Datatilsynet har d. 17 februar 2020 frigivet en vejledning, hvor man har taget stilling til behandling af personoplysninger om hjemmesidebesøgende.

Vejledningen gør, at flere områder nu er præciseret, og man giver også mange gode eksempler deri.

Der er et link til vejledningen og en tilhørende Podcast nederst i denne artikel.

Her er mit udtræk af nogle af de områder, der bør kigges på.

Hvornår er det en personoplysning?

Mange har jo tilknyttet en eller anden form for analyse værktøj, så man som hjemmeside ejer, kan se den besøgenes rejse gennem hjemmesiden, hvilke sider er mest populære etc.

Et sådan analyse værktøj er i stand til at identificere dig fremfor andre, ved at indsamle online ID såsom IP-adresser, annoncetags og device info, via Device fingerprinting. Dette er en teknik, hvorved der sammensættes en række informationer om den besøgendes udstyr, f.eks. om skærmindstillinger, dato, sprog, installerede fonte, plug-ins m.v. Dette med henblik på at adskille den ene bruger fra den anden.

De kender ikke dit navn eller telefon nummer men din adfærd. Dette gøres ved hjælp af en ID, som gør dig unik. Hjemmeside ejeren kan herefter vise dig annoncer tilpasset dine “vaner”. Besøger din partner samme hjemmeside med sin computer, og kommer fra samme offentlige IP adresse, vil personen få vist andre annoncer, baseret på brugen af hjemmesiden. Så disse oplysninger beskrives nu som personoplysninger:

Datatilsynet skriver:

Det er i den forbindelse vigtigt at have for øje, at der også kan være tale om personoplysninger, selvom personerne er ”unavngivne”, og at det ikke umiddelbart er muligt for den uindviede person at identificere vedkommende.

Facebook Like på hjemmesiden

I juli 2019 blev en tysk virksomhed dømt for at være fælles dataansvarlig med Facebook. Jeg skrev om denne EU-dom: Hjemmesider med Facebook Like-knap gør dig til dataansvarlige i august 2019.

Hvis du integrerer 3. parts, fælles dataansvar, eksempelvis en Facebook like knap, så skal du have samtykke til at indsamle og videregive disse oplysninger. Man er ikke nødvendigvis ansvarlig for hvad facebook gør med oplysninger, men man skal sikre sig man har et samtykke til at videregive disse oplysninger.

Datatilsynet skriver

Idet indsamling og videregivelse af personoplysninger til det sociale netværk Q udløses ved besøg på virksomhedens hjemmeside, påhviler det virksomheden og ikke det sociale netværk Q at sikre et behandlingsgrundlag; eventuelt den registreredes samtykke.

Behandlingsgrundlaget skal i dette tilfælde dog kun vedrøre den behandling, hvor virksomheden bidrager til fastlæggelsen af formål og hjælpemidler; det vil sige indsamling og videregivelse.

Samtykke

• Frivilligt, Det skal være lige så nemt og sige ja tak som nej tak. På flere hjemmesider man besøger, er Ja tak knappen meget tydelig, hvorimod Nej Tak skal man lede længe efter, hvis man overhovedet finder den.
• Specifikt, Samtykket skal være præcist og afgrænset, det er ikke nok blot og skrive, ”Vi benytter dine personoplysninger til personalisering af hjemmesiden”
• Informeret Man skal vide hvem er virksomheden, samt hvad der gives lov til, og hvad disse indsamlede data skal bruges til, herunder også hvis man videregiver til 3. part
• Utvetydig viljetilkendegivelse, betyder at man selv sætter kryds i et felt. Det er ikke tilladt med et forudkrydset felt, eller “tavshed” ved besøg på hjemmesiden. Tilvalget skal være præsenteret ligeligt med fravalg, så det er tydeligt hvad der er JA og hvad der er NEJ.
• Dokumentationskravet Du skal kunne fremvise dokumentation for det enkelte samtykke, f.eks. ved et skærmdump fra hjemmesiden.

Hvad sker der så nu?

På spørgsmålet om Datatilsynet nu vil fare ud og give bøder, svarer de, at det vil de ikke med det samme. Men efter et stykke tid, så ja. Så jeg skal lige kigge på min hjemmeside og sikre mig, at den er i henhold til kravene.

Det firma der vedligeholder Schmitto.dk tester i øjeblikket en funktion, hvor man først sætter cookies, når der er givet accept. Du kan se et eksempel på Brandweb – Et webbureau fra Sydhavsøerne med fokus på WordPress

Hør eller læs ? ?

• Du kan høre om de nye retningslinjer i Datatilsynets Podcast om GDPR
• Detaljerne og de gode eksempler findes i PDF’en nye retningslinjer om behandling af personoplysninger om hjemmesidebesøgende

 

Har du styr på behandling af personoplysninger på din hjemmesiden?

Kontakt mig gerne på 40253921 eller [email protected] hvis du har spørgsmål eller kommentarer.

 

Med venlig hilsen

Ole Schmitto
[email protected]
Mobil: 4025 3921