GDPR og personvernerklæring: slik lager du en erklæring som holder

Hva personvernerklæringen skal gjøre

Personopplysningsloven består av norske regler og EUs personvernforordning, GDPR. Forordningen gjelder alle som behandler opplysninger om kunder, ansatte eller leverandører, også små bedrifter. Den behandlingsansvarlige er den som bestemmer hvorfor og hvordan opplysningene brukes, og det er den som skal informere.

Hva du skal opplyse om, følger av personvernforordningen artikkel 13. Ved innsamling skal du gi identiteten og kontaktopplysningene til den behandlingsansvarlige, kontaktopplysninger til personvernombud der det er relevant, og formålene med behandlingen med det rettslige grunnlaget. I tillegg kommer opplysninger om hvem som mottar dataene, hvor lenge de lagres, og hvilke rettigheter den registrerte har.

Dette er ett av flere krav til nettsiden din. Regler for nettsider og netthandel: komplett guide for bedrifter samler reglene om personvern, vilkår og informasjonskrav i én oversikt.

Kartlegg behandlingen før du skriver

De svakeste erklæringene er skrevet før bedriften har oversikt. Start med en liste over gruppene du behandler: kunder, leverandører, ansatte, nyhetsbrevabonnenter, jobbsøkere. For hver gruppe noterer du hvilke opplysninger du har, hvor de ligger, hvorfor du har dem og hvor lenge du beholder dem.

Gå gjennom systemene du faktisk bruker, ikke bare dem du tror du bruker. Kontaktskjema, booking, nettbutikk, faktura, regnskap, kassesystem, e-post og CRM. GDPR og CRM: slik behandler du kundedata trygt viser hva du bør ha kontroll på når kundedata samles i et system.

Noter også hvem som er databehandlere: webhotell, nyhetsbrevverktøy, regnskapsbyrå, fraktselskap. De behandler opplysninger på dine vegne, og forholdet skal reguleres i en databehandleravtale. Hvem internt som har tilgang, hører med i samme gjennomgang, og Adgangskontroll og GDPR: slik beskytter du personopplysninger går gjennom hvordan du begrenser den.

Punktene erklæringen bør inneholde

Åpne med hvem som er behandlingsansvarlig: firmanavn, kontaktadresse og e-post. Har du personvernombud, skal kontaktopplysningene med. Deretter deler du inn etter hva folk gjør på nettsiden, ikke etter hvilke systemer du bruker internt.

For hver behandling skriver du formål, hvilke opplysninger det gjelder, rettslig grunnlag og lagringstid. Et eksempel: når noen bestiller en håndverkertjeneste, trenger du navn, adresse og telefon for å utføre jobben, og grunnlaget er avtalen med kunden. Når noen melder seg på nyhetsbrevet, er grunnlaget samtykke, og du må forklare hvordan de melder seg av.

Ta med hvem som kan motta opplysningene, om noe overføres ut av EØS og hva som er grunnlaget for det, og hvilke rettigheter den registrerte har: innsyn, retting, sletting, begrensning, dataportabilitet og retten til å klage til Datatilsynet. Avslutt med hvordan man kontakter deg.

Personvernerklæring og samtykke er ikke det samme

Erklæringen informerer. Samtykke er et eget rettslig grunnlag, og det må være frivillig, spesifikt, informert og utvetydig. Forhåndsavkryssede bokser er ikke godkjent, og du kan ikke gjøre en tjeneste betinget av samtykke til noe som ikke er nødvendig for tjenesten.

Samtykke skal kunne trekkes tilbake like enkelt som det ble gitt. Avmelding skal være ett klikk, ikke en e-post til kundeservice. GDPR og samtykke: slik lager du en samtykkeerklæring viser hvordan du holder de to dokumentene fra hverandre.

Har du konkurranse på nettsiden eller i sosiale medier, kommer markedsføringsloven i tillegg. Vilkårene må henge sammen med det du skriver om behandling. Markedsføringsloven og konkurranser: slik lager du en lovlig konkurranse går gjennom kravene.

GDPR disclaimer: hva den ikke løser

Mange maler for personvernerklæring har en setning om at innholdet ikke er juridisk rådgivning. Det er greit å ha med, men en slik disclaimer beskytter deg ikke mot kravet om å informere riktig. Den sier noe om malens opphav, ikke om din behandling.

Det samme gjelder maler som er kopiert fra en annen bransje, eller som er maskinoversatt fra engelsk med begreper som ikke finnes i norsk praksis. En erklæring som lover mer enn du gjør, eller som utelater tjenester du faktisk bruker, er dårligere enn en kort og presis en.

Bruk malen som sjekkliste, ikke som ferdig svar. Fjern alt som ikke gjelder deg, legg til det som mangler, og skriv på norsk med setninger kunden forstår.

Slik holder du erklæringen oppdatert

Erklæringen er et levende dokument. Nye verktøy, nye formål, et nytt nyhetsbrev eller en kampanje kan gjøre beskrivelsen feil. Sett av en fast anledning i året til å holde listen fra kartleggingen opp mot det som står på nettsiden.

Ha dato på erklæringen og en kort endringslogg, og varsle dem det gjelder ved større endringer. Plasser lenken der folk faktisk er: i bunnteksten på alle sider, i skjemaet før innsending og i kassen i nettbutikken.

Erklæringen er også innhold som må bygges inn i strukturen på nettstedet. Nettsagas tjeneste for nettsider lager nettsider der personvernerklæring, vilkår og skjemaer henger sammen med resten. Vil du se hvordan det ser ut, kan du book en demo.

Vanlige spørsmål

Må jeg ha personvernerklæring selv om nettsiden bare har et kontaktskjema?

Ja. Så snart skjemaet samler inn navn, e-post eller telefonnummer, behandler du personopplysninger, og informasjonsplikten gjelder. Ofte holder en kort erklæring som dekker skjemaet, kundeforholdet og verktøyene du bruker.

Kan jeg bruke en mal for personvernerklæring?

Ja, en mal er et greit utgangspunkt, men den må tilpasses. Fjern alt som ikke gjelder din drift, legg til tjenestene og verktøyene du faktisk bruker, og kontroller at lagringstidene stemmer med det du gjør.

Hva er forskjellen på personvernerklæring og cookieerklæring?

Personvernerklæringen forklarer all behandling av personopplysninger. Cookieerklæringen handler om informasjonskapsler: hvilke som settes, hva de brukes til og hvor lenge de varer. Mange har begge, og de må ikke si ulike ting.

Hvor skal personvernerklæringen ligge?

Lett tilgjengelig fra alle sider, typisk i bunnteksten, og lenket fra skjemaer og fra kassen i nettbutikken. Den skal ikke gjemmes bak innlogging eller ligge som en PDF folk må laste ned.

Er en GDPR disclaimer nok for å oppfylle kravene?

Nei. En disclaimer er en ansvarsfraskrivelse, ikke oppfyllelse av informasjonsplikten. Det er innholdet i erklæringen som må være riktig, dekkende og forståelig for dem den gjelder.