For at sikre, at din butik er i overensstemmelse med GDPR, er en privatlivspolitik et must. Men der er nogle andre regler, du også skal overveje. Disse regler vedrører:
Webformularer
Websides kryptering
Email-marketing
Cookies
Sociale medie-plugins
Webformularer
Når en kunde ønsker at indtaste deres personlige data på din side (for eksempel under Checkout eller når de tilmelder sig dit nyhedsbrev), skal de udfylde en webformular. For at sikre, at webformularerne på din side overholder GDPR, skal de opfylde to vigtige krav:
Dataminimering: Som butiksoperatør har du kun tilladelse til at anmode om den nødvendige mængde data, der er nødvendig for at opfylde din kontraktlige forpligtelse (for eksempel for at udfylde en ordre). Så under Checkout behøver du egentlig kun at bede om kundens navn og adresse. Hvis din kunde kun ønsker at tilmelde sig dit email-nyhedsbrev, kan du ikke kræve, at de også giver dig deres postadresse og telefonnummer.
Fortrolighed: Som onlineforhandler er du forpligtet til at sikre, at alle dine kunders personlige data er beskyttet mod uautoriseret eller ulovlig behandling. Det betyder, at enhver dataoverførsel skal være krypteret.
Websides kryptering
Artikel 32.1.a i GDPR kræver, at butiksoperatører sikrer, at deres dataoverførsel er krypteret. Det er en god idé at bruge HTTPS-protokollen til at sikre kommunikation på din webside. Du kan også bruge et SSL-certifikat til at sikre, at…
… kommunikationspartnere er autoriserede via en asymmetrisk krypteringsproces.
… dataoverførsel er sikret end-to-end med en symmetrisk krypteringsproces.
… integriteten af de transporterede data ikke er kompromitteret.
For at lære mere om, hvordan man får et SSL-certifikat og hvilke andre sikkerhedsforanstaltninger du kan tage, se vores artikel om e-handelssikkerhed.
Email-marketing
Siden GDPR trådte i kraft, har onlinebutikker været forpligtet til at bruge en dobbelt opt-in-proces for at få kundens samtykke til at behandle deres data (for eksempel, når en kunde tilmelder sig dit nyhedsbrev). Det betyder, at en kunde, der er interesseret i at modtage information eller reklame fra dig, skal give samtykke hertil, når de giver dig deres kontaktinformation (for eksempel ved at markere en boks for at indikere, at de ønsker at modtage reklame-emails fra dig). Derefter skal du også sende dem et bekræftelseslink via email, som de skal klikke på for at fuldføre tilmeldingsprocessen. Det betyder, at de giver deres samtykke to gange til at modtage fremtidig information/tilbud fra dig. Hvis du ikke opnår dette dobbelte samtykke, har du ikke lov til at sende reklame eller marketingmeddelelser til kundens emailadresse. Hvis kunden ikke klikker på bekræftelseslinket, må du ikke bruge eller opbevare deres emailadresse til markedsføringsformål.
Cookies
Cookies er et andet vigtigt emne, når det kommer til datasikkerhed. Mange onlinebutikker bruger cookies til at skabe en mere brugervenlig oplevelse. For eksempel kan cookies gemme information, så brugere ikke behøver at indtaste deres detaljer hver gang, de besøger siden. Disse inkluderer information som:
Sprogindstillinger
Varer i indkøbskurven
Loginoplysninger
EU's Cokiedirektiv (2009/136/EC) er en anden lovgivning, der er tæt relateret til GDPR. Under dette direktiv kan en butiksindehaver kun bruge cookies uden besøgendes samtykke, hvis de er strengt nødvendige fra et teknisk synspunkt. Derudover skal din webside altid inkludere en banner, der informerer besøgende om, at den bruger cookies. Og du skal altid bede om den besøgendes samtykke på forhånd til at bruge cookies, der ikke er nødvendige for at holde din side kørende korrekt.
Tabellen nedenfor viser eksempler på, hvilke slags cookies der betragtes som teknisk nødvendige, og hvilke der ikke er:
Sociale medie-plugins
Tidligere kunne sociale medie-plugins begynde at indsamle brugerdata i det øjeblik, en besøgende ankom til din side. GDPR ændrede alt dette. Under de nye regler skal sociale medie-plugins altid være inaktive som standard, når en bruger ankommer til en side. Når et plugin er korrekt indlejret på din side, er det en passiv knap, der kun bliver aktiv, når brugeren klikker på den. Ved at klikke på knappen giver brugeren deres samtykke til, at deres data overføres til den sociale medieplatform, som plugin'et tilhører. Når alt kommer til alt, hvis en bruger klikker på knappen, antages det logisk, at de ønsker at bruge den (for eksempel til at dele indhold fra din webside via sociale medier).
Sociale medie-plugins er meget almindelige i e-handel og vises normalt som Shariff-knapper. Derudover kan du bruge et to-klik samtykkeprincip for sociale medieknapper på din side (svarende til dobbel opt-in princippet for nyhedsbreve). Under to-klik systemet klikker brugeren først på den sociale medieknap, de vil bruge. Derefter spørger din butik eksplicit, om de samtykker til, at du overfører deres data til den sociale medieplatform.
Ordrebehandling
Som butiksoperatør arbejder du sandsynligvis med mange tjenesteudbydere, såsom:
Betalingstjenesteudbydere
SaaS-leverandører
Cloud-tjenester
Disse tjenesteudbydere behandler også personlige data relateret til dine kunder, så GDPR kræver, at du indgår en databehandlingsaftale (DPA) med hver partner. Uden en DPA har du ingen lovlig grund til at overføre kundedata til en tredjepart. Selvom det kræver lidt ekstra indsats at oprette en DPA, giver det dig mere sikkerhed, end du havde tidligere. For eksempel definerer en DPA klart, hvem der er ansvarlig i tilfælde af et datalæk.
