Heatmaps och sessionsinspelningar visar exakt hur besökare rör sig på en sajt, var de klickar och var de tvekar. Det är kraftfulla verktyg, men de samlar också in data om verkliga personer. Därför landar frågan snabbt i dataskydd. Kan man använda Hotjar och Microsoft Clarity och samtidigt följa GDPR? Kort svar: ja, men bara om verktygen konfigureras rätt och besökaren får säga sitt först.
Den här guiden går igenom vad som räknas som personuppgifter, när samtycke kan krävas, hur du maskerar känsliga uppgifter och var data hamnar. Sist finns en konkret checklista.
Notera att texten är allmän information och inte juridisk rådgivning. GDPR är principbaserat och en bedömning beror på hur just din sajt är byggd. Stäm av med egen jurist eller ditt dataskyddsombud innan du fattar beslut.
Vad räknas som personuppgifter i en heatmap?
En vanlig missuppfattning är att aggregerade klickkartor är anonyma. En ren klickkarta eller scrollkarta som bara visar var många besökare klickat kan vara relativt integritetsvänlig. Men både Hotjar och Clarity samlar normalt in mer än så.
Enligt GDPR är en personuppgift varje uppgift som direkt eller indirekt kan kopplas till en identifierbar person. Här ingår typiskt sett IP-adresser, enhets- och webbläsaridentifierare samt sessionsinspelningar av musrörelser, klick, scrollning och tangenttryck. En sessionsinspelning kan dessutom fånga upp det en besökare skriver i formulär, vilket i värsta fall kan omfatta namn, e-post eller till och med känsliga uppgifter. Det gör att den lagliga ribban ligger högre för inspelningar än för aggregerade kartor.
Samtycke innan spårning
För cookies och liknande tekniker gäller i Sverige ePrivacy-reglerna vid sidan av GDPR. Huvudregeln är att spårning som inte är strikt nödvändig kan kräva ett aktivt, informerat samtycke innan den startar. I praktiken innebär det att Hotjar eller Clarity inte bör ladda förrän besökaren tackat ja i en samtyckesruta. Ett förkryssat val eller ett passivt ”genom att fortsätta godkänner du” håller sällan måttet enligt tillsynspraxis. EU-domstolen slog redan 2019 fast i den så kallade Planet49-domen (mål C-673/17) att en förkryssad ruta inte är giltigt samtycke, utan att besökaren måste göra ett aktivt val.
Microsoft skärpte detta under 2025 och gjorde samtycke obligatoriskt för besökare inom EES, Storbritannien och Schweiz i Clarity. Verktyget har ett Consent API som du kan koppla till din samtyckesplattform. Sedan den 31 oktober 2025 behandlar Clarity en besökare i EES som om hon sagt nej, om inte sajten eller en samtyckestjänst skickar Clarity en samtyckessignal. Hotjar är inte kompatibelt med GDPR som standard, utan behöver blockeras tills besökaren aktivt valt att tillåta analys. Integritetsskyddsmyndigheten (IMY) är den svenska tillsynsmyndighet som prövar den här typen av frågor. I sin egen vägledning ”IMY riktar kritik mot företags kakbanners” (30 april 2025) slår myndigheten fast att en kakbanner ska ge klar och tydlig information om spårningen, och att det ska vara lika enkelt att säga nej som att säga ja.
Dataminimering och maskning
GDPR bygger på principen om uppgiftsminimering: samla bara in det du faktiskt behöver. För sessionsinspelningar är maskning det viktigaste verktyget för att leva upp till det.
Clarity maskerar som standard innehållet i alla textfält i inspelningar. Du ser att besökaren klickar i fältet och skriver, men inte vad som skrivs. Verktyget maskerar också sådant som namn, lösenord och kortnummer. Du kan dessutom sätta egna maskningsregler för specifika element, till exempel chattfält eller ytor med användargenererat innehåll.
Hotjar erbjuder på motsvarande sätt möjlighet att undertrycka text och dölja enskilda element med data-attribut, så att känsliga fält aldrig spelas in. En rimlig utgångspunkt är att maska allt som standard och bara visa det du medvetet bedömt som ofarligt. Ta också reda på hur verktyget hanterar besökarens IP-adress. Clarity använder den till exempel för att avgöra vilket land besökaren befinner sig i.
Lagringstiden i Clarity går inte att ändra
Uppgiftsminimering gäller även över tid, men i Clarity bestämmer du inte själv hur länge data sparas. Inspelningar sparas i 30 dagar, medan favoritmarkerade inspelningar och ett slumpvis urval sparas i upp till 9 månader. Heatmaps går att se i upp till 9 månader. Lagringstiderna behöver stå i din integritetspolicy, och de hör till det du väger in när du väljer verktyg.
Var lagras data, och vad gäller vid överföring till USA?
Var data hamnar geografiskt är en av de känsligaste punkterna. Efter Schrems II-domen 2020 skärptes kraven på överföringar av personuppgifter till tredjeland, framför allt USA.
