GDPR og informasjonskapsler på bedriftsnettsiden: det grunnleggende

Norge er en del av Det europeiske økonomiske samarbeidsområdet (EØS), og reglene om vern av personopplysninger, personvernforordningen (GDPR), gjelder derfor også her. Tilsynet med at reglene følges, utføres av Datatilsynet.

I praksis betyr det at en bedriftsnettside som samler inn data, for eksempel gjennom et kontaktskjema eller analyseverktøy, tydelig bør opplyse om hvilke data som samles inn, og hvorfor.

En personvernerklæring er en egen side eller seksjon der du forklarer hvordan personopplysninger behandles. Vanligvis finner du følgende i den:

Informasjonskapsler som ikke er nødvendige for at nettsiden skal fungere, for eksempel de som brukes til å analysere trafikk, krever vanligvis samtykke fra den besøkende. Derfor bruker nettsider et banner der brukeren kan godta eller avslå slike kapsler. Det skal være like enkelt å avslå som å godta.

Før den besøkende har gitt samtykke, bør ikke analyseverktøyene startes. Slik fungerer banneret på denne nettsiden: uten samtykke lastes ikke Google Analytics.

Bruker du eksterne tjenester, for eksempel kontaktskjema, skrifter som lastes fra Googles servere eller analyseverktøy, bør du nevne dem i personvernerklæringen. Den besøkende bør vite at opplysningene, blant annet IP-adressen, kan sendes til disse leverandørene.

Et cookie-banner skal være forståelig og ikke villede. I praksis betyr det at knappene «godta» og «avslå» er like synlige, at samtykkeboksen ikke er forhåndsavkrysset, og at den besøkendes valg huskes. Det er også lurt å la brukeren endre valget senere, for eksempel gjennom en lenke i bunnteksten. Legg til en lenke til personvernerklæringen i banneret, der alle typer informasjonskapsler er beskrevet.

Analyseverktøy samler inn data om besøkende, så bruken bør beskrives i personvernerklæringen og, der det er nødvendig, innledes med samtykke. Eksterne skrifttyper eller skript som lastes fra andres servere overfører også den besøkendes IP-adresse til leverandøren. I 2022 kom en tysk domstol i München (første instans) til at lasting av Google Fonts fra Googles servere uten samtykke krenket den besøkendes personvern. En måte å begrense slik overføring på er å legge skrifttypene på egen server. Hvilke løsninger som passer, avhenger av nettsiden din og risikovurderingen, så det bør avklares med en jurist.

Jo mindre data du samler inn, desto mindre risiko. Et kontaktskjema trenger vanligvis bare navn, e-postadresse og meldingen. Ekstra felt, som telefonnummer eller adresse, legger du bare til hvis du virkelig trenger dem. Ved siden av send-knappen er det lurt å oppgi kort hva dataene brukes til, og lenke til personvernerklæringen.

Den som du behandler opplysninger om, kan be om innsyn, retting eller sletting. Slike krav må vanligvis besvares uten ugrunnet opphold, i utgangspunktet innen en måned. Avklar internt hvem i bedriften som mottar slike henvendelser og hvordan de registreres, slik at ingen blir oversett.

Reglene for informasjonskapsler i Norge følger av ekomloven, hvor den nye versjonen gjelder fra 1. januar 2025. § 3-15 gjelder lagring av opplysninger i brukerens utstyr og tilgang til dem. Samtykke til kapsler som ikke er nødvendige for tjenesten, må oppfylle kravene i GDPR, og nettleserinnstillinger regnes ikke lenger som samtykke. Datatilsynet fører tilsyn med samtykket, og Nkom med de øvrige delene av ekomloven. Datatilsynet publiserte i 2025 en veileder om gyldig samtykke, blant annet at det skal være like enkelt å avslå som å godta. Sjekk gjeldende lovtekst på Lovdata og hos Datatilsynet.

Førstepartskapsler settes av din egen nettside, for eksempel for å huske språkvalget. Tredjepartscookies settes av eksterne tjenester på nettsiden, som analyse, kart eller videoavspillere. De siste krever ekstra oppmerksomhet, fordi opplysningene går til andre selskaper, og de bør omtales i personvernerklæringen.

En cookie policy, enten som egen side eller som del av personvernerklæringen, bør være skrevet forståelig. Under er en generell oppskrift du må tilpasse nettsiden din. Det er ikke en ferdig juridisk mal.

Før publisering bør du sjekke:

Denne artikkelen er generell og er ikke juridisk rådgivning. Innholdet i personvernerklæringen må svare til hvilke data bedriften din faktisk samler inn, og ved tvil bør du få den gjennomgått av en jurist. Når jeg lager nettsider, legger jeg alltid inn personvernerklæring og cookie-banner, og teksten tilpasses verktøyene du bruker. Se også Nettsider for bedrifter i Norge.