De fleste hjemmesider behandler persondata: via kontaktformularer, nyhedsbreve, webshop-ordrer og statistik. Derfor skal de overholde GDPR, databeskyttelsesforordningen. Her er ti typiske fejl, og hvordan du undgår dem. Guiden er ikke juridisk rådgivning.
1. Privatlivspolitikken mangler oplysninger
Artikel 13 kræver blandt andet, at du oplyser, hvem du er, formål og retsgrundlag, modtagere, hvor længe data gemmes, de registreredes rettigheder, retten til at trække samtykke tilbage og retten til at klage til Datatilsynet. Tjek din politik punkt for punkt.
2. Der mangler databehandleraftaler
Hosting, nyhedsbrevssystem, CRM og statistikværktøjer behandler data på dine vegne. Efter artikel 28 skal der være en aftale med hver databehandler. Lav en liste over leverandørerne, og tjek aftalerne.
3. Statistik og marketing kører før samtykke
Cookies til statistik og marketing kræver samtykke, før de sættes. Se cookie-banner uden bøde.
4. Formularer spørger om for meget
GDPR har et princip om dataminimering: Indsaml kun de oplysninger, du har brug for. Fjern felter, der ikke bruges.
5. Data bliver gemt for evigt
Persondata må ikke gemmes længere end nødvendigt. Bestem, hvor længe henvendelser, ordrer og kunder gemmes, og ryd op, også i formularplugins og mailbokse.
6. Nyhedsbrev uden gyldigt samtykke
Et forhåndsafkrydset felt er ikke et aktivt samtykke. Tilmelding til nyhedsbrev skal være et aktivt valg, og det skal være let at framelde sig. Se e-mail marketing for SMV’er.
7. Svag sikkerhed
Artikel 32 kræver passende sikkerhed. På en hjemmeside betyder det blandt andet HTTPS, opdateret software, stærke adgangskoder og få administratorer. Se sikkerhed i WordPress.
8. Ingen plan for databrud
Et brud på persondatasikkerheden skal anmeldes til Datatilsynet uden unødig forsinkelse og om muligt senest 72 timer efter, at du er blevet bekendt med det (Datatilsynets vejledning om brud på persondatasikkerheden (maj 2025)). Aftal på forhånd, hvem der gør hvad.
9. Intet overblik over overførsler til lande uden for EU
Mange værktøjer ligger hos leverandører uden for EU. Privatlivspolitikken skal oplyse, om data overføres til tredjelande, og hvilke garantier der gælder.
10. Gamle data og adgange ligger og flyder
Tidligere medarbejdere med adgang, gamle eksporter og testkopier med rigtige kundedata er en unødig risiko. Gennemgå adgange og data mindst en gang om året. Se hjemmeside-vedligeholdelse.
Tjekliste
- Privatlivspolitik med alle oplysninger fra artikel 13.
- Databehandleraftaler med alle leverandører.
- Cookie-banner, der indhenter samtykke før statistik og marketing.
- Kun nødvendige felter i formularer.
- Faste slettefrister.
- HTTPS, opdateringer og styr på adgange.
- Plan for håndtering af databrud.
Ofte stillede spørgsmål
Skal min hjemmeside have en privatlivspolitik?
Ja, hvis du behandler persondata, fx via formularer, nyhedsbrev, webshop eller statistik. Den skal indeholde oplysningerne fra databeskyttelsesforordningens artikel 13.
Hvad er en databehandleraftale?
En aftale med en leverandør, der behandler persondata på dine vegne, fx hosting eller nyhedsbrevssystem. Den kræves efter artikel 28.
Hvor hurtigt skal et databrud anmeldes?
Uden unødig forsinkelse og om muligt senest 72 timer efter, at du er blevet bekendt med bruddet.
Er et forhåndsafkrydset felt et samtykke?
Nej. Samtykke skal være et aktivt valg.
