GDPR er Europas lov om privatliv. Hvis din formular indsamler oplysninger fra besøgende i EU, selv bare en mailadresse, gælder GDPR for dig. Det er ikke noget, der kun rammer store virksomheder eller bestemte brancher. GDPR gælder for alle virksomheder i hele verden, der indsamler data fra europæiske borgere, og straffene for at gøre det forkert er hårde.
GDPR og samtykke i formularer er de juridiske regler for, hvilke data du må indsamle fra besøgende i EU, hvordan du beder om dem, og hvad du gør med dem. Det er vigtigt at forstå reglerne, før du bygger en formular, der indsamler data fra europæiske borgere.
Det lærer du: Hvad GDPR er, og hvem den gælder for, hvad juridisk samtykke betyder, hvordan du bygger formularfelter og afkrydsningsfelter, så de opfylder kravene i GDPR, og hvad der sker, hvis du ikke overholder reglerne.
Hvad er GDPR, og gælder den for dine formularer?
GDPR (General Data Protection Regulation, den generelle forordning om databeskyttelse) er en EU-lov, der styrer, hvordan organisationer indsamler, gemmer og bruger personoplysninger. Den gælder for enhver virksomhed overalt i verden, der indsamler oplysninger fra borgere i EU.
Dine formularer er omfattet af GDPR, hvis:
- Du har besøgende fra EU, og din formular indsamler oplysninger fra dem
- Du indsamler mailadresser, navne, telefonnumre, IP-adresser eller andre oplysninger, der kan identificere nogen
- Du indsamler oplysninger om borgere i EU, selv om du ikke selv er i EU
Det er lige meget, om din virksomhed er stor eller lille, hvilken branche du er i, eller om du sælger noget. Hvis du indsamler data fra borgere i EU, gælder GDPR.
Hvad kræver GDPR af formularer?
GDPR har flere konkrete regler for formularer, der indsamler data:
Gennemsigtighed: fortæl de besøgende, hvad du indsamler
Før nogen udfylder din formular, skal de vide, hvilke data du indsamler, og hvorfor. Du skal give tydelige oplysninger om:
- Hvilke data du indsamler (e-mail, navn osv.)
- Hvad du gør med dem (sender dem mails, tilføjer dem til en mailingliste, gemmer dem til senere kontakt)
- Hvem der har adgang til dem (dit team, tredjepartstjenester osv.)
- Hvor længe du beholder dem
Oplysningerne skal være synlige for de besøgende, før de sender formularen. En privatlivspolitik, du linker til, er ikke nok. Du skal give de vigtigste oplysninger lige på formularsiden eller over selve formularen.
Samtykke: spørg udtrykkeligt, gå ikke ud fra noget
Til de fleste former for indsamling af data skal du have udtrykkeligt samtykke fra den besøgende. De skal aktivt sige ja til dine vilkår. At sætte kryds i et felt er samtykke. At tie er ikke.
Det er anderledes end, hvordan formularer virkede før GDPR. Du kan ikke gå ud fra, at fordi nogen har sendt en formular for at kontakte dig, er de automatisk villige til at blive tilføjet til din mailingliste til markedsføring. Hver brug af dataene kræver særskilt samtykke.
Samtykke skal gives frit
Samtykket må ikke være en betingelse for at bruge din ydelse, hvis dataene ikke er nødvendige for ydelsen. Hvis nogen for eksempel udfylder en kontaktformular for at stille et spørgsmål, skal du bruge deres mailadresse for at svare. Det kræver ikke samtykke, fordi det er nødvendigt. Men hvis du vil tilføje dem til dit nyhedsbrev om markedsføring, er det valgfrit, og så skal du have udtrykkeligt samtykke.
Selve måden at give samtykke på skal være tydelig
Hvis du bruger et afkrydsningsfelt til samtykke, skal det starte uden kryds. De besøgende skal aktivt sætte kryds. Felter, der er afkrydset på forhånd, tæller ikke som samtykke. Sproget skal være tydeligt og enkelt og ikke gemt i juridisk fagsprog.
Sådan bygger du formularer op til samtykke efter GDPR
Nødvendige data og valgfrie data
Først skal du skille de data, du absolut skal bruge, fra de data, der er valgfrie:
- Nødvendigt: Oplysninger, du skal bruge for at udføre forespørgslen (e-mail for at svare på en kontaktformular, adresse for at sende en ordre)
- Valgfrit: Oplysninger, du gerne vil have til markedsføring eller analytics (hvilken kanal de kom fra, hvad deres jobtitel er)
Marker valgfrie felter tydeligt med "(valgfrit)", så de besøgende ved, at de ikke behøver udfylde dem.
Separate afkrydsningsfelter til samtykke
Hvis du vil bruge data til flere formål, så brug separate afkrydsningsfelter. Ét til "Jeg accepterer at blive kontaktet på mail" og et andet til "Jeg accepterer at modtage markedsføringsmails." Læg dem ikke sammen i ét afkrydsningsfelt.
