Hvis du er som meg, krøller det seg litt i hjernen hver gang du hører disse fire bokstavene: GDPR. Hvem skulle trodd at fire bokstaver kunne føles så komplisert?
Jeg vet at du synes GDPR er vanskelig. Og at du har mange spørsmål.
Gjelder det også deg som blogger? Eller bare de som selger noe? Bare bedrifter, kanskje? Gjelder det bare de som har en e-postliste? Og hva må du egentlig gjøre, i så fall?
Uansett om du synes det er vanskelig eller ikke, så er GDPR utrolig viktig. Det føles kanskje ikke sånn når du sitter der og prøver å sette deg inn i det selv, men for deg som forbruker er det noe av det beste som har skjedd på veldig mange år.
Jeg er veldig glad for at du leser dette innlegget, fordi det betyr at du ønsker og prøver å forstå det. Du tar din oppgave som blogger seriøst, og du respekterer leserne dine.
En av Norges beste hjelper deg
Men selv om GDPR beskytter oss, og er veldig bra, så er det ingen tvil om at det oppleves vanskelig. Det er ikke så lett å forstå alt og sette seg inn i alt, og jeg er på ingen måte heller en ekspert.
Det er derimot Rie Aleksandra Walle i Bedre Bedrift.
I tillegg til å være min fantastiske mastermindkompis, så er Rie en av landets beste på GDPR. Uten tvil.
Rie er en senior prosjektleder med solid bakgrunn i strategi og forretningsutvikling, og har over 13 års nasjonal og internasjonal erfaring fra både offentlig og privat sektor.
De siste årene har hun fokusert på GDPR, og hun har brukt opp mot tusen timer på å sette seg grundig inn i og forenkle det, sånn at vi vanlige dødelige skal få hjelp. Til vanlig hjelper hun spesielt små bedrifter med å forstå lovverket, hvordan det konkret er relevant for dem og hva de må gjøre – i praksis.
Og nå skal hun hjelpe oss bloggere til å forstå hvordan GDPR påvirker oss.
Hva er GDPR?
GDPR står for General Data Protection Regulation, på norsk personvernforordningen. Personvernforordningen, altså GDPR, er en del av den norske personopplysningsloven. Det er et lovverk om behandling av personopplysninger.
Så hva er en personopplysning?
En personopplysning kan være for eksempel:
- Telefonnummer
- E-postadresse
- Informasjon om allergier
- Informasjon om graviditet
- Informasjon om puls i treningsklokker
- Andre helseopplysninger
- Bilder av personer
Kort sagt alle tenkelige opplysninger som kan knyttes til en person. Enten direkte, som et navn, eller indirekte som et registreringsnummer på en bil eller IP-adressen til en datamaskin.
De aller fleste som behandler slik informasjon om noen må forholde seg til GDPR.
Å behandle informasjon betyr all bruk av personopplysninger. Både innsamling, registrering, lagring, deling osv.
Gjelder GDPR egentlig meg…?
Hvis du leser denne artikkelen, gjelder GDPR trolig for deg 😉
GDPR gjelder om du har nyhetsbrev, selger på nett eller i butikk, en e-bok til 19 kroner eller flymotorer til millioner.
GDPR gjelder deg som jobber hjemmefra i yogabuksa, som «bare» driver med dyrepass, og det internasjonale selskapet med 250.000 ansatte.
GDPR gjelder enten du markedsfører tjenestene dine eller kun får direkte henvendelser fra kunder, kun sender faktura eller tar betaling kun på nett.
GDPR gjelder enten du lagrer opplysninger om kundene dine i et Excel-ark på datamaskinen din, i en arkivperm på kontoret ditt eller i MailChimp.
GDPR gjelder uansett om du selger noe eller ikke, om du tjener penger eller ikke, om du driver kommersielt eller ideelt.
Samler du inn og bruker personopplysninger, da gjelder GDPR.
Når gjelder GDPR for bloggere?
Hvis du kun blogger for din nærmeste familie, slekt og venner, da trenger du trolig ikke å ta høyde for GDPR.
Men så snart du har et kommentarfelt, kontaktskjema, nyhetsbrev eller analyseverktøy på bloggen din, må du tenke på GDPR.
Og selv om du ikke samler inn personopplysninger via nettsiden eller bloggen din, gjelder GDPR så lenge du behandler personopplysninger.
Hvis du har en blogg som overhodet ikke samler inn personopplysninger, men du selger et oppskriftshefte der folk må sende deg en e-post for å bestille det, da gjelder GDPR.
