GDPR för e-handel börjar med att skilja beställningen från allt som butiken vill göra med uppgifterna efteråt. Att leverera en vara, spara en faktura, skicka reklam och analysera besökarens beteende är olika ändamål. De kan kräva olika rättsliga grunder, olika lagringstider och olika möjligheter för kunden att säga nej.
En svensk webbutik behöver också hålla isär tre regelverk. GDPR gäller personuppgiftsbehandlingen. Lagen om elektronisk kommunikation, LEK, reglerar bland annat lagring och åtkomst i användarens terminalutrustning. Reglerna om obeställd e-postreklam finns i marknadsföringslagen. Ett samtycke till cookies ersätter därför inte tillåtelsen att skicka marknadsföring, och ett giltigt köpavtal gör inte all spårning nödvändig.
Rättslig grund för kundregistret
Börja med kundresan: besök, varukorg, beställning, betalning, leverans, retur och avslutad relation. För varje steg behöver butiken ange vilka uppgifter som används och varför. En enda post med ändamålet kundhantering döljer lätt skillnader mellan köpets genomförande och senare försäljningsaktiviteter. En registerförteckning blir mer användbar när dessa behandlingar beskrivs separat och kopplas till verkliga system.
Artikel 6.1 b kan stödja behandling som är nödvändig för att fullgöra ett avtal med den registrerade eller för åtgärder på dennes begäran innan avtal ingås. Namn och leveransadress kan exempelvis behövas för ett avtal med köparen. Men en gåvomottagare eller kontaktperson hos en företagskund är inte nödvändigtvis part i avtalet. Butiken måste då bedöma en annan grund och eventuell information enligt artikel 14.
Avtalsvillkor gör inte en behandling nödvändig enbart genom att nämna den. En butik som lägger till beteendebaserad reklam i köpvillkoren kan inte därigenom göra all reklamprofilering till avtalsbehandling. Fråga vad tjänsten faktiskt går ut på och om den kan levereras utan uppgifterna. För uppgifter som krävs enligt bokföringslagstiftningen är rättslig förpliktelse en separat grund, inte kundens samtycke.
Ett valfritt kundkonto behöver också en egen bedömning. Kunden kan vilja spara adresser och se tidigare beställningar, men det innebär inte att all historik måste ligga tillgänglig för marknadsföring. Om kontot innehåller flera funktioner ska varje funktion kunna förklaras. Vår genomgång av rättsliga grunder enligt GDPR hjälper till att skilja nödvändiga avtalsmoment från frivilliga tillägg.
Nyhetsbrev och elektronisk marknadsföring
19–20 §§ marknadsföringslagen är centrala för en svensk webbutiks e-postreklam. Huvudregeln vid marknadsföring till en fysisk person är samtycke i förväg. Det finns ett undantag när näringsidkaren fått personens elektroniska adress i samband med försäljning av en produkt till personen, men samtliga villkor måste vara uppfyllda.
Personen får inte ha motsatt sig användningen. Reklamen ska gälla näringsidkarens egna, likartade produkter. Dessutom ska mottagaren tydligt kunna motsätta sig användningen kostnadsfritt och enkelt både när adressen samlas in och vid varje senare reklammeddelande. Ett gammalt köp är därför inte en obegränsad rätt att marknadsföra samarbetspartners erbjudanden. Varje reklammejl ska innehålla en giltig adress för begäran att utskicken upphör; det gäller även marknadsföring till juridiska personer.
GDPR-bedömningen är ett ytterligare steg. Ett berättigat intresse kan i vissa situationer ge grund för behandling för direktmarknadsföring efter en prövning av ändamål, nödvändighet och personens intressen. Den bedömningen undanröjer inte marknadsföringslagens krav. Dokumentera båda leden så att kundservice kan förklara varför just denna mottagare finns i just denna kampanj.
När personen invänder mot direktmarknadsföring ska behandlingen för det ändamålet upphöra, inklusive profilering som hör ihop med marknadsföringen. Det finns ingen rätt att fortsätta efter en ny intresseavvägning. En central spärr kan behövas för att hindra återimport från gamla listor, men begränsa den till nödvändiga uppgifter. Se rutinen för invändning mot direktmarknadsföring för hur stoppet kan föras vidare till flera utskickssystem.
