Dataskyddsförordningen (GDPR) är en europeisk integritetslagstiftning som trädde i kraft den 25 maj 2018.
GDPR gäller inte bara europeiska företag. Förordningen omfattar alla företag som potentiellt kan behandla personuppgifter om medborgare i EU. Det innebär att varje företag i världen, oavsett var det är beläget, omfattas av GDPR. Oavsett var ditt företag lagrar eller behandlar personuppgifter måste det följa GDPR.
GDPR ger människor mer omfattande kontroll över sina personuppgifter. Den nya lagen ger personer rätt att få tillgång till, rätta, radera och begränsa behandlingen av sina uppgifter, och den ställer också strikta krav på samtycke från användaren.
Om du samlar in eller lagrar uppgifter som kan kopplas till en individ räknas det som personuppgifter, och då behöver du sätta dig in i GDPR. Du kan läsa hela GDPR-texten för att lära dig mer.
Vissa verksamheter kan behöva mer förberedelse än andra för att uppfylla GDPR. Den här guiden ger en allmän översikt över GDPR-efterlevnad och beskriver de vanligaste kraven.
Så förbereder du dig för GDPR
Din webbplats samlar in och behandlar personuppgifter på ett regelrätt sätt. Det är dock ditt ansvar att uppfylla GDPR-kraven när du samlar in och behandlar personuppgifter från dina kunder inom EU.
Vad menas med personuppgifter
Personuppgifter definieras som varje upplysning som direkt eller indirekt kan användas för att identifiera en person. Detta inkluderar namn, foto, e-postadress, IP-adress, bankuppgifter, inlägg på sociala medier, medicinsk information och även slumpmässiga koder som tilldelas användare för att samla in analysdata, genomföra A/B-tester med mera.
GDPR utvidgar definitionen av personuppgifter avsevärt till att omfatta all information som kan kopplas till en känd person. Exempel inkluderar webbhistorik och aktivitet på sociala medier. Det finns också särskilda bestämmelser för uppgifter som rör en individs fysiska och psykiska hälsa, såsom genetiska och biometriska uppgifter.
Varför samtycke är viktigt
Hörnstenen i GDPR är samtycke. Du behövde samtycke även före GDPR, men det var betydligt enklare att inhämta det. Nu, i ljuset av de nya reglerna, är samtycke inte längre någon självklarhet. GDPR slår fast att om det inte föreligger ett berättigat intresse måste samtycket från kunder vara uttryckligt, formulerat på enkelt språk och tydligt redogöra för vilka syften som samtycket avser. Användaren behöver veta exakt vad personuppgifterna ska användas till och av vem.
I sin striktaste tolkning kräver användningen av en EU-medborgares personuppgifter att samtycket är frivilligt, specifikt, informerat och otvetydigt. Det krävs en aktiv handling som visar samtycke – det kan inte härledas från tystnad, förkryssade rutor eller passivitet.
Berättigat intresse är inte detsamma som samtycke, eftersom de uppgifter som samlas in då inte får användas till andra ändamål än de som intresset omfattar.
När samtycket väl har inhämtats måste du registrera och bevara det och kunna lämna ut det på begäran.
Loopia Sitebuilder och GDPR
Loopia Sitebuilder hjälper dig att samla in användarens samtycke genom att tillhandahålla ett nytt formulär för samtyckesförfrågan, lägga till tydliga rutor för samtycke i formulär, påminna dig om konsekvenserna av förkryssade rutor och uppmuntra dig att uppdatera dina villkor.
Du måste inhämta samtycke för att behandla dina kunders personuppgifter. Förbered en tydlig integritetspolicy där du anger varför du samlar in personuppgifter, vilka uppgifter som lagras och hur kunden kan återkalla sitt samtycke.
Med Loopia Sitebuilder har du två alternativ för att begära besökarnas samtycke till cookies på din webbplats:
- Genom att sätta upp en CookieBot-samtyckesbanner
- Genom att aktivera en Loopia Sitebuilder-cookiesamtyckesbanner
Båda alternativen är kostnadsfria för alla våra användare.
Ge kunder rätt att få tillgång till sina uppgifter
Det innebär att du måste ge dina kunder en kopia av deras personuppgifter i ett läsbart och portabelt format. Du kommer åt kundernas personuppgifter i din kontrollpanel. Du bör också ta hänsyn till tredjepartstjänster som du använder och som kan ha tillgång till dina kunders personuppgifter.
Ge kunder rätt att radera, redigera och begränsa viss användning av uppgifter
Grundläggande förfrågningar (t.ex. om en kund ber dig att radera sin beställning) kan hanteras snabbt i din kontrollpanel. Tänk även här på alla tredjepartstjänster som kan ha tillgång till uppgifterna.
Vi rekommenderar att du lagrar data digitalt. Krypterad data som skyddas med ett lösenord av minst rekommenderad styrka – eller som skyddas med hjälp av en lösenordsgenerator – är ett säkrare alternativ jämfört med utskrivna fakturor.
Anmälan om personuppgiftsincident
Din webbutik fungerar som personuppgiftsbiträde medan du som handlare är personuppgiftsansvarig. Om din webbplats utsätts för en personuppgiftsincident kan du vara skyldig att meddela de drabbade kunderna. Enligt GDPR ska anmälan ske inom 72 timmar från det att du fick kännedom om incidenten. Personuppgiftsbiträden är också skyldiga att informera användare och personuppgiftsansvariga omedelbart efter att de fått kännedom om en personuppgiftsincident.
Förändringar i ditt team
Enligt den nya lagstiftningen kan du behöva utse ett dataskyddsombud (DPO). Detta är ett krav om du regelbundet behandlar personuppgifter. Dataskyddsombudet är den centrala personen som rådger företaget kring GDPR-efterlevnad och fungerar också som primär kontaktpunkt mot tillsynsmyndigheter.
Nu är det dags att utbilda ditt team. Att ge dem som har tillgång till uppgifter tillräcklig utbildning om innebörden och konsekvenserna av GDPR hjälper till att förebygga eventuella incidenter, så hoppa inte över den punkten. Dataskydd kanske känns torrt, men en liten investering i att se till att medarbetarna är informerade är väl använd tid.
Några viktiga punkter att komma ihåg:
- Webbplatser behöver SSL-certifikat.
- Din webbplats behöver ha en integritetspolicy.
- Prenumeranter och kunder behöver kunna få sina uppgifter raderade.
- Prenumeranten måste också kunna begära ut sina uppgifter.
- Tydligt samtycke måste lämnas om en person registrerar sig för en gratisnedladdning och samtidigt godkänner att läggas till i det allmänna utskickslistan.
- Du bör gå igenom din befintliga e-postlista efter prenumeranter från EU-länder och be om samtycke från dem för att stanna kvar på listan, vilket också är ett bra tillfälle att skicka ut din integritetspolicy på nytt.
