Spring til indhold
GDPRscanner
GDPRSCANNER
RAPPORT · E1AD43C8
14. oktober 2026

GDPR-AUDIT

tandklinik-eksempel.dk

Rigtig rapport fra et faktisk scan af en dansk tandlægeklinik. Virksomhedens identitet er anonymiseret. Udvalgte opgaver viser alle trin; i resten er trinene forbeholdt den fulde rapport.

Hent hele eksempel-rapporten som PDF

PDF’en er hele leverancen: læsevejledning, handlingsplanen og alle opgaver med forudsætninger og acceptkriterier. Trinene er låst uden for de udvalgte opgaver, som på denne side.

AUDIT-SCORE

55/ 100
050100

Betydelige compliance-spørgsmål

1høj
8middel
5lav
14 fund i alt

UDSTEDT AF

GDPRscanner

Xoens ApS · CVR 46225430

SCAN-TIDSPUNKT

14. oktober 2026

Europe/Copenhagen

Real scan · Genereret af GDPRscanner fra et faktisk scan af tandklinik-eksempel.dk. Alle fund er baseret på offentligt tilgængeligt indhold: headers, cookies, scripts, politik-tekst.

HVAD BETYDER RAPPORTEN?

Scanningen af tandklinik-eksempel.dk gav 14 fund: 1 med høj, 8 med mellem og 5 med lav risiko. Tyngden ligger i tredjeparts-scripts.

SÅDAN PRIORITERER VI

  1. 01

    Forsiden satte anmodninger til Google Tag Manager, Google Analytics og Meta Pixel i gang ved indlæsning, før et cookie-valg kunne træffes. Script-listen registrerede gtm.js og gtag/js fra www.googletagmanager.com, fbevents.js og pixel-konfigurationen fra connect.facebook.net samt Googles call-tracking-script fra www.gstatic.com. Scannets egen samtykketest bekræftede ikke sporing før valget.

    Høj risikoTredjeparts-scripts og trackers

RISIKO-FORDELING

1 forhold vi vurderer mest presserende
8 forhold der bør gennemgås
5 mindre forhold, noteret for fuldstændighedens skyld

SEKTIONER MED FUND

  • Privatlivspolitik og oplysningspligt
    8
  • Cookies og samtykke
    1
  • Tredjeparts-scripts og trackers
    2
  • Indlejret indhold
    2
  • Tekniske sikkerhedsforanstaltninger
    1

INGEN AFVIGELSER FUNDET I

Formularer

DET REGISTREREDE VI SOM I ORDEN

Målt direkte på sitet. Det er observationer, ikke godkendelser. Den fulde liste står under »På plads«.

  • +PrivatlivspolitikPrivatlivspolitik fundet.
  • +CookiesAlle tredjeparts-cookies har Secure-flag.
  • +Cookie-bannerCookie-banner fundet med en knap til at afvise eller nøjes med nødvendige cookies.

+ 4 yderligere observation(er) står under »På plads«.

METODE OG OMFANG

Hvad rapporten dækker, og hvad den ikke dækker

Denne rapport bygger på et automatisk scan af det offentligt tilgængelige indhold på tandklinik-eksempel.dk. Vi analyserer hvad enhver besøgende kan se. Vi har ikke adgang til jeres interne systemer, dokumenter eller arkiver. Derfor er der områder denne rapport ikke kan vurdere.

Vi har scannet

  • •Forsiden + privatlivspolitik-siden, hvis vi kunne finde og hente den
  • •HTTP-headers (Content-Security-Policy, HSTS, X-Frame-Options, Referrer-Policy, Permissions-Policy)
  • •Cookies i browseren ved forsidebesøgets afslutning, før et cookie-valg
  • •Påbegyndte script-anmodninger til egne og eksterne værter (leverandør genkendt på værtsnavn)
  • •YouTube-, Google Maps- og Vimeo-iframes i forsidens kode
  • •<form>-elementer i forsidens kode
  • •Politiktekst analyseret for formål, hjemmel, modtagere, opbevaring, rettigheder og klagevejledning (art. 13/14)

Vi har IKKE scannet

  • •Jeres interne fortegnelse over behandlingsaktiviteter (art. 30)
  • •DPA-arkiv (databehandleraftaler): vi kan kun se hvilke eksterne værter siden forsøger at kontakte
  • •Beredskabsplan for personhenvendelser, datalæk, indsigtsbegæringer
  • •Medarbejder-træning og awareness
  • •Fysisk sikkerhed, lokal-printer, papirjournaler
  • •Indtastet data i formularer (vi sender intet og logger ikke svarene)
  • •Backend-databaser, integrationer mellem systemer, opbevaringspraksis

Områder vi ikke har scannet skal valideres separat, typisk af jeres DPO eller af en ekstern jurist. Hvor en finding nedenfor afhænger af interne forhold vi ikke kan se, markerer vi det eksplicit.

Rapporten er udarbejdet ved automatiseret analyse med redaktionel kontrol (review-pas pr. sektion). Den erstatter ikke juridisk eller DPO-rådgivning og bygger på offentligt observerbare forhold på scan-tidspunktet.

OVERBLIK

Alle 14 fund

Listen nedenfor er en kort opslagsoversigt. Hver fund er nummereret F1–F14 på tværs af sektioner, så du nemt kan navigere. Detaljer, risikovurdering og de opgaver, der løser fundene, følger længere nede.

NRFUND
  • F1Privatlivspolitikken nævner samtykke, men kun løst og kun for visse oplysninger og for videregivelse.
  • F2I privatlivspolitikken fandt vi en tekst, der beder besøgende slette cookies og forlade sitet, hvis de ikke vil have oplysninger indsamlet.
  • F3Politikken navngiver ingen modtagere, selvom vores scan registrerede Meta Pixel, Google Analytics, Google reCAPTCHA og Trustindex på sitet.
  • F4Politikken nævner ikke noget konkret tredjeland eller overførselsgrundlag. Den siger kun, at databehandlere bruges i EU eller i lande med tilstrækkelig beskyttelse, mens sitet indlæser tjenester fra Google og Meta.
  • F5Politikkens afsnit om opbevaring angiver ingen konkrete perioder eller kriterier for sletning. Teksten siger tværtimod, at det ikke er muligt at angive en generel tidsramme.
  • F6Politikken beskriver nyhedsbrev, konkurrencer, login og betaling, men ikke, hvad der sker med oplysninger sendt via formularen på forsiden. Formularen beder om telefonnummer, e-mail og fritekst.
  • F7Scan-data viser, at politikken ikke betegner klinikken som dataansvarlig. Selskabet står med adresse, telefon og e-mail under 'Udgiver', mens CVR-nummeret kun står i sidefoden.
  • F8Politikken slår retten til indsigt sammen med dataportabilitet. Klageadgangen til Datatilsynet er nævnt, men uden Datatilsynets kontaktoplysninger.
  • F9Cookie-afsnittet henviser til tredjeparter, men nævner ingen. Politikken har heller ingen liste over de 11 cookies, som scanningen registrerede.
  • F10Forsiden satte anmodninger til Google Tag Manager, Google Analytics og Meta Pixel i gang ved indlæsning, før et cookie-valg kunne træffes.
  • F11Ved indlæsning af forsiden blev Cookiebots script uc.js anmodet fra både consent.cookiebot.com og consent.cookiebot.eu. Det tyder på, at samme samtykke-værktøj er indsat mere end ét sted.
  • F12Forsidens iframe fra www.google.com er sandsynligvis Google reCAPTCHAs egen og ikke indlejret indhold som en video eller et kort.
  • F13Ved indlæsning af forsiden, før et cookie-valg, blev en anmodning om Trustindex' anmeldelses-script fra cdn.trustindex.io påbegyndt. Privatlivspolitikken navngiver ikke Trustindex.
  • F14Vi fandt ikke sikkerheds-headerne HSTS (HTTP Strict Transport Security: tvinger browseren til altid at bruge https), Content-Security-Policy (CSP: liste over hvilke kilder siden må hente indhold fra), X-Frame-Options, Referrer-Policy og Permissions-Policy i forsidens HTTP-svar.

PÅ PLADS

Det der er på plads: 7 observationer

Det her registrerede scanningen i orden på scan-tidspunktet. Det er målinger, ikke en godkendelse: et forhold der står her, kan stadig kræve dokumentation eller opsætning, som en scanning ikke kan se. Listen er genereret direkte fra scan-data med scannerens egne ord.

Privatlivspolitik

8 fund at rette under »Privatlivspolitik og oplysningspligt« (se Fund).

  • Privatlivspolitik fundet.https://tandklinik-eksempel.dk/cookie-og-privatlivspolitikKravet: Den dataansvarlige skal give de besøgende oplysninger om behandlingen af deres personoplysninger (hvem der behandler, til hvilke formål, på hvilket grundlag og med hvilke rettigheder) i en let tilgængelig og letforståelig form. En politik-side er den sædvanlige måde at gøre det på. Om indholdet dækker kravene, vurderes under Fund. Kilde: GDPR art. 13(1) og art. 12(1).

Cookies

1 fund at rette under »Cookies og samtykke« (se Fund).

  • Alle tredjeparts-cookies har Secure-flag.Kravet: Personoplysninger skal beskyttes med passende tekniske foranstaltninger. Secure-flaget sikrer, at en cookie kun sendes over en krypteret forbindelse. Det er en baseline-foranstaltning, ikke et specifikt lovkrav om netop dette flag. Kilde: GDPR art. 32(1); art. 5(1)(f).

Cookie-banner

1 fund at rette under »Cookies og samtykke« (se Fund).