Det spiller altså ingen rolle hvor behandlingen av personopplysninger skjer. Du må se på all behandling du gjør, uansett om det er på bloggen din, nettsiden, på vanlig e-post, i butikken eller hvor det måtte være.
Personopplysninger du samler på bloggen din
Mange bloggere samler inn personopplysninger i en eller annen form.
Du samler kanskje inn navn og e-postadresser gjennom «freebies» eller til nyhetsbrevet ditt (f.eks. med MailChimp eller ConvertKit). Eller du har analyseverktøy (Google Analytics, Hotjar, Facebook Pixel), eller knapper for å dele og like blogginnlegg på Facebook eller Instagram. Kanskje du selger ting i nettbutikker som Shopify eller WooCommerce, eller har nettkurs på Teachable, Thinkific eller i Kajabi.
Bruker du WordPress er det mange WordPress-plugins som samler inn personopplysninger. Det er typisk noens IP-adresse (adressen til en datamaskin, nettbrett eller mobiltelefon) eller e-postadresse. Eksempler er plugins for spam, sikkerhet, kommentarfelt, medlemsportaler og sosiale medier (f.eks. Akismet, Gravity Forms, Wordfence, Disqus, OptimizePress, Social Warfare m.fl.).
Alle typer blogger, uansett om det er WordPress, blogg.no, Wix, Weebly, Squarespace, One eller kodet fra bunnen av selv, kan samle personopplysninger.
Igjen, det spiller ingen rolle hvor eller hvordan behandlingen av personopplysninger skjer. Du må se på om du behandler personopplysninger i utgangspunktet.
Ikke tro alt du leser
Nå som du vet at du må forholde deg til GDPR vil jeg aller først bare si: nei, verden går ikke under med GDPR. Senk skuldrene og trekk pusten, dette kommer til å gå helt fint!
Husk at GDPR er det viktigste som har skjedd deg og meg når det gjelder personvernet vårt. GDPR er her for å beskytte oss, og jeg er her for å fortelle deg hva du trenger å tenke på.
Jeg er ingen jurist eller advokat. Men, jeg har brukt opp mot tusen timer på å sette meg grundig inn i og forenkle GDPR og jeg vet at jeg kan hjelpe deg. Kunnskapen min er ikke basert på løse forumtråder eller tilfeldige Facebook-diskusjoner, men på selve lovteksten, EU-kommisjonens sider, informasjon og veiledninger fra datatilsynene i Norge, Danmark, UK og Tyskland og informasjon fra, samtaler og kurs med advokater som har spesialisert seg på GDPR.
Det er veldig mange misforståelser, rykter, spekulasjoner og skremselspropaganda på Facebook, i media, på podcaster, blogginnlegg – ja, egentlig alle steder der internett fungerer.
Hvis det er én ting jeg vil at du tar med deg herfra i dag, så er det å være kritisk til hvor du henter informasjon om GDPR fra.
Vær sikker på at kildene dine enten er de jeg nevner over, eller de som kun lener seg på disse kildene.
Hva har du lov til å gjøre med personopplysninger?
Ditt hovedansvar er å sikre at du tar godt vare på personopplysninger og informerer alle om hvordan du gjør det. Du må også kunne svare på henvendelser om innsyn eller sletting som kan komme fra de du behandler personopplysninger til. For eksempel en som abonnerer på nyhetsbrevet ditt eller har kjøpt noe av deg.
Du må også være sikker på at du har lov til å behandle personopplysningene.
Hver enkelt på e-postlisten din må enten ha samtykket (sagt ja) til å stå der, eller dere har inngått en avtale om det. Og du må kunne bevise det.
Og for at et samtykke skal være gyldig må personen ha fått god informasjon om hvordan du behandler personopplysninger, da vedkommende sa ja. Denne informasjonen oppgir du i personvernerklæringen din.
Derfor er det så viktig at du lenker til personvernerklæringen din når folk skal melde seg på nyhetsbrevet ditt eller på en freebie.
Dette er et eksempel fra Blogg Bedres påmeldingsskjema. Der ser du lenken til personvernerklæringen til høyre under påmeldingsboksene.
Du kan heller ikke bruke e-postadressen deres til andre ting enn akkurat det de samtykker til. Melder de seg på nyhetsbrev kan du bare sende dem nyhetsbrev.
Du kan ikke i tillegg laste opp e-postadressen til Facebooks annonseverktøy eller gi den vekk til andre.
