du gerne blive viderestillet til fanen “Domæner”.
Der er 5 faner, som du skal forholde dig til: “Domæner”, “Dialogboks”, “Deklaration”, “Indhold” og “Dine scripts”.
Under “domæner” skal du trykke på det grønne plus-ikon og tilføje dit domæne. Vælg “Månedlig” ved scanning, så din hjemmeside scannes inden for samme periode, som de besøgendes accept af cookies varer (30 dage/en måned).
Gå nu videre til fanen “Dialogboks”. Denne fane bestemmer, hvordan du kommunikerer til dine besøgende om samtykke. Her kan du vælge et tema for dialogboksen; om den skal “slide” op fra bunden eller toppen, fade frem som en pop-up osv. Du kan desuden vælge hvilke Call-To-Actions, der skal være tilgængelige. Jeg vil anbefale, at du blot lader alt blive, som det er som standard. Jeg vælger dog altid “Glide op” under position – det er min personlige favorit.
I Premium-versionen kan du bl.a. vælge logo til dialogboksen samt bestemme hvilket sprog der skal vises afhængigt af de besøgendes område.
Da vi her benytter den gratis version, kan vi kun vælge en standard skabelon til deklarationen. Så fanen “Deklaration” kan du springe over i denne guide.
Implementer nu samtykket
Tryk på fanen “Indhold”. Her kan du skrive den tekst, som skal vises i dialogboksen, når du vil indhente samtykke. Cookiebot har allerede genereret en standard tekst til dig, og jeg vil anbefale dig ikke at ændre for meget her. Folk er efterhånden vant til at læse denne “standard” tekst, og du risikerer at forvirre dine brugere mere, hvis du ikke er opmærksom på at formulere dig juridisk og teknisk korrekt på en samtidig læsevenlig måde.
Hvis din hjemmeside er på dansk, skal du under sprog vælge “Dansk”. Så genererer cookiebot en dansk tekst til dig. Hvis du har Premium-udgaven kan du tilføje flere sprogversioner af cookiedeklarationen ved at trykke på det grønne plus-ikon .
Når du er færdig, så husk at trykke “Gem” i venstre side.
Sådan! Du har nu opsat din cookiedeklaration, og mangler kun at implementere den på din hjemmeside. For at gøre dette, skal vi have 2 scripts leveret fra cookiebot. Dem finder du under fanen “Dine scripts”.
Inden jeg viser dig hvordan disse scripts indsættes, så er det vigtigt, at du har adgang til din hjemmesides backend samt systemfiler. Gerne via FTP eller via WordPress’ egen indbyggede editor, som du ofte kan finde fra backenden.
Du kan også implementere den via Google Tag Manager, men det kræver også, at du som minimum har adgang til hjemmesidens backend. Du kan læse mere om hvordan du implementerer diverse scripts og 3. parts udbydere via Google Tag Manager her.
Første script for at implementere GDPR.
Det første script indsættes i din header.php fil. Det er vigtigt, at det indsættes i netop denne fil, fordi WordPress henter alt fra header.php ind på samtlige af dine sider.
Dernæst er det vigtigt, at scriptet indsættes som det allerførste efter <head>- tagget. Grunden til dette er, at cookiedeklarationen pr. lov skal være det første som indlæses før noget som helst andet, da brugerne jo skal give samtykke inden der bliver tracket.
Koden ser ca. således ud:
Dette stykke kode skal indsættes her i din header.php fil.
Sidste script for at implementere GDPR
Det næste script du skal indsætte, indhenter en oversigt over det samtykke, som brugeren har givet. Her er det tilmed muligt for brugeren at ændre eller annullere samtykket igen. Disse oplysninger vises ofte på en side der navngives “Privatlivspolitik” eller “Persondatapolitik”. Du kan kalde siden hvad du vil, men giv det et navn, som giver mening for brugeren.
Scriptet vil se ca. sådan her ud:
I WordPress kan du benytte den normale editor, men husk at ændre formatet til “tekst” i stedet for “visuel”.
Det vil så se ca. således ud:
Sådan!
Efter at cookiebot har scannet din hjemmeside, kan man fremover se cookiedeklarationen når man besøger hjemmesiden for første gang. Et samtykke varer som udgangspunkt i 30 dage, så for at tjekke, om alt er som det skal være, vil jeg anbefale at åbne et inkognito vindue og indtaste adressen til din hjemmeside. Tjek om cookiedeklarationen fremkommer. Gør den det, så kan du prøve at åbne hængelåsen, og tjekke hvilke cookies der bliver sat ved de forskellige CTA’er (Call to Actions) i deklarationen. Slutteligt, så synes jeg du skal teste hvorvidt der trackes via cookies før der er givet samtykke. Det demonstrerede jeg i afsnittet Hvad skal jeg overholde på min hjemmeside for at være GDPR compliant?.
Hvis ovenstående er som det skal være, så er du i mål. Husk på, at cookiebot automatisk scanner din hjemmeside for nye cookies. Du kan redigere denne scanning inde i cookiebots kontrolpanel.