  • Cookie-banner fundet med en knap til at afvise eller nøjes med nødvendige cookies.Kravet: Et samtykke skal være frivilligt. Fællesvejledningen beskriver, at det skal være lige så let at afvise som at acceptere, og at afvisningen skal være tilgængelig på bannerets første lag. Kilde: Cookiebekendtgørelsen § 3, stk. 2; Fællesvejledningen fra Datatilsynet og Digitaliseringsstyrelsen (maj 2025).
  • Interaktionstest: efter klik på "Afvis" blev der ikke registreret nye tredjeparts-cookies eller kendte trackere i browseren — afvisningen ser ud til at blive respekteret. (Serverside-tracking kan ikke måles udefra.)Kravet: En afvisning skal have virkning: uden samtykke må der ikke sættes andet end strengt nødvendige cookies, og kendte sporings-scripts må ikke indlæses. Målingen her er bannerets adfærd i browseren ved ét klik; serverside-sporing kan ikke måles udefra. Kilde: ePrivacy art. 5(3); Cookiebekendtgørelsen § 3 (BEK 1148/2011).

Indlejret indhold

2 fund at rette under »Indlejret indhold« (se Fund).

  • Ingen YouTube-, Google Maps- eller Vimeo-iframe fundet i forsidens kode.Kravet: Indlejret indhold får browseren til at kontakte en ekstern vært allerede ved indlæsning og sender dermed oplysninger som IP-adresse, før den besøgende har valgt noget. Det kræver oplysning om modtageren og typisk samtykke før indlæsning. Uden sådanne embeds på forsiden udløses kravet ikke dér. Kilde: GDPR art. 13(1)(e); ePrivacy art. 5(3).

Formularer

  • 1 marketing-formular(er) — alle har et afkrydsningsfelt eller et synligt link til privatlivspolitik ved formularen.Kravet: Oplysningerne skal gives på indsamlingstidspunktet, dvs. dér hvor den besøgende afgiver dem. Et synligt link til politikken ved formularen er den sædvanlige måde. Om linkets mål dækker kravene, vurderes under Privatlivspolitik. Kilde: GDPR art. 13(1) og art. 12(1).

Sikkerhed

1 fund at rette under »Tekniske sikkerhedsforanstaltninger« (se Fund).

Kravet: Personoplysninger skal beskyttes med passende tekniske foranstaltninger. Krypteret forbindelse (https med permanent omdirigering og HSTS), en Content-Security-Policy uden wildcards, X-Frame-Options, Permissions-Policy og en restriktiv Referrer-Policy er udbredte baseline-foranstaltninger mod aflytning, indsprøjtning, clickjacking og utilsigtet deling af adresser. Det er ikke et lovkrav om netop disse headers, og ikke en måling af sitets samlede sikkerhed. Kilde: GDPR art. 32(1); art. 5(1)(c) og (f).

  • http:// → https:// med permanent redirect (301/308).

SEKTION 01

Privatlivspolitik og oplysningspligt

6middel2lav

I praksis: privatlivspolitikken er et centralt sted at oplyse den besøgende om behandlingen; andre oplysningstekster kan supplere den.

8 fund bygger på offentlig tekst. Se det konkrete grundlag ved hvert fund.

MIDDEL RISIKO
FUND F1

Privatlivspolitikken nævner samtykke, men kun løst og kun for visse oplysninger og for videregivelse.

Navn, telefon, e-mail, adresse og betalingsoplysninger behandles »i det omfang du selv giver eksplicit samtykke hertil«, og videregivelse af navn og e-mail sker kun »hvis du giver samtykke«. Politikken angiver dog ikke for hvert formål, fx statistik, annoncemålretning, nyhedsbrev og køb, hvilket retsgrundlag efter GDPR art. 6, stk. 1, der anvendes. Kontrakt, retlig forpligtelse og legitim interesse nævnes slet ikke.

HVORFOR PROBLEMATISK

Jeres besøgende kan ikke se, hvilket grundlag der gælder for det enkelte formål. De kan derfor ikke se, om en behandling bygger på deres samtykke eller på en anden grund, og dermed heller ikke, hvilke rettigheder de kan bruge. GDPR art. 13, stk. 1, litra c, kræver oplysning om både formål og retsgrundlag. Ved legitim interesse skal det også fremgå, hvilken interesse der forfølges (litra d).

KILDE

GDPR art. 13(1)

LØSES AF

Opgave T13 · Opgave T14 · Opgave T15

MIDDEL RISIKO
FUND F2

I privatlivspolitikken fandt vi en tekst, der beder besøgende slette cookies og forlade sitet, hvis de ikke vil have oplysninger indsamlet.

Det beskriver en fravalgsmodel og ikke et samtykke, der gives på forhånd via jeres cookie-banner.

HVORFOR PROBLEMATISK

Besøgende får at vide, at deres eneste valg er at forlade sitet, selvom scannet fandt et cookie-banner med en afvis-knap. Teksten giver dem dermed et misvisende billede af deres valgmuligheder. Cookiebekendtgørelsen § 3 kræver samtykke, før oplysninger lagres på brugerens udstyr. Datatilsynets cookievejledning 2025 beskriver samtykket som en frivillig, specifik, informeret og utvetydig viljestilkendegivelse.

KILDE

Cookiebekendtgørelsen § 3 (BEK 1148/2011)

LØSES AF

Opgave T15

MIDDEL RISIKO
FUND F3

Politikken navngiver ingen modtagere, selvom vores scan registrerede Meta Pixel, Google Analytics, Google reCAPTCHA og Trustindex på sitet.

Den henviser til afsnittet Cookies for en liste over tredjeparter, men dét afsnit nævner ingen.

HVORFOR PROBLEMATISK

Besøgende kan ikke se, hvem der modtager oplysninger om deres brug af sitet, fx til den annoncemålretning efter køn, alder og placering, som politikken selv beskriver. GDPR art. 13, stk. 1, litra e, kræver oplysning om modtagere eller kategorier af modtagere. Ved Meta Pixel kan der desuden være tale om fælles dataansvar (Joint Controller: to parter deler ansvar, art. 26), hvilket bør vurderes og omtales.

KILDE

GDPR art. 13(1)

LØSES AF

Opgave T4 · Opgave T12

MIDDEL RISIKO
FUND F4

Politikken nævner ikke noget konkret tredjeland eller overførselsgrundlag.

Den siger kun, at databehandlere bruges i EU eller i lande med tilstrækkelig beskyttelse, mens sitet indlæser tjenester fra Google og Meta.

HVORFOR PROBLEMATISK

Besøgende kan ikke se, om deres oplysninger kan ende uden for EU, fx i USA, hvor Google og Meta har hovedsæde, eller hvilke garantier der i så fald beskytter dem. GDPR art. 13, stk. 1, litra f, kræver oplysning om tilsigtede overførsler og om grundlaget, fx en tilstrækkelighedsafgørelse som DPF (EU-US Data Privacy Framework) eller SCC (Standard Contractual Clauses). Om data faktisk overføres, kan scannet ikke fastslå ud fra værtsnavne alene.

KILDE

GDPR art. 13(1)

LØSES AF

Opgave T10 · Opgave T12 · Opgave T14

MIDDEL RISIKO
FUND F5

Politikkens afsnit om opbevaring angiver ingen konkrete perioder eller kriterier for sletning.

Teksten siger tværtimod, at det ikke er muligt at angive en generel tidsramme.

HVORFOR PROBLEMATISK

Jeres besøgende kan ikke se, hvor længe fx deres henvendelser, kontaktoplysninger eller statistikdata gemmes, og det har de krav på at vide. GDPR art. 13, stk. 2, litra a, kræver, at opbevaringsperioden angives, eller, hvis det ikke er muligt, de kriterier, der bruges til at fastlægge den.

KILDE

GDPR art. 13, stk. 2, litra a

LØSES AF

Opgave T13

MIDDEL RISIKO
FUND F6

Politikken beskriver nyhedsbrev, konkurrencer, login og betaling, men ikke, hvad der sker med oplysninger sendt via formularen på forsiden.

Formularen beder om telefonnummer, e-mail og fritekst.

HVORFOR PROBLEMATISK

Teksten ligner en generel skabelon. Den formular, besøgende faktisk kan udfylde, er ikke omtalt, så de kan ikke se, hvad der sker med netop deres oplysninger. GDPR art. 12, stk. 1, kræver, at oplysningerne gives i en kortfattet, gennemsigtig og letforståelig form, og art. 13 kræver oplysning om den behandling, der sker, når oplysningerne indsamles.

KILDE

GDPR art. 12(1)

LØSES AF

Opgave T13 · Opgave T14

LAV RISIKO
FUND F7

Scan-data viser, at politikken ikke betegner klinikken som dataansvarlig.

Selskabet står med adresse, telefon og e-mail under 'Udgiver', mens CVR-nummeret kun står i sidefoden.

HVORFOR PROBLEMATISK

En besøgende skal selv udlede, at udgiveren af websitet også er den, der har ansvaret for deres personoplysninger. GDPR art. 13, stk. 1, litra a, kræver oplysning om den dataansvarliges identitet og kontaktoplysninger. Selskab og kontaktvej fremgår allerede af teksten, så det, der mangler, er en tydelig betegnelse.

KILDE

GDPR art. 13(1)

LØSES AF

Opgave T13

LAV RISIKO
FUND F8

Politikken slår retten til indsigt sammen med dataportabilitet.

Klageadgangen til Datatilsynet er nævnt, men uden Datatilsynets kontaktoplysninger.

HVORFOR PROBLEMATISK

Besøgende kan tro, at de kun har ret til en kopi i et almindeligt format, og overse, at indsigtsretten også omfatter formål, modtagere og opbevaringsperiode. GDPR art. 13, stk. 2, litra b, kræver oplysning om retten til indsigt og retten til dataportabilitet, som er to forskellige rettigheder (art. 15 og art. 20).

KILDE

GDPR art. 13, stk. 2, litra b

LØSES AF

Opgave T13

På plads

  • Privatlivspolitik fundet.Kravet: Den dataansvarlige skal give de besøgende oplysninger om behandlingen af deres personoplysninger (hvem der behandler, til hvilke formål, på hvilket grundlag og med hvilke rettigheder) i en let tilgængelig og letforståelig form. En politik-side er den sædvanlige måde at gøre det på. Om indholdet dækker kravene, vurderes under Fund. Kilde: GDPR art. 13(1) og art. 12(1).

