Bruk av Microsoft Clarity i samsvar med GDPR

Microsoft Clarity (clarity.ms) tilbyr varmekart og øktopptak, og overfører data til Microsoft (USA).

At Clarity er gratis, endrer ingenting i den rettslige situasjonen: sesjonsopptak og heatmaps registrerer enkeltbesøkendes atferd og er dermed klart samtykkepliktige. Microsoft bruker ifølge egne opplysninger de aggregerte dataene også til egne formål — noe som gjør klassifiseringen som ren databehandler diskutabel og en solid databehandleravtale pluss vurderingen av felles behandlingsansvar desto viktigere.

Den viktigste tekniske spaken er maskeringen. Hvis den står på «Balanced» eller «Relaxed», kan inntasting i klartekst og sideinnhold havne i opptakene — inkludert utilsiktet synlige personopplysninger om tredjeparter. «Strict» maskerer alle tekster og inntastinger og er den datasparsomme grunninnstillingen.

For overføringen til USA gjelder det samme som for andre Microsoft-tjenester: via EU–USA-datavernrammen er overføringen til Microsoft i prinsippet dekket så lenge sertifiseringen finnes. Det hører hjemme i personvernerklæringen som overføringsgrunnlag.

Er dette en risiko?

Som ved andre øktopptak gjelder § 25 stk. 1 TDDDG: bruk kun etter forhåndssamtykke. I tillegg kreves en databehandleravtale med Microsoft, og overføring til et tredjeland må begrunnes.

Hva du kan gjøre

• Klassifiser Clarity i en kategori som krever samtykke, og last den først deretter.
• Sett maskeringen til «strict» slik at tekst og inndata ikke registreres.
• Inngå en databehandleravtale; oppgi i personvernerklæringen Microsoft som mottaker og overføringen til USA.

Vanlige spørsmål

Kan Microsoft Clarity brukes uten informasjonskapselbanner?

Nei. Clarity setter informasjonskapsler og registrerer atferd — det er samtykkepliktig etter § 25 første ledd TDDDG. Uten aktivt samtykke kan ikke skriptet lastes.

Trenger jeg en databehandleravtale for Clarity?

Ja. Microsoft stiller avtalevilkårene til rådighet; de bør dokumenteres og noteres i protokollen over behandlingsaktiviteter. Siden Microsoft delvis bruker data til egne formål, må det i tillegg vurderes om det foreligger felles behandlingsansvar.

Hvilket maskeringsnivå bør jeg velge?

«Strict». Da maskeres alle tekster og skjemainntastinger i opptakene, noe som klart reduserer risikoen for utilsiktet registrerte personopplysninger.

Hvordan skiller Clarity seg fra Google Analytics når det gjelder GDPR?

Begge er samtykkepliktige. Clarity registrerer i tillegg konkrete sesjonsforløp (musebevegelser, klikk, rulling), noe som griper dypere inn i personvernet enn GA4s aggregerte måling.

Hvordan consentglass hjelper

Den gratis sjekken analyserer den leverte HTML-en og viser hvilke tjenester som er innebygd, om informasjonskapsel-banneret er oppdaget, og om lenkene til personvern og kontaktinformasjon finnes — med klassifisering for hvert funn. Erstatter ikke juridisk rådgivning.