Jobber du med salg og markedsføring og har spørsmål om GDPR?

Du er ikke alene om å ha spørsmål om GDPR. Reglene kan være vanskelige å finne fram i. Derfor har vi samlet en oversikt over de viktigste delene av GDPR du må forholde deg til. I denne artikkelen får du også det viktigste om overføring av data til USA, Google Analytics, Datatilsynets råd om sporing og den nyeste dommen mot Meta.

GDPR trådte i kraft i EU og Norge (EØS) i 2018. Målet er at reglene for personvern skal være like, og at alle skal få mer kontroll over sine egne personopplysninger.

GDPR gjelder for alle organisasjoner og bedrifter som behandler personopplysninger om personer i EU og EØS, uansett hvor organisasjonen eller bedriften holder til.

I Norge har vi lang tradisjon for sterkt personvern og en godt utviklet markedsføringslov. Likevel har GDPR skapt usikkerhet for mange.

Vi har prøvd å gjøre det enkelt med en samleside om GDPR for oss som jobber med salg og markedsføring. Vi utvider siden når det kommer nye saker som er relevante.

Dette er noe av det vi dekker der:

• Hvordan håndterer du persondata i et CRM?
• Hva er lovlig grunnlag for å samle og behandle personopplysninger?
• Hva betyr informasjonsplikt?
• Hvor mye data har du lov til å samle inn?
• Når må du slette data? 
• Hva er forskjellen på GDPR og den norske personvernloven?
• Hva er markedsføringsloven?
• Hva skjer med cookies og sporing? 

Vi har også laget maler for blant annet en enkel databehandleravtale og en personvernerklæring.

Overføring av personopplysninger til USA

Hovedregelen er at personopplysninger kan flyttes fritt innenfor EU og EØS, men ikke ut av EØS. Derfor har store selskaper som Microsoft og HubSpot bygget egne datasentre i EU.

Det tidligere rammeverket for overføring til USA, Privacy Shield, ble satt til side av EU-domstolen i Schrems II-dommen i 2020. Det skapte stor usikkerhet om bruken av amerikanske tjenester. 10. juli 2023 vedtok EU-kommisjonen et nytt rammeverk, EU-U.S. Data Privacy Framework. Er en amerikansk virksomhet sertifisert under rammeverket, kan du overføre personopplysninger dit som om den var europeisk. Du finner virksomhetene på listen over sertifiserte virksomheter, og Datatilsynet har forklart hva reglene betyr.

Alle andre regler i GDPR gjelder fortsatt. Dere må ha behandlingsgrunnlag og databehandleravtale når dere deler personopplysninger med andre. Rammeverket har også vært utfordret i retten, så følg med på oppdateringer fra Datatilsynet.

Er Google Analytics lovlig?

Personvernorganisasjonen NOYB, grunnlagt av Max Schrems, klaget inn en rekke europeiske nettsteder for bruken av Google Analytics. I 2023 konkluderte Datatilsynet med at bruken hadde vært ulovlig fordi personopplysninger ble overført til USA uten godt nok vern.

Google er sertifisert under det nye rammeverket, så overføringen kan nå være lovlig. Men dere må fortsatt følge reglene for informasjonskapsler og samtykke. Les mer om de nye reglene for informasjonskapsler i Norge og om Google Consent Mode.

Datatilsynets råd for analyse og sporing

Datatilsynet har laget en liste med råd til virksomheter som bruker analyse- og sporingsverktøy på nettstedet sitt. Kort fortalt:

• Følg GDPR. Reglene gjelder selv om du ikke vet navnet på dem som besøker nettstedet.
• Samle inn minst mulig. Velg et verktøy som bare gir deg de opplysningene du trenger.
• Ikke stol på at cookie-banneret redder deg. Et banner som bare oppfyller minstekravene i reglene for informasjonskapsler, gir deg ikke rett til å bruke personopplysningene etter GDPR.
• Ikke la andre bruke opplysningene. Velg verktøy som bare behandler personopplysningene på dine vegne og slik du bestemmer.
• Vær ekstra forsiktig med sensitive sider. Opplysninger om for eksempel helse, religion eller politisk syn har særlig vern.
• Sjekk hvor dataene havner. Mange verktøy har kontorer eller underleverandører utenfor EU og EØS.
• Vær åpen og respekter rettighetene. De besøkende har rett til informasjon om hvordan du behandler opplysningene deres, rett til innsyn og noen ganger rett til sletting.

Les alle rådene hos Datatilsynet.

Hva betyr Meta-dommen for markedsførere?

I oktober 2024 felte EU-domstolen nok en gang Meta i en personvernsak, denne gangen om hvordan Meta samler inn og bruker data til målrettet annonsering. Max Schrems hadde ikke samtykket til at Meta brukte opplysningene hans, blant annet om seksuell legning, til annonser. Dommen setter grenser som også gjelder andre som driver markedsføring:

• Dataminimering (artikkel 5 i GDPR). Samle bare inn data som er nødvendige og relevante for formålet, og slett data dere ikke lenger trenger. Ikke lagre noe «for sikkerhets skyld».
• Sensitive opplysninger (artikkel 9). At noen har delt noe sensitivt offentlig, gir deg ikke rett til å hente inn andre sensitive opplysninger om dem. Bruk slike opplysninger bare med et tydelig, lovlig formål og uttrykkelig samtykke.

Les dommen i sin helhet (på engelsk).

PS! Bruker dere HubSpot, har vi god erfaring med å hjelpe selskaper med GDPR. Book et møte hvis du vil ha en uforpliktende prat om HubSpot og GDPR.

Les mer om dette

• Beregne ROI på markedsføring: En strategisk guide for B2B-ledere