Kräver heatmaps cookiesamtycke? GDPR-regler för verktyg för beteendespårning

Kräver heatmaps cookiesamtycke? GDPR-regler för verktyg för beteendespårning

Heatmaps är användbara för att förstå hur människor använder en webbplats. De kan visa var användare klickar, hur långt de scrollar, vilka avsnitt som fångar uppmärksamheten och var besökare verkar tappa intresset.

För marknadsförare, UX-designers, e-handelsteam och SaaS-grundare kan den datan hjälpa till att förbättra landningssidor, produktsidor, kassaflöden, registreringsformulär och innehållslayouter.

Men heatmaps är inte bara designverktyg. De är också verktyg för beteendespårning.

Det spelar roll för GDPR, ePrivacy-reglerna och cookiesamtycke. Om ett heatmap-verktyg samlar in användarbeteende, lagrar identifierare, spelar in sessioner eller spårar hur en besökare interagerar med en sida behöver du förstå om samtycke krävs innan det körs.

Det korta svaret är: i många fall, ja, heatmaps kräver cookiesamtycke.

Det mer användbara svaret är: det beror på vad verktyget samlar in, om det lagrar eller kommer åt information på enheten och om spårningen är strikt nödvändig.

---

Vad är heatmaps?

En heatmap är en visuell rapport som visar hur användare interagerar med en webbsida.

Vanliga typer är:

• Klickkartor
• Scrollkartor
• Rörelsekartor
• Uppmärksamhetskartor
• Rapporter om ilskeklick (rage clicks)
• Rapporter om formulärinteraktion
• Sessionsinspelningar
• Inspelningar av användarresor

Vissa verktyg visar bara aggregerat beteende. Andra spelar in detaljerade sessioner, inklusive klick, scrollning, formulärinteraktioner, musrörelser, enhetstyp, webbläsardata, IP-relaterad information och tidsstämplar.

En enkel aggregerad rapport är något annat än att spela in en besökares session och spela upp den i efterhand.

---

Därför väcker heatmaps GDPR-frågor

GDPR gäller när personuppgifter behandlas. Personuppgifter innebär inte bara ett namn eller en e-postadress. De kan också omfatta onlineidentifierare eller information som kan kopplas till en person.

Heatmap- och beteendeanalysverktyg kan samla in eller behandla:

• IP-adresser
• Enhetsdata
• Webbläsardata
• Sessions-ID:n
• Användar-ID:n
• Sid-URL:er
• Klickhändelser
• Scrollbeteende
• Data om formulärinteraktion
• Skärminspelningar
• Hänvisningsinformation
• Platssignaler
• Tidsstämplar

Om den här informationen direkt eller indirekt kan identifiera en person kan GDPR gälla.

Den brittiska tillsynsmyndigheten Information Commissioner’s Office förklarar att cookies och liknande tekniker kan kräva samtycke när de lagrar eller kommer åt information på en användares enhet, om de inte är strikt nödvändiga för en tjänst som användaren har begärt. Du kan läsa ICO:s vägledning här: Cookies and similar technologies.

---

Är heatmaps strikt nödvändiga?

Oftast inte.

Ett heatmap-verktyg kan vara användbart för att förbättra din webbplats, men det gör det inte automatiskt strikt nödvändigt.

En användare kan läsa en blogg, bläddra på en produktsida, skicka ett kontaktformulär eller köpa en produkt utan att hens klick analyseras för UX-research. Därför hamnar beteendespårning normalt utanför kategorin strikt nödvändiga.

Det betyder inte att heatmaps är förbjudna. Det betyder att de oftast bör behandlas som frivilliga analys- eller prestandacookies. Om din webbplats använder en samtyckesbanner bör heatmap-verktyg normalt vänta tills användaren har godkänt den aktuella kategorin.

För många webbplatser blir den kategorin analys. Om verktyget skapar profiler eller kopplar beteende till marknadsföringssystem kan kategorin vara marknadsföring.

---

Heatmaps och sessionsinspelningar

Heatmaps

Heatmaps aggregerar vanligtvis många besök till ett visuellt lager. De kan till exempel visa att de flesta klick sker nära ett priskort eller att många användare slutar scrolla före en viktig uppmaning till handling.

Sessionsinspelningar

Sessionsinspelningar är mer integritetskänsliga. De kan visa en enskild användares väg genom webbplatsen, sida för sida och handling för handling.

Beroende på konfigurationen kan sessionsinspelningar fånga skrivbeteende, interaktioner med formulärfält, klickvägar, navigeringsbeteende, fel, visat sidinnehåll och personuppgifter som användaren av misstag har skrivit in.

Bra verktyg har alternativ för maskering och redigering, men du bör inte anta att de är aktiverade som standard. Om du använder sessionsuppspelning bör du granska den noggrant.

---

När heatmaps kräver cookiesamtycke

Heatmaps kräver sannolikt samtycke när verktyget:

• Sätter cookies eller använder lokal lagring
• Spårar användare över sidor eller sessioner
• Spelar in klick, scrollning, musrörelser eller formulärbeteende
• Använder sessionsuppspelning
• Lagrar IP-adresser eller enhetsidentifierare
• Kopplar beteende till användar-ID:n eller konton
• Integreras med analys-, CRM- eller annonsverktyg
• Skapar profiler eller segment utifrån beteende
• Skickar data till en tredjepartsleverantör
• Körs innan användaren har gjort ett samtyckesval

Det säkraste tillvägagångssättet är att behandla heatmaps som icke-nödvändiga om du inte har starka skäl att göra något annat.

