2026-08-06

Integritetsgranskning: så stänger du analysrisken för gott

Frågeformuläret landar i din inkorg en tisdag.

Tolv flikar. En av dem heter Tredjepartsbiträden. Någonstans där finns en rad för webbanalys och en kolumn som frågar vilka personuppgifter som lämnar organisationen.

Du vet att det ärliga svaret är krångligt. Du vet också att det krångliga svaret kommer att kosta dig en vecka av att jaga personer som inte rapporterar till dig.

Jag har sett ansvariga för regelefterlevnad lösa det här problemet två gånger. Första gången dokumenterar de sig igenom det. Andra gången märker de att en av raderna helt enkelt kan sluta finnas.

Den här artikeln handlar om det andra sättet. Den börjar med vad granskaren faktiskt frågar, för du kan inte korta en process som du aldrig har sett nedskriven.

Först en anmärkning. Det här är ingen juridisk rådgivning och din egen jurist avgör vad som gäller för dig. Det är en karta över frågorna.

De sex frågor en granskare ställer om analys

De är alltid desamma, ungefär i den här ordningen.

1. Vilka personuppgifter behandlar verktyget? IP-adresser och enhets-id räknas. Det gör också allt du lägger i en anpassad dimension, och det är där överraskningarna brukar finnas.

2. Vilken är din rättsliga grund? För analys som inte är nödvändig i EU är det normalt samtycke och samtycket måste uppfylla en standard, inte bara finnas som en kryssruta.

3. Vart tar datan vägen? Vilket företag, vilket land, vilka servrar.

4. Vem mer har tillgång till den? Underbiträden, supportpersonal, leverantörens egen analys av din analys.

5. Hur länge sparar du den? En lagringstid du kan ange och som verktyget faktiskt tillämpar.

6. Kan du bevisa allt ovan? Det är frågan som gör ett samtal på två timmar till ett projekt på två veckor.

Lägg märke till att de fem första frågorna handlar om verktyget och den sjätte om dig.

Pappersarbetet som varje svar ger upphov till

Varje ja skapar ett dokument som du måste ta fram, hålla aktuellt och försvara.

• En post i registret över behandlingar. Artikel 30 i GDPR kräver ett register över behandlingar. Analys är en rad, med syfte, kategorier av uppgifter, mottagare och lagringstid.
• Ett personuppgiftsbiträdesavtal. Artikel 28 kräver ett med varje biträde som behandlar personuppgifter åt dig.
• En bedömning av överföringen, om datan lämnar EES. Det nuvarande ramverket för adekvat skyddsnivå förenklar det här för certifierade mottagare i USA, men bedömningen är fortfarande ett dokument som någon måste ansvara för.
• Register över samtycken. Du måste kunna visa att samtycke gavs. Det betyder att du sparar det och på begäran kan visa det för en viss besökare.
• En konsekvensbedömning, om behandlingen innebär hög risk. Storskalig profilering av beteenden kan knuffa dig över den gränsen.
• En rad i integritetspolicyn som stämmer med allt ovan och fortsätter stämma när någon ändrar en tagg.

Det är sex levande dokument för ett enda verktyg. Inget av dem gör din marknadsföring bättre. Alla behöver en ägare.

"Ensure that personal data are automatically protected in any given IT system or business practice, so that if an individual does nothing, their privacy still remains intact."

Ann Cavoukian, Privacy by Design: The 7 Foundational Principles, om integritet som standardinställning

Se till att personuppgifter skyddas automatiskt i varje it-system och affärspraxis, så att integriteten för den som inte gör något ändå förblir intakt. Cavoukian skrev det 2009. GDPR skrev senare in idén i artikel 25, inbyggt dataskydd och dataskydd som standard.

Det som är värt att ta med sig är strukturellt. Ett skydd som beror på att någon ställer in en inställning rätt är svagare än ett skydd som finns för att det inte finns något att skydda.

Hänger du med? Bra, för det är här de två vägarna skiljs åt.

Varför dokumentation är den dyra vägen

Dokumentation är ingen engångskostnad. Det är ett abonnemang.