«Enkel» GDPR for bloggere: To viktige steg
GDPR handler om personvern. At du har et ansvar overfor leserne dine om å ta godt vare på personopplysningene deres. GDPR medfører også mange ulike plikter.
De neste stegene her gjelder særlig for bloggere som kun er i gang med en e-postliste, altså typisk kun samler inn navn og e-postadresser og har analyseverktøy på bloggen.
Hvis du i tillegg selger noe er det flere plikter du er nødt til å forholde deg til. For eksempel å innhente databehandleravtaler, gjennomføre risikovurderinger og etablere gode rutiner. Trenger du mer hjelp kan du ta direkte kontakt med Bedre Bedrift AS.
Det er spesielt to steg du som blogger må gjøre:
Steg 1: Få oversikt over personopplysningene du behandler
Lag en oversikt i Word, Excel eller lignende og skriv inn:
- Alle typene av personopplysningene du samler inn, f.eks. navn, e-postadresser og IP-adresser
- Hvor du lagrer dem, f.eks. i MailChimp, Google Analytics og innboksen din
- Hvorfor du har dem, f.eks. for å sende nyhetsbrev og analysere trafikken på bloggen din
- Om det gjøres lovlig, f.eks. at du har et samtykke eller en avtale med disse personene
- Hvor lenge du skal ha dem, f.eks. inntil noen melder seg av nyhetsbrevet
- Når du sletter dem, f.eks. to uker etter at noen har meldt seg av nyhetsbrevet
- Om du deler dem med noen, f.eks. med MailChimp
Steg 2: Informer leserne dine
Når du har en god oversikt over og kontroll på alle personopplysningene du behandler, må du beskrive dette på en enkel måte til leserne/abonnentene dine. De som vil ha nyhetsbrevet ditt skal få vite nøyaktig hva du gjør med personopplysningene de gir til deg, før eller når de melder seg på.
Denne informasjonen gir du typisk i en personvernerklæring.
Personvernerklæringen bør ligge på en egen side på bloggen din, slik at du enkelt kan lenke til den på skjemaet for nyhetsbrev. Du kan se et eksempel på et slikt skjema på Bedre Bedrifts side her og et eksempel på en personvernerklæring her.
NB! Hvordan du behandler personopplysninger er unikt for deg. Du kan derfor ikke kopiere andres personvernerklæring.
Det er uansett trolig ulovlig fordi du risikerer å bryte lov om opphavsrett. Du bør aldri kopiere verken tekst eller bilder fra nettet uten at du er 100 % sikker på at du har lov til det.
Datatilsynet har en liste over hva som skal være med i en slik personvernerklæring. Du kan lese alle punktene her.
Du kan få hjelp fra Bedre Bedrift
Hvis du vil ha litt mer hjelp kan du kjøpe en mal fra meg i Bedre Bedrift. Da får du med ferdig tekst i et Word-dokument og steg-for-steg videoinstrukser på hvordan du fyller den ut.
Og helt til slutt: husk at disse to stegene kun er ment å få deg som blogger i gang med GDPR-arbeidet.
Hvis du begynner å selge produkter eller tjenester må du ha kontroll på øvrige plikter, som nevnt over. Da må du sikre deg at du gjør ting riktig. At protokollen er god nok, riktig informasjon gis til kundene dine, at du ikke bryter noen regler hvis du laster opp personopplysninger i Facebooks annonseverktøy. Det slår Datatilsynet hardt ned på, noe jeg vet av erfaring etter å ha meldt inn gjentatte brudd på bruk av mine egne personopplysninger på den måten.
Hvis du allerede driver en bedrift og ikke har gjort noe med GDPR ennå er det viktigste at du kommer i gang. Og hvis du er usikker på hva du trenger å gjøre, i praksis, og hva som egentlig er godt nok, kan jeg hjelpe deg.
Les mer her om investeringen du kan gjøre for å spare deg timer (dager) på å finne ut av alt selv, og samtidig bli trygg på at du har noe av det viktigste på plass.
Ikke lenger gresk
Tusen takk til Rie for all den nyttige informasjonen! Jeg er veldig glad for at hun ville skrive dette innlegget for å hjelpe både deg og meg. En av hennes største styrker er at hun forklarer ting så normalt. Det blir faktisk forståelig når hun sier det! Det går fra gresk til norsk. Er du ikke enig?
Jeg håper du fikk masse nyttig ut av Ries gjennomgang og tips, og at du forstår mer hva du som blogger må gjøre når det gjelder GDPR.
Legg igjen en kommentar