Cookies og GDPR for webshops: hvad skal du have på plads?

Hvornår skal du hente samtykke til cookies?

Udgangspunktet i cookiebekendtgørelsen er skarpt: du må ikke gemme noget på den besøgendes computer, telefon eller tablet, og heller ikke læse det, der allerede ligger der, før personen har sagt ja og har fået at vide, hvad de siger ja til.1 Du skal hente samtykket, før cookien bliver sat, ikke mens banneret vises. Teknisk nødvendige cookies er undtaget, og myndighederne nævner fem eksempler: log-in og brugervalidering, elektroniske indkøbskurve, brugerdefinerede indstillinger som sprog eller land, autentificering og load balancing. Listen er ikke udtømmende, men undtagelsen er snæver, og to ting skal begge være opfyldt: cookien skal være en teknisk forudsætning for at levere den tjeneste, brugeren udtrykkeligt har bedt om, og de oplysninger, den indsamler, må ikke bruges til andet end at få tjenesten til at virke.2 Har du cookies i for eksempel din betalingsgateway, dit bookingflow eller dine formularer, skal du tage stilling til hver enkelt cookie for sig. Måler den samtidig på adfærd, statistik eller markedsføring, falder den uden for undtagelsen og kræver samtykke. Besøgsstatistik og personaliserede annoncer er ikke undtaget og kræver samtykke.

Hvad skal dit cookie-banner kunne?

Banneret har flere krav, end mange standardløsninger opfylder ud af boksen.3 Første lag skal kunne besvare fem spørgsmål: hvem I er, og hvem I eventuelt samarbejder med, hvad der indsamles, hvad det skal bruges til, om noget indsamles eller videregives af eller til tredjeparter, og at samtykket kan trækkes tilbage. De fem skal kunne nås fra første lag, ikke først i andet. Digitaliseringsstyrelsen accepterer dog, at listen over samarbejdspartnere ligger i en fold-ud-menu i første lag, så længe den er ét klik væk. Datatilsynet peger desuden på, at den besøgende allerede i første lag aktivt skal kunne sige både ja og nej, og at det skal fremgå, hvilke cookies der sættes, af hvem, til hvilke formål og hvornår de udløber. Detaljerne, herunder navnene på de enkelte teknologier og vejledningen i at trække samtykket tilbage, kan ligge i andet lag. Selve boksen skal kunne læses på få sekunder og stå for sig selv: er samtykket pakket ned i handelsbetingelserne, har kunden aldrig taget stilling til det, og så gælder det ikke.

Det skal være lige så let at sige nej som ja. Fortsat brug af siden, forudafkrydsede felter, vippekontakter der står slået til på forhånd, og en generel accept af handelsbetingelserne er ikke gyldigt samtykke, for samtykke kræver en aktiv handling. Design kan i sig selv gøre samtykket ugyldigt. En afvis-knap i lysegrå på hvid, eller en der nærmest forsvinder ind i sidens baggrund, mens accept-knappen lyser op, presser kunden i én retning, og så var valget ikke frit. Kunden skal kunne sige ja til ét formål og nej til et andet og må ikke tvinges til at sige ja til det hele. Du må som udgangspunkt heller ikke kræve et ja for at lukke kunden ind i shoppen. En cookie wall kan kun være lovlig, hvis brugeren tilbydes et tilfredsstillende alternativ, for eksempel betalt adgang. Vælger du betaling, stiller Digitaliseringsstyrelsen fire krav: alternativet skal være rimeligt, prisen skal være rimelig, og du må kun indsamle og behandle de oplysninger, der er nødvendige for at levere tjenesten til dem, der betaler.

Hvordan trækker kunden sit samtykke tilbage?

