Brug Microsoft Clarity GDPR-overholdende

Microsoft Clarity (clarity.ms) leverer heatmaps og sessionsoptagelser og overfører data til Microsoft (USA).

At Clarity er gratis, ændrer ikke ved den juridiske situation: sessionsoptagelse og heatmaps registrerer enkelte besøgendes adfærd og er dermed klart samtykkepligtige. Ifølge egne oplysninger bruger Microsoft de aggregerede data også til egne formål — det gør klassificeringen som ren databehandling på vegne af diskutabel og en ren databehandleraftale plus vurderingen af fælles dataansvar så meget desto vigtigere.

Den vigtigste tekniske løftestang er maskering. Står den på «Balanced» eller «Relaxed», kan klartekst-input og sideindhold havne i optagelserne — inklusive utilsigtet synlige personoplysninger om tredjeparter. «Strict» maskerer alle tekster og input og er den datasparsommelige grundindstilling.

For USA-overførslen gælder det samme som for andre Microsoft-tjenester: via EU-US Data Privacy Framework er overførslen til Microsoft i princippet sikret, så længe certificeringen består. Det hører med i privatlivspolitikken som overførselsgrundlag.

Clarity kan kobles sammen med Google Analytics og med Microsoft Advertising. Disse integrationer udvider formålet: fra ren adfærdsforståelse bliver det et datagrundlag for annonceanalyse og -optimering. Den, der aktiverer koblingen, skal afspejle det udvidede formål i samtykket og privatlivspolitikken — et samtykke indhentet som «statistik» dækker ikke annonceformål.

I praksis kan Clarity begrænses via projektindstillingerne: optagelser kan begrænses til bestemte områder via URL-regel eller udelukkes fra følsomme sider (login, konto, kasse), og enkelte elementer kan styres målrettet via data-clarity-mask / data-clarity-unmask. Jo mindre der optages, jo enklere er begrundelsen.

Er dette en risiko?

Som ved anden sessionsoptagelse gælder § 25 stk. 1 TDDDG: brug kun efter forudgående samtykke. Desuden er en databehandleraftale med Microsoft nødvendig, og tredjelandsoverførslen skal begrundes.

Hvad du kan gøre

• Klassificer Clarity i den samtykkekrævende kategori, og indlæs den først derefter.
• Sæt maskeringen til „strict“, så tekst og indtastninger ikke optages.
• Indgå en databehandleraftale; i privatlivspolitikken, angiv Microsoft som modtager og overførslen til USA.

Ofte stillede spørgsmål

Kan Microsoft Clarity bruges uden cookiebanner?

Nej. Clarity sætter cookies og optager adfærd — det er samtykkepligtigt efter § 25, stk. 1 TDDDG. Uden aktivt samtykke må scriptet ikke indlæses.

Har jeg brug for en databehandleraftale til Clarity?

Ja. Microsoft stiller kontraktvilkårene til rådighed; de bør dokumenteres og noteres i behandlingsfortegnelsen. Da Microsoft delvist bruger dataene til egne formål, bør det desuden vurderes, om der foreligger fælles dataansvar.

Hvilket maskeringsniveau bør jeg vælge?

«Strict». Dermed maskeres alle tekster og formularinput i optagelserne, hvilket tydeligt reducerer risikoen for utilsigtet registrerede personoplysninger.

Hvordan adskiller Clarity sig fra Google Analytics med hensyn til GDPR?

Begge er samtykkepligtige. Clarity registrerer derudover konkrete sessionsforløb (musebevægelse, klik, scrolling), hvilket griber dybere ind i privatlivet end GA4's aggregerede rækkeviddemåling.

Hvor længe opbevarer Microsoft Clarity dataene?

Microsoft angiver en opbevaring af optagelserne og heatmap-dataene på omkring 30 dage, hvorefter de slettes eller aggregeres. Den konkrete frist og de behandlede datakategorier hører alligevel med i privatlivspolitikken.

Må Clarity kun indlæses på bestemte sider?

Ja, og det er tilrådeligt. Via URL-regler i Clarity-projektet kan optagelsen begrænses til ikke-kritiske sider og udelukkes fra login-, konto- og kassesider. Det reducerer tydeligt risikoen for utilsigtet registrerede personoplysninger.

Sådan hjælper consentglass

Den gratis scanning tjekker den leverede HTML og viser, hvilke tjenester der er indlejret, om der registreres et cookiebanner, og om links til privatliv og kolofon findes — med kontekst for hvert fund. Den erstatter ikke juridisk rådgivning.