Många företagare ser sin webbplats främst som ett digitalt skyltfönster. Den berättar vilka tjänster företaget erbjuder, visar kontaktuppgifter och kanske innehåller ett formulär där potentiella kunder kan höra av sig.
Det är därför lätt att tänka att juridiska krav på webbplatser främst gäller stora företag eller företag som driver e-handel.
Men även en liten och enkel företagswebbplats kan omfattas av flera juridiska krav.
Ett kontaktformulär innebär exempelvis att företaget behandlar personuppgifter. Ett statistikverktyg kan innebära att cookies lagras på besökarens enhet. Och om företaget säljer produkter eller tjänster till konsumenter via webbplatsen tillkommer ytterligare regler.
Det viktiga är alltså inte hur stort företaget är – utan vad som faktiskt händer på webbplatsen.
1. Har du ett kontaktformulär? Då behandlar du personuppgifter
Ett vanligt kontaktformulär kan exempelvis be besökaren att ange:
- namn
- e-postadress
- telefonnummer
- ett meddelande
Redan här behandlar företaget personuppgifter och GDPR blir relevant.
Den som lämnar sina uppgifter ska bland annat få information om vem som är personuppgiftsansvarig, varför uppgifterna behandlas, vilken rättslig grund behandlingen bygger på, hur länge uppgifterna sparas och vilka rättigheter personen har.
Det är därför vanligt att företag har en integritetspolicy på webbplatsen och länkar till den i anslutning till kontaktformuläret.
Ett vanligt misstag är att ha ett fullt fungerande kontaktformulär men ingen information alls om vad som händer med uppgifterna efter att besökaren tryckt på ”Skicka”.
2. Använder webbplatsen cookies?
Nästa fråga är vad som händer redan när någon besöker webbplatsen.
Många webbplatser använder olika tekniska tjänster för exempelvis:
- besöksstatistik
- analys
- marknadsföring
- inbäddade filmer
- sociala medier
- betalningslösningar
Sådana tjänster kan använda cookies eller liknande teknik.
Alla cookies kräver inte samtycke. Cookies som är nödvändiga för att en tjänst ska fungera kan under vissa förutsättningar användas utan att besökaren först godkänner dem.
Men cookies som exempelvis används för statistik eller marknadsföring kräver normalt att besökaren först lämnar sitt samtycke.
Det räcker därför inte alltid att bara lägga in en text om cookies någonstans på webbplatsen. I de fall samtycke krävs får cookien inte sättas innan besökaren har gjort sitt val.
3. Google Analytics är inte bara en teknisk fråga
Google Analytics används av många företag för att förstå hur besökare använder webbplatsen.
Det är lätt att se detta som en fråga för webbutvecklaren eller marknadsföringsbyrån.
Men användningen kan också få juridiska konsekvenser.
Om statistikcookies placeras innan besökaren har lämnat det samtycke som krävs är problemet inte att webbplatsen saknar en snygg cookie-banner – problemet är att tekniken bakom webbplatsen inte är korrekt konfigurerad.
Det är därför en juridisk webbplatsgranskning inte bara bör handla om vad som står på webbplatsen.
Man behöver också kontrollera vad webbplatsen faktiskt gör.
4. Vilken information finns om företaget?
En företagswebbplats bör också granskas utifrån vilken information som lämnas om företaget bakom sidan.
Vilka krav som gäller beror bland annat på verksamheten och vad som erbjuds via webbplatsen. Det kan exempelvis vara relevant att kontrollera att besökaren enkelt kan identifiera och kontakta företaget.
Om webbplatsen används för att sälja produkter eller tjänster blir informationskraven betydligt mer omfattande.
Därför bör man inte utgå från att en webbplats är juridiskt korrekt bara för att företagsnamn och ett telefonnummer finns i sidfoten.
5. Säljer du till konsumenter? Då tillkommer fler regler
Om webbplatsen också används för att sälja produkter eller tjänster till konsumenter aktualiseras ytterligare regler.
Beroende på hur försäljningen går till kan företaget bland annat behöva lämna tydlig information om:
- pris och betalning
- leverans
- reklamation
- ångerrätt
- kontaktuppgifter
- avtalsvillkor
- hur beställningen går till
Här blir bland annat konsumenträtten, distansavtalsreglerna och marknadsföringsrätten relevanta.
En färdig e-handelsplattform innebär inte automatiskt att den juridiska delen är löst. Plattformen tillhandahåller tekniken – företaget ansvarar fortfarande för sin egen verksamhet och för att de regler som gäller följs.
6. ”Men vi är ju ett så litet företag”
Det är en kommentar jag ofta möter.
Det finns en föreställning om att GDPR, cookies och andra digitala regelverk framför allt är något stora företag behöver tänka på.
Men många av reglerna fungerar inte på det sättet.
Har det lilla företaget ett kontaktformulär behandlar det personuppgifter. Använder webbplatsen statistik- eller marknadsföringscookies gäller regler kring detta. Säljer företaget till konsumenter på nätet aktualiseras konsumenträttsliga krav.
Företagets storlek avgör alltså inte i sig om reglerna gäller.
Däremot kan bland annat verksamhetens storlek, överträdelsens omfattning och andra omständigheter ha betydelse när en tillsynsmyndighet bedömer en överträdelse och eventuell sanktion.
Vad kan hända om webbplatsen inte uppfyller kraven?
Brister behöver inte innebära att ett företag automatiskt får en stor sanktionsavgift.
När det gäller dataskydd kan tillsyn bland annat leda till krav på rättelse, förelägganden, begränsningar av en viss behandling och i vissa fall administrativa sanktionsavgifter.
Det finns därför både juridiska och ekonomiska skäl att kontrollera webbplatsen innan ett problem uppstår.
Men det finns också ett annat skäl: förtroende.
En webbplats som tydligt berättar vem som står bakom den, hur personuppgifter hanteras och ger kunder korrekt information ger ett mer professionellt intryck.
Vet du vad som händer på din webbplats?
Många företagare har anlitat en webbyrå eller webbutvecklare och utgår därför från att webbplatsen uppfyller alla krav.
Men en tekniskt fungerande webbplats är inte nödvändigtvis en juridiskt korrekt webbplats.
Det kan därför vara klokt att kontrollera två saker:
Vad säger webbplatsen?
och
Vad gör webbplatsen?
Det är först när man tittar på båda delarna som man får en bättre bild av om webbplatsen uppfyller de juridiska krav som gäller för verksamheten.
Juridisk granskning av din webbplats
På E-handelsrätt granskar jag företags webbplatser ur ett juridiskt perspektiv. Granskningen kan bland annat omfatta personuppgiftshantering, integritetsinformation, cookies och samtycke, företagsinformation, konsumentinformation och avtalsvillkor – beroende på vilken verksamhet företaget bedriver.
Du behöver inte själv veta vilka regler du ska leta efter. Det är det granskningen är till för.