Cookies och LEK
Enligt LEK:s regler om terminalutrustning krävs som huvudregel information och samtycke innan information lagras eller hämtas. Undantagen gäller bland annat det som är nödvändigt för överföring av ett elektroniskt meddelande eller för att tillhandahålla en tjänst som användaren uttryckligen begärt. Reglerna gäller även när informationen i terminalen inte är en personuppgift. När personuppgifter sedan behandlas tillkommer GDPR.
En sessionskaka som behövs för att hålla ihop en begärd varukorg kan omfattas av undantaget. Att butikens marknadsavdelning anser statistik nödvändig innebär däremot inte att en analyskaka är nödvändig i lagens mening. Bedöm funktionen och informationsflödet, inte bara namnet som leverantören gett kategorin. Spårningspixlar och annan liknande teknik kan också träffas; frånvaron av en traditionell kaka avgör inte frågan.
PTS vägledning om kakor anger bland annat att användaren ska kunna tacka ja och nej lika enkelt i samma vy och återkalla samtycket enkelt. Förkryssade val och fortsatt surfande räcker inte som samtycke. Informationen behöver beskriva ändamål, varaktighet och eventuell delning med tredje part så att besökaren kan förstå sitt val.
Kontrollera därför vad som faktiskt händer i webbläsaren före val, efter nej och efter återkallelse. Ett snyggt samtyckesfönster säger inget om ett reklamskript redan har skickat sidans adress eller kundidentifierare. Kontrollera också mobila vyer, inbäddade betalsteg och nya kampanjsidor. Vid utvärdering av en samtyckesplattform är verklig blockering och spårbar konfiguration mer användbara kriterier än hur många kategorier bannern kan visa.
Profilering och övergivna varukorgar
Produktrekommendationer kan bygga på allt från det aktuella sidinnehållet till en lång historik av individens beteende på flera webbplatser. Det är olika ingrepp i integriteten. Bedöm vilka uppgifter som används, vilka slutsatser som dras och om kunden rimligen kan förvänta sig behandlingen. Undvik en generell regel att rekommendationer alltid kan stödjas på berättigat intresse eller alltid kräver samma typ av samtycke.
En övergiven varukorg är ett särskilt tydligt gränsfall. Att någon har skrivit sin e-postadress i kassan är inte automatiskt samtycke till reklam. Inte heller uppstår undantaget för tidigare kunder bara genom att personen skapar ett konto. Bedöm om meddelandet är marknadsföring, om samtycke finns eller om samtliga villkor för försäljningsundantaget är uppfyllda. Separat behöver eventuell lagring och spårning i terminalen vara tillåten.
Anta att en kund ber att få en länk till en sparad varukorg. Ett meddelande som enbart genomför den begäran måste bedömas utifrån den tjänsten. Om butiken i stället startar en serie påminnelser med rabattkampanjer är det en annan användning. Dokumentera skillnaden i systemets utlösande händelser; rubriken servicemejl avgör inte det rättsliga innehållet.
Artikel 22 aktualiseras när beslut grundas enbart på automatiserad behandling och har rättsliga följder eller på liknande sätt betydande påverkan. Vanliga produktförslag omfattas inte automatiskt. Ett automatiskt kreditavslag kan däremot kräva särskild prövning av tillämpligt undantag och skyddsåtgärder. En symbolisk mänsklig kontroll räcker inte för att ändra ett faktiskt helt automatiserat beslutsförfarande.
Betalning, frakt och andra leverantörer
Alla leverantörer är inte personuppgiftsbiträden. Butikens hostingleverantör kan behandla uppgifter enbart på butikens instruktioner, medan en betalaktör eller transportör kan bestämma vissa ändamål och medel själv och vara självständigt ansvarig för dessa delar. Kartlägg rollen per behandling. Ett standardavtal med rubriken biträdesavtal kan inte ändra hur parterna faktiskt använder uppgifterna.