SEKTION 02

Cookies og samtykke

1middel

I praksis: cookies gemmer data i den besøgendes browser. Sættes de før et valg, er dataene gemt, inden den besøgende har haft mulighed for at tage stilling.

1 fund bygger på offentlig tekst. Se det konkrete grundlag ved hvert fund.

MIDDEL RISIKO
FUND F9

Cookie-afsnittet henviser til tredjeparter, men nævner ingen.

Politikken har heller ingen liste over de 11 cookies, som scanningen registrerede. Fx er hverken _fbp fra Meta Pixel eller _GRECAPTCHA fra Googles reCAPTCHA omtalt med formål, afsender eller levetid.

HVORFOR PROBLEMATISK

Ud over den manglende cookieliste i politikken mangler cookielisten i Cookiebot-bannerets »Detaljer« bl.a. _GRECAPTCHA, pys_-cookierne og pbid, som scanningen registrerede ved indlæsning. Besøgende får derfor ikke fuld oplysning om alle cookies, før de tager stilling. Cookiebekendtgørelsen § 3, stk. 2 kræver oplysning om formål og om, hvem der foranstalter lagringen, og fællesvejledningen »Brug af cookies og lignende teknologier« (maj 2025, s. 17-18) anviser navn, formål, afsender og udløbsdato pr. cookie.

KILDE

Fællesvejledningen »Brug af cookies og lignende teknologier« (Datatilsynet og Digitaliseringsstyrelsen, maj 2025), s. 17-18; Cookiebek. § 3, stk. 2

LØSES AF

Opgave T4

På plads

  • Alle tredjeparts-cookies har Secure-flag.Kravet: Personoplysninger skal beskyttes med passende tekniske foranstaltninger. Secure-flaget sikrer, at en cookie kun sendes over en krypteret forbindelse. Det er en baseline-foranstaltning, ikke et specifikt lovkrav om netop dette flag. Kilde: GDPR art. 32(1); art. 5(1)(f).
  • Cookie-banner fundet med en knap til at afvise eller nøjes med nødvendige cookies.Kravet: Et samtykke skal være frivilligt. Fællesvejledningen beskriver, at det skal være lige så let at afvise som at acceptere, og at afvisningen skal være tilgængelig på bannerets første lag. Kilde: Cookiebekendtgørelsen § 3, stk. 2; Fællesvejledningen fra Datatilsynet og Digitaliseringsstyrelsen (maj 2025).
  • Interaktionstest: efter klik på "Afvis" blev der ikke registreret nye tredjeparts-cookies eller kendte trackere i browseren — afvisningen ser ud til at blive respekteret. (Serverside-tracking kan ikke måles udefra.)Kravet: En afvisning skal have virkning: uden samtykke må der ikke sættes andet end strengt nødvendige cookies, og kendte sporings-scripts må ikke indlæses. Målingen her er bannerets adfærd i browseren ved ét klik; serverside-sporing kan ikke måles udefra. Kilde: ePrivacy art. 5(3); Cookiebekendtgørelsen § 3 (BEK 1148/2011).

SEKTION 03

Tredjeparts-scripts og trackers

1høj1middel

I praksis: tredjeparts-scripts kan sende oplysninger om besøget til eksterne værter, også når den besøgende blot læser en side.

2 fund bygger på tekniske målinger. Se det konkrete grundlag ved hvert fund.

HØJ RISIKO
FUND F10

Forsiden satte anmodninger til Google Tag Manager, Google Analytics og Meta Pixel i gang ved indlæsning, før et cookie-valg kunne træffes.

Script-listen registrerede gtm.js og gtag/js fra www.googletagmanager.com, fbevents.js og pixel-konfigurationen fra connect.facebook.net samt Googles call-tracking-script fra www.gstatic.com. Scannets egen samtykketest bekræftede ikke sporing før valget.

HVORFOR PROBLEMATISK

Jeres besøgende kan blive registreret af Google og Meta, før de har sagt ja eller nej til cookies. De to målinger giver forskellige svar, fordi script-listen opfanger alt, hvad siden sætter i gang ved hvert besøg, mens samtykketesten trækker de faste kald fra og kun ser på, hvad der ændrer sig omkring et klik. I kan konkret efterse, om tags i Google Tag Manager og Meta Pixel er sat til at fyre ved sidevisning uden en samtykke-betingelse. Cookiebekendtgørelsen § 3 kræver samtykke, før oplysninger lagres eller hentes i brugerens udstyr til statistik og marketing.

KILDE

Cookiebekendtgørelsen § 3 (BEK 1148/2011)

LØSES AF

Opgave T1 · Opgave T3

MIDDEL RISIKO
FUND F11

Ved indlæsning af forsiden blev Cookiebots script uc.js anmodet fra både consent.cookiebot.com og consent.cookiebot.eu.

Det tyder på, at samme samtykke-værktøj er indsat mere end ét sted. Den dybe måling viste desuden, at Cookiebot-scriptet blev hentet med »implementation=gtm« i URL’en, dvs. at samtykke-værktøjet leveres gennem Google Tag Manager. Scanneren har ikke fastslået, hvilken af anmodningerne der kommer fra Tag Manager-containeren, eller om der også står et Cookiebot-tag direkte i sidens <head>.

HVORFOR PROBLEMATISK

Et samtykke-script, der indlæses fra Tag Manager-containeren eller indsættes flere gange, kan komme efter containerens tags og forstyrre blokeringen. Det er en konfigurationsbetragtning: Målingerne viser, hvordan scriptet blev anmodet, ikke hvad der faktisk blev blokeret eller ikke blokeret. Cookiebekendtgørelsen § 3 forudsætter, at samtykket indhentes før lagring eller adgang i brugerens udstyr, og en opsætning, hvor samtykke-værktøjet risikerer at komme for sent, gør det sværere at sikre den rækkefølge.

KILDE

Cookiebekendtgørelsen § 3 (BEK 1148/2011)

LØSES AF

Opgave T1 · Opgave T3

SEKTION 04

Indlejret indhold

2lav

I praksis: indlejret indhold som kort, videoer og widgets kan få den besøgendes browser til at kontakte en ekstern vært, og en kontakt sender oplysninger som IP-adresse med.

2 fund bygger på tekniske målinger. Se det konkrete grundlag ved hvert fund.

LAV RISIKO
FUND F12

Forsidens iframe fra www.google.com er sandsynligvis Google reCAPTCHAs egen og ikke indlejret indhold som en video eller et kort.

Forsiden henter reCAPTCHA-scripts fra www.google.com og www.gstatic.com, og cookien _GRECAPTCHA (ca. 180 dage, SameSite=None) blev sat af www.google.com ved indlæsning. Fundet er supplerende målebelæg til fund 8e28e3b0 og ikke en selvstændig afvigelse. At privatlivspolitikken ikke navngiver Google reCAPTCHA som modtager, behandles i fund 8e28e3b0, og overførselsgrundlaget behandles i fund 42c0e179.

HVORFOR PROBLEMATISK

Målingerne viser, hvad der står bag iframen fra www.google.com. Ellers kan den forveksles med en YouTube-video eller et Google-kort, og den slags indhold rettes helt anderledes, fx ved at holde det tilbage, indtil der er givet samtykke. reCAPTCHA beskytter kontaktformularen og må ikke blokeres eller gøres afhængig af samtykke. Selve oplysningsmanglen vurderes i fund 8e28e3b0 (modtagere, GDPR art. 13(1)(e)) og fund 42c0e179 (overførsel, art. 13(1)(f)) og tælles derfor ikke dobbelt her.

KILDE

Supplerende evidens til fund 8e28e3b0 (GDPR art. 13(1)(e))

LØSES AF

Opgave T12 · Opgave T14

LAV RISIKO
FUND F13

Ved indlæsning af forsiden, før et cookie-valg, blev en anmodning om Trustindex' anmeldelses-script fra cdn.trustindex.io påbegyndt.

Privatlivspolitikken navngiver ikke Trustindex. Scannet målte ingen cookies fra tjenesten, kun at anmodningen blev sat i gang.

HVORFOR PROBLEMATISK

Gennemføres en sådan anmodning til en ekstern leverandør, kan leverandøren normalt se den besøgendes IP-adresse, men politikken oplyser ikke, hvem modtageren er, eller hvorfor. GDPR art. 13(1)(e) kræver oplysning om modtagere. En anmeldelses-widget er ikke nødvendig for at vise siden, så den kan holdes tilbage til efter et valg via den allerede installerede Cookiebot.

KILDE

GDPR art. 13(1)

LØSES AF

Opgave T1 · Opgave T3 · Opgave T12

På plads

  • Ingen YouTube-, Google Maps- eller Vimeo-iframe fundet i forsidens kode.Kravet: Indlejret indhold får browseren til at kontakte en ekstern vært allerede ved indlæsning og sender dermed oplysninger som IP-adresse, før den besøgende har valgt noget. Det kræver oplysning om modtageren og typisk samtykke før indlæsning. Uden sådanne embeds på forsiden udløses kravet ikke dér. Kilde: GDPR art. 13(1)(e); ePrivacy art. 5(3).

SEKTION 05

Formularer og dataindsamling

I praksis: formularfelter kan indsamle personoplysninger. Ved formularen bør det fremgå, hvordan oplysningerne bruges.

Ingen afvigelser fundet

Scannet fandt ingen kontakt-/marketingklassificeret formular i forsidens egen kode uden et privatlivslink i formularen eller dens nærmeste forælder. Linkets synlighed og indhold blev ikke vurderet, og formularer bygget uden form-tag eller i en iframe tælles ikke med. Manuel gennemgang af formålsangivelser og samtykke-tekster anbefales.

