En webshop behandler persondata, længe før kunden gennemfører et køb. En e-mail i en popup, en annoncepixel, en supporthenvendelse og en besøgendes IP-adresse kan alle være en del af behandlingen. Derfor handler en guide til GDPR i webshops ikke kun om en privatlivspolitik i footeren. Det handler om at indrette butikken, marketingopsætningen og de interne arbejdsgange, så de kan tåle et kritisk blik.
For Shopify-webshops er udfordringen ofte ikke selve platformen. Den opstår, når tema, apps, tracking, nyhedsbrevssystem, kundeservice og interne rutiner bygges oven på hinanden uden en fælles plan. Resultatet kan være data, som indsamles før samtykke, adgang til kundedata hos for mange medarbejdere eller apps, som ingen længere bruger.
GDPR i webshops begynder med et dataoverblik
Før I ændrer bannere og tekstsider, skal I kunne svare på et enkelt spørgsmål: Hvilke personoplysninger indsamler vi, hvorfor gør vi det, og hvor ender de?
I en almindelig webshop omfatter oplysningerne typisk navn, adresse, e-mail, telefonnummer, ordredata, betalingsoplysninger, kundeservicehistorik, IP-adresse, cookie-ID'er og adfærd på sitet. Ikke alle data har samme følsomhed eller samme formål, men de skal alle kunne forklares.
Et praktisk dataoverblik bør følge kundens vej gennem butikken. Start ved besøget på forsiden, fortsæt gennem cookie-banner, produktvisning, kurv og checkout, og slut ved levering, support, returnering og markedsføring. Notér samtidig, hvilke systemer der er involveret: Shopify, betalingsudbyder, fragtleverandør, e-mailplatform, review-app, kundeserviceværktøj og analyse- eller annonceplatforme.
Det giver et langt bedre grundlag end at kopiere en standardtekst. I opdager ofte, at en tidligere installeret app stadig modtager data, eller at en trackingløsning er sat op flere steder i temaet, via en app og gennem en tag manager.
Vælg det rigtige behandlingsgrundlag
GDPR kræver ikke samtykke til alt. Men I skal have et lovligt behandlingsgrundlag for hver behandling. Ved et køb vil behandling af leveringsoplysninger normalt være nødvendig for at opfylde aftalen med kunden. Bogføringsregler kan begrunde opbevaring af fakturaoplysninger. Svindelforebyggelse kan i nogle tilfælde bygge på en legitim interesse.
Markedsføring er et andet område. Nyhedsbreve og SMS-marketing kræver som udgangspunkt et aktivt og dokumenterbart samtykke efter de relevante regler. Kunden må ikke automatisk tilmeldes, og et samtykke skal være lige så let at trække tilbage, som det var at give.
Det samme gælder ikke nødvendigvis eksisterende kunder, hvor reglerne om markedsføring kan give andre muligheder. Her er detaljerne afgørende: Hvilke produkter har kunden købt, hvornår, hvilken kommunikation modtager personen, og er der givet en nem mulighed for fravalg? Hvis I er i tvivl, er det bedre at få vurderet jeres konkrete setup end at antage, at et tidligere køb giver frit spillerum.
Cookies og tracking skal vente på et ja
Cookiebanneret er ofte det mest synlige GDPR-element i en webshop - og det mest fejlbehæftede. Banneret skal ikke blot være synligt. Det skal styre, hvad der faktisk indlæses i browseren.
Nødvendige cookies kan normalt bruges for at få centrale funktioner som kurv, login og checkout til at fungere. Analyse-, personaliserings- og marketingcookies kræver derimod typisk samtykke, før de aktiveres. Det gælder også, når data sendes til eksempelvis annonceplatforme eller analyseværktøjer via scripts i temaet.
Et afslag skal være reelt. Hvis knappen til at acceptere er stor og tydelig, mens afslag gemmes bag flere klik, er løsningen svær at forsvare. Brugeren skal også kunne ændre sit valg senere, for eksempel via et let tilgængeligt cookie-ikon eller et link i footeren.
På Shopify skal I være særligt opmærksomme på, hvor tracking kommer fra. Den kan være lagt ind direkte i temaets kode, via Shopify-funktioner, gennem en app eller i en ekstern tag manager. Derfor kan en pæn cookie-løsning stadig fejle i praksis, hvis pixels indlæses uden om samtykkestyringen.
Test opsætningen, ikke kun banneret
Åbn butikken i en privat browser, afvis ikke-nødvendige cookies og kontroller derefter, om marketing- og analyseværktøjer stadig sender data. Gentag testen efter større temaændringer, nye apps og kampagneopsætninger. Cookie-compliance er en teknisk disciplin, ikke kun en tekstøvelse.
Gennemgå Shopify, apps og databehandlere
Som webshop ejer I som udgangspunkt ansvaret for, hvordan kundedata bruges i jeres forretning. Shopify og mange tilknyttede leverandører behandler data på jeres vegne, men rollerne kan variere afhængigt af den konkrete funktion og aftale.
