Hva er GDPR?
GDPR (General Data Protection Regulation) er EUs personvernforordning som regulerer hvordan bedrifter samler inn, lagrer og behandler personopplysninger. Forordningen trådte i kraft 25. mai 2018 og gjelder alle bedrifter — også norske — som behandler data om personer i EU eller EØS.
I Norge er GDPR implementert via personopplysningsloven, og det er Datatilsynet som håndhever loven. Bryter du reglene kan boten bli inntil 4 % av global årsomsetning eller 20 millioner euro, avhengig av hva som er høyest.
Kort oppsummert: GDPR krever at du har lovlig grunn for å behandle personopplysninger, dokumenterer hvordan du gjør det, lar brukerne se og slette egne data, og varsler Datatilsynet ved alvorlige brudd. Reglene gjelder alle bedrifter, også enkeltpersonforetak.
Hvem gjelder GDPR for?
GDPR gjelder uansett bedriftsstørrelse. Hvis du:
- Har et kontaktskjema på nettsiden
- Sender ut nyhetsbrev til kunder eller leads
- Bruker Google Analytics eller Meta Pixel
- Lagrer kundeinformasjon i et CRM eller regnskapssystem
- Tar imot bestillinger med navn og adresse i nettbutikk
— da behandler du personopplysninger, og GDPR gjelder for deg. Det er ingen “lille bedrift-fritak”.
Det som varierer er omfanget av kravene. En liten frisørsalong med kundekartotek har færre krav enn et helseforetak med pasientjournaler, men grunnprinsippene er like.
Hva er en personopplysning?
Personopplysning er enhver informasjon som direkte eller indirekte kan identifisere en levende person. Eksempler:
- Navn, e-post, telefonnummer, adresse
- Fødselsnummer, kontonummer, kortnummer
- IP-adresse, cookie-ID, enhets-ID
- Bilder, video, lydopptak av personen
- Helseopplysninger, medlemskap i fagforening, religion (særlige kategorier — strengere krav)
- Lokaliseringsdata fra mobilapp eller GPS
Selv en cookie-ID som kobler atferd på tvers av besøk regnes som personopplysning, fordi den kan brukes til å identifisere personen indirekte.
De seks lovlige grunnlagene for behandling
Du kan ikke “bare” behandle personopplysninger fordi du føler det er greit. Du må ha et av seks lovlige grunnlag i artikkel 6:
| Grunnlag | Eksempel |
|---|---|
| Samtykke | Nyhetsbrev-påmelding, sporings-cookies |
| Avtale | Levere produktet kunden har bestilt |
| Rettslig forpliktelse | Lagre faktura i 5 år for Skatteetaten |
| Vitale interesser | Akutt nødssituasjon (sjelden i SMB) |
| Allmenne interesser | Mest aktuelt for offentlig sektor |
| Berettiget interesse | Markedsføring til eksisterende kunder, sikkerhetslogg |
For nettsider er samtykke og berettiget interesse de mest brukte. Velger du berettiget interesse må du dokumentere en interesse-avveining, der du veier bedriftens behov mot brukerens rett til personvern.
Cookies og samtykke — hva som faktisk kreves
Cookie-reglene kommer fra to steder: ekomforskriften § 3-15 (krever samtykke før cookies som ikke er strengt nødvendige settes) og GDPR (definerer hva som teller som gyldig samtykke). Etter at ny ekomforskrift trådte i kraft 1. januar 2025 må cookie-samtykke oppfylle GDPR-kravene fullt ut. I praksis betyr det:
Strengt nødvendige cookies — ingen samtykke nødvendig
- Sesjons-cookies for innlogging
- Handlekurv-cookies i nettbutikk
- Sikkerhets-cookies fra brannmur
Andre cookies — krever aktivt samtykke før de settes
- Google Analytics 4 (analyse)
- Meta Pixel, Google Ads (markedsføring)
- TikTok Pixel, LinkedIn Insight Tag
- A/B-test-verktøy som Hotjar
Cookieless-alternativer som Plausible og Fathom er bygget for å unngå samtykkekravet, men du må fortsatt informere om bruken i personvernerklæringen.
Praktisk krav i 2026: cookie-banneret må ha en tydelig Avvis alle-knapp på første nivå, og avvising må være like enkelt som godkjenning. Forhåndsavkryssede bokser er ikke gyldig samtykke. Bannere som er hovedsakelig bygget for å presse brukeren til å akseptere er ikke gyldig samtykke (kalt “dark patterns”).
På WordPress løses dette enkelt med plugins som Complianz, CookieYes eller Cookiebot — alle tilbyr norsk språk og riktig samtykkeflyt for norske krav.