Vejen ud skal være lige så kort som vejen ind, og den må ikke koste noget. Har kunden sagt ja med ét klik, skal ét klik også kunne fortryde det. Både cookieoplysningerne og adgangen til at trække samtykket tilbage skal blive ved med at være tilgængelige på siden gennem en direkte og tydeligt markeret adgang, ikke kun i banneret ved første besøg. I praksis løses det med en lille fast knap, der følger med ned ad alle sider, eller en linje i sidefoden, der åbner samtykkeboksen igen. Loven sætter ingen fast udløbsdato, men et samtykke kan miste sin gyldighed med tiden, og derfor skal du spørge igen med jævne mellemrum. Datatilsynet og Digitaliseringsstyrelsen peger på cirka 12 måneder som et fornuftigt interval, og det gælder begge veje: både dem, der sagde ja, og dem, der sagde nej og altså må spørges igen. Ændrer du væsentligt på, hvilke teknologier du bruger, eller til hvilke formål, skal du hente et nyt samtykke.

Har du hentet et samtykke, skal du kunne dokumentere det. Det, du skal kunne vise, er tre ting: hvad samtykket omfattede, hvornår det blev givet, og hvilken samtykkeløsning der blev brugt, altså hvordan boksen så ud. Vi anbefaler selv at gemme et skærmbillede af banneret, men metoden er fri, og du kan dokumentere det på anden vis. Ændrer du banneret, bør dokumentationen følge med, så du har et billede af hver version, du har brugt. Pas til gengæld på med at overdrive: du må ikke begynde at samle flere oplysninger om brugerne, end du har brug for til at kunne dokumentere samtykket.

To ting til sidst, som koster tid, hvis de overses. Ansvaret for at indhente samtykke er dit, også når en samarbejdspartner eller teknisk leverandør har sat løsningen op. Og stort set alt, hvad du klistrer ind på sitet, tæller med: livechat, indlejrede videoer, delefunktioner til sociale medier, anmeldelseswidgets, analyseværktøjer. De kommer typisk med deres egne cookies i bagagen, og de bliver dit ansvar i samme øjeblik, de er på siden. Er shoppen på dansk, bør samtykkeløsning og privatlivspolitik også være det. Digitaliseringsstyrelsen fører tilsyn med cookiebekendtgørelsen, og bryder du kravet om samtykke og information, er straffen bøde.4 Datatilsynet fører tilsyn med databeskyttelsesreglerne. To myndigheder, to regelsæt, samme banner.

Hvad kræver GDPR af din webshop?

De to regelsæt hænger sammen, og det er værd at have med herfra. Når din side sætter eller læser cookies, behandler du som regel samtidig personoplysninger om den besøgende, for eksempel via et cookie-id. Derfor gælder både cookiebekendtgørelsen og GDPR på én gang, og samtykket til cookies svarer ikke i sig selv på, hvad du må bruge oplysningerne til bagefter. Den udbredte misforståelse først: nej, du skal ikke bede om samtykke til at ekspedere en ordre. For almindelige ordredata som navn, adresse, mail og telefon er grundlaget, at du skal opfylde aftalen med kunden, og oplysninger om købshistorik og reklamationer må du behandle, fordi det er nødvendigt for at passe kundeforholdet. Behandle er reglernes ord for alt, hvad du gør med oplysninger: samler ind, gemmer, bruger, sender videre og sletter. Det samme grundlag dækker, at adressen gives videre til fragtfirmaet, som skal levere pakken. Reglen er, at du skal vælge det grundlag, der passer til situationen, og altså ikke indhente samtykke, når du har et andet lovligt grundlag. Og du må ikke behandle flere oplysninger, end du rent faktisk skal bruge. Vil du bruge de samme oplysninger til nyhedsbrev eller kundeklub, skifter grundlaget til samtykke, og kunden skal have at vide, at samtykket kan trækkes tilbage. Skal nyhedsbrevet sendes på mail, kræver markedsføringsloven som udgangspunkt sit eget selvstændige samtykke oven i GDPR-grundlaget, så to regelsæt gælder for det samme nyhedsbrev.5 Der er én undtagelse for egne tilsvarende produkter til en eksisterende kunde, og den er beskrevet længere nede, i afsnittet om hvor længe du må gemme kundernes oplysninger. Reglerne er desuden uddybet i guiden om lovkrav for webshops.

Ansvaret er til gengæld dit. Går der noget galt med kunde- eller medarbejderdata, er det din virksomhed, der står på mål for det over for Datatilsynet. Rollen hedder dataansvarlig, og den kan du ikke lægge fra dig ved at pege på din systemleverandør.

