GDPR enkelt forklart: Hva personvernforordningen krever av bedriften din

GDPR står for General Data Protection Regulation. På norsk heter den personvernforordningen, og den har gjeldt som norsk lov siden 20. juli 2018. Alle bedrifter som behandler personopplysninger, for eksempel om kunder, ansatte eller besøkende på nettsiden, må ha et lovlig grunnlag for behandlingen, sikre dataene, svare på krav om innsyn og melde alvorlige brudd innen 72 timer.

Hva er GDPR, enkelt forklart?

GDPR er EUs regelverk for hvordan virksomheter samler inn, bruker, lagrer og sletter opplysninger som kan knyttes til en person. Forkortelsen står for *General Data Protection Regulation*. Det offisielle norske navnet er personvernforordningen, formelt forordning (EU) 2016/679. Kort sagt: Du må vite hvilke personopplysninger du har, hvorfor du har dem og hvem du deler dem med, og du må kunne dokumentere dette.

En personopplysning er alt som direkte eller indirekte kan knyttes til en person. Det gjelder navn, e-post og telefonnummer, men også IP-adresser, informasjonskapsler, kundenummer og opptak fra en kamerabjelle. Mange småbedrifter tror at de ikke behandler personopplysninger. I praksis gjør nesten alle det, fordi kontaktskjemaet, nyhetsbrevet, regnskapet og analyseverktøyet på nettsiden er nok til å omfattes av regelverket.

Hvordan gjelder GDPR i Norge?

Reglene i Norge er de samme som i resten av EU/EØS. Forordningen er tatt inn i norsk rett gjennom EØS-avtalen og gjelder direkte som norsk lov. Det følger av personopplysningsloven på Lovdata, som trådte i kraft 20. juli 2018, to måneder etter EU. Loven gjelder for helt eller delvis automatisert behandling, og for manuelle registre.

Personopplysningsloven har i tillegg noen særnorske regler, blant annet om kameraovervåking, arbeidsgivers tilgang til e-post og unntak fra innsynsretten. Dersom en annen norsk lov kommer i konflikt med forordningen, går forordningen foran. Datatilsynet fører tilsyn, og vedtakene deres kan klages inn for Personvernnemnda. For nettsider spiller også andre regler inn: ekomloven (cookies), markedsføringsloven § 15 (e-postmarkedsføring) og bokføringsloven (hvor lenge du må oppbevare regnskapsbilag).

Hvilke GDPR-regler må en liten bedrift faktisk følge?

Hovedreglene er de samme for et enkeltpersonforetak som for et konsern. Kravene til dokumentasjon øker med risikoen. Tabellen viser det mest praktiske for en typisk norsk SMB med nettside.

Fallgruven i protokollkravet

Mange leser artikkel 30 som at bedrifter med under 250 ansatte slipper protokoll. Unntaket faller bort hvis behandlingen ikke er sporadisk, innebærer risiko eller omfatter særlige kategorier etter artikkel 9. Et kunderegister som brukes hver uke, er ikke sporadisk. Vårt råd er derfor at alle bedrifter fører en enkel protokoll. Et regneark med behandling, formål, grunnlag, lagringstid og leverandør er nok for de fleste.

Lagringstid kommer fra flere lover

Du kan ikke slette fakturaer bare fordi kunden ber om det. Bokføringsloven krever som hovedregel at primærdokumentasjon oppbevares i fem år, og da har du rettslig plikt som grunnlag for å beholde den. Henvendelser fra kontaktskjemaet har derimot sjelden grunn til å ligge i to år i innboksen. Sett en fast slettefrist, og skriv den inn i personvernerklæringen på nettsiden.

Hva sier GDPR artikkel 9 om sensitive opplysninger?

Artikkel 9 forbyr som hovedregel å behandle «særlige kategorier av personopplysninger». Det gjelder opplysninger om etnisk opprinnelse, politisk oppfatning, religion eller livssyn, fagforeningsmedlemskap, genetiske og biometriske data, helse, seksuelle forhold og seksuell orientering. Behandling er bare lovlig hvis ett av unntakene i artikkel 9 nr. 2 gjelder, for eksempel uttrykkelig samtykke. I tillegg trenger du fortsatt et grunnlag etter artikkel 6.

