Använda Microsoft Clarity GDPR-förenligt

Microsoft Clarity (clarity.ms) levererar värmekartor och sessionsinspelningar och överför data till Microsoft (USA).

Att Clarity är gratis ändrar inget i den rättsliga situationen: sessionsinspelning och heatmaps fångar enskilda besökares beteende och är därmed tydligt samtyckespliktiga. Microsoft använder enligt egna uppgifter de aggregerade uppgifterna även för egna ändamål — vilket gör klassificeringen som enbart personuppgiftsbiträde diskutabel och ett gediget personuppgiftsbiträdesavtal plus prövningen av gemensamt personuppgiftsansvar desto viktigare.

Den viktigaste tekniska spaken är maskeringen. Om den står på ”Balanced” eller ”Relaxed” kan inmatningar i klartext och sidinnehåll hamna i inspelningarna — inklusive oavsiktligt synliga personuppgifter om tredje part. ”Strict” maskerar alla texter och inmatningar och är den datasnåla grundinställningen.

För överföringen till USA gäller detsamma som för andra Microsoft-tjänster: via EU–USA:s dataskyddsram är överföringen till Microsoft i princip täckt så länge certifieringen finns. Det ska anges i integritetspolicyn som överföringsgrund.

Är detta en risk?

Som vid annan sessionsinspelning gäller § 25 st. 1 TDDDG: användning endast efter föregående samtycke. Dessutom behövs ett personuppgiftsbiträdesavtal med Microsoft och tredjelandsöverföringen måste motiveras.

Vad du kan göra

• Klassificera Clarity i den samtyckeskrävande kategorin och ladda den först därefter.
• Ställ maskeringen på ”strict” så att text och inmatningar inte spelas in.
• Ingå ett personuppgiftsbiträdesavtal; i integritetspolicyn, ange Microsoft som mottagare och överföringen till USA.

Vanliga frågor

Går Microsoft Clarity att använda utan cookiebanner?

Nej. Clarity sätter cookies och registrerar beteende — det är samtyckespliktigt enligt § 25.1 TDDDG. Utan aktivt samtycke får skriptet inte laddas.

Behöver jag ett personuppgiftsbiträdesavtal för Clarity?

Ja. Microsoft tillhandahåller avtalsvillkoren; de bör dokumenteras och antecknas i registret över behandlingar. Eftersom Microsoft delvis använder uppgifterna för egna ändamål måste det dessutom prövas om gemensamt personuppgiftsansvar föreligger.

Vilken maskeringsnivå ska jag välja?

”Strict”. Då maskeras alla texter och formulärinmatningar i inspelningarna, vilket tydligt minskar risken för oavsiktligt registrerade personuppgifter.

Hur skiljer sig Clarity från Google Analytics vad gäller GDPR?

Båda är samtyckespliktiga. Clarity fångar dessutom konkreta sessionsförlopp (musrörelser, klick, scrollning), vilket ingriper djupare i integriteten än GA4:s aggregerade mätning.

Så hjälper consentglass

Den gratis skanningen kontrollerar den levererade HTML-koden och visar vilka tjänster som är inbäddade, om en cookiebanner upptäcks och om länkar till integritet och ansvarig utgivare finns — med sammanhang för varje fynd. Den ersätter inte juridisk rådgivning.