SEKTION 06

Tekniske sikkerhedsforanstaltninger

1lav

I praksis: sikkerhedsheaders kan begrænse bestemte browserangreb og utilsigtet datadeling.

1 fund bygger på tekniske målinger. Se det konkrete grundlag ved hvert fund.

LAV RISIKO
FUND F14

Vi fandt ikke sikkerheds-headerne HSTS (HTTP Strict Transport Security: tvinger browseren til altid at bruge https), Content-Security-Policy (CSP: liste over hvilke kilder siden må hente indhold fra), X-Frame-Options, Referrer-Policy og Permissions-Policy i forsidens HTTP-svar.

Dermed er der heller ingen beskyttelse mod clickjacking (at en fremmed side indlejrer jeres side usynligt for at narre klik). Sitet sender til gengæld http-besøg videre til https med permanent omdirigering.

HVORFOR PROBLEMATISK

Uden disse headers har browseren færre indbyggede værn, hvis nogen forsøger at aflytte et besøg, indlejre siden i en falsk ramme eller indsprøjte fremmed kode på siden med kontaktformularen. Scannet har målt fraværet af headerne, ikke sitets samlede sikkerhed, og headerne er en udbredt teknisk baseline snarere end en løsning på alt. GDPR art. 32(1) kræver tekniske sikkerhedsforanstaltninger, der står mål med det aktuelle tekniske niveau og risikoen for de besøgendes oplysninger.

KILDE

GDPR art. 32(1)

LØSES AF

Opgave T17 · Opgave T19

På plads

  • Kravet: Personoplysninger skal beskyttes med passende tekniske foranstaltninger. Krypteret forbindelse (https med permanent omdirigering og HSTS), en Content-Security-Policy uden wildcards, X-Frame-Options, Permissions-Policy og en restriktiv Referrer-Policy er udbredte baseline-foranstaltninger mod aflytning, indsprøjtning, clickjacking og utilsigtet deling af adresser. Det er ikke et lovkrav om netop disse headers, og ikke en måling af sitets samlede sikkerhed. Kilde: GDPR art. 32(1); art. 5(1)(c) og (f).

    http:// → https:// med permanent redirect (301/308).

HANDLINGSPLAN

En samlet plan for arbejdet

19 opgaver · 8 kræver afklaring først. I vælger selv, om arbejdet udføres internt eller eksternt.

Estimeret samlet indsats: 18,5–46,5 timer

Vejledende intervaller for den anbefalede vej. Afhænger af opgavernes forudsætninger; ventetid og indkøb er ikke medregnet. Rådgivning er kun medregnet, hvor den står som en opgave. Afklaringsopgaver er medregnet.

Cookiebot er allerede installeret på tandklinik-eksempel.dk, og scannet fandt samtykkeplatformen. Fundene peger på selve integrationen. Cookiebots uc.js blev anmodet fra både consent.cookiebot.com og consent.cookiebot.eu, og den ene gang via Google Tag Manager (implementation=gtm). Script-listen registrerede gtm.js, gtag/js, Meta Pixel og Googles call-tracking ved indlæsning, før der var truffet et valg. Scannerens samtykketest noterede desuden, at et klik på »Tillad alle« ikke ændrede noget, fordi sporingen allerede kørte inden valget. Banneret bevares derfor. Opsætningen samles i ét Cookiebot-tag i <head>, og tags i GTM, PixelYourSite og Trustindex styres efter samtykke. Cookiebots egen cookie-erklæring bruges på politiksiden.

Afklaringspunkter uden scorefradrag

  • A1: Scan-data viser, at bl.a. cookierne pys_cd, pysTrafficSource, pys_landing_page og pbid blev sat på sitets domæne ved indlæsning, uden at de står i vores cookie-katalog. Præfikset pys_ matcher sandsynligvis WordPress-pluginnet PixelYourSite, hvis scripts scannet også registrerede (anmodning påbegyndt). Formålet kunne ikke fastslås. · Opgave T2, T3, T4
  • A2: Scannerens sikkerhedsopsummering melder om en http://-ressource på forsiden, selvom siden selv kører på https (blandet indhold, mixed content). Ifølge opsummeringen blokerer eller advarer browseren. Den konkrete ressource fremgår dog ikke af den evidens, rapporten bygger på, og de script-anmodninger, der gør, fx til consent.cookiebot.com, www.google.com og connect.facebook.net, går over https. Vi ved derfor ikke, hvilken fil det drejer sig om, hvilken type den er, eller om browseren faktisk hentede den. Punktet bør afklares, før der konkluderes noget. · Opgave T18, T19
  • A3: Vi kunne ikke afgøre, om Meta Pixel og Googles annoncesporing også er aktive på behandlingssiderne, fx Rodbehandling og Test din tandlægeskræk, da scannet kun målte forsiden. Privatlivspolitikken oplyser, at data om brugen af websitet videregives til tredjeparter til annoncemålretning, og scannet registrerede en anmodning til Meta Pixels konfiguration på forsiden. · Opgave T5, T6, T7
  • A4: Vores scan registrerede værktøjer fra Google, Cookiebot og Trustindex, men det kan ikke ses, om der er databehandleraftaler med dem. Privatlivspolitikken siger, at tredjeparter behandler data på klinikkens vegne, uden at navngive dem. Footeren nævner desuden webbureauet webbureauet, som kan have adgang til sitet. · Opgave T8
  • A5: Meta Pixel indlæses på forsiden, og det kan gøre klinikken fælles dataansvarlig med Meta for indsamlingen. Vi kan ikke se fra sitet, om der er en aftale om fælles dataansvar. Scannet registrerede Metas pixel-scripts, _fbp-cookien og filer fra WordPress-pluginnet PixelYourSite. · Opgave T9, T12, T14
  • A6: Det kan ikke ses fra sitet, hvilket grundlag der dækker overførsel af besøgendes data til Google og Meta i USA. Privatlivspolitikken nævner kun lande uden for EU overordnet, uden at navngive lande eller grundlag. Scriptanmodningerne viser ikke selv, hvor data behandles, så det skal afklares i leverandørernes aftaler. · Opgave T10
  • A7: Sitet tilbyder tandbehandling og tidsbestilling til patienter, og sidens tekst nævner fx rodbehandling og tandbehandling under graviditet. Vi kan ikke se, om klinikken har en fortegnelse efter GDPR art. 30. Om en DPIA (konsekvensanalyse vedr. databeskyttelse, art. 35) eller en databeskyttelsesrådgiver (art. 37) kræves, skal vurderes. · Opgave T16
  • A8: Privatlivspolitikken omtaler tilmelding til nyhedsbrev, men det kan ikke ses, om klinikken gemmer dokumentation for samtykke til e-mailmarkedsføring. Scannet registrerede en formular med afkrydsningsfelter på forsiden. · Opgave T11, T13

Alternative valg

De indgår ikke i opgaverne eller tidsestimatet ovenfor. Ved et andet valg skal de berørte opgaver tilpasses samlet.

  • Skift til en anden administreret samtykkeplatform (managed_cmp): Vælges, hvis klinikken ikke vil forny Cookiebot-abonnementet, eller hvis ejerskabet af Cookiebot-kontoen ikke kan overdrages til klinikken. I så fald erstatter en ny CMP-opsætning med efterfølgende kodeintegration og ny erklæring T3 og T4.
  • Fjern statistik- og annoncesporing i stedet for at samtykkestyre den: Vælges, hvis klinikken ikke aktivt bruger Google Analytics, Google Ads eller Meta-annoncering. Tags og PixelYourSite fjernes da i stedet for at blive gated. Banneret bevares, så længe Trustindex eller andre cookies uden for kategorien nødvendige er tilbage.

OPGAVER

Komplette opgaver

Giv de relevante opgaver til den, der skal udføre arbejdet. Opgavernes type afhænger af ændringen, ikke af om I bruger egne medarbejdere eller ekstern hjælp.

I eksemplet viser opgave T13 og T17 alle trin. I de øvrige er trinene forbeholdt den fulde rapport.

Opgave T1: Kortlæg hvor Cookiebot, GTM-tags, Meta Pixel og Trustindex indsættes

F10 · F11 · F13 · Forsidens <head>, Google Tag Manager-containeren og PixelYourSite på WordPress-sitet tandklinik-eksempel.dk

Et skriftligt notat uden ændringer på sitet. Notatet angiver: hvor mange gange og hvorfra Cookiebots uc.js indsættes (sidekode eller GTM-tag, og om det sker fra consent.cookiebot.com og/eller consent.cookiebot.eu); hvert tag i GTM-containeren med type, trigger og samtykkeindstilling; om Meta Pixel indsættes af GTM, PixelYourSite eller begge; hvor Trustindex-scriptet (cdn.trustindex.io/loader.js) indsættes; og hvilket tema, plugin eller kodefelt i WordPress der skriver <head>-koden.

Forudsætninger

  • Læseadgang til WordPress-administrationen (tema, plugins og eventuelle felter til kodeindsættelse)
  • Læseadgang til den GTM-container, sitet bruger, inklusive Preview/Tag Assistant
  • Læseadgang til Cookiebot Admin for domænet tandklinik-eksempel.dk

Sådan udføres opgaven

Trin-for-trin vejledning (7 trin), inkluderet i den fulde rapport.

Teknisk udførelse

Inkluderet i den fulde rapport.

Opgaven er færdig, når

  • Notatet angiver antallet af uc.js-indsætninger, deres vært og kilde (sidekode eller GTM-tag)
  • Notatet lister alle tags i GTM-containeren med trigger og samtykkeindstilling
  • Notatet angiver, om Meta Pixel indsættes af GTM, PixelYourSite eller begge
  • Notatet angiver, hvor Trustindex-scriptet og <head>-koden indsættes i WordPress
  • Sitet og GTM-containeren er uændrede efter kortlægningen

Vejledende indsats: 0,5–1 timer

Adgang til browserens DevTools og bannerets kode. Kun kontrol og dokumentation; eventuelle kodeændringer afgrænses særskilt.

