5 vanlige misforståelser knyttet til GDPR

I en tid der “alle” ber om ditt samtykke, lurer du kanskje på om du bør du gjøre det samme. Advokat Ove Vanebo oppklarer her noen seiglivede myter om GDPR.

1. Popup-vinduer er ofte overflødig

Det er ofte unødvendig med popup-vinduer som ber om ditt samtykke på nettsider. Vanebo har tidligere uttrykt bekymring for en samtykkeinflasjon som følge av at folk blir overlesset av samtykkemeldinger. Han er redd for at folk kanskje gir mer blaffen fordi de rett og slett får for mye og kanskje uforståelig informasjon.

– Driver du en nettbutikk må du for eksempel innhente personopplysninger som navn og leveringsadresse for å kunne sende varene, og det forstår kundene. Det er tilstrekkelig å informere underveis i kjøpsprosessen om hvordan kundedata behandles, sier Vanebo.

Han legger til at informasjonen om behandlingen må gis før innsamlingen av personopplysninger, men det er flere måter å gjøre det på. Du trenger ikke et samtykke for å gi informasjon eller at noen “godtar” informasjonen du gir.

2. De fleste har allerede samtykket til cookies

Vanebo sier at samtykke til bruk av cookies foreløpig er løst på en ganske smidig måte i Norge: Så lenge forhåndsgodkjenningen i nettleseren til brukeren er aktiv, har de samtykket til bruk av cookies. Du trenger med andre ord ikke å be om samtykke.

– Ditt ansvar er å informere tydelig om hvilken informasjon som hentes og hvem som bruker cookiene. Ha en godt synlig lenke til personvernerklæringen på nettstedet, råder Vanebo.

3. Brukernes sikkerhet på nettstedet er ditt ansvar

Som behandlingsansvarlig er det du/bedriften som skal sørge for at personopplysninger ikke kommer på avveie. Om du ikke har implementert SSL-sertifikat på nettstedet ditt, krypteres ikke informasjonen som kunder legger igjen. Det er mange gode grunner til å ha https på ditt nettsted, selv om det kan være lovlig å la være.

– Husk at det er forskjell på personopplysninger. Navn og adresse er informasjon som ofte ligger offentlig tilgjengelig. Men driver du et nettapotek eller en tips-kanal i en avis, vil opplysningene du behandler kunne være mer sensitive og da er sikkerhetskravet større, sier Vanebo.

Han anbefaler at du lager en risikovurdering. Hva skjer for eksempel hvis nettstedet ditt blir hacket? Videre råder Vanebo deg til å kontakte din bransjeforening for å vite hva som er beste praksis. Tenk på hva slags informasjon folk vanligvis deler i et kontaktskjema – ikke ta høyde for om enkeltpersoner kan dele sensitiv data uoppfordret.

4. Hvorfor ligger e-postene fremdeles i innboksen din?

Spør deg selv: Hvorfor lagrer jeg e-poster? Er det for å gi kunder bedre service og oppfølging, eller en annen grunn?

Vanebo sier at det ikke finnes en maksgrense for lagring av e-poster, men dersom du ikke har grunn til å beholde gamle e-poster, kan det hende du må slette dem. Det bør helst være nødvendig å beholde dem, eller en plikt f.eks. i lov om fortsatt lagring.

5. Bruk av kundelister i markedsføring

Gjennom årenes løp har bedriften din trolig opparbeidet telefonnummer- og e-postlister fra eksisterende og potensielle kunder. Opplysningene vil være nyttige å bruke i markedsføring, men har du lov til å gjenbruke dem til andre formål enn akkurat det de ble hentet inn for?

– Du kan bruke to grunnlag for å kontakte folk: Enten har de samtykket til å bli kontaktet, eller så kan du kanskje bruke vilkåret om at bedriften din har en berettiget interesse som ikke krenker personvernet på en uakseptabel måte. En slik interesse kan være markedsføring. Men husk at det ikke bare er GDPR du skal tenke på, for du må også holde deg innenfor Markedsføringsloven § 15, sier Vanebo.

Forbrukertilsynet har skrevet en veiledning til Markedsføringsloven § 15.

Spør noen som vet!

Vanebo sier at han ofte trenger en dag eller to på å sette seg inn i enkeltsaker for å komme med anbefalinger. Rådet hans til deg er å sjekke om noen har gjort lignende før deg: Snakk med bransjeorganisasjonen din!

Vil du holde deg oppdatert på det siste innen markedsføring på nett? Meld deg på vårt nyhetsbrev!