Vad är GDPR? En komplett guide för webbplatsägare

Om du driver en webbplats eller app som har besökare från Europeiska unionen behöver du förstå GDPR. Den här förordningen har förändrat hur företag hanterar personuppgifter över hela världen, och bristande efterlevnad kan leda till betydande böter.

I den här guiden går vi igenom allt du behöver veta om GDPR på ett enkelt språk: ingen juridisk jargong krävs.

Vad är GDPR?

General Data Protection Regulation (GDPR) är en dataskyddslag som reglerar hur organisationer samlar in, lagrar och behandlar personuppgifter om enskilda personer i Europeiska unionen. Den trädde i kraft den 25 maj 2018 och ersatte dataskyddsdirektivet från 1995.

GDPR betraktas som världens strängaste integritetslag. Den ger EU-invånare en aldrig tidigare skådad kontroll över sina personuppgifter och håller företag ansvariga för hur de hanterar dessa uppgifter.

Centrala principer i GDPR

GDPR bygger på sju kärnprinciper:

1. Laglighet, korrekthet och öppenhet - Du måste ha en rättslig grund för att behandla uppgifter och vara öppen med det
2. Ändamålsbegränsning - Uppgifter får endast samlas in för särskilda, berättigade ändamål
3. Uppgiftsminimering - Samla endast in uppgifter som är nödvändiga för ditt angivna ändamål
4. Riktighet - Personuppgifter måste vara korrekta och hållas uppdaterade
5. Lagringsminimering - Uppgifter bör endast sparas så länge som det är nödvändigt
6. Integritet och konfidentialitet - Uppgifter måste behandlas på ett säkert sätt
7. Ansvarsskyldighet - Du måste kunna visa att du följer reglerna

Gäller GDPR för min webbplats?

Här är den viktiga delen: GDPR gäller för dig om du samlar in personuppgifter från invånare i EU, oavsett var ditt företag är beläget.

Det betyder att om du är ett USA-baserat företag med en webbplats som EU-medborgare kan komma åt, gäller GDPR för dig. Förordningen har en extraterritoriell räckvidd.

Du måste följa GDPR om:

• Din webbplats använder cookies eller spårningstekniker
• Du samlar in e-postadresser (nyhetsbrev, kontaktformulär)
• Du har användarkonton med personlig information
• Du behandlar betalningar från EU-kunder
• Du använder analysverktyg som Google Analytics
• Du visar personanpassade annonser

Redo att bli förenlig med reglerna? Skapa en GDPR-förenlig integritetspolicy på några minuter med vår kostnadsfria generator.

Vilka personuppgifter skyddar GDPR?

GDPR har en bred definition av personuppgifter. Den omfattar all information som direkt eller indirekt kan identifiera en person:

Direkta identifierare

• Fullständigt namn
• E-postadress
• Telefonnummer
• Fysisk adress
• Personnummer
• Passnummer

Indirekta identifierare

• IP-adresser
• Enhets-ID:n
• Cookie-identifierare
• Platsdata
• Beteendedata
• Biometriska data

Särskilda kategorier (känsliga uppgifter)

GDPR ger extra skydd för känsliga uppgifter:

• Ras eller etniskt ursprung
• Politiska åsikter
• Religiös övertygelse
• Hälsouppgifter
• Sexuell läggning
• Genetiska och biometriska uppgifter

GDPR-rättigheter för användare

En av de viktigaste aspekterna av GDPR är de rättigheter den ger enskilda personer:

Rätt till tillgång

Användare kan begära en kopia av alla personuppgifter du har om dem. Du måste svara inom 30 dagar.

Rätt till rättelse

Användare kan be dig att korrigera felaktiga personuppgifter.

Rätt till radering (rätten att bli bortglömd)

Användare kan begära att du raderar deras personuppgifter under vissa omständigheter.

Rätt till dataportabilitet

Användare kan begära sina uppgifter i ett maskinläsbart format för att överföra dem till en annan tjänst.

Rätt att invända

Användare kan invända mot behandling av sina uppgifter för direktmarknadsföring eller baserat på berättigade intressen.

Rätt till begränsning av behandling

Användare kan begära att du begränsar hur du använder deras uppgifter.

Så följer du GDPR

Här är en praktisk checklista för GDPR-efterlevnad:

1. Skapa en integritetspolicy

Din integritetspolicy måste tydligt förklara:

• Vilka uppgifter du samlar in
• Varför du samlar in dem
• Hur du behandlar dem
• Vem du delar dem med
• Hur länge du sparar dem
• Användarnas rättigheter och hur man utövar dem
• Dina kontaktuppgifter

2. Inför samtycke till cookies

Om du använder cookies utöver de absolut nödvändiga behöver du:

• En samtyckesbanner för cookies
• Opt-in-samtycke innan icke-nödvändiga cookies laddas
• Ett enkelt sätt att återkalla samtycke
• En cookiepolicy som förklarar dina cookies

3. Skydda dina uppgifter

Inför lämpliga säkerhetsåtgärder:

• Kryptera känsliga uppgifter
• Använd HTTPS
• Regelbundna säkerhetsgranskningar
• Åtkomstkontroller
• Personalutbildning

4. Fastställ en rättslig grund

Du behöver en rättslig grund för att behandla uppgifter:

• Samtycke - Användaren godkänner uttryckligen
• Avtal - Behandlingen är nödvändig för ett avtal
• Rättslig förpliktelse - Krävs enligt lag
• Grundläggande intressen - Att skydda någons liv
• Uppgift av allmänt intresse - Funktioner hos en myndighet
• Berättigade intressen - Affärsbehov som inte väger tyngre än användarnas rättigheter

5. Möjliggör användarrättigheter

Skapa processer för att hantera:

• Begäranden om tillgång till uppgifter
• Begäranden om radering
• Begäranden om dataportabilitet
• Återkallande av samtycke

Behöver du även en cookiepolicy? Skapa en GDPR-förenlig cookiepolicy som förklarar din användning av cookies och spårningstekniker.