Kortlægningen dækker forsiden. Andre sidetyper kortlægges kun, hvis de viser sig at bruge en anden skabelon til <head>.

Opgave T2: Afklar formål med pys_-cookierne og pbid

A1 · PixelYourSite-pluginet og cookien pbid på tandklinik-eksempel.dk · Afklar først

En tabel med én række for hver af cookierne pys_cd, pys_session_limit, pys_start_session, pys_first_visit, pysTrafficSource, pys_landing_page, last_pysTrafficSource, last_pys_landing_page og pbid. For hver cookie angives det script eller plugin, der sætter den, formålet, levetiden og kategorien (nødvendig, præferencer, statistik eller marketing) eller markeringen »uafklaret«, samt kilden til oplysningen.

Afklar først behovet og de manglende oplysninger, før der gennemføres rettelser. Hvis afvigelsen ikke bekræftes, dokumenteres afklaringen uden ændring.

Forudsætninger

  • Administratoradgang til WordPress (pluginliste og PixelYourSites indstillinger)
  • Kontakt til den, der har installeret og konfigureret PixelYourSite, hvis indstillingerne ikke forklarer formålet

Sådan udføres opgaven

Trin-for-trin vejledning (6 trin), inkluderet i den fulde rapport.

Opgaven er færdig, når

  • Tabellen har en række for hver af de ni cookies med kilde, formål, levetid og kategori eller markeringen »uafklaret«
  • Hver kategori har en angivet kilde (pluginindstilling, dokumentation eller skriftligt svar)

Vejledende indsats: 0,5–1,5 timer

Adgang til den relevante konto eller implementering. Ventetid på andre er ikke inkluderet.

pbid kan være sat af et andet script end PixelYourSite. Tabellen afklarer det i stedet for at antage det.

Opgave T3: Saml Cookiebot i ét tag og samtykkestyr Google-, Meta- og Trustindex-scripts

F10 · F11 · F13 · A1 · Sidens <head> i WordPress, GTM-containeren, PixelYourSite og Trustindex-indsætningen på tandklinik-eksempel.dk

Leverancen omfatter følgende: Ét Cookiebot-tag i <head> med data-blockingmode="auto", placeret efter Consent Mode-defaulten og GTM-snippetten. Cookiebot-tagget i GTM sat på pause. Google Analytics-tags, der kræver statistiksamtykke. Google Ads/call-tracking og Meta Pixel, der kræver marketingsamtykke. PixelYourSite koblet til Cookiebot. Trustindex, der først indlæses efter præferencesamtykke. pys_-cookier og pbid styret efter kategorierne fra T2.

Udføres efter opgave T1, T2.

Forudsætninger

  • Administratoradgang til WordPress og til det tema, plugin eller kodefelt, som T1 har udpeget til <head>-koden
  • Publiceringsadgang til GTM-containeren, inklusive Preview
  • Adgang til Cookiebot Admin for tandklinik-eksempel.dk
  • Et testmiljø, eller et aftalt tidsrum til ændring på produktion med gemt kopi af den nuværende <head>-kode og containerversion

Sådan udføres opgaven

Trin-for-trin vejledning (10 trin), inkluderet i den fulde rapport.

Teknisk udførelse

Inkluderet i den fulde rapport.

Opgaven er færdig, når

  • Før et valg sendes ingen anmodninger til www.googletagmanager.com/gtag/js, connect.facebook.net, Googles call-tracking-script på www.gstatic.com eller cdn.trustindex.io. gtm.js må indlæses, men GTM Preview viser ingen udløste Analytics-, Ads- eller Meta-tags.
  • Før et valg og efter Afvis findes _ga, _ga_XXXXXXXXXX, _fbp og de pys_-cookies og pbid, som T2 har placeret i statistik eller marketing, ikke under Application > Cookies, og localStorage og sessionStorage har ingen nye nøgler fra Google-, Meta-, PixelYourSite- eller Trustindex-scripts.
  • Med kun statistik valgt sættes _ga og _ga_XXXXXXXXXX, mens der ikke er nogen anmodning til connect.facebook.net, ingen _fbp og ingen Google Ads- eller call-tracking-anmodning.
  • Med kun marketing valgt udløses Meta Pixel- og Google Ads-tags, mens _ga og _ga_XXXXXXXXXX ikke sættes, og Analytics-tags ikke udløses.
  • uc.js anmodes fra én vært pr. sidevisning, banneret vises, og efter genindlæsning bruges det gemte valg, uden at banneret vises igen.
  • Trustindex-widgetten indlæses først efter præferencesamtykke. Indtil da vises pladsholderen med link.

Vejledende indsats: 2–5 timer

Ét cookie-banner og dets scriptintegration på ét domæne; adgang til bannerkode, publicering og testmiljø. Inkluderer test af accept, afvisning og lagret valg.

GTM-containeren bevares som container. Kun tags inden i den samtykkestyres, hver efter sit eget formål.

GTM-container-ID og Trustindex-URL er ikke angivet her og hentes fra den eksisterende kode via T1.

Opgave T4: Opdatér Cookiebots cookieliste og indsæt erklæringen på politiksiden

F9 · F3 · A1 · Cookiebot Admin for tandklinik-eksempel.dk og siden /cookie-og-privatlivspolitik i WordPress

En ny Cookiebot-scanning, så cookielisten i bannerets »Detaljer« og i erklæringen også omfatter _GRECAPTCHA, pys_-cookierne og pbid, som rapportens scanning registrerede ved indlæsning. Cookiebots automatisk genererede cookie-erklæring indsat i cookie-afsnittet på https://tandklinik-eksempel.dk/cookie-og-privatlivspolitik med navn, afsender, formål, kategori og levetid pr. cookie, fx _fbp (Meta Pixel) og _GRECAPTCHA (Google reCAPTCHA). Afsnittet har desuden et link med teksten »Skift eller tilbagekald cookie-samtykke«, der genåbner banneret.

Udføres efter opgave T2, T3.

Forudsætninger

  • Redigeringsadgang til siden /cookie-og-privatlivspolitik i WordPress
  • Adgang til Cookiebot Admin for tandklinik-eksempel.dk

Sådan udføres opgaven

Trin-for-trin vejledning (6 trin), inkluderet i den fulde rapport.

Teknisk udførelse

Inkluderet i den fulde rapport.

Opgaven er færdig, når

  • Politiksiden viser en cookieliste med navn, afsender, formål, kategori og levetid for hver cookie fra Cookiebots seneste scanning
  • _fbp, _GRECAPTCHA, pys_-cookierne og pbid fremgår både af erklæringen og af bannerets »Detaljer«; cookier markeret »uafklaret« i T2 står som uklassificerede
  • Et klik på linket »Skift eller tilbagekald cookie-samtykke« genåbner Cookiebot-banneret
  • En ny scanning registrerer cookielisten på politiksiden

Vejledende indsats: 1–2 timer

Cookieoversigt og formål er afklaret; virksomhedens publiceringsadgang er tilgængelig.

Cookiebots egen scanning kan overse cookies, som rapportens scanning registrerede. De tilføjes manuelt i Cookiebot Admin.

Opgave T5: Mål annoncetags på behandlingssiderne og udkast til beslutning om afgrænsning

A3 · Behandlingssiderne på tandklinik-eksempel.dk, fx Rodbehandling, Implantatbehandling, Tandbehandling under graviditet og Test din tandlægeskræk · Afklar først

Et notat med én række pr. behandlingsside. Rækken viser, hvilke Meta Pixel- og Google Ads-tags der udløses efter »Tillad alle«, og hvilke sideoplysninger (URL, titel, events) der sendes. Notatet indeholder også klinikkens udkast til beslutning om, hvilke sider annoncesporingen skal måle på, med begrundelse.

Afklar først behovet og de manglende oplysninger, før der gennemføres rettelser. Hvis afvigelsen ikke bekræftes, dokumenteres afklaringen uden ændring.

Udføres efter opgave T1.

Forudsætninger

  • Adgang til GTM Preview og PixelYourSites event-indstillinger
  • Klinikkens liste over behandlingssider og over de formål, annoncemålingen bruges til

Sådan udføres opgaven

Trin-for-trin vejledning (4 trin), inkluderet i den fulde rapport.

Opgaven er færdig, når

  • Notatet har en række pr. behandlingsside med udløste annoncetags og sendte sideoplysninger
  • Notatet indeholder et udkast til beslutning om, hvilke sider annoncesporingen omfatter

Vejledende indsats: 0,5–1,5 timer

Adgang til den relevante konto eller implementering. Ventetid på andre er ikke inkluderet.

Kun forsiden og de behandlingssider, klinikken lister, måles. Sider, der oprettes senere, er ikke omfattet.

Opgave T6: Rådgivergennemgang af beslutningsudkastet om annoncesporing på behandlingssider

A3 · Beslutningsudkastet fra T5 om annoncesporing

Rådgiverens skriftlige bemærkninger til udkastet fra T5. Bemærkningerne skal særligt omhandle, om sidevisninger på behandlingssider kan sige noget om helbred, og hvilke sider der bør udelukkes fra Meta- og Google-annoncetags. Derudover klinikkens endelige, daterede beslutning.

Udføres efter opgave T5.

Forudsætninger

  • En rådgiver med databeskyttelseskompetence er valgt
  • Notatet og beslutningsudkastet fra T5

Sådan udføres opgaven

Trin-for-trin vejledning (3 trin), inkluderet i den fulde rapport.

Opgaven er færdig, når

  • Rådgiveren har gennemlæst udkastet og noteret sine bemærkninger skriftligt
  • Klinikkens endelige beslutning og listen over udelukkede sider er noteret med dato

Vejledende indsats: 1–3 timer

Afgrænset gennemgang af den angivne tekst; ikke en samlet juridisk revision.

Gennemgangen omfatter kun annoncesporing på hjemmesiden, ikke klinikkens øvrige behandling af patientoplysninger.