Hotjar uppger att personuppgifter i de flesta fall lagras inom EU och att företaget använder standardavtalsklausuler för de fall data delas utanför EU. Microsoft anger bara att data från Clarity lagras i molntjänsten Azure, inte i vilket land. Kunder i EU tecknar avtal med Microsoft Ireland Operations Limited. Det bolaget har i sin tur standardavtalsklausuler med moderbolaget Microsoft Corporation i USA för överföringar mellan bolagen, så uppgifterna kan föras över till USA. Sedan juli 2023 finns också EU-US Data Privacy Framework (DPF), som EU-kommissionen antog som grund för överföringar till certifierade amerikanska bolag.
Här är det värt att vara nyanserad. DPF ger i dag en laglig grund för överföring till DPF-certifierade amerikanska bolag, och ramverket klarade sin första rättsliga prövning i EU:s tribunal under 2025. Samtidigt påpekar flera jurister att dess långsiktiga hållbarhet är osäker, och en framtida ogiltigförklaring kan inte uteslutas. Väljer du ett verktyg som lagrar i USA bör du alltså följa rättsläget och ha en plan om förutsättningarna ändras. Samma fråga skiljer verktygen även utanför de två stora: Crazy Egg uppger själv att all insamlad data lagras i USA, medan Mouseflow anger att EU-kunders data stannar inom EU, något vi går igenom i genomgången av vad de två leverantörerna lovar om datalagring.
Personuppgiftsbiträdesavtal (DPA)
Oavsett verktyg är du som webbplatsägare normalt personuppgiftsansvarig, medan Hotjar respektive Microsoft agerar personuppgiftsbiträde. Det innebär att du behöver ett personuppgiftsbiträdesavtal (DPA) på plats som reglerar vad biträdet får göra med uppgifterna. Båda leverantörerna tillhandahåller ett sådant avtal. Ansvaret för att samla in samtycke, hantera återkallelser och tillgodose registrerades rättigheter ligger hos dig.
Sanktioner och besökarnas rättigheter
Att ta dataskyddet på allvar är inte bara en formsak. Vid allvarliga överträdelser av GDPR kan tillsynsmyndigheten besluta om sanktionsavgifter på upp till 20 miljoner euro, eller fyra procent av koncernens globala årsomsättning om den summan är högre. Utöver avgiften finns risken för dålig publicitet och tappat förtroende hos besökarna.
Kom också ihåg att besökaren har rättigheter som du måste kunna tillgodose. Det gäller bland annat rätten att få veta vilka uppgifter du samlar in, rätten att få dem raderade och rätten att invända mot behandlingen. I praktiken innebär det att du behöver kunna hitta och ta bort en enskild persons inspelning på begäran. Hotjar har till exempel en funktion för att slå upp och radera en besökares data. I Clarity går det inte: enligt Microsoft kan enskilda inspelningar inte raderas, utan data försvinner bara om hela projektet raderas. Kontrollera hur radering fungerar i det verktyg du väljer innan du installerar det.
GDPR-vänligare alternativ
Om du vill minska den juridiska ytan finns integritetsvänligare vägar. Matomo är ett öppen källkods-verktyg som kan driftas på egen server, vilket ger dig full kontroll över var data lagras. Kört i så kallat cookieless-läge med tvåbyte-IP-anonymisering kan Matomo enligt leverantören i vissa fall användas utan samtyckesbanner. Den franska tillsynsmyndigheten CNIL har publicerat en konfigurationsguide som under vissa förutsättningar undantar Matomo från kravet på cookie-samtycke. Notera att detta gäller specifika konfigurationer och att din egen bedömning kan landa annorlunda. Matomo erbjuder även heatmaps och sessionsinspelningar som tillval.
Checklista: så kör du heatmaps mer integritetsvänligt
- Ladda inte Hotjar eller Clarity förrän besökaren aktivt samtyckt via din samtyckesplattform.
- Koppla verktygets samtyckesfunktion, till exempel Clarity Consent API, till din cookie-lösning.
- Maska alla textfält som standard och dölj känsliga element i inspelningar.
- Ta reda på hur verktyget hanterar besökarens IP-adress.
- Ange verktygets lagringstider i integritetspolicyn. I Clarity är de fasta och går inte att korta.
- Teckna personuppgiftsbiträdesavtal (DPA) med leverantören.
- Kartlägg var data lagras och, vid överföring till USA, kontrollera att grunden håller och följ rättsläget kring DPF.
- Respektera opt-out och signaler som Global Privacy Control.
- Beskriv verktyget tydligt i din integritetspolicy.
- Överväg ett självhostat alternativ som Matomo om du vill minska tredjelandsrisken.
- Ha en rutin för att hitta och radera en enskild besökares data på begäran.
- Låt jurist eller dataskyddsombud granska din uppställning innan du driftsätter.
Med samtycke och maskning kan både Hotjar och Clarity användas med hänsyn till besökarnas integritet. Clarity har dock en begränsning som ingen inställning ändrar: en begäran om att radera en enskild besökares data går bara att tillgodose genom att radera hela projektet. Låt jurist eller dataskyddsombud bedöma om det fungerar för din sajt innan du väljer Clarity. Gör aktiva val om samtycke och maskning i stället för att lita på standardinställningarna, och ta reda på hur länge verktyget sparar data innan du väljer det. Vill du jämföra verktygen närmare kan du läsa vår genomgång av Hotjar mot Microsoft Clarity.
Senast faktagranskad: 1 oktober 2026