Du skal give kunden informationen på det tidspunkt, hvor du modtager oplysningerne fra kunden selv. Får du dem fra andre end personen selv, skal du give informationen hurtigst muligt og senest inden en måned. Datatilsynet anbefaler at give informationen i en privatlivspolitik på hjemmesiden, som du linker til, når kunden afgiver sine oplysninger. Politikken skal blandt andet indeholde identitet og kontaktoplysninger, hvilke personoplysninger du behandler, hvorfor og på hvilket grundlag, hvem oplysningerne eventuelt deles med, hvor længe de gemmes, og hvilke rettigheder kunden har. Deler du oplysninger uden for virksomheden, for eksempel med et leveringsfirma eller en leverandør, der håndterer data på dine vegne, skal du oplyse både at du gør det, og hvem der modtager oplysningerne.

Kunderne har ret til at se, hvad du har om dem (indsigt), få rettet det, der er forkert (berigtigelse), få det slettet, få sat behandlingen på pause (begrænsning), gøre indsigelse mod, at du bruger oplysningerne, og få deres oplysninger udleveret i et format, de kan tage med til en anden webshop (dataportabilitet). De kan også klage til Datatilsynet. Kommer der en anmodning, skal du svare uden unødig forsinkelse og senest en måned efter modtagelsen, også hvis du afviser den.6 Er anmodningen kompliceret, eller anmoder den samme person gentagne gange, kan fristen forlænges med op til 2 måneder, men du skal give besked om forlængelsen og begrundelsen senest en måned efter, du modtog anmodningen. Den absolutte yderste frist bliver dermed 3 måneder, men langt de fleste anmodninger skal besvares inden for en måned. Det er dig som dataansvarlig, der skal sørge for, at kunden rent faktisk får sine rettigheder, og det ansvar kan du ikke uden videre skubbe over på en leverandør.

Hvornår skal du føre fortegnelse og have databehandleraftaler?

Hovedreglen er, at du selv og dine databehandlere skal føre en intern fortegnelse over det, I gør med personoplysninger.7 Har du under 250 ansatte, kan du som udgangspunkt slippe, men fritagelsen falder bort, hvis det, du gør med oplysningerne, sandsynligvis vil medføre en risiko for rettighederne hos de personer, det handler om, hvis det sker oftere end en gang imellem, eller hvis der er følsomme oplysninger eller oplysninger om strafbare forhold med. Datatilsynet fremhæver, at det i sig selv tæller som en behandling, at du gemmer data løbende, og at det derfor ikke er noget, der bare sker en gang imellem. Fritagelsen gælder altså kun i få tilfælde. Vores vurdering er, at de fleste webshops i praksis skal føre fortegnelse.

Fortegnelsen skal være skriftlig og ligge elektronisk, men formatet er frit, og du skal kun sende den til Datatilsynet, hvis tilsynet beder om den. Den skal som minimum indeholde din virksomheds navn og kontaktoplysninger, hvad du bruger oplysningerne til, hvilke grupper af personer der er tale om, og hvilke oplysninger du har om dem, hvem du giver oplysningerne videre til, om noget sendes til lande uden for EU, og, hvis det er muligt, hvornår du sletter og en overordnet beskrivelse af, hvordan du passer på oplysningerne, både teknisk og i det daglige arbejde. Datatilsynet har både en vejledning og en skabelon liggende, så du ikke behøver starte på en blank side.

Bruger du en databehandler, skal der desuden være en databehandleraftale, og den skal være skriftlig, herunder elektronisk, og bindende for databehandleren.8 For en webshop er de typiske databehandlere udbyderen af selve webshopsystemet, CRM-systemet, økonomisystemet hvor fakturaerne ligger, systemet til e-mailudsendelser, Trustpilot og lønsystemet. Datatilsynet understreger, at det ikke er nok at underskrive aftalen. Du skal også føre et større eller mindre tilsyn med, at den bliver overholdt, og tilsynet omfatter også, om leverandøren rent faktisk har gennemført den tekniske og organisatoriske sikkerhed, I har aftalt. Vi foreslår selv, at en lille webshop som minimum beder leverandøren om dokumentation for sikkerheden med jævne mellemrum og gemmer svaret sammen med aftalen.