Verktyget släpper en funktion och ditt register är inaktuellt. Någon lägger till en tagg för en kampanj och glömmer att ta bort den. Ett underbiträde byts ut och ingen berättar det för den som äger registret.

Sedan finns delen som ingen budgeterar för. Vart och ett av de dokumenten måste letas fram igen vid nästa granskning, vid nästa stora affär och varje gång en kund skickar sitt eget leverantörsformulär.

I ett företag med trettio anställda är det oftast en persons deltidsjobb som ingen någonsin har gett ett namn.

Genvägen: ta bort kategorin

Här är versionen som tar en eftermiddag i stället för ett kvartal.

Om din analys inte behandlar några personuppgifter och inte sparar något på besökarens enhet faller de flesta av de sex frågorna bort.

• Fråga ett har ett kort svar. Inga personuppgifter.
• Fråga två försvinner. Det finns ingen behandling av personuppgifter att hitta en grund för och ingen lagring på enheten att be om samtycke till.
• Fråga tre är en rad om servrarna finns i EU.
• Fråga fem spelar mindre roll när de sparade uppgifterna inte kan kopplas till en person.
• Fråga sex blir mycket enklare, eftersom det inte finns några samtyckesregister att visa.

Du har inte gjort pappersarbetet bättre. Du har tagit bort raderna som skapade det.

Det är skillnaden mellan en kontroll och en eliminering och granskare behandlar de två väldigt olika. En kontroll måste testas. En eliminering behöver bara verifieras en gång.

Det du fortfarande måste göra

Jag skulle vilseleda dig om jag sa att svaret är noll pappersarbete.

Du har fortfarande en post i registret över behandlingar, även om den säger att datan inte är personlig, eftersom själva bedömningen är värd att skriva ner.

Du behöver fortfarande ett avtal med leverantören. Du beskriver fortfarande verktyget i din integritetspolicy och den beskrivningen måste fortfarande stämma med verkligheten.

Och du har fortfarande alla andra system i formuläret. Analys är en rad av tolv flikar. Att stänga den ordentligt betyder bara att du kan ägna veckan åt raderna som verkligen kräver ett omdöme.

Så kontrollerar du det på tio minuter

Ta inte en leverantörs ord för det här, inte heller mitt. Kontrollera det som en granskare skulle göra.

Öppna din sajt i ett privat fönster och titta på Cookies och Lokal lagring i utvecklarverktygen. Tomt är tomt.

Titta på nätverksanropet som analysen skickar. Se vad som finns i det. Om du inte kan avgöra vad som skickas är det ditt svar.

Fråga var servrarna står och få landet skriftligt.

Fråga vad leverantören sparar om besökarens IP-adress. Att spara den och att använda den tillfälligt för att räkna fram ett land är olika saker och skillnaden spelar roll.

De fyra kontrollerna ger bevis som du kan lägga till i akten. Det är värt mer än någon sida om regelefterlevnad på en leverantörs webbplats.

Där StatJolt passar in

StatJolt byggdes så att raden för analys slutar vara intressant för en granskare.

Det sätter inga cookies och skriver ingenting på besökarens enhet, så det finns inget samtycke att samla in och inga samtyckesregister att visa.

Det samlar inte in personuppgifter och bygger inga besökarprofiler, så det finns ingen fråga om rättslig grund för personuppgifter att besvara.

Servrarna står i EU, i Tyskland och Finland, så frågan om överföring uppstår inte, oavsett vad som händer med det nuvarande ramverket.

För ditt formulär gör det en rad full av förbehåll till en rad med ett kort svar, plus bevis som du själv kan kontrollera på tio minuter.

Om du bara läser en ruta

En granskare ställer sex frågor om analys och varje ja skapar ett dokument som du sedan måste underhålla för alltid. Att dokumentera sig igenom det är ett abonnemang som ingen i företaget riktigt äger. Att ta bort personuppgifterna och lagringen på enheten får de flesta frågorna att falla bort i stället för att behöva hanteras och det är skillnaden mellan en kontroll som granskaren måste testa och en eliminering som de verifierar en gång.

Tillbaka