När artikel 28 gäller behövs ett skriftligt, även elektroniskt, avtal eller en annan bindande rättsakt enligt unionsrätt eller medlemsstatsrätt med det innehåll artikeln kräver. För en vanlig kommersiell tjänst används normalt avtal. Bedöm instruktioner, underbiträden, säkerhet, stöd vid rättigheter och avslut. Guiden om personuppgiftsbiträdesavtal förklarar vilka frågor butiken behöver ställa innan integrationen får verkliga kunddata.
Praktiskt är det värdefullt att skilja vilken part kunden kontaktar vid en retur från vilken part som ansvarar för behandlingen. Butiken behöver en kontaktväg även om ett ärende slutligen kräver en leverantörs insats. Bestäm också vem som kan stänga en integration snabbt, vilka uppgifter som fortsätter lagras efter avslut och hur kundens rättigheter når exporter och underleverantörer.
Google Analytics och tredjelandsöverföring
IMY:s beslut från den 30 juni 2023 rörde de granskade bolagens dåvarande överföringar genom Google Analytics. CDON fick 300 000 kronor och Tele2 12 miljoner kronor i sanktionsavgift. IMY har senare rapporterat att kammarrätten bekräftat Tele2-avgiften. Beloppen är exempel från bestämda förfaranden, inte en prislista för varje webbutik eller ett generellt förbud mot varje nuvarande analyskonfiguration.
Kommissionens beslut om EU–US Data Privacy Framework gäller överföringar till amerikanska organisationer som omfattas av ramverket. Kontrollera rätt juridisk mottagare, aktuell anslutning och täckning för uppgifterna. Utanför beslutets räckvidd kan exempelvis standardavtalsklausuler och en bedömning av överföringen behövas. Ett europeiskt datacenter utesluter inte att support eller andra mottagare i tredjeland får åtkomst.
Håll denna kontroll skild från samtycket till cookies och den vanliga rättsliga grunden. En giltig överföringsmekanism gör inte onödig insamling eller bristande information tillåten. Dokumentera destinationer, fjärråtkomst och vidareöverföringar, och följ upp vid leverantörsbyte. En mer utförlig arbetsgång finns i guiden om tredjelandsöverföring enligt GDPR.
Lagring av orderdata
Bokföringslagen innebär inte att samtliga kunduppgifter ska sparas i sju år. Enligt 7 kap. 2 § ska räkenskapsinformation bevaras till och med det sjunde året efter utgången av det kalenderår då räkenskapsåret avslutades. Identifiera vilka handlingar som faktiskt är räkenskapsinformation och hur de kan bevaras utan att hålla hela kundprofilen aktiv.
Önskelistor, reklamsegment, supportbilagor och sökhistorik har andra ändamål. Sätt tider eller tydliga kriterier för varje kategori och dokumentera när tiden börjar räknas. Ett öppet reklamationsärende kan motivera visst bevarande, men inte ett obestämt undantag för allt som rör kunden. Koppla lagringsminimering och gallring till systemens faktiska raderingsfunktioner och kontrollera även kopior hos leverantörer.
Kundens begäran att bli raderad ska därför bedömas per uppgift och ändamål. Butiken kan behöva behålla en faktura, avsluta ett konto och stoppa reklam samtidigt. Förklara resultatet så att kunden förstår varför delar finns kvar och vilka användningar som har upphört. Radera inte material som fortfarande måste bevaras, men använd inte det materialet till ett nytt marknadsföringsändamål utan egen rättslig bedömning.
Returer, gåvor och uppgifter som kunden skriver själv
Fritextfält kan samla in mer än butiken behöver. En kund kan skriva hälsouppgifter som förklaring till en retur, lägga in en portkod i en allmän kommentarsruta eller ange någon annans telefonnummer. Bestäm vilka fält som behövs och ge konkret vägledning vid inmatningen. Flytta känslig kundservice från öppna omdömen till en lämpligt skyddad kontaktväg och begränsa åtkomsten till sådant som personalen faktiskt behöver hantera.