Brukerens rettigheter under GDPR
Brukerne dine har syv konkrete rettigheter, som alle norske bedrifter må kunne håndtere:
- Innsyn — be om kopi av alle data du har om dem
- Korrigering — få feilaktige opplysninger rettet
- Sletting (“retten til å bli glemt”) — få data slettet hvis det ikke er rettslig grunnlag for å beholde dem
- Begrensning — pause behandling mens uenighet utredes
- Dataportabilitet — få data utlevert i strukturert format
- Innsigelse — protestere mot behandling basert på berettiget interesse
- Slippe automatiserte beslutninger — kreve menneskelig vurdering
Du må svare på en slik forespørsel innen 30 dager (kan utvides med 60 ved kompliserte saker). I praksis betyr det at du må vite hvor data ligger og hvordan du henter det ut — uten en datafortegnelse blir dette vanskelig.
Personvernerklæring — hva må stå der?
En personvernerklæring er obligatorisk og må inneholde:
- Hvem som er behandlingsansvarlig (ditt firmanavn og org.nr)
- Hvilke personopplysninger du samler inn, og hvordan
- Hvorfor du samler dem inn (formål)
- Lovlig grunnlag for hver type behandling
- Hvor lenge du lagrer dataene
- Hvem du deler data med (databehandlere, tredjeland)
- Brukerens rettigheter og hvordan de utøves
- Kontaktinfo for spørsmål og klager
- Henvisning til Datatilsynet som klageorgan
Erklæringen skal være lett å finne (typisk en lenke i bunnteksten på alle sider), skrevet i klart språk som vanlige folk forstår, og oppdateres når behandlingen endrer seg.
Databehandleravtaler (DPA) — den glemte forpliktelsen
Hver gang du bruker en tjeneste som behandler personopplysninger på dine vegne, må du ha en signert databehandleravtale (DPA). Dette gjelder:
- Hosting-leverandør (Domeneshop, Servebolt, AWS, Azure)
- E-postsystem (Microsoft 365, Google Workspace)
- CRM (HubSpot, Salesforce, Pipedrive)
- E-post-markedsføring (Mailchimp, ActiveCampaign, Make)
- Regnskap (Tripletex, PowerOffice, Visma)
- Analyse-verktøy (Google Analytics, Plausible, Hotjar)
De fleste seriøse leverandører har en standard DPA du kan signere via deres kontoinnstillinger eller juridiske side. Schrems II-dommen (2020) gjør overføring til USA ekstra komplisert — moderne leverandører løser det med EU-baserte servere eller standard kontraktsvilkår (SCC).
Brudd på personopplysningssikkerhet — varslingsplikten
Hvis personopplysninger lekker (hacking, tap av laptop, uautorisert tilgang), har du 72 timer på å varsle Datatilsynet fra du oppdager bruddet. Og er risikoen høy for de berørte, må du varsle brukerne også.
Krav til varsling:
- Hva som har skjedd og når
- Hvilke datatyper som er berørt
- Hvor mange personer er involvert
- Hvilke tiltak du har gjort for å redusere skaden
- Kontaktperson hos deg
Ha en plan klar før det skjer — i kaos rett etter et brudd er det for sent å begynne å lese forskriften.
Praktiske tiltak for norske SMB-er
Her er minimumstiltak hver eneste norske bedrift bør ha på plass:
- Personvernerklæring publisert og koblet fra alle sider
- Cookie-banner med ekte Avvis-knapp (Complianz på WordPress)
- SSL/HTTPS på hele nettsiden — se hva er SSL
- Datafortegnelse over hva du samler inn og hvor det ligger
- DPA-er signert med alle leverandører som ser personopplysninger
- Sletteruter som fjerner data du ikke lenger trenger
- Sterk autentisering og rollestyring i alle systemer
- Backup og gjenoppretting dokumentert og testet
- Internopplæring for ansatte som håndterer kundedata
For de fleste norske SMB-er kan dette settes opp på 1–2 uker hvis du tar det seriøst.
Hva med Datatilsynet?
Datatilsynet i Oslo er det norske tilsynsorganet. De:
- Behandler klager fra publikum
- Veileder bedrifter som er usikre — du kan ringe og spørre
- Gjennomfører tilsyn og kan kreve dokumentasjon
- Ilegger bøter ved brudd
Datatilsynet har de siste årene gitt store bøter til både private virksomheter og offentlige etater i Norge, blant annet kommuner og store selskaper. Bøter til mindre bedrifter er sjeldnere, men forekommer — særlig ved gjentatte brudd eller når en bedrift ignorerer henvendelser fra tilsynet.
Konklusjon — GDPR er ikke valgfritt
GDPR gjelder alle norske bedrifter som behandler personopplysninger, og listen over hva som regnes som personopplysning er bred. Heldigvis er minimumstiltakene oppnåelige for SMB-er — det handler mer om disiplin enn ressurser.
Trenger du hjelp med å sette opp cookie-banner, personvernerklæring og GDPR-compliant WordPress-oppsett, sjekk våre WordPress-pakker eller be om et tilbud.
Vil du forstå mer om relaterte temaer, les hva er WordPress, hva er et CMS eller hva er universell utforming — som er en annen lov-pålagt forpliktelse for norske bedrifter på nett.