Opgave T7: Udeluk behandlingssider fra Meta Pixel- og Google Ads-tags

A3 · GTM-containeren og PixelYourSite på tandklinik-eksempel.dk

Meta Pixel- og Google Ads-tags udløses ikke på de sider, som beslutningen i T6 udelukker, hverken via GTM eller via PixelYourSite.

Udføres efter opgave T3, T6.

Forudsætninger

  • Publiceringsadgang til GTM-containeren
  • Administratoradgang til PixelYourSite i WordPress
  • Listen over udelukkede sider fra T6

Sådan udføres opgaven

Trin-for-trin vejledning (6 trin), inkluderet i den fulde rapport.

Teknisk udførelse

Inkluderet i den fulde rapport.

Opgaven er færdig, når

  • Med »Tillad alle« valgt viser GTM Preview ingen udløste Meta Pixel- eller Google Ads-tags på de udelukkede sider, og DevTools viser ingen anmodninger til connect.facebook.net fra dem
  • På de omfattede sider udløses tagsene efter marketingsamtykke
  • Den publicerede containerversion har en beskrivelse, der nævner udelukkelsen

Vejledende indsats: 0,5–2 timer

Ét system med kendte indstillinger og administratoradgang.

Behandlingssidernes URL-stier ligger fast. Ændres de, skal undtagelsen opdateres.

Opgave T8: Saml databehandleraftaler og roller pr. leverandør

A4 · Leverandøraftaler for tandklinik-eksempel.dk (Cookiebot, Trustindex, Google-tjenester, hosting, webbureauet) · Afklar først

En oversigt med én række pr. leverandør: Cookiebot, Trustindex, Google Analytics, Google Tag Manager, Google Ads og call-tracking, Google reCAPTCHA, hostingfirmaet og webbureauet (nævnt i sidefoden). Hver række viser kontoejer, leverandørens rolle ifølge dens egne vilkår, gældende aftale eller DPA og henvisning til en gemt kopi. Meta håndteres i T9.

Afklar først behovet og de manglende oplysninger, før der gennemføres rettelser. Hvis afvigelsen ikke bekræftes, dokumenteres afklaringen uden ændring.

Forudsætninger

  • Administratoradgang til konti hos Google, Cookiebot og Trustindex, eller oplysning om hvem der ejer dem
  • Oplysning fra webbureauet om, hvilke konti der står i deres navn, og om de har adgang til WordPress eller til formularindsendelser
  • Klinikkens oplysning om, hvilket firma der hoster sitet

Sådan udføres opgaven

Trin-for-trin vejledning (8 trin), inkluderet i den fulde rapport.

Opgaven er færdig, når

  • Oversigten har en række pr. leverandør med kontoejer, rolle ifølge leverandørens vilkår og henvisning til gemt aftale
  • Kopier af de fundne aftaler er gemt i klinikkens dokumentation
  • Leverandører uden fundet aftale er markeret med næste skridt og ansvarlig

Vejledende indsats: 1–3 timer

Leverandørens rolle og aftalegrundlag er tilgængeligt. Forhandling er ikke inkluderet.

Hostingfirmaet fremgår ikke af scanningen og oplyses af klinikken.

Opgave T9: Afklar brugen af Meta Pixel og gem aftalen om fælles dataansvar med Meta

A5 · Meta Business-kontoen, der ejer pixel (anonymiseret) · Afklar først

En dateret beslutning om, hvorvidt klinikken fortsat bruger Meta Pixel. Ved fortsat brug: en gemt kopi af Metas vilkår for forretningsværktøjer og tillægget for dataansvarlige, accepteret for den konto, der ejer pixlen, samt henvisning til den del af ordningen, Meta selv offentliggør.

Afklar først behovet og de manglende oplysninger, før der gennemføres rettelser. Hvis afvigelsen ikke bekræftes, dokumenteres afklaringen uden ændring.

Forudsætninger

  • Administratoradgang til den Meta Business-konto, der ejer pixel (anonymiseret), eller adgang fra kontoens ejer

Sådan udføres opgaven

Trin-for-trin vejledning (5 trin), inkluderet i den fulde rapport.

Opgaven er færdig, når

  • Beslutningen om brug af Meta Pixel er noteret med dato
  • Ved fortsat brug er en kopi af det accepterede tillæg gemt med kontonavn og dato
  • Henvisningen til Metas offentlige del af ordningen foreligger til brug i T12

Vejledende indsats: 1–3 timer

Leverandørens rolle og aftalegrundlag er tilgængeligt. Forhandling er ikke inkluderet.

Kontoen, der ejer pixlen, kan identificeres ud fra pixel-ID'et i Meta Business Suite.

Opgave T10: Dokumentér overførselsgrundlag for Google- og Meta-tjenester

A6 · F4 · Leverandørvilkår for Google Analytics, Google Tag Manager, Google Ads/call-tracking, reCAPTCHA og Meta Pixel · Afklar først

Et notat pr. tjeneste med den juridiske enhed, klinikkens aftale er med, behandlingssted ifølge leverandørens dokumentation, overførselsgrundlag (DPF-opslag med dato eller SCC) og en markering af, hvor en TIA er nødvendig. Notatet bruges i T12 og T16.

Afklar først behovet og de manglende oplysninger, før der gennemføres rettelser. Hvis afvigelsen ikke bekræftes, dokumenteres afklaringen uden ændring.

Udføres efter opgave T8, T9.

Forudsætninger

  • Leverandørvilkår og aftaler fra T8 og T9
  • Adgang til dataprivacyframework.gov

Sådan udføres opgaven

Trin-for-trin vejledning (6 trin), inkluderet i den fulde rapport.

Opgaven er færdig, når

  • Notatet angiver for hver tjeneste juridisk enhed, behandlingssted ifølge leverandøren og grundlag
  • DPF-opslaget er dokumenteret med dato for hver amerikansk enhed
  • Overførsler på SCC har en gemt kopi af SCC og en markering af TIA-behov

Vejledende indsats: 1–3 timer

Faktisk modtager, behandlingssted og leverandørdokumentation kan fremskaffes. Særskilt rådgivning kan være nødvendig.

Behandlingssted og modtager bestemmes ud fra leverandørernes egne vilkår, ikke ud fra de domæner, scanningen målte.

Opgave T11: Afklar om klinikken sender nyhedsbreve og hvad formularens afkrydsningsfelter bruges til

A8 · Klinikkens e-mail- og sms-markedsføring og formularen på forsiden af tandklinik-eksempel.dk · Afklar først

Et skriftligt svar på: om klinikken sender nyhedsbreve eller tilbud pr. e-mail eller sms; i givet fald hvor tilmeldingen sker, hvilken tekst modtageren siger ja til, og om tidspunkt og tekst gemmes; hvad afkrydsningsfelterne i forsidens formular bruges til; og om politikkens omtale af nyhedsbrev, konkurrencer, login, abonnement og køb svarer til funktioner, sitet har.

Afklar først behovet og de manglende oplysninger, før der gennemføres rettelser. Hvis afvigelsen ikke bekræftes, dokumenteres afklaringen uden ændring.

Forudsætninger

  • Klinikkens oplysninger om markedsføringsudsendelser og eventuelt udsendelsesværktøj
  • Adgang til formularens indstillinger i WordPress

Sådan udføres opgaven

Trin-for-trin vejledning (5 trin), inkluderet i den fulde rapport.

Opgaven er færdig, når

  • Svaret angiver, om der sendes markedsføring pr. e-mail eller sms
  • Svaret angiver formålet med hvert afkrydsningsfelt i forsidens formular
  • Svaret angiver, hvilke af de funktioner, politikken nævner, sitet har

Vejledende indsats: 0,5–1,5 timer

Adgang til den relevante konto eller implementering. Ventetid på andre er ikke inkluderet.

Afkrydsningsfelterne i forsidens formular kan have andre formål end tilmelding. Det afklares her og antages ikke.

Opgave T12: Skriv udkast om modtagere, reCAPTCHA, Meta og overførsler uden for EU

F12 · F13 · F3 · F4 · A5 · Afsnittene om cookies, videregivelse og databehandlere på /cookie-og-privatlivspolitik

Et udkast til politikkens afsnit om modtagere. Udkastet navngiver Meta (Meta Pixel), Google (Analytics, Tag Manager, Ads og opkaldssporing, reCAPTCHA) og Trustindex med formål og oplysningstyper og nævner kategorier som hosting og webbureau. Det indeholder et afsnit om Google reCAPTCHA (spambeskyttelse af kontaktformularen, cookien _GRECAPTCHA med en levetid på ca. 180 dage) og et afsnit om ordningen med Meta, hvis pixlen bevares. Det indeholder også et afsnit om overførsel til lande uden for EU med modtager, land og grundlag, en omskrevet sætning om databehandlere og en henvisningssætning, der peger på modtagerafsnittet og cookie-erklæringen.

Udføres efter opgave T8, T9, T10.

Forudsætninger

  • Leverandøroversigten fra T8, beslutningen og henvisningen fra T9 og overførselsnotatet fra T10
  • Klinikkens valg af retsgrundlag for reCAPTCHA

Sådan udføres opgaven

Trin-for-trin vejledning (8 trin), inkluderet i den fulde rapport.

Opgaven er færdig, når

  • Udkastet navngiver Meta Pixel, Google Analytics, Google reCAPTCHA og Trustindex med modtager og formål for hver
  • Udkastet beskriver reCAPTCHA med formål, retsgrundlag og cookien _GRECAPTCHA med levetid
  • Udkastet har et afsnit om overførsel til lande uden for EU med modtager, land og grundlag pr. tjeneste
  • Udkastet beskriver ordningen med Meta, hvis T9 har besluttet at bevare pixlen
  • Henvisningssætningen peger på et afsnit, der navngiver modtagerne

Vejledende indsats: 1–2 timer

De faktiske behandlinger, leverandører og frister er oplyst af virksomheden.

