Krister Ross Denne siden tar grundig for seg hva personvern, nettsidesporing og Google Analytics er for noe og hva det har å si for deg som bruker av norske og/eller offentlige nettsteder, og nettstedseiere som vil være i tråd med reglementet for personvern på nett.
Du kan lenke til denne siden som en del av din side om personvern på ditt nettsted, slik at dine brukere kan lese mer om hva personvern på nett innebærer.
Personvern, hva er det?
Personvern handler om retten til et privatliv og retten til å bestemme over egne personopplysninger. Som enkeltmenneske har du krav på å være fri for tvang og innblanding fra stat eller andre mennesker når det gjelder ditt privatliv.
I vår teknologiske hverdag så innebærer det at personopplysninger kan komme på avveie og måleinstrumenter kan fange dette opp.
Derimot, den 13 mai 2014 vedtok Stortinget å styrke vernet om den personlige integritet, ved å ta bestemmelsen om personvern inn i Grunnloven.
Paragraf 102 i Grunnloven lyder:
Enhver har rett til respekt for sitt privatliv og familieliv, sitt hjem og sin kommunikasjon. Husransakelse må ikke finne sted, unntatt i kriminelle tilfeller. Statens myndigheter skal sikre et vern om den personlige integritet.
Personvernbegrepet refererer ikke bare til vernet av privatlivets fred og den enkeltes personlige integritet. I norsk forståelse innebærer begrepet i stor grad også vernet av individers rett til å ha innflytelse på bruk og spredning av personopplysninger om seg selv. Den enkelte skal i størst mulig grad kunne bestemme over egne personopplysninger.
Det betyr også at personopplysninger på nett og i digitale plattformer går under bestemmelsene fra Datatilsynet og Grunnlovens paragraf 102.
Nettsidesporing, hva er det?
De fleste nettsteder har idag en eller annen form for nettsidesporing. Det er avanserte programmer som lagrer informasjon atferd og aktivitet på nettstedet. Der lagres besøk, IP adresser, henvisninger (hvor du kom fra), nettleser, antall sidevisninger, demografisk data som alder og kjønn, by, region, land og mye mye mer.
Noen målesystemer lagrer også informasjon som blir formidlet gjennom skjemaer som brukes på nettsider, hvor det da er mulig å få personopplysninger registrert. Personopplysninger som blir formidlet gjennom skjemaer, skal ikke registreres av et måleverktøy, men bli behandlet av egnede systemer og prosedyrer som krever høyere sikkerhet, som for eksempel CRM systemer og databaser.
Google har sitt eget målesystem kalt Google Analytics, som er verdens mest bruke måleverktøy for nettsteder. Google har veldig klare retningslinjer for dette med personopplysninger og er svært strenge på at nettstedseier ikke på noe som helst måte, noen som helst form, har mulighet til å lagre personopplysninger. Dette er i strid med reglementet for bruk av deres måleverktøy.
Blir Google oppmerksom på overtredelse vil slik informasjon bli fjernet og/eller konto slettet. Det vil si at eier av Google Analytics kontoen, kan få sin data slettet og deaktivert.
Google Analytics, hva er det?
Google Analytics er et program utviklet for å analysere digitale markedskampanjer og digital atferd på nettsteder og applikasjoner.
Det legges en javascriptkode på nettstedet som samler informasjon og lagrer dette i en database som er tilsynelatende utenfor nettstedseiers kontroll.
I tillegg er også Google Analytics et kraftig verktøy for markedsføring der det registrerer data basert på kjønn, alder, handlinger på nettsted osv. Dette datagrunnlaget kan benyttes til å kjøre “remarketing” basert på varer du har klikket på, varer eller tjenester du har kjøpt, nettsteder du har besøkt eller artikler du har likt. Mye kan defineres som en målgruppe og enkelte atferder vil være symptomatiske på kjøpsliknende atferd som gjør det mulig for at nettstedsbrukere tilfaller en remarketingliste.
Det betyr at du kan få servert reklame i form av produkter eller tjenester du har vist interesse for tidligere, på andre sider og programmer. Dette betyr ikke at du som person er blitt identifisert, men at din atferd er av interesse for leverandører som ønsker å drive markedsføring mot slik atferd.
Hvorfor analyseverktøy kan være et problem
Google Analytics og andre webstatistiske verktøy samler inn IP adresser fra brukerne på nettstedet. IP adressen gir informasjon om hvordan brukerne bruker nettsidene, for eksempel hvilke sider brukerne ser på og hva de klikker på.
Formålet med et webstatistisk verktøy er å få kunnskap om besøkendes behov, slik at nettstedet kan gjøres brukertilpasset og optimalisert til brukernes og bedriftens behov.
En IP adresse er definert som en personopplysning.
En IP adresse kan spores tilbake til en bestemt maskin og dermed en enkeltperson. Virksomheter som samler inn IP adresser har ekstra ansvar for behandling av slik type informasjon.
Identifisering ved bruk av IP adresse kan også sammenstilles med annen data samlet av en persons atferd på nett, på tvers av ulike nettsteder og over lang tid. Dette betyr i verste fall overvåking av brukere for diverse formål.
Ansvar for personvern
Virksomheten som bruker et webstatistisk verktøy har det hele og fulle ansvaret for sitt nettsted og den informasjonen nettstedet samler av data om sine brukere. Virksomheten har dermed ansvar for at verktøyet tilfredsstiller regelverket for samling av slik informasjon.
Dersom virksomheten bruker en annen part eller leverandør (databehandler) til å analysere dataene som samles inn, har virksomheten fortsatt ansvaret for at behandlingen skjer i tråd med regelverket og er dermed også behandlingsansvarlig.