Hvor længe må du gemme kundernes oplysninger?

Der står ingen fast frist i GDPR. Forordningen siger kun, at personoplysninger skal "opbevares på en sådan måde, at det ikke er muligt at identificere de registrerede i et længere tidsrum end det, der er nødvendigt til de formål, hvortil de pågældende personoplysninger behandles".9 Princippet hedder opbevaringsbegrænsning. Fristen skal du altså selv sætte, og du skal sætte den for hvert formål. Datatilsynet siger det lige ud: "Det er den dataansvarlige selv, der ... skal vurdere, hvornår personoplysningerne skal slettes." De forventer også, at fristerne står skrevet ned: "det er i den forbindelse vigtigt at den dataansvarlige, for hver af de konkrete behandlinger der foretages, dokumenterer de slettefrister der fastlægges". Og når du så sletter, skal det være rigtig sletning. Datatilsynet siger det sådan til den, der har fået en sletteanmodning: du skal sørge for, at "Oplysningerne ikke kan genskabes, bl.a. ved også at slette dem fra din back-up (hvis det er muligt)". Har du givet oplysningerne videre til andre, skal du huske at fortælle dem, at oplysningerne skal slettes fra deres systemer. Det gælder ikke kun ved en anmodning: Datatilsynet skriver generelt, at personoplysninger skal slettes fra backups, hvis det er teknisk muligt.

Så kommer bogføringsloven og trækker den anden vej. Du skal opbevare regnskabsmateriale "i 5 år fra udgangen af det regnskabsår, materialet vedrører".10 Læg mærke til, at fristen ikke løber fra købet. Sælger du noget den 3. januar 2026, og følger dit regnskabsår kalenderåret, begynder de 5 år først at tælle fra den 31. december 2026. Bilaget skal derfor blive hos dig til udgangen af 2031, altså næsten 6 år efter salget. Har du forskudt regnskabsår, regner du fra udgangen af dit eget regnskabsår i stedet. Selve bestemmelsen har én undtagelse: de 5 år "gælder ikke for detailhandelsvirksomheders kassestrimler og tilsvarende interne bilag".11 Den undtagelse betyder ikke, at kassestrimlerne bare kan ryge i skraldespanden. Skattestyrelsens juridiske vejledning gør opmærksom på, at "skatte- og afgiftslovgivningen flere steder [indeholder] pligt for detailhandelsvirksomheder til at opbevare kassestrimler i mindst 1 år".

Her er så den fælde, de fleste webshops falder i. Bogføringspligten dækker ikke hele din kundedatabase. Regnskabsmateriale er blandt andet registreringer og transaktionssporet, bilag, og "oplysninger i øvrigt, som er nødvendige for kontrolsporet".12 Et bilag er "enhver nødvendig dokumentation for transaktioner, der registreres i bogføringen".13 Ordren og fakturaen er altså regnskabsmateriale. En kundeprofil med ønskeliste og loginhistorik er ikke. Det samme gælder som udgangspunkt tilmeldinger til nyhedsbrevet, forladte kurve, anmeldelser og gamle supportsager. Pas dog på med at feje en hel supportsag væk som "ikke regnskab": rummer den dokumentation for en refusion eller en kreditnota, er netop den dokumentation regnskabsmateriale. Resten er ikke omfattet af de 5 år, og det skal slettes, når du ikke længere har brug for det. Datatilsynet giver små virksomheder dette eksempel: "Når en kunde i en længere periode, f.eks. 2 år, ikke har købt noget hos din virksomhed, skal du slette de oplysninger om dine kunder, som du ligger inde med." De 2 år er et eksempel og ikke en frist i loven. Datatilsynet skriver selv, at "de ovenfor nævnte 2 år kun er vejledende", fordi det varierer efter, hvad slags virksomhed du driver.

