Personvernerklæring eller personvernpolicy: hva er forskjellen?

«Erklæring» er det etablerte norske ordet. Det signaliserer noe du sier åpent til noen utenfor virksomheten, altså kunden, den besøkende eller den som sender inn et skjema. Ordlyden passer med hvem dokumentet er skrevet for.

«Policy» er engelsk og brukes i norsk arbeidsliv om styrende dokumenter internt: hvordan vi gjør ting her hos oss. Når samme ord flyttes til nettsiden, oppstår det uklarhet om hvem dokumentet egentlig er rettet mot.

Du finner ingen egen dokumenttype i regelverket som heter «personvernpolicy» i tillegg til erklæringen. Du trenger én tekst som dekker informasjonsplikten, og den kan hete hva du vil så lenge innholdet er riktig og forståelig. Det er innholdet, ikke overskriften, som blir vurdert.

Mange virksomheter har også en intern personvernpolicy. Den handler om hvordan de ansatte skal jobbe: hvem som har tilgang til kunderegisteret, hvordan innsynsforespørsler besvares, hva som skjer ved avvik, og hvor lenge dokumenter skal ligge i arkivet. For et lite advokatkontor kan den også beskrive hvordan taushetsbelagte opplysninger holdes adskilt fra annet.

Denne teksten er ikke ment for publisering. Den inneholder ofte systemnavn, tilgangsnivåer og rutiner som ikke gir kundene noe, og som kan fortelle uvedkommende hvordan virksomheten er satt sammen. Publiserer du den interne policyen som personvernerklæring, blir resultatet både uforståelig og unødvendig avslørende.

En enkel test: les første avsnitt. Begynner det med «Ansatte skal», er det en intern retningslinje. Begynner det med «Vi behandler opplysninger om deg når du», er det en erklæring til den registrerte. Det er den siste typen som skal ligge på nettsiden.

Dette bør du sjekke at teksten svarer på:

• Hvem som er behandlingsansvarlig: firmanavn, organisasjonsnummer og kontaktpunkt for personvern.
• Hvilke opplysninger du samler inn, og hvor de kommer fra.
• Formålet med hver behandling, og hvilket grunnlag du bygger på, for eksempel avtale, samtykke eller berettiget interesse.
• Hvem som mottar opplysningene, inkludert databehandlere som webhotell, e-post, betaling, regnskap og fraktselskap som behandler navn og adresse.
• Om opplysninger overføres ut av EØS, og hva som er grunnlaget for det.
• Hvor lenge opplysningene lagres, og hvordan du bestemmer det.
• Rettighetene til den registrerte: innsyn, retting, sletting, begrensning, protest og dataportabilitet.
• At man kan klage til Datatilsynet.
• Om det er frivillig eller nødvendig å gi opplysningene, og hva som skjer hvis man lar være.

Skriv bare det som faktisk er sant for din virksomhet. Bruker du bare e-post, et skjema og et regnskapsprogram, trenger du ikke avsnitt om profilering og automatiserte avgjørelser. Samler du inn opplysninger i et skjema, må du si hva som skjer med dem etterpå, ikke bare at du «respekterer personvernet».

Listen over mottakere er den delen flest glemmer. Et vanlig lite firma har gjerne webhotell, e-postleverandør, betalingsløsning, regnskapsprogram og et annonseverktøy eller to. Hva et webhotell er, og hvorfor det er en databehandler, er forklart i hva er webhotell, og trenger du både domene og webhotell.

Rekkefølgen betyr mer enn formuleringene:

1. Kartlegg hvor opplysningene kommer inn: kontaktskjema, e-post, telefon, booking, ordre, nyhetsbrev, chat, cookies og annonseverktøy.
2. Skriv ned hva du gjør med hver opplysning: formål, hvilke opplysninger, hvem som ser dem, og hvor lenge de blir liggende.
3. Lag en liste over databehandlere du bruker, for eksempel webhotell, e-postleverandør, betalingsløsning og regnskapsprogram.
4. Skriv erklæringen i klarspråk med du-form, og hold deg til det du faktisk gjør.
5. Legg den på en egen side med fast lenke i bunnteksten, og vis til den der du ber om opplysninger.
6. Sett dato, og lag en rutine for gjennomgang hver gang du bytter verktøy eller legger til et nytt skjema.