<label> <input type="checkbox" name="contact_consent" required> Du accepterer, at vi må kontakte dig for at svare på den her henvendelse </label> <label> <input type="checkbox" name="marketing_consent"> Jeg accepterer at modtage markedsføringsmails om nye produkter og særlige tilbud </label>Læg mærke til, at det første afkrydsningsfelt er påkrævet (nødvendigt for ydelsen), men uden kryds fra start. Det andet er valgfrit (markedsføring er ikke nødvendig) og også uden kryds fra start.
Tydeligt og læsbart sprog til samtykke
Teksten ved afkrydsningsfeltet skal være tydelig og konkret. Almindelige vendinger som "Jeg accepterer dine vilkår og betingelser" opfylder ikke GDPR. Vær konkret om, hvad den besøgende siger ja til.
Dårligt: "Jeg accepterer"
Bedre: "Jeg accepterer at modtage markedsføringsmails"
Bedst: "Jeg accepterer at modtage markedsføringsmails om produkter og tilbud cirka to gange om måneden"
Jo mere konkret, jo bedre. Fortæl de besøgende præcis, hvad de giver samtykke til.
Link til din privatlivspolitik
Efter afkrydsningsfelterne til samtykke skal du tage et link med til din fulde privatlivspolitik. Så kan de besøgende læse alle detaljer om, hvordan du håndterer deres data, hvis de vil.
<p>Når du sender formularen, accepterer du vores <a href="/ordliste/privatlivspolitik">privatlivspolitik</a>.</p>Opbevaring af data og GDPR
GDPR kræver også, at du kun gemmer personoplysninger, så længe det er nødvendigt. Du skal fastsætte og følge en politik for opbevaring af data.
- Hvor længe gemmer du henvendelser fra kontaktformularer? (30 dage? 6 måneder? Til forespørgslen er løst?)
- Hvor længe beholder du folk på en mailingliste til markedsføring? (Til de afmelder sig?)
- Hvor længe gemmer du kundedata efter et køb? (7 år til skatteformål, derefter sletning)
Skriv din politik for opbevaring ned og følg den. Sæt en plan op for automatisk at slette gamle henvendelser og data.
De rettigheder, GDPR giver de registrerede
Når nogen sender en formular på din hjemmeside, har de rettigheder efter GDPR:
- Ret til indsigt: De kan spørge, hvilke data du har om dem
- Ret til at blive glemt: De kan bede dig slette deres data (dog er der undtagelser, som skatteregnskab)
- Ret til berigtigelse: De kan bede dig rette forkerte data
- Ret til dataportabilitet: De kan bede dig give dem deres data i et format, der kan flyttes
- Ret til at trække samtykke tilbage: De kan når som helst trække deres samtykke til markedsføringsmails eller andre brug tilbage
Du skal være forberedt på at håndtere de anmodninger. Det betyder som regel, at du har en måde, folk kan sende dem på (en mailadresse, en formular osv.), og en måde at svare inden for 30 dage.
Bøder og konsekvenser ved overtrædelse af GDPR
Overtrædelser af GDPR har store straffe:
- Op til 20 millioner euro eller 4 % af din årlige omsætning i hele verden (det højeste af de to) for de mest alvorlige overtrædelser
- Op til 10 millioner euro eller 2 % af omsætningen for mindre alvorlige overtrædelser
- I praksis får selv små virksomheder bøder med seks cifre for brud på datasikkerheden eller overtrædelser af reglerne om samtykke
Ud over bøder kan en overtrædelse af GDPR skade dit omdømme, koste dig kunder og give juridisk ansvar, hvis data bruges forkert.
Tjekliste til GDPR i formularer
- [ ] Du har klarlagt, hvilke data du indsamler
- [ ] Du har en tydelig privatlivspolitik
- [ ] Du viser de vigtigste oplysninger om privatliv over eller i formularen
- [ ] Alle afkrydsningsfelter starter uden kryds
- [ ] Afkrydsningsfelter til samtykke bruger tydeligt og konkret sprog
- [ ] Du har separate afkrydsningsfelter til separate brug af data (kontakt og markedsføring)
- [ ] Din formular forklarer opbevaring af data (hvor længe du gemmer henvendelser)
- [ ] Du har en politik for opbevaring af data og følger den (slet gamle data)
- [ ] Du har en måde, folk kan bede om indsigt i, sletning eller rettelse af deres data
- [ ] Du kan nemt afmelde folk fra markedsføringsmails
- [ ] Du ved, hvor de besøgendes data gemmes, og hvem der har adgang til dem
Hvad WEMASY gør for at overholde GDPR
WEMASY-formularer har funktioner til håndtering af samtykke, der hjælper dig med at opfylde kravene i GDPR. Du kan tilføje afkrydsningsfelter til samtykke i dine formularer, og WEMASY registrerer, hvad hver besøgende gav samtykke til. Henvendelser har tidsstempler, så du ved, hvornår samtykket blev givet. Du styrer opbevaringen af data ved at slette gamle henvendelser, du ikke længere har brug for.
Din virksomhed har stadig brug for en privatlivspolitik og skal selv beslutte, hvordan den håndterer anmodninger om indsigt i data, men WEMASY klarer den tekniske del af samtykke og håndtering af data.
Læs mere om funktioner til at overholde reglerne i din plan på siden med priser.