Land og overførselsgrundlag skrives kun ind, som de fremgår af notatet fra T10; mangler en oplysning der, markeres stedet i udkastet som åbent.

Opgave T13: Skriv udkast om dataansvarlig, retsgrundlag, opbevaring, rettigheder og kontaktformular

F1 · F5 · F6 · F7 · F8 · A8 · Afsnittene Udgiver, Formål, Opbevaring og Indsigt og klager på /cookie-og-privatlivspolitik

Et udkast med følgende: afsnittet »Dataansvarlig« med klinikken og CVR-nummer; formål med retsgrundlag efter GDPR art. 6, stk. 1, pr. formål og den forfulgte interesse ved legitim interesse; opbevaringsperiode eller kriterium pr. datatype; et afsnit om formularen på forsiden (telefon, e-mail, fritekst) med formål, modtagere, opbevaring og håndtering af helbredsoplysninger i fritekst; skabelontekst om funktioner, sitet ikke har, fjernet; indsigt og dataportabilitet beskrevet hver for sig; samt Datatilsynets kontaktoplysninger.

Udføres efter opgave T11.

Forudsætninger

  • Klinikkens oplysninger om de behandlinger, der sker via sitet, og om slettefrister
  • Svaret fra T11 om nyhedsbrev, formularens felter og sitets funktioner

Sådan udføres opgaven

  1. Omdøb »Udgiver« til »Dataansvarlig«, skriv at klinikken er dataansvarlig for behandlingen af personoplysninger, og tilføj CVR-nummer.
  2. Skriv én linje pr. formål med retsgrundlag efter art. 6, stk. 1 (fx statistik- og marketingcookies, besvarelse af henvendelser, tidsbestilling og regnskab), og beskriv interessen, hvor legitim interesse bruges.
  3. Erstat de løse formuleringer om samtykke ved navn, e-mail og betalingsoplysninger med en angivelse af, hvilke formål der bygger på samtykke.
  4. Skriv én linje pr. datatype med opbevaringsperiode eller kriterium, og slet sætningen om, at en generel tidsramme ikke kan angives.
  5. Skriv et afsnit om forsidens formular: oplysninger, formål, modtagere, opbevaring, og om fritekstfeltet må bruges til helbredsoplysninger, eller om besøgende bedes undlade dem.
  6. Slet omtale af nyhedsbrev, konkurrencer, undersøgelser, login, abonnement og køb, som T11 ikke har bekræftet.
  7. Del sætningen om indsigt i to: retten til indsigt (art. 15) og retten til dataportabilitet (art. 20). Tilføj Datatilsynets adresse og datatilsynet.dk ved klagevejledningen.
  8. Send udkastet til T14.

Opgaven er færdig, når

  • Afsnittet hedder »Dataansvarlig« og nævner klinikken som dataansvarlig med CVR-nummer og kontaktoplysninger
  • Hvert formål står med sit retsgrundlag efter art. 6, stk. 1, og ved legitim interesse er interessen beskrevet
  • Opbevaringsafsnittet angiver periode eller kriterium pr. datatype, og sætningen om at en generel tidsramme ikke kan angives, er fjernet
  • Udkastet nævner formål, retsgrundlag, modtagere og opbevaring for kontaktformularen på forsiden
  • Indsigt og dataportabilitet er beskrevet hver for sig, og klagevejledningen har Datatilsynets adresse og datatilsynet.dk
  • Omtale af nyhedsbrev, konkurrencer, login, abonnement og køb står kun, hvor T11 har bekræftet funktionen

Vejledende indsats: 1–2 timer

De faktiske behandlinger, leverandører og frister er oplyst af virksomheden.

Cookie-afsnittet og modtagerafsnittet er ikke omfattet her. De skrives i T12 og T15.

Opgave T14: Rådgivergennemgang af udkastene til privatlivspolitikken

F1 · F12 · F4 · A5 · F6 · Udkastene fra T12 og T13 til /cookie-og-privatlivspolitik

Rådgiverens skriftlige rettelser og bemærkninger til udkastene fra T12 og T13. Gennemgangen dækker særligt: angivelsen af retsgrundlag pr. formål og den forfulgte interesse ved legitim interesse; beskrivelsen af Google reCAPTCHA og cookien _GRECAPTCHA; beskrivelsen af ordningen med Meta, hvis pixlen bevares; afsnittet om overførsel til lande uden for EU og den omskrevne sætning om databehandlere; og afsnittet om kontaktformularen på forsiden, herunder fritekstfeltet.

Udføres efter opgave T12, T13.

Forudsætninger

  • En rådgiver med databeskyttelseskompetence er valgt
  • Udkastene fra T12 og T13

Sådan udføres opgaven

Trin-for-trin vejledning (4 trin), inkluderet i den fulde rapport.

Opgaven er færdig, når

  • Rådgiveren har gennemlæst udkastene fra T12 og T13 og noteret sine rettelser skriftligt
  • Rådgiverens bemærkninger omfatter retsgrundlag pr. formål, reCAPTCHA, ordningen med Meta, overførsler uden for EU og kontaktformularen
  • Klinikken har modtaget rettelserne i en form, der kan indarbejdes direkte i teksten

Vejledende indsats: 1–3 timer

Afgrænset gennemgang af den angivne tekst; ikke en samlet juridisk revision.

Cookie-afsnittet fra T15 og cookie-erklæringen fra T4 indgår ikke i gennemgangen.

Opgave T15: Omskriv cookie-afsnittet og publicér den reviderede privatlivspolitik

F2 · F1 · Siden /cookie-og-privatlivspolitik i WordPress

Et cookie-afsnit, der beskriver samtykke via cookie-banneret i stedet for at bede besøgende slette cookies og forlade sitet, med henvisning til cookie-erklæringen og linket fra T4. Desuden den publicerede politik med afsnittene fra T12 og T13, hvor rådgiverens rettelser fra T14 er indarbejdet.

Udføres efter opgave T3, T4, T14.

Forudsætninger

  • Redigeringsadgang til siden i WordPress
  • Dokumentation af afprøvningen i T3 (før valg, Afvis og delvist samtykke)

Sådan udføres opgaven

Trin-for-trin vejledning (6 trin), inkluderet i den fulde rapport.

Opgaven er færdig, når

  • Politikken indeholder ikke længere sætningen om at slette cookies og undlade videre brug af websitet
  • Cookie-afsnittet beskriver samtykke via banneret og indeholder linket til at ændre valget
  • Den publicerede politik indeholder afsnittene fra T12 og T13 med rådgiverens rettelser indarbejdet
  • En ny scanning registrerer ikke fravalgsformuleringen
  • En dateret kopi af den tidligere version er gemt

Vejledende indsats: 1–2 timer

De faktiske behandlinger, leverandører og frister er oplyst af virksomheden.

Politikken ligger fortsat på samme URL, så links fra banner og sidefod ikke skal ændres.

Opgave T16: Gennemgå fortegnelse, DPIA- og DPO-vurdering og procedure for sikkerhedsbrud

A7 · Klinikkens interne GDPR-dokumentation · Afklar først

En statusliste over klinikkens fortegnelse efter art. 30, den skriftlige vurdering af DPIA-behov (art. 35), vurderingen af behov for en databeskyttelsesrådgiver (art. 37, stk. 1, litra c) og proceduren for brud på persondatasikkerheden (art. 33–34): hvad findes, hvad mangler, og hvornår det sidst er opdateret. Findes fortegnelsen, opdateres den med leverandører og overførselsgrundlag fra T8 og T10.

Afklar først behovet og de manglende oplysninger, før der gennemføres rettelser. Hvis afvigelsen ikke bekræftes, dokumenteres afklaringen uden ændring.

Udføres efter opgave T8, T10.

Forudsætninger

  • Klinikkens eksisterende dokumenter og oplysninger om journalsystem, bookingløsning og ansatte med adgang
  • Oversigten fra T8 og notatet fra T10

Sådan udføres opgaven

Trin-for-trin vejledning (6 trin), inkluderet i den fulde rapport.

Opgaven er færdig, når

  • Statuslisten angiver for hvert af de fire dokumenter, om det findes, og hvornår det sidst er opdateret
  • Findes fortegnelsen, indeholder den leverandører og overførselsgrundlag fra T8 og T10
  • Manglende dokumenter er listet med næste skridt

Vejledende indsats: 0,5–1,5 timer

Virksomhedens egne dokumenter og beslutninger er tilgængelige. Udarbejdelse af manglende dokumenter afgrænses særskilt.

Journal- og bookingsystemer beskrives ud fra klinikkens egne oplysninger. Scanningen har ikke målt dem.

Opgave T17: Sæt HSTS, X-Frame-Options, Referrer-Policy og Permissions-Policy i hostingens konfiguration

F14 · Hostingens headerkonfiguration for tandklinik-eksempel.dk

Alle svar fra tandklinik-eksempel.dk sender Strict-Transport-Security, der indføres trinvist til max-age=31536000 (includeSubDomains kun efter dokumenteret underdomænekontrol og uden preload), X-Frame-Options: SAMEORIGIN, Referrer-Policy: strict-origin-when-cross-origin og Permissions-Policy: camera=(), microphone=(), geolocation=(). Der foreligger en gemt kopi af den tidligere konfiguration til tilbagerulning.

Forudsætninger

  • Oplysning om serverteknologi og stedet, hvor hostingen tillader headers (fx .htaccess, serverkonfiguration eller kontrolpanel). Kan kunden ikke selv sætte dem, skal webhotellet sætte dem.
  • Liste over underdomæner til tandklinik-eksempel.dk fra DNS-zonen
  • Kopi af den nuværende konfiguration

Sådan udføres opgaven

  1. Gem en kopi af den nuværende headerkonfiguration.
  2. Sæt X-Frame-Options, Referrer-Policy, Permissions-Policy og Strict-Transport-Security med max-age=300 uden includeSubDomains (se implementation).
  3. Afprøv forsiden, kontaktformularen med reCAPTCHA, cookie-banneret (Afvis og Tillad alle), Trustindex efter samtykke og WordPress-login. Kontrollér browserkonsollen for nye fejl.
  4. Kontrollér, at alle underdomæner svarer over https med gyldigt certifikat, og dokumentér resultatet.
  5. Hæv HSTS til max-age=31536000. Tilføj includeSubDomains kun, hvis underdomænekontrollen er dokumenteret. Preload tilføjes ikke.
  6. Ved fejl gendannes den gemte konfiguration.
  7. Kør en ny scanning, og kontrollér svaret med curl.