For SMB-er treffer dette oftere enn mange tror. Det gjelder fysioterapeuter, tannklinikker, treningssentre, psykologer, frisører som noterer allergier og håndverkere som legger til rette for kunder med funksjonsnedsettelse. Den mest undervurderte risikoen er sporingspiksler. Når en Meta- eller Snap-piksel ligger på en side om en bestemt behandling, kan selve sidebesøket avsløre noe om helsen til den besøkende. I juni 2025 avsluttet Datatilsynet tilsyn med seks nettsteder som alle delte besøkendes personopplysninger ulovlig med tredjeparter, i flere tilfeller beskyttelsesverdige opplysninger. Én av virksomhetene fikk 250 000 kroner i gebyr.

Hvordan påvirker personvernforordningen nettsiden din?

Nettsiden er stedet der de fleste småbedrifter bryter regelverket uten å vite det, og som oftest er det cookies og sporing som er problemet. Fra 1. januar 2025 krever ekomloven § 3-15 at samtykke til informasjonskapsler oppfyller kravene i GDPR. Samtykket skal være frivillig, spesifikt, informert og utvetydig, og det skal være like lett å si nei som ja. Datatilsynet har publisert en veiledning med ti konkrete råd for samtykkeløsninger, og tilsynet deles med Nkom.

Konkret betyr det at «Avvis alle» må være like synlig som «Godta alle» på første nivå i banneret. Forhåndsavkryssede bokser og «ved å bruke siden godtar du cookies» holder ikke lenger. Analyse- og markedsføringsskript skal heller ikke lastes før brukeren har sagt ja. Hvis du kjører annonser med Meta-piksel, slik vi beskriver i guiden om annonsering på Instagram, må pikselen styres av samtykket. Dette gjelder også nettbutikker som bruker sporing i markedsføringen av nettbutikken.

Et konkret tiltak du kan gjøre i dag: Søk etter «2-7b» i cookie-erklæringen og personvernerklæringen din. Paragrafen ble opphevet 1. januar 2025 og erstattet av § 3-15. En henvisning til § 2-7b viser at teksten ikke er oppdatert, og banneret bak den er sannsynligvis heller ikke det.

Det er også en gevinst å hente. Det vi ser oftest, er nettsider med skript fra verktøy ingen bruker lenger: gamle chatteprogrammer, glemte pikselkoder og flere analyseverktøy i parallell. Hvert skript er en mulig deling av data som må dokumenteres, og hvert skript gjør siden tregere.

Etter Lighthouse-optimalisering (bildekomprimering, caching, opprydding i skript) forbedres ytelsesscore hos Box sine kunder typisk fra under 55 til over 80.

Sikkerhet er den andre delen av artikkel 32. Utdaterte utvidelser er en klassisk vei inn for angripere, og et hacket WordPress-nettsted med et kontaktskjema er både et sikkerhetsproblem og et mulig personvernbrudd. Fast vedlikehold av WordPress og et webhotell med servere i EU/EØS og en databehandleravtale gjør det mye enklere å dokumentere at du har tatt sikkerheten på alvor.

Hva skjer hvis bedriften bryter GDPR?

Datatilsynet kan gi pålegg, irettesettelse og overtredelsesgebyr. Det høyeste nivået er 20 millioner euro eller 4 % av global årsomsetning, avhengig av hva som er høyest. Gebyret skal stå i forhold til bruddet, men også nyere saker mot mindre aktører gir merkbare beløp.

• Elkjøp fikk i 2026 et overtredelsesgebyr på 20 millioner kroner. Kundeklubben manglet blant annet gyldig samtykke, og innsynskrav ble ikke behandlet innen den forlengede fristen på tre måneder.
• Alarmtelefonen for barn og unge (116111.no) fikk et gebyr på 250 000 kroner for Meta- og Snap-piksler på nettstedet. Varselet lød på 300 000 kroner, men gebyret ble satt ned etter at alle unødvendige sporingsverktøy ble fjernet.

72-timersfristen begynner før du tror

Brudd på personopplysningssikkerheten skal meldes til Datatilsynet innen 72 timer, med mindre bruddet sannsynligvis ikke medfører risiko. Datatilsynet beskriver selv dette som en lav terskel for når avviksmelding skal sendes. Fristen løper fra du med rimelig sikkerhet vet at det har skjedd et brudd, ikke fra du har full oversikt. Du kan sende en første, ufullstendig melding via Altinn og supplere senere. En e-post med kundeliste sendt til feil mottaker på en fredag må altså vurderes før mandag morgen.

