Hjemmesider og informationssikkerhed

Når din hjemmeside sætter eller læser cookies, behandler du som regel også personoplysninger om den person, der besøger din side. Her skal du være opmærksom på to regelsæt: Cookiebekendtgørelsen og Databeskyttelsesforordningen

Cookiebekendtgørelsen

Cookiebekendtgørelsen indeholder krav om, at du som ejer af hjemmesiden indhenter den besøgendes samtykke, før du sætter eller læser cookies. Dette samtykke løses ofte vha. et cookiebanner (samtykkebanner), som du bliver mødt med, når du besøger en hjemmesiden.

Nødvendige cookies

Teknisk nødvendige cookies som f.eks. ”ASP.net” eller ”.php” kræver ikke samtykke, da disse ofte er en forudsætning for overhovedet at kunne indlæse selve hjemmesiden i en browser.

Cookie til brug for markedsføring og statistik

Alle andre former for cookies til f.eks. markedsføring og statistik skal give den besøgende en række oplysninger om: Hvilke cookies sættes/læses, af hvem, til hvilke formål, cookies udløbsdato, og hvordan den besøgende trækket sit samtykke tilbage.

Tredjepart cookies

Hvis du benytter cookies fra f.eks. din leverandør, så er der tale om tredjepart cookies – oftest i form af markedsføring eller statistik. Ved hjælp af tredjepart cookies kan din leverandør igennem din hjemmeside, få oplysninger om dine besøgende – herunder personoplysninger.

Digitaliseringsstyrelsen giver tre overordnede råd til at overholde kravene til brug af tredjepart cookies: 1) Undgå at bruge dem, 2) aftal begrænsning af brug af data – herunder deling - med leverandøren (på skrift) eller 3) gør det muligt at fravælge deling af data i tjenesten.

Databeskyttelsesforordningen

Databeskyttelsesforordningen (GDPR) stiller krav til dig som ejer af hjemmesiden, når du behandler personoplysninger, der indhentes eller genereres ved hjælp af cookies. Her er f.eks. krav om, at du har et behandlingsgrundlag, og at du opfylder oplysningspligten.

Det mest passende behandlingsgrundlag vil normalt være samtykke. Teknisk nødvendige cookies og oplysninger til brug for egen statistik, som ikke videregives til brug for en anden virksomhed, vil dog efter omstændighederne kunne behandles efter interesseafvejningsreglen.

Samtykkebanneret kan (teoretisk set) anvendes til at indhente samtykke til både cookies og behandling af personoplysninger. Det kræver dog at samtykkebanneret oplyser den besøgende om hhv. behandlingsgrundlag (hjemmel for behandling af personoplysninger), samt overholder oplysningskravene (oplysningspligt), hvilket i praksis er svært ladsiggørligt.

Du kan læse mere brug af cookies og Databeskyttelsesforordningen (GDPR) på datatilsynets hjemmeside

Når du gør brug af indlejringer som f.eks. iFrames, scripts, plug-ins m.v. fra en leverandør på din kommunale hjemmeside, giver du oftest tredjepart adgang til de besøgendes personoplysninger som f.eks. IP-adresser og lokationsdata m.fl.

Hvis der indsamles personoplysninger, så stilles der nogle databeskyttelsesretlige krav, som skal være opfyldt, da der er tale om ”fælles dataansvar” mellem ejeren af hjemmesiden og den virksomhed, som stiller iFrames, scripts, plug-ins m.fl. til rådighed - herunder:

• Det fælles dataansvar mellem Middelfart Kommune og virksomheden skal defineres i skriftligt mellem parterne – herunder om der behandles personoplysninger.
• Det skal stå klart for den registrerede, hvem der er dataansvarlige for hvad ifm. fælles dataansvar mht. udøvelse af den registreredes rettigheder (oplysningspligt).
• Der skal fremgå et behandlingsgrundlag (f.eks. samtykke) - fra begge dataansvarlige.

Med andre ord, hvis der registreres personoplysninger, hvilket der med al sandsynlighed gør, så skal iFrames, scripts, plug-ins m.fl. levere de samme oplysninger som en hver anden hjemmeside, da der i princippet er tale om et besøg på en selvstændig hjemmeside, når en besøgende benytter leverandørens iFrames, scripts, plug-ins m.fl.

Rent praktisk så skal iFrames, scripts, plug-ins m.fl. være udstyret med et samtykke, som informerer den besøgende om behandling af dennes data – inden den besøgende benytter iFramen. Det skal ligeledes være muligt for den besøgende at tilbagekalde sit samtykke – enten ved at lave en funktion til det i selve iFramen eller ved at gøre brugen sessionsbaseret, så samtykket automatisk tilbagekaldes – dvs. der skal gives et samtykke hver gang, at den besøgende bruger løsningen. Hertil kommer, at vi som kommune, skal angive behandlingsgrundlag for at videresende den besøgendes personoplysninger.

Vejledning til iFrames, script, plug-ins m.fl.

1. Find ud af, hvilke cookies, scripts m.v., som benyttes på din hjemmeside.
2. Tag stilling til om cookien, scriptet m.v. er nødvendig ellers få den fjernet.
3. Hvis cookien, scriptet m.v. er nødvendig – sørg for at begrænse deling af data enten i skiftelig aftale med leverandøren, rent teknisk i løsningen – eller begge dele.
4. Hvis der er tale om behandling af personoplysninger ifm. cookien, scriptet m.v., indgå aftale om fælles dataansvar med leverandøren (brug skabelonen).
5. Angiv behandlingsgrundlag for videregivelse af personoplysninger ifm. fælles dataansvar – f.eks. samtykke (artikel 6, stk. 1, litra a) i din oplysningspligt.
6. Sørg for at oplyse den besøgende på hjemmesiden om, hvem de skal henvende sig til ifm. deres rettigheder (oplysningspligt) jf. aftale om fælles dataansvar.

Skabelon: Datatilsynets skabelon til aftale vedrørende fælles dataansvar