GDPR er verdens målestok for privatlivslovgivning. Det er en EU-lov, men den gælder for alle virksomheder med besøgende fra EU. For analytics er GDPR klar: Du skal have udtrykkeligt samtykke, før du følger det meste af brugernes adfærd. Du skal dokumentere dit retsgrundlag. Og du skal respektere brugernes ret til at se og slette deres data. Når du forstår GDPR, har du fundamentet til analytics, der overholder reglerne overalt.
GDPR's hovedkrav til analytics
GDPR definerer personoplysninger bredt: alt, der direkte eller indirekte kan identificere en person. En IP-adresse er en personoplysning. En unik cookie er en personoplysning. E-mailadresser, telefonnumre og identifikatorer falder alle ind under GDPR. For analytics betyder det, at næsten al tracking udløser krav fra GDPR.
Kravet om samtykke
GDPR kræver udtrykkeligt, informeret samtykke, før du kan indsamle de fleste personoplysninger. Det betyder: Brugeren skal aktivt sige ja (ikke bare undlade at sige nej). Brugeren skal forstå, hvad vedkommende siger ja til (ikke gemt i juridisk sprog). Og samtykket skal være frivilligt (ikke presset frem). For analytics betyder det som regel et cookiebanner, der tydeligt forklarer, hvad du tracker, og som får et aktivt klik på "Jeg accepterer".
Samtykke er det mest almindelige retsgrundlag for analytics under GDPR. Nogle virksomheder bruger i stedet "legitim interesse", men domstolene har indsnævret det kraftigt. Til de fleste formål i analytics skal du gå ud fra, at du har brug for samtykke.
Legitim interesse som alternativ
Nogle formål med analytics, som at opdage svindel, sikre siden og enkel måling af ydeevne, kan være tilladt som "legitim interesse" uden udtrykkeligt samtykke. Men legitim interesse kræver, at forretningsbehovet er reelt, at indsamlingen står i rimeligt forhold til behovet, og at brugernes ret til privatliv ikke vejer tungere end din interesse. De fleste former for analytics består ikke den prøve. Gå ud fra, at du har brug for samtykke til det meste tracking.
Databehandleraftalen
Hvis du bruger et analyseværktøj fra en tredjepart (som Google Analytics), skal du have en databehandleraftale (DPA) med leverandøren. Aftalen fastslår, at leverandøren er din databehandler og ikke en selvstændig dataansvarlig. Uden en aftale kan du hæfte for leverandørens praksis. Med en aftale er ansvaret klart fordelt.
Brugernes rettigheder under GDPR
GDPR giver enkeltpersoner seks hovedrettigheder, som påvirker analytics: retten til at vide, hvilke data du har (ret til indsigt), retten til at få forkerte data rettet, retten til at få data slettet (retten til at blive glemt), retten til at begrænse behandling, retten til dataportabilitet og retten til at gøre indsigelse mod behandling.
Ret til indsigt
Brugere kan bede om alle de data, du har om dem. Du skal svare inden for 30 dage med en komplet oversigt. For analytics betyder det, at du skal kunne hente og rapportere data om en enkelt bruger. Hvis dine analysedata er gemt, så de er svære at hente, har du et problem med GDPR.
Retten til at blive glemt
Brugere kan bede om at få deres data slettet. Du skal gøre det inden for 30 dage (med nogle undtagelser for juridiske forpligtelser). For analytics betyder det, at du skal kunne slette en enkelt brugers poster. Hvis dine analysedata er samlede eller anonymiserede, er det lettere. Hvis de hænger sammen med enkeltpersoner, skal du have systemer til sletning.
Ret til indsigelse
Brugere kan gøre indsigelse mod enhver behandling af deres data. Du skal stoppe (medmindre du har en tungtvejende juridisk grund til at fortsætte). For analytics betyder det, at du skal have en nem måde for brugere at fravælge tracking. Det skal være lige så nemt at fravælge som at tilvælge.
GDPR i praksis
For at overholde GDPR i analytics skal du have: en klar privatlivspolitik, som er nem at finde. Et cookiebanner, der beder om udtrykkeligt samtykke før tracking. En databehandleraftale med din analyseleverandør. Systemer, der kan besvare brugernes anmodninger om indsigt og sletning inden for 30 dage. Og mulighed for, at brugerne kan trække deres samtykke tilbage når som helst.
Almindelige overtrædelser af GDPR i analytics
Forudafkrydsede samtykkebokse: Brugeren skal selv aktivt klikke for at give samtykke. En boks, der allerede er afkrydset, er ikke gyldigt samtykke.
Samlet samtykke: Brugerne skal give samtykke til analytics for sig. Du kan ikke samle samtykke til analytics, markedsføring og andre formål i én kontakt.
Ingen aftaler med leverandører: Det er en overtrædelse at bruge et analyseværktøj fra en tredjepart uden en databehandleraftale. Leverandørens praksis er dit ansvar.
Ingen mulighed for at fravælge: Hvis tracking kræver samtykke, skal brugerne have en tydelig måde at fravælge på. Skjulte links til fravalg tæller ikke.
Umulig sletning: Det er en overtrædelse at love at slette data uden at have systemer til det. Sletning skal være teknisk muligt.