GDPR-sanktioner och tillsyn

Tillsynen av GDPR har skarpa tänder. Det finns två nivåer av böter:

Lägre nivå

Upp till 10 miljoner euro eller 2 % av den årliga globala omsättningen för överträdelser som rör:

• Brister i dokumentation
• Underlåtenhet att anmäla dataintrång
• Underlåtenhet att genomföra konsekvensbedömningar

Högre nivå

Upp till 20 miljoner euro eller 4 % av den årliga globala omsättningen för överträdelser som rör:

• Brott mot grundläggande principer
• Brott mot användarrättigheter
• Överföring av uppgifter utan lämpliga skyddsåtgärder

Anmärkningsvärda GDPR-böter

• Meta (Facebook) - 1,2 miljarder euro för dataöverföringar till USA
• Amazon - 746 miljoner euro för annonseringsmetoder
• Google - 90 miljoner euro för överträdelser av samtycke till cookies
• H&M - 35 miljoner euro för övervakning av anställda

GDPR jämfört med andra integritetslagar

GDPR har inspirerat liknande lagar över hela världen:

Lag	Region	Viktigaste skillnaden
GDPR	EU/EES	Guldstandard, bredaste rättigheterna
CCPA/CPRA	Kalifornien	Opt-out-modell, snävare omfattning
LGPD	Brasilien	Liknar GDPR, mindre strikt
PIPEDA	Kanada	Samtyckesbaserad, mindre föreskrivande

Vanliga GDPR-misstag att undvika

1. Förkryssade samtyckesrutor - Samtycke måste ges frivilligt genom en tydlig bekräftande handling
2. Buntat samtycke - Du kan inte kräva samtycke till marknadsföring för att använda din tjänst
3. Ingen enkel opt-out - Att återkalla samtycke måste vara lika enkelt som att ge det
4. Vaga integritetspolicyer - Din policy måste vara tydlig och specifik
5. Ignorera databegäranden - Du har 30 dagar på dig att svara på användarnas begäranden

Kom igång med GDPR-efterlevnad

Det bästa sättet att påbörja din resa mot GDPR-efterlevnad:

1. Granska dina uppgifter - Vet vilka personuppgifter du samlar in och varför
2. Uppdatera din integritetspolicy - Gör den tydlig, heltäckande och tillgänglig
3. Inför samtycke till cookies - Inhämta korrekt samtycke innan du spårar användare
4. Utbilda ditt team - Alla som hanterar uppgifter bör förstå GDPR
5. Dokumentera allt - För register över ditt efterlevnadsarbete

Vanliga frågor

Vad står GDPR för?

GDPR står för General Data Protection Regulation (dataskyddsförordningen). Det är en omfattande dataskyddslag som antagits av Europeiska unionen och som trädde i kraft den 25 maj 2018.

Gäller GDPR för min webbplats?

GDPR gäller om du samlar in personuppgifter från invånare i EU, oavsett var ditt företag är beläget. Detta omfattar webbplatser, appar och onlinetjänster som har besökare från EU.

Vilka är sanktionerna för bristande efterlevnad av GDPR?

GDPR-böter kan vara betydande: upp till 20 miljoner euro eller 4 % av den årliga globala omsättningen, beroende på vilket belopp som är högst. Tillsynsmyndigheterna utfärdar dock vanligtvis varningar innan de utdömer stora böter.

Behöver jag en integritetspolicy för GDPR?

Ja, GDPR kräver att du har en tydlig och tillgänglig integritetspolicy som förklarar vilka personuppgifter du samlar in, varför du samlar in dem, hur du använder dem och vilka rättigheter användarna har över sina uppgifter.

Vad räknas som personuppgifter enligt GDPR?

Personuppgifter omfattar all information som kan identifiera en person, till exempel namn, e-postadresser, IP-adresser, platsdata, cookies och enhetsidentifierare.

Slutsats

GDPR-efterlevnad är inte valfri om du betjänar EU-användare: det är lagen. Även om det kan verka överväldigande till en början är kärnkraven enkla: var öppen om datainsamling, respektera användarrättigheter och inför rimliga säkerhetsåtgärder.

Den goda nyheten är att det inte behöver vara komplicerat att bli förenlig med reglerna. Börja med en ordentlig integritetspolicy som tydligt förklarar dina datametoder, och bygg vidare därifrån.

Redo att skapa din GDPR-förenliga integritetspolicy? Använd vår kostnadsfria generator för att skapa en heltäckande policy på några minuter.