Modul 7

Kap 7.3 - GDPR och personuppgifter på webben

Formulär och statistik kan hantera information som kräver ansvar.

Mål

  • Förstå vad en personuppgift kan vara.
  • Samla in så lite information som möjligt.
  • Veta varför tydlig information och samtycke kan behövas.

Vad är en personuppgift?

En personuppgift är information som kan kopplas till en levande person. Det kan vara namn, e-postadress, telefonnummer, bild, IP-adress eller något annat som gör personen identifierbar.

GDPR är en förkortning av General Data Protection Regulation. På svenska heter den dataskyddsförordningen. Reglerna gäller i hela EU och handlar om hur personuppgifter får samlas in, användas, lagras och skyddas.

I Sverige är Integritetsskyddsmyndigheten, IMY, tillsynsmyndighet för GDPR. Det betyder att IMY informerar om reglerna och kan granska organisationer som hanterar personuppgifter.

Exempel på personuppgifter

  • namn
  • adress
  • e-postadress som kan kopplas till en person
  • personnummer
  • telefonnummer
  • IP-adress
  • foto där personen kan identifieras
  • digital ljudinspelning, om den kan kopplas till en person

En uppgift behöver alltså inte vara hemlig för att vara en personuppgift. Det viktiga är om den direkt eller indirekt kan kopplas till en levande person.

Exempel som normalt inte är personuppgifter

  • en allmän e-postadress som info@foretag.se
  • organisationsnummer för ett aktiebolag
  • antalet besökare på en sida, om det inte går att koppla siffran till en person
  • namnet på en webbplats eller en CSS-klass

Det finns undantag. Ett organisationsnummer kan till exempel vara en personuppgift om det gäller en enskild firma, eftersom det då kan kopplas till en fysisk person.

Samla inte in mer än du behöver

Om ett kontaktformulär bara behöver ett meddelande och en e-postadress ska du inte fråga efter personnummer, adress eller annan känslig information. Mindre insamling betyder mindre risk.

Grundprinciper i GDPR

När någon behandlar personuppgifter måste det finnas ett tydligt syfte och ett lagligt stöd. För en nybörjare i webbutveckling är det viktigaste att tänka så här:

  • Samla bara in uppgifter för ett tydligt ändamål.
  • Samla inte in fler uppgifter än du behöver.
  • Berätta för användaren vad uppgifterna ska användas till.
  • Se till att uppgifterna är riktiga om de sparas.
  • Radera uppgifter när de inte längre behövs.
  • Skydda uppgifter så att obehöriga inte kommer åt dem.
  • Kunna visa hur du följer reglerna.

Rättslig grund

För att få behandla personuppgifter krävs en rättslig grund. Det betyder att det måste finnas ett giltigt skäl enligt GDPR. De sex rättsliga grunderna är:

  • Samtycke: personen har sagt ja, till exempel till ett nyhetsbrev. Personen måste också kunna säga nej eller ta tillbaka sitt samtycke.
  • Avtal: uppgiften behövs för ett avtal, till exempel för att kunna leverera en beställning.
  • Rättslig förpliktelse: en lag kräver att uppgiften behandlas, till exempel bokföringsregler.
  • Grundläggande intresse: uppgiften behövs för att skydda liv eller hälsa i en akut situation.
  • Allmänt intresse eller myndighetsutövning: uppgiften behövs för en myndighetsuppgift eller samhällsviktig uppgift.
  • Intresseavvägning: organisationens berättigade intresse vägs mot personens rätt till integritet.

Samtycke är alltså bara en av flera rättsliga grunder. Man ska inte skriva vi har samtycke bara för att det känns enkelt. Rättslig grund måste passa det man faktiskt gör.

Var tydlig

Användaren ska förstå varför uppgifter samlas in och vad de används till. På riktiga webbplatser kan integritetspolicy, cookieinformation och rutiner för lagring behövas.

Externa tjänster kan också samla in uppgifter

Som webbutvecklare behöver du också tänka på externa tjänster. Statistikverktyg, typsnitt från externa servrar, kartor, formulärtjänster och inbäddat innehåll kan innebära att användarens webbläsare skickar uppgifter till någon annan.

Ett känt exempel är IMY:s beslut från 3 juli 2023 om Google Analytics, där fyra bolag granskades för överföring av personuppgifter till USA via statistikverktyget. Det betyder inte att du som nybörjare ska kunna alla juridiska detaljer, men du ska förstå principen: externa tjänster kan påverka integriteten.

Även externa typsnitt, till exempel Google Fonts direkt från Googles servrar, har diskuterats i GDPR-sammanhang eftersom användarens IP-adress kan skickas till en extern leverantör. Ett säkrare arbetssätt kan vara att använda systemtypsnitt eller att lagra typsnitt lokalt i projektet när det behövs.

Praktiskt för dina egna webbsidor

  • Lista vilka kodspråk du använder, till exempel HTML, CSS och JavaScript.
  • Lista vilka verktyg du använder, till exempel VS Code, Figma, Squoosh eller Photopea.
  • Var försiktig med bilder på personer. Ett foto där någon kan identifieras är en personuppgift.
  • Undvik onödiga formulärfält.
  • Skriv tydligt varför du frågar efter en uppgift.
  • Spara inte testdata med riktiga personuppgifter i onödan.
  • Kontrollera om externa tjänster skickar data till andra företag.

Läs mer

Det här kapitlet är en introduktion för webbutveckling, inte juridisk rådgivning. På riktiga projekt behöver ansvarig person eller organisation kontrollera vilka regler som gäller.