Kort svar
Bruger din hjemmeside cookies til statistik eller annoncer, skal den besøgende som udgangspunkt sige ja, før de bliver sat, og det skal være lige så let at sige nej. Bruger siden kun de cookies, der er nødvendige for, at den virker, skal der ikke være et samtykkebanner.
Har du en kontaktformular, behandler du persondata, og så skal du som udgangspunkt have en privatlivspolitik, der forklarer, hvad der sker med oplysningerne. Guiden er en praktisk gennemgang, ikke juridisk rådgivning.
To sæt regler: cookies og persondata
Der er to sæt regler, som tit bliver blandet sammen. Cookiereglerne handler om at gemme og læse oplysninger på den besøgendes computer eller telefon, fx med cookies. GDPR, databeskyttelsesforordningen, handler om, hvordan du behandler oplysninger om personer, fx navn, e-mail og telefonnummer fra en formular.
I Danmark fører Erhvervsstyrelsen tilsyn med cookiereglerne, og Datatilsynet fører tilsyn med reglerne om persondata. Begge har vejledninger skrevet til virksomheder, og de er værd at læse.
Hvornår skal du have et cookiebanner?
Som udgangspunkt kræver alle cookies, der ikke er strengt nødvendige for, at siden virker, et samtykke, før de bliver sat. Det gælder typisk statistik som Google Analytics og annonceværktøjer som Meta Pixel. Nødvendige cookies, fx til en indkøbskurv eller til at huske selve cookievalget, kræver ikke samtykke, men de skal stadig beskrives.
| Type | Eksempel | Kræver samtykke? |
|---|---|---|
| Nødvendige | Indkøbskurv, login, dit cookievalg | Nej, men de skal beskrives |
| Statistik | Google Analytics | Ja, som udgangspunkt |
| Marketing | Meta Pixel og andre annonceværktøjer | Ja |
| Indlejret indhold | Videoer fra YouTube, kort fra Google | Tit, fordi de kan sætte deres egne cookies |
Bruger din side ingen af den slags cookies, skal der ikke være et samtykkebanner. Det er en god grund til at overveje, om du overhovedet har brug for statistik og pixel. Denne hjemmeside viser fx først et banner, når der er noget at sige ja til.
Sådan skal samtykket være
Et gyldigt samtykke skal være frivilligt, konkret og informeret, og den besøgende skal aktivt sige ja. Det betyder typisk:
- Ingen cookies til statistik eller marketing, før den besøgende har sagt ja.
- Ingen felter, der er krydset af på forhånd.
- Det skal være lige så let at sige nej som ja.
- Den besøgende skal kunne vælge de enkelte formål til og fra.
- Det skal være let at trække samtykket tilbage igen, fx med et link i bunden af siden.
- Banneret skal fortælle, hvad cookies bruges til, og hvem der står bag.
Et banner, hvor "Accepter" er en stor farvet knap, og "Afvis" er gemt bag et link, lever tit ikke op til kravene. Det samme gælder et banner, der kun har en "OK"-knap.
Privatlivspolitikken
Behandler du persondata, skal de personer, det handler om, som udgangspunkt have at vide, hvad der sker med dem. På en hjemmeside sker det typisk i en privatlivspolitik. Den skal være skrevet så klart, at en almindelig besøgende kan forstå den, og den skal typisk fortælle:
- Hvem du er, og hvordan man kontakter dig.
- Hvilke oplysninger du behandler, og hvorfor.
- Hvad der giver dig lov til det, fx at kunden selv har skrevet til dig.
- Hvem du deler oplysningerne med, fx din udbyder af hosting eller e-mail.
- Hvor længe du gemmer dem.
- Den besøgendes rettigheder, fx til indsigt og sletning.
- At man kan klage til Datatilsynet.
Kontaktformularen
For mange små virksomheder er kontaktformularen det eneste sted, hjemmesiden behandler persondata. Spørg kun om det, du har brug for: navn, en måde at svare på, og hvad det drejer sig om. Siden skal have sikker forbindelse (https), og oplysningerne skal ende et sikkert sted.
Bed ikke om følsomme oplysninger som helbred, hvis du ikke har brug for dem. En klinik kan fx skrive, at patienten ikke skal skrive om sit helbred i formularen. Slet henvendelser, når du ikke længere har brug for dem, og skriv i privatlivspolitikken, hvor længe du gemmer dem.
Leverandører, nyhedsbreve og det praktiske
Behandler en leverandør persondata for dig, fx din udbyder af hosting, e-mail eller nyhedsbreve, skal der som udgangspunkt være en databehandleraftale. Mange udbydere har en standardaftale, som du kan acceptere.
Vil du sende nyhedsbreve med markedsføring, skal modtageren som udgangspunkt have sagt ja til det på forhånd, og det skal være let at framelde sig. Et kryds, der er sat på forhånd, er ikke nok.
Er du i tvivl, så læs vejledningerne fra Datatilsynet og Erhvervsstyrelsen, eller spørg en advokat. Reglerne kan ændre sig, og din situation kan have detaljer, som en guide ikke kan dække. Læs også, hvad en hjemmeside skal indeholde.