Hvordan bruke et webstatistisk verktøy
Virksomheter som bruker webstatistiske verktøy på sitt nettsted må sørge for at behandling av personopplysninger skjer i tråd med personvernreglene. Dette innebærer at:
- Etter innsamlingen anonymiseres eller endres IP adressene slik at besøkende på netstedet ikke kan spores tilbake til en bestemt datamaskin og dermed til en enkeltperson. I Google Analytics må anonymiseringsfunksjonen være aktivert.
- Behandling av innsamlet informasjon skal bare brukes til statistiske formål. Virksomheten skal ikke samle inn flere opplysninger enn det som er nødvendig for dette formålet.
- Besøkende på nettstedet skal gis informasjon om hvilke opplysninger som samles inn og behandles og hvordan dette gjøres.
Virksomheter som benytter en annen part eller leverandør, det sil vi en databehandler til å utføre analyse for seg, har fortsatt ansvaret for hvordan behandlingen skjer.
- Virksomheten må ha kontroll på hvilke opplysninger databehandleren håndterer og hvordan.
- Avtalen mellom virksomheten og databehandleren må være slik at behandlingen tilfredsstiller norsk personvernlovgivning. Virksomheten kan ikke akseptere databehandlers egne vilkår, uten at disse er i tråd med norsk rett.
Hva må virksomheter gjøre for å tilfredsstille personvernlovgivningen ved bruk av webstatistiske verktøy, som Google Analytics?
- Skaff klarhet i hvilke opplysninger som behandles og hvordan.
- Behandles hele eller bare en anonymisert eller uidentifiserbar versjon av de besøkendes IP adresse?
- Brukes innsamlede opplysninger til annen enn analyseformål?
- Informeres de som besøker nettstedet om hvilke opplysninger om dem som behandles og hvordan det skjer?
- Ved avvik fra reglene må selskapet/virksomheten kreve endringer i verktøyet og prosedyrer.
- Hvis virksomheten ikke kan kreve endringer i verktøyet og prosedyrer ved avvik, må virksomheten avvikle bruken av det aktuelle webanalyseverktøyet.
Informasjonskapsler (Cookies)
Informasjonskapsler (kalt cookies) er små tekstfiler som lagres i din nettleser. Når brukeren kommer på en nettside, spør nettleseren om å få lagre informasjonskapselen på din maskin. Dette gjør at nettsiden kan huske dine handlinger og preferanser over tid, og dermed om du har vært på siden før eller ikke.
Mange større bedrifter har gode løsninger for regelmessig sletting av cookies. Derimot private brukere har som oftest ikke denne praksisen og en cookie kan dermed bli lagret inntil 2 år, som er standard for en “persistent cookie” fra Google Analytics.
Bruken av cookies, kommer an på hvordan oppsettet av måling foregår på nettstedet. Virksomheten må dermed opplyse om hvordan deres brukere kan slette cookies for å kunne selv styre hva slags informasjon som blir lagret og registrert om dem.
Samtykke til informasjon
Ekomlovens vilkår for å bruke cookies er at brukeren har samtykket til dette. Dette krever at det finnes en klar og tydelig informasjon tilgjengelig på nettstedet.
Informasjonen skal deretter si noe om:
- Hva slags cookies som blir brukt
- Hvilke opplysninger som blir brukt
- Formålet med bruken
- Hvem som bruker opplysningene
Dersom informasjonskravet er oppfylt, er samtykket du gir gjennom ei innstilling i nettleseren din tilstrekkelig. I nettleseren kan du godta bruk av informasjonskapsler, eller ikke godta bruken. Dersom brukeren ikke ønsker å samtykke til at cookies blir brukt, kan du skru av funksjonen i nettleseren din.
Dette gjelder også nettlesere der forhåndsinnstilling for aksept er i bruk. Loven krever altså ikke at nettstedet trenger å gjøre noe aktivt for å godta bruk av cookies, så lenge det finnes informasjon tilgjengelig om hvordan informasjonskapslene blir brukt.
Den som er ansvarlig for nettstedet er ansvarlig for å gi denne informasjon til brukerne som kommer på nettstedet, på en enkel og tydelig måte, for eksempel i en personvernerklæring.
Det er Nasjonal kommunikasjonsmyndighet (Nkom) som fører tilsyn etter ekomloven.
Chrome
Internet Explorer
Safari
Firefox
Opera
Internsøk på nettsiden
Mange nettsteder har internsøkfunksjonalitet på nettsiden. Google Analytics har funksjonalitet for å samle inn hva som søkes etter i dette feltet. Det er derfor svært viktig at virksomheten holder under oppsikt hva slags informasjon som fylles inn i dette feltet.
Ved tilfellet at brukerne misforstår bruken av feltet og fyller inn personopplysninger, må virksomheten umiddelbart avvikle internsøksporingen for å avklare en løsning på hvordan innsamling av personopplysninger kan unngås.
Hva har brukerne krav på?
- Hvilke personopplysninger som samles inn
- Hvorfor opplysningene samles inn
- Hva opplysningene brukes til
Sammendrag av personvern
Personvern for brukerne
Sett deg inn i hvordan du administrerer dine cookies. Benytter du et nettsted så vil du også samtykke til at de sporer aktiviteten din ved å se mer enn førstesiden.
Personvern for nettstedseiere og virksomheter
- Ha en personvernerklæring på din side som er enkel å se og navigere seg til. Fortell om hva slags sporing du bruker, hva du lagrer og hvorfor du gjør det.
- Bruk alltid anonymizeIP på samtlige målescript og tagger på ditt nettsted.
- Måler du internsøk, sørg for at personopplysninger ikke blir lagt inn der.
- Fortell om hvilke cookies som blir lagret på nettstedet og til hvilket bruk.