En gåvobeställning visar varför köparen och den registrerade inte alltid är samma person. Butiken behöver pröva användningen av mottagarens kontaktuppgifter och hur information ska lämnas när de kommer från köparen. Mottagaren bör inte automatiskt bli medlem i kundklubben eller hamna på en import till reklamlistor. Separata fält och tydliga systemregler gör det lättare att hålla en leveransavisering skild från framtida marknadsföring.
Vid retur bör personalen kunna skilja uppgifter som behövs för återbetalning från uppgifter som kan tas bort. En bild som visar varans fel behöver inte alltid innehålla kundens ansikte, hemmiljö eller en synlig id-handling. Instruktioner om hur kunden kan fotografera felet minskar mängden ovidkommande information redan vid insamlingen och gör den senare gallringen enklare.
Information, rättigheter och säkerhet i kundresan
Integritetsinformationen bör finnas där uppgifterna samlas in och ge tydliga besked om ansvarig, ändamål, grunder, mottagare, lagring och rättigheter. En mall för integritetspolicy är ett stöd för strukturen, men texten måste motsvara den aktuella butikens flöden. En ny annonsintegration kan kräva ändringar i både information, register, inställningar och avtal; det räcker inte att lägga leverantörens namn längst ner i policyn.
Rättighetsbegäranden ska hanteras utan onödigt dröjsmål och information om åtgärder lämnas senast inom en månad. Nödvändig förlängning med ytterligare två månader kräver hänsyn till komplexitet och antal begäranden samt besked om skälen inom första månaden. Om butiken inte agerar ska skälen och information om klagomål och rättslig prövning lämnas utan dröjsmål, senast inom en månad. Kundservice behöver kunna skilja rättighetsärenden från vanliga returer.
Säkerhetsarbetet behöver omfatta behörigheter, kontoåterställning, exporter och administratörskonton. En rekommenderad kontroll är att granska om ett supportkonto kan se fler kunders beställningar än uppgiften kräver. Bedöm också hur åtkomst återkallas när personal eller konsulter slutar. Artikel 32 kräver säkerhet som är lämplig med hänsyn till risken, inte ett visst universellt verktyg eller en garanti att inga attacker inträffar.
Om en personuppgiftsincident inträffar ska butiken dokumentera den. Anmälan till IMY ska göras utan onödigt dröjsmål och, om möjligt, inom 72 timmar efter vetskap, såvida det inte är osannolikt att incidenten medför risk för personers rättigheter och friheter. En senare anmälan ska åtföljas av skäl för förseningen. Information till berörda enligt artikel 34 är ett separat beslut vid sannolik hög risk, med artikelns undantag. Varje tekniskt fel är inte en personuppgiftsincident.
Vanliga frågor
Får vi skicka reklam till alla tidigare kunder?
Nej. Marknadsföringslagens försäljningsundantag kräver bland annat egna likartade produkter och enkel, kostnadsfri möjlighet att säga nej vid insamlingen och varje utskick. GDPR-grunden ska bedömas separat, och en invändning mot direktmarknadsföring ska respekteras.
Behöver varje webbutik ett samtyckesfönster?
Det beror på vilken teknik som används. Om enbart funktioner som omfattas av ett lagligt undantag används behövs inget samtycke för dessa funktioner. Inför butiken analys- eller reklamspårning måste den bedöma samtyckeskravet innan tekniken börjar användas.
Räcker det att välja en europeisk leverantör?
Nej. Undersök behandlingsplatser, supportåtkomst, underleverantörer, säkerhet och faktisk roll. Leverantörens adress säger inte ensam vart data förs eller vilka ändamål den använder uppgifterna för. Dokumentationen ska följa det verkliga informationsflödet.
Vilken ändring bör butiken börja med?
Börja med ett konkret flöde, exempelvis en gästbeställning som följs av reklam. Kontrollera vilka uppgifter som samlas in, vilken grund varje användning har och hur kunden kan stoppa den. Det ger ett avgränsat underlag för att rätta både formuläret, integrationerna och kundinformationen.