I skal derfor kende jeres databehandlere og have styr på de relevante databehandleraftaler. Det gælder ikke kun Shopify, men også de systemer, der modtager kundeoplysninger i hverdagen. Et nyhedsbrevssystem får måske e-mailadresser og købsdata. En fragtapp får navn, adresse og telefonnummer. Et kundeserviceværktøj kan indeholde hele dialoghistorikken med kunden.
Apps fortjener en særlig gennemgang, fordi de ofte installeres hurtigt for at løse et konkret behov. Hver app bør have et klart formål, begrænset adgang og en ansvarlig person internt. Hvis appen ikke bruges, skal den afinstalleres - ikke bare deaktiveres i en kampagneplan.
Vær også opmærksom på overførsel af data uden for EU/EØS. Mange e-commerce-værktøjer har globale infrastrukturer. Det er ikke automatisk et problem, men det skal være afklaret og beskrevet korrekt i jeres dokumentation og privatlivsinformation.
Privatlivspolitikken skal afspejle virkeligheden
En privatlivspolitik skal fortælle kunden, hvilke oplysninger I behandler, formålene med behandlingen, behandlingsgrundlag, modtagere, opbevaringsperioder og kundens rettigheder. Den skal også gøre det klart, hvordan kunden kontakter jer ved spørgsmål eller ønsker om indsigt, rettelse eller sletning.
Det centrale er præcision. En meget bred formulering som “vi deler data med relevante partnere” hjælper sjældent kunden med at forstå noget. Omvendt behøver teksten ikke være en teknisk systemmanual. Skriv konkret nok til, at kunden kan se, hvorfor oplysningerne bruges i forbindelse med ordre, levering, support og markedsføring.
Tilpas teksten, når setup ændrer sig. Hvis I begynder at bruge en ny review-løsning, loyalty-app eller kundedataplatform, kan privatlivspolitikken og jeres interne oversigt skulle opdateres. Den bør være en del af jeres driftsrutine, ikke et dokument, der blev glemt efter lancering.
Byg processer til kundernes rettigheder
Kunder kan bede om indsigt i deres data, få fejl rettet, gøre indsigelse eller i visse tilfælde bede om sletning. Det bliver hurtigt tidskrævende, hvis ingen ved, hvor data ligger, eller hvem der må besvare henvendelsen.
Lav derfor en enkel intern proces. Én eller få ansvarlige skal kunne identificere kunden, finde oplysninger på tværs af relevante systemer og vurdere anmodningen inden for fristerne. Identiteten skal kontrolleres fornuftigt, så oplysninger ikke udleveres til den forkerte person.
Sletning kræver også nuance. I kan ikke nødvendigvis slette alle ordreoplysninger med det samme, hvis I er forpligtet til at opbevare dele af materialet af regnskabsmæssige årsager. Men data, der ikke længere har et legitimt formål, bør ikke blive liggende af bekvemmelighed.
Adgang, opbevaring og sikkerhed i den daglige drift
GDPR handler også om at begrænse risikoen for, at data havner de forkerte steder. Giv medarbejdere adgang efter behov, brug personlige logins og fjern adgang, når en medarbejder eller ekstern samarbejdspartner stopper. Del ikke kundeeksporter i regneark over e-mail, hvis opgaven kan løses direkte i systemet.
Definér samtidig, hvor længe forskellige datatyper opbevares. Ordredata, supporthenvendelser, marketinglister og ufuldførte kurve har ikke nødvendigvis samme opbevaringsperiode. En fast praksis gør det lettere at holde dataoverblikket opdateret og reducerer mængden af information, der kan blive berørt ved en sikkerhedshændelse.
Hvis der sker et brud på persondatasikkerheden, skal I kunne reagere hurtigt: afdække omfanget, stoppe hændelsen, dokumentere den og vurdere, om den skal anmeldes. Det er en god grund til, at ansvar og kontaktveje skal være aftalt før noget går galt.
Gør GDPR til en del af jeres Shopify-drift
GDPR er mest håndterbar, når den indgår i de samme arbejdsgange som design, udvikling og kampagner. Nye apps bør vurderes før installation. Nye trackingtags bør testes sammen med cookie-samtykket. Ændringer i checkout, formularer og e-mailflows bør få et hurtigt datatjek, før de går live.
For mange webshops er den rigtige løsning ikke flere juridiske tekster, men færre ukontrollerede integrationer og tydeligere teknisk ansvar. Når dataflow, samtykke og adgang er gennemtænkt fra starten, bliver GDPR ikke en bremse for vækst - men en mere professionel måde at drive webshop på.
Har du brug for hjælp til din Shopify-webshop?
Uanset om du står med et større vækstprojekt eller bare skal have løbende support - vi har en løsning der passer.
Klar til at løfte din webshop?
Vi skaber Shopify-webshops der både ser fantastiske ud og sælger godt. Lad os tage en uforpligtende snak om dine mål.