En plattform för samtyckeshantering som CookiePal kan hjälpa till genom att skanna efter cookies, hantera användarnas val och blockera icke-nödvändiga skript tills samtycke har getts.

---

Vad bör din cookiebanner säga?

Din cookiebanner behöver inte nämna varje teknisk detalj i det första lagret, men användare bör förstå vilken typ av spårning det gäller.

Undvik vaga formuleringar som:

”Vi använder cookies för att förbättra din upplevelse.”

Det kanske inte räcker om du spelar in beteende.

En tydligare formulering kan vara:

”Vi använder verktyg för analys och beteendespårning för att förstå hur besökare interagerar med vår webbplats, inklusive klick, scrollning och sidanvändning. De här verktygen hjälper oss att förbättra webbplatsen och används bara med ditt samtycke.”

Den detaljerade cookiepolicyn bör förklara vilket heatmap-verktyg som används, vilken data det samlar in, varför det används, om inspelningar är aktiverade, hur länge datan sparas och hur användare kan ändra eller återkalla sitt samtycke.

CookiePals sida om samtyckeshantering beskriver funktioner som cookieskanning, samtyckesbannrar och automatisk blockering, vilket är användbart när du hanterar verktyg som heatmaps.

---

Kan berättigat intresse gälla för heatmaps?

Enligt GDPR kan berättigat intresse ibland vara en rättslig grund för viss analys eller webbplatsförbättring. Men reglerna om cookies och liknande tekniker är separata. Om heatmap-verktyget lagrar eller kommer åt information på användarens enhet och inte är strikt nödvändigt kan samtycke ändå krävas.

Europeiska dataskyddsstyrelsens riktlinjer 05/2020 om samtycke förklarar standarden för giltigt samtycke enligt GDPR, bland annat att det måste vara frivilligt, specifikt, informerat och otvetydigt.

I praktiken ska du inte anta att ”vi använder det för att förbättra vår webbplats” är tillräckligt.

---

Så konfigurerar du heatmaps på ett säkrare sätt

Innan du använder heatmaps eller verktyg för sessionsinspelning bör du kontrollera de här inställningarna:

1. Blockera före samtycke

Verktyget ska inte laddas förrän användaren har godkänt den aktuella cookiekategorin.

2. Maskera känsliga fält

Se till att formulärfält, lösenord, betaluppgifter, sökrutor, meddelanden och personlig information maskeras eller utesluts från inspelningar.

3. Undvik att spela in inloggade områden

Användarpaneler, kontosidor, betalsidor och supportområden innehåller ofta personuppgifter. Undvik att spela in dem om det inte finns starka skäl och rätt skyddsåtgärder.

4. Förkorta lagringstiderna

Spara inte inspelningar eller rå beteendedata längre än nödvändigt. En kort lagringstid minskar risken.

5. Begränsa åtkomsten

Bara personer som behöver se heatmap- eller inspelningsdata bör ha åtkomst.

6. Granska delning med tredje part

Kontrollera var leverantören lagrar data, om den använder underbiträden och om data överförs utanför din region.

7. Skanna om efter webbplatsuppdateringar

Nya skript kan dyka upp efter plugin-uppdateringar, temabyten, nya landningssidor eller lanseringar av marknadsföringskampanjer. CookiePals funktionssida omfattar schemalagd skanning och automatisk kategorisering, vilket kan göra det enklare att hålla koll på din konfiguration.

---

Checklista för samtycke till heatmaps

Innan du kör ett heatmap-verktyg bör du kontrollera:

• Använder det cookies, lokal lagring eller liknande tekniker?
• Spårar det användare över sidor eller sessioner?
• Spelar det in enskilda sessioner?
• Är formulärfält och känsliga områden maskerade?
• Är verktyget blockerat före samtycke?
• Finns det med i din cookiepolicy?
• Är det rätt kategoriserat i din CMP?
• Kan användare avvisa det?
• Kan användare återkalla samtycket senare?
• Är lagringstiden rimlig?
• Är inloggade områden och betalområden undantagna?
• Har du testat flödena för att godkänna och avvisa?

Om du inte kan svara på de här frågorna ska verktyget inte behandlas som något man ställer in och sedan glömmer.

---

Där CookiePal kommer in

Heatmaps läggs ofta till av marknads-, UX- eller tillväxtteam utan en fullständig integritetsgranskning. En CMP hjälper till att skapa en process kring det.

Med CookiePals priser kan småföretag välja en samtyckeskonfiguration som stöder skanning, kategorisering av cookies, samtyckesbannrar och funktioner för Google Consent Mode utan att behöva ett stort efterlevnadsteam.

---

Slutsats

Heatmaps kan vara användbara, men de är inte osynliga ur ett integritetsperspektiv. De spårar hur människor beter sig på din webbplats, och i många fall bygger de på cookies, identifierare, skript eller sessionsdata.

Enligt GDPR och cookiereglerna bör heatmaps oftast behandlas som icke-nödvändiga verktyg för beteendespårning. Det innebär att de normalt bör förklaras tydligt, blockeras före samtycke och finnas med i din cookiepolicy.

Det bästa tillvägagångssättet är enkelt: granska verktyget, konfigurera det noggrant, undvik att samla in känslig information och ge användare ett verkligt val.

Om ditt heatmap-verktyg hjälper dig att förstå användare ska din samtyckeskonfiguration hjälpa användare att förstå verktyget.