GDPR og overførsel af data
GDPR begrænser overførsel af data om personer i EU til lande uden for EU, medmindre der er tilsvarende beskyttelse. Hvis din analyseleverandør gemmer data i USA, skal du have et juridisk grundlag (standardkontraktbestemmelser eller bindende virksomhedsregler), så overførslen overholder GDPR. Det er et velkendt problem for dem, der arbejder med analytics. Mange amerikanske værktøjer tilbyder nu servere i EU eller garanti for, at data bliver i EU, for at løse det.
Hvordan adskiller samtykke sig fra legitim interesse? Hvorfor ikke bruge legitim interesse til analytics?
Samtykke er et aktivt ja. Legitim interesse er en påstand om, at virksomhedens behov vejer tungere end hensynet til privatliv. Domstolene har indsnævret legitim interesse, fordi virksomheder har misbrugt den. For analytics: Tælling af sidevisninger til at måle ydeevne kan måske være legitim interesse. Detaljeret adfærdstracking er det sandsynligvis ikke. EU's tilsynsmyndigheder siger: Hvis det er til markedsføring eller adfærdsanalyse, så indhent samtykke. Gå ikke ud fra, at legitim interesse virker. Den sikre vej er at behandle analytics, som om det kræver samtykke.
Hvad betyder en klar forklaring i et cookiebanner egentlig?
Klar betyder letlæseligt sprog og ikke juridisk sprog. Specifik betyder, at du siger, hvad du tracker, og ikke bruger vage vendinger som "forbedre din oplevelse". Eksempel på vagt: "Vi bruger analysecookies." Eksempel på klart: "Vi bruger Google Analytics til at måle sidebesøg, klik på knapper og tid på siden, så vi kan forbedre siden." Skriv: værktøjets navn, hvad det indsamler, hvorfor du indsamler det, hvor længe du gemmer det, og om du deler det med tredjeparter. Test: Kan en person uden teknisk viden forstå, hvad du tracker, uden at klikke videre til din privatlivspolitik? Hvis ja, er det klart nok.
Skal jeg have en databehandleraftale med Google Analytics, eller kun med specialiserede leverandører?
Du skal have en databehandleraftale med alle værktøjer, der behandler personoplysninger. Google Analytics behandler personoplysninger (IP-adresser, sessioner, bruger-id'er), så ja. Google giver automatisk en aftale via deres vilkår. Tjek det: Log ind i Google Analytics og bekræft, at du har accepteret deres databehandlertillæg. Specialiserede analyseleverandører behandler også personoplysninger, så du skal have aftaler med dem. De fleste har en aftale i deres vilkår eller som et eget dokument. Reglen er: Hvis leverandøren rører ved personoplysninger, skal du have en aftale. Kan du ikke få en, så lad være med at bruge leverandøren.
Hvad er forskellen på standardkontraktbestemmelser og tilstrækkelighedsafgørelser?
Begge er måder at overføre EU-data lovligt til lande uden for EU. En tilstrækkelighedsafgørelse betyder, at EU har vurderet, at et land har tilsvarende beskyttelse af privatlivet (USA har ikke en). Standardkontraktbestemmelser er kontrakter, hvor leverandørerne forpligter sig til EU's standarder. Forskellen i praksis: Tilstrækkelighedsafgørelser er enklere, mens standardkontraktbestemmelser kræver kontrakter. De fleste leverandører af analytics (også Google) tilbyder standardkontraktbestemmelser i deres databehandleraftaler. Spørg din leverandør: Tilbyder I standardkontraktbestemmelser til overførsel af EU-data? Hvis ja, brug dem. Hvis nej, brug kun leverandører, der gemmer data i EU.
Hvis jeg får en anmodning om indsigt, hvad skal jeg så udlevere fra analytics?
Alt, hvad du har om personen, i et læsbart format. Fra Google Analytics: alle sessioner og hændelser (hvis du tracker bruger-id'er) eller session-id'er. Tag med: datoer, besøgte sider, udløste hændelser, tid på siden og alle personoplysninger (navne, e-mails). Fra andre systemer: heatmaps, sessionsoptagelser og adfærdstracking. Eksportér som PDF eller HTML og ikke som rå databasedumps. Brugeren skal kunne forstå det uden teknisk viden. Hvis du ikke let kan hente data om en enkelt bruger, har du et problem med GDPR. De fleste platforme kan eksportere pr. bruger. Hvis din ikke kan, så skift platform eller lav en egen eksport.
Min konkurrent har ikke et cookiebanner og tracker brugere. Hvordan overholder de GDPR?
Enten: (1) De overholder i virkeligheden ikke GDPR og håber, at tilsynet ikke opdager det (risikabelt). (2) De hævder, at tracking er legitim interesse (domstolene er skeptiske). (3) De tracker kun anonymiserede eller samlede data (intet samtykke nødvendigt). (4) De bruger kun nødvendige cookies (login, CSRF, intet samtykke nødvendigt). (5) De er i et land, hvor håndhævelsen af GDPR er svag. Virkeligheden: Mange overtræder GDPR og bliver aldrig opdaget. Men risikoen er reel: Én klage udløser en undersøgelse og bøder. Den kloge vej er at gå ud fra, at GDPR gælder, hvis du har besøgende fra EU, at indhente samtykke ordentligt og ikke regne med, at konkurrenterne overtræder reglerne.