De fleste feil i personvernerklæringer oppstår fordi teksten er skrevet før noen har kartlagt hva virksomheten faktisk gjør. Tar du de tre første stegene først, blir skrivingen en opprydding i egne rutiner, ikke et skriveprosjekt. Ferdige maler kan spare tid, men de må alltid tilpasses verktøyene og bransjen du er i.

Dette ser vi oftest:

• Mal kopiert fra en annen bransje, med verktøy du ikke bruker.
• Løfter om sletting som ikke følges i praksis.
• Manglende omtale av cookies, besøksstatistikk og annonsering.
• Erklæring som bare finnes som PDF, eller som er gjemt langt nede på siden.
• To versjoner som motsier hverandre, for eksempel en gammel og en ny.
• Engelsk nettside uten engelsk versjon av erklæringen.
• Byttet webhotell eller betalingsløsning uten å oppdatere mottakerlisten.

Den vanligste feilen er ikke en juridisk formulering, men avstand mellom tekst og virkelighet. En erklæring som beskriver et selskap med egne servere og eget personvernombud, mens virksomheten er tre personer med regnskap i et skybasert system, skaper utrygghet hos kunden. Hold teksten like enkel som driften.

For virksomheter med taushetsplikt, som advatokontorer og enkelte helsetjenester, er det ekstra viktig at erklæringen beskriver behandlingen på et nivå som ikke røper klientforhold. Beskriv kategorier av opplysninger og formål, ikke enkeltsaker.

Det er nyttig å holde disse fra hverandre:

• Personvernerklæring: informasjon om hvordan du behandler opplysninger.
• Cookie-erklæring eller samtykkedialog: hva som lagres i nettleseren, og hvilke valg den besøkende tar.
• Intern dokumentasjon, som behandlingsprotokoll og rutiner: hvordan virksomheten sørger for at reglene følges i praksis.

De henger sammen, men kan ikke erstatte hverandre. Du kan ikke samtykke bort informasjonsplikten, og du kan ikke forklare cookies bare med én setning i personvernerklæringen. Bruker du annonseverktøy eller sporer besøk på tvers av sider, må både erklæringen og samtykkedialogen være oppdatert. Mer om hvordan sporing og annonsering henger sammen med dette finner du i markedsføringsguiden for små bedrifter.

Skriv på norsk, i du-form og i korte setninger. Legg erklæringen på en egen side med fast lenke i bunnteksten på alle sider, og vis til den der du ber om opplysninger, for eksempel under skjemaet. En PDF er vanskelig å lese på mobil og vanskelig å oppdatere, så bruk vanlig nettside.

Har du engelsk nettside, bør du ha engelsk versjon. De to må si det samme, og den norske er normalt den som styrer ved tvil. Innhold, struktur og engelsk versjon er grundigere beskrevet i personvernerklæring for nettside: mal, innhold og engelsk versjon.

Sett en dato på erklæringen, og gå gjennom den når du bytter verktøy, legger til et nytt skjema eller begynner med ny annonsering. Har du flere domenenavn, bør du avklare om erklæringen skal gjelde for alle, se nettside eller webområde: hva er forskjellen?. Pliktene som gjelder utover personvern, er samlet i regler for nettsider og netthandel: personvern, samtykke og angrerett.

Bruk denne regelen og gå videre:

• Velg personvernerklæring hvis teksten er rettet mot kunder og besøkende. Det er det etablerte norske ordet, og det klinger kjent for de fleste.
• Velg personvernpolicy hvis resten av nettstedet bruker engelske dokumentnavn, eller hvis merkevaren din allerede bruker ordet.
• Bruk to dokumenter hvis du også trenger interne retningslinjer. Kall den interne for policy og den eksterne for erklæring.

Uansett navn bør første setning si hvem teksten gjelder, og hvem den er skrevet for. Det gjør dokumentet lettere å forstå for kunden, og lettere for en KI-assistent eller søkemotor å oppsummere riktig når noen spør hva virksomheten gjør med opplysningene sine.

Nettsaga lager nettsider og rydder i nettopp dette: erklæring, cookies, skjema og oppfølging av henvendelser, særlig for håndverkere og lokale tjenestebedrifter. Vil du se hvordan det ser ut for din virksomhet, kan du book en demo.