Nyhedsbrevet står på et helt andet grundlag, nemlig samtykke. Du må efter markedsføringsloven kun sende markedsføring på mail, hvis modtageren har givet "sit forudgående samtykke".14 Der er én undtagelse: har du fået adressen fra en kunde i forbindelse med et salg, må du markedsføre "egne tilsvarende produkter", men kun hvis kunden let og gebyrfrit kan frabede sig det både ved købet og i hver eneste mail.15 Kunden "har til enhver tid ret til at trække sit samtykke tilbage" efter GDPR, og når kunden har trukket sit ja tilbage, og du ikke har en anden lovlig grund til at gemme oplysningerne, skal du slette dem.16 I praksis vil det sige, at en afmelding skal føre til, at adressen ryger af udsendelseslisten. Men du må gemme dokumentationen for selve samtykket et stykke tid endnu. Forbrugerombudsmanden anbefaler i sin spamvejledning, at en virksomhed gemmer dokumentationen for et samtykke, så længe samtykket bliver brugt, og i to år efter at det er brugt sidste gang. Det samme gælder dokumentationen for, at betingelserne for at maile til en tidligere kunde var opfyldt. Bemærk, at det er et andet 2-tal end Datatilsynets eksempel ovenfor: dét handlede om, hvornår en inaktiv kundes oplysninger bør slettes, mens dette handler om, hvor længe du bør kunne bevise, at du havde lov til at maile. Det er en myndighedsanbefaling og ikke en frist skrevet ind i loven, men det er den anvisning, myndigheden selv giver.

Og hvad gør du så, når en kunde beder om at blive slettet, mens du stadig har bogføringspligt? Du sletter det meste, men ikke det hele. Retten til sletning gælder nemlig ikke, "i det omfang denne behandling er nødvendig ... for at overholde en retlig forpligtelse".17 De tre ord "i det omfang" er hele pointen. Du må beholde bilaget med ordren, fordi bogføringsloven kræver det. Men du kan ikke bruge bogføringspligten som undskyldning for også at beholde kundeprofilen, nyhedsbrevstilmeldingen og supportsagerne. Dem sletter du. Der er en undtagelse mere, som webshops tit får brug for: du må også holde fast i oplysninger, "for, at retskrav kan fastlægges, gøres gældende eller forsvares".18 Kører der en reklamationssag eller en tvist om et køb, må du gemme det, sagen kræver. Datatilsynet siger det samme med rene ord: "I disse tilfælde kan du opbevare oplysningerne lige så længe, tvisten verserer." Når de 5 år er gået, og der ikke er nogen tvist, bortfalder grunden til at gemme bilaget, og så skal det væk, medmindre du har en anden konkret grund, du kan pege på.

Hvad gør du, hvis der sker et brud på persondatasikkerheden?

Sidste punkt er det, ingen når at læse op på, når det sker. Et brud på persondatasikkerheden er kort sagt, at personoplysninger bliver ødelagt, forsvinder, bliver lavet om eller havner hos nogen, der ikke måtte se dem, uanset om det skete ved et uheld eller med vilje. En mail sendt til den forkerte modtager, en stjålet bærbar og et hacket webshopsystem er alle sammen eksempler.

Du skal melde bruddet til Datatilsynet via Virk.dk uden unødig forsinkelse og om muligt senest 72 timer efter, du blev klar over det.19 Hovedreglen er, at du melder det uden unødig forsinkelse, så de 72 timer er en yderste grænse og ikke en betænkningstid, og kommer du over dem, skal du sende en begrundelse for forsinkelsen med. Du kan kun lade være med at anmelde, hvis det er usandsynligt, at bruddet indebærer en risiko for de berørte personers rettigheder eller frihedsrettigheder. Er der sandsynligvis høj risiko ved bruddet, skal du derudover give besked til de berørte personer selv.20

Du skal skrive alle brud ned internt, også dem du ikke anmelder. Og træk selv en kopi af den indsendte blanket ned med det samme: anmeldelserne slettes i Erhvervsstyrelsens systemer efter 30 dage, og bagefter har du ikke længere noget at vise frem, hvis nogen spørger, om fristen blev overholdt.