Slik får du GDPR på plass, i riktig rekkefølge

Start med det som er synlig for kunder og tilsyn, altså nettsiden, og jobb deg innover. Rekkefølgen under sparer tid, fordi hvert steg gir informasjonen du trenger i neste.

• Steg 1: Kartlegg. Skriv ned hvilke personopplysninger du samler inn (skjema, nyhetsbrev, nettbutikk, regnskap, ansatte) og hvilke verktøy som behandler dem.
• Steg 2: Skann nettsiden. Se hvilke cookies og skript som lastes før samtykke. Fjern det du ikke bruker. Slik sjekker du nettsiden systematisk.
• Steg 3: Velg grunnlag. Knytt hver behandling til ett grunnlag i artikkel 6, og vurder om noe faller inn under artikkel 9.
• Steg 4: Inngå databehandleravtaler med webhotell, e-postverktøy, CRM og leverandøren av nettsiden. De fleste store leverandører har dem som standard i vilkårene sine.
• Steg 5: Sett opp samtykkebanneret etter Datatilsynets veiledning, med «Avvis alle» på første nivå.
• Steg 6: Oppdater personvernerklæringen med det du fant i steg 1–4, inkludert konkrete slettefrister.
• Steg 7: Lag en kort rutine for innsyn (svar innen én måned) og avvik (melding innen 72 timer), og skriv ned hvem som har ansvaret.

Hva koster det?

Det finnes ingen fast pris. Mange samtykkeverktøy har gratisnivåer for små nettsteder, men prisene endres ofte og avhenger av antall sidevisninger, så sjekk leverandørens prisside. Den største kostnaden for en SMB er som regel interne timer til kartlegging og dokumentasjon. Har du en avtale om drift av nettsiden, bør det være avklart om oppdateringer, sikkerhetskopi og skriptopprydding er inkludert, eller om det faktureres per time.

Når et omfattende GDPR-prosjekt ikke er riktig sted å starte

Et stort prosjekt med konsulenter, personvernombud og konsekvensutredning er sjelden riktig for en bedrift med én nettside, et kontaktskjema og noen hundre kunder. Personvernombud er bare påkrevd hvis kjernevirksomheten innebærer omfattende, systematisk overvåking eller behandling av særlige kategorier i stor skala. Konsekvensutredning (DPIA) kreves først når behandlingen sannsynligvis gir høy risiko.

Vi fraråder å kjøpe ferdige GDPR-pakker med generiske maler før du vet hva du faktisk behandler. En personvernerklæring som lister opp verktøy du ikke bruker, eller som utelater dem du bruker, er dårligere enn en kort og ærlig tekst. Unntaket er bransjer med helseopplysninger, kameraovervåking av ansatte eller kredittvurdering. Der mener vi det er verdt å bruke juridisk bistand fra start.

Hvilke GDPR-feil ser vi oftest hos småbedrifter?

De fleste feilene er tekniske og kan rettes på en dag. Problemet er at ingen har eierskap til dem.

• Google Analytics eller Meta-piksel lastes før samtykke. Løsning: Styr alle markedsføringsskript gjennom samtykkeløsningen og test i et inkognitovindu.
• Kontaktskjemaet sender personopplysninger ukryptert eller til en privat Gmail-konto. Løsning: Bruk HTTPS og en bedriftskonto med databehandleravtale.
• Ingen sletterutine. Henvendelser og CV-er blir liggende i årevis. Løsning: Sett en fast frist og legg inn en påminnelse i kalenderen.
• Nyhetsbrev uten dokumentert samtykke. Markedsføringsloven § 15 krever samtykke til e-postmarkedsføring til forbrukere, med et snevert unntak for egne kunder og lignende produkter.
• Personvernerklæringen viser fortsatt til gammel lov eller nevner tjenester dere har sluttet å bruke.

Skal du lage ny nettside uansett, er det billigst å bygge inn personvern, sikkerhet og universell utforming fra første dag, i stedet for å rette opp i etterkant. Se også hvordan Box jobber med nettsider.