Teknisk udførelse

Apache eller LiteSpeed (hvis hostingen bruger .htaccess eller tilsvarende serverkonfiguration):
<IfModule mod_headers.c>
Header always set Strict-Transport-Security "max-age=300"
Header always set X-Frame-Options "SAMEORIGIN"
Header always set Referrer-Policy "strict-origin-when-cross-origin"
Header always set Permissions-Policy "camera=(), microphone=(), geolocation=()"
</IfModule>

nginx (i https-server-blokken):
add_header Strict-Transport-Security "max-age=300" always;
add_header X-Frame-Options "SAMEORIGIN" always;
add_header Referrer-Policy "strict-origin-when-cross-origin" always;
add_header Permissions-Policy "camera=(), microphone=(), geolocation=()" always;

Andet trin efter afprøvning: max-age=31536000. Tilføj '; includeSubDomains' kun efter dokumenteret underdomænekontrol. Ingen preload.
Kontrol: curl -sI https://tandklinik-eksempel.dk/ | grep -iE 'strict-transport|x-frame|referrer-policy|permissions-policy'
En headerscanning viser kun de målte headers, ikke sitets samlede sikkerhed.

Opgaven er færdig, når

  • En ny scanning viser Strict-Transport-Security med max-age=31536000 i forsidens svar
  • En ny scanning viser X-Frame-Options, Referrer-Policy og Permissions-Policy i forsidens svar
  • Kontaktformularen kan indsendes med reCAPTCHA, og banneret vises og gemmer valg uden nye fejl i browserkonsollen
  • includeSubDomains står kun i headeren, hvis underdomænekontrollen er dokumenteret
  • Kopien af den tidligere konfiguration er gemt

Vejledende indsats: 2–4 timer

Hostingadgang og mulighed for at afprøve headers uden at bryde funktionerne.

Målingen viser, at forsiden ikke ligger bag Cloudflare, og serveren svarer som Apache. Headerne sættes derfor i hostingens konfiguration, medmindre klinikken oplyser om et andet CDN eller en anden proxy foran sitet.

Permissions-Policy-værdierne forudsætter, at sitet ikke bruger kamera, mikrofon eller placering. Afprøvningen viser, om det holder.

Opgave T18: Identificér den http://-ressource, scanneren meldte som blandet indhold

A2 · Forsiden af tandklinik-eksempel.dk (WordPress-indhold, tema og plugins) · Afklar først

Et notat med den konkrete http://-ressource (URL, ressourcetype, indsætningssted i indhold, tema eller plugin, og om den findes over https), eller dokumentation for, at browserkonsollen ikke viser en advarsel om blandet indhold på forsiden.

Afklar først behovet og de manglende oplysninger, før der gennemføres rettelser. Hvis afvigelsen ikke bekræftes, dokumenteres afklaringen uden ændring.

Forudsætninger

  • Læseadgang til WordPress-indhold, tema og plugin-indstillinger

Sådan udføres opgaven

Trin-for-trin vejledning (5 trin), inkluderet i den fulde rapport.

Opgaven er færdig, når

  • Notatet angiver ressourcens URL, type og indsætningssted, eller dokumenterer at ingen advarsel om blandet indhold vises
  • Notatet angiver, om ressourcen er tilgængelig over https

Vejledende indsats: 0,5–1,5 timer

Adgang til den relevante konto eller implementering. Ventetid på andre er ikke inkluderet.

Ressourcen er ikke identificeret i scanningens evidens. Der konkluderes intet om den, før notatet foreligger.

Opgave T19: Indfør Content-Security-Policy via Report-Only og derefter håndhævet

F14 · A2 · Hostingens headerkonfiguration for tandklinik-eksempel.dk

En Content-Security-Policy med frame-ancestors 'self', der tillader de ressourcer, sitet bruger (Cookiebot, Google Tag Manager, Google Analytics, reCAPTCHA via www.google.com og www.gstatic.com, Meta via connect.facebook.net og Trustindex). Den køres først som Content-Security-Policy-Report-Only og skiftes derefter til håndhævende header med upgrade-insecure-requests. Der foreligger en dokumenteret tilbagerulning.

Udføres efter opgave T3, T17, T18.

Forudsætninger

  • Adgang til den headerkonfiguration, der blev brugt i T17, eller at webhotellet sætter headeren
  • Liste over sitets funktioner og sider til afprøvning (forside, kontaktformular, behandlingssider, politikside, WordPress-login)

Sådan udføres opgaven

Trin-for-trin vejledning (8 trin), inkluderet i den fulde rapport.

Teknisk udførelse

Inkluderet i den fulde rapport.

Opgaven er færdig, når

  • En ny scanning viser headeren Content-Security-Policy med frame-ancestors 'self' i forsidens svar
  • Under Report-Only-perioden er alle rapporterede nødvendige kilder tilføjet, eller fjernelsen er noteret med begrundelse
  • Banner, kontaktformular med reCAPTCHA, Analytics og Meta efter samtykke samt Trustindex efter præferencesamtykke indlæses uden CSP-fejl i konsollen
  • Kopien af den tidligere konfiguration er gemt, og fremgangsmåden for tilbagerulning er noteret

Vejledende indsats: 2–4 timer

Hostingadgang og mulighed for at afprøve headers uden at bryde funktionerne.

WordPress-temaets inline-scripts gør 'unsafe-inline' nødvendigt i første version. Nonces indføres kun, hvis temaet understøtter det.

Gengivelse · Sådan slutter en købt rapport. Siderne herunder er skrevet til den virksomhed der har bestilt den, ikke til dig som læser eksemplet.

NÆSTE SKRIDT

I ved nu, hvad jeres hjemmeside gør ved en besøgende.
Tilbage er tre måder at lukke fundene på.

Rapporten leverer konkrete fund, en samlet plan og komplette opgaver med trin og acceptkriterier. Hvad I gør herfra afhænger af jeres tid og tekniske kapacitet. Vælg én af tre veje.

Selv-implementering

Med denne rapport

I følger trinene i rapporten. Egen webudvikler eller intern resurse implementerer.

  • —19 opgaver · 8 kræver afklaring først. I vælger selv, om arbejdet udføres internt eller eksternt.
  • —Opgaver samlet efter Kodeændringer, Opsætning, Indhold samt Aftaler og dokumentation
  • —Forudsætninger, komplette trin og acceptkriterier følger med hver opgave
  • —Telefon-support på rapport-spørgsmål i 30 dage fra levering

Inkluderet

i rapporten I lige har modtaget

Vi gør det for jer

Implementering · efter aftale

Vi afgrænser de tekniske opgaver sammen med jer og aftaler leverance og pris før arbejdet. Juridiske vurderinger aftales særskilt med en kvalificeret rådgiver.

  • —Afgrænsning efter rapportens konkrete opgaver
  • —Implementering og kontrol af de aftalte ændringer
  • —Overdragelse af resultat og dokumentation

Afgrænsningen tager et kvarter. Book et 15-minutters opkald nedenfor. I får en fast pris, før arbejdet starter. De tekniske opgaver (T1, T2, T3, T5, T7, T11, T17, T18, T19) er estimeret til 9–22 timer.

Pris aftales

Efter fælles afgrænsning · ekskl. moms

ANBEFALES

GDPR-vagt

Løbende overvågning

GDPR-vagt kører målingen hver fjerde uge og giver besked om registrerede ændringer. I kan også køre en gratis scanning på sitet efter egne rettelser.

  • —Automatisk re-scan hver fjerde uge
  • —Besked på mail om registrerede ændringer

349 kr/md.

Ekskl. moms · ingen binding · første måned gratis ved rapportkøb. Implementering efter aftale.

Leverandør

Xoens ApS · CVR 46225430

Dansk-baseret rådgivning

Hosting og data

Data i EU

Ingen tredjeparts-tracking på eget site

Supabase EU-region (Stockholm, eu-north-1) + Vercel arn1 (Stockholm). AI-analysen af offentligt website-indhold sker hos Anthropic (USA og andre lande) under EU’s standardkontraktbestemmelser. Driftsdata hos leverandørerne kan behandles uden for EU/EØS. Se privatlivspolitikken.

Aftalegrundlag

Handelsvilkår og privatlivspolitik

Faktura · 14 dage netto

Spørgsmål til rapporten?

Ring direkte (hverdage 9-16), eller svar på leverings-mailen med to tidspunkter der passer jer, så ringer vi op. Nævn rapport-ID'et, så starter vi samtalen med jeres fund på skærmen.

Telefon+45 81 95 96 62direkte linje (hverdage 9-16)
Rapport-IDE1AD43C8medbring ved kontakt

UDSTEDT AF

GDPRscanner

Xoens ApS · CVR 46225430

RAPPORT-ID · DATO

E1AD43C8

14. oktober 2026

DIN EGEN SIDE

Sådan ser det ud for din hjemmeside

Rapporten ovenfor er en ægte leverance til en anden virksomhed. Vil du se, hvordan din egen side står? Et gratis scan gennemgår cookies, cookie-banner, tredjeparts-scripts, indlejret indhold (kort og videoer), formularer, privatlivspolitik og security headers (sikkerheds-opsætningen) og giver et trafiklys for hvert område. Det tager typisk under ét minut. Den fulde rapport kan bestilles bagefter.

Se hvordan din side står (gratis scan)Se hvad den fulde rapport koster

GratisIntet kortIntet login