Personvernerklæring for nettside: mal, innhold og engelsk versjon

Hva en personvernerklæring er, og hvorfor du trenger den

En personvernerklæring beskriver enkelt og lettlest hvilke personopplysninger virksomheten behandler og til hvilke formål. Den er svaret kunden får når hun lurer på hva du vet om henne, hvem du deler det med, og hvor lenge du beholder det. Erklæringen skal ligge åpent tilgjengelig på nettsiden, normalt lenket fra alle sider.

Kravet følger av personvernreglene, og en erklæring er bare én av flere ting du må ha på plass. Den henger sammen med hvordan du håndterer informasjonskapsler, skjemaer, nyhetsbrev og kjøp. Regler for nettsider og netthandel: komplett guide for bedrifter samler kravene som gjelder for en vanlig norsk nettside, og er et greit sted å starte. Trenger du selve GDPR-delen, ligger den i Personvern og GDPR for nettsider: hva må du gjøre?.

Bland ikke personvernerklæringen med databehandleravtalen. Erklæringen er rettet utad mot kunder og besøkende. Databehandleravtalen er avtalen mellom deg og leverandøren som behandler opplysninger på dine vegne, for eksempel IT-driftsleverandøren eller netthopleverandøren. Du trenger begge, og de skal henge sammen.

Dette bør erklæringen inneholde

Det må gå klart frem hvem som er behandlingsansvarlig, altså hvilken virksomhet som står bak nettstedet, og hvordan man kommer i kontakt med dere. Deretter beskriver du hvilke typer opplysninger som samles inn, hva de brukes til, hvilket behandlingsgrunnlag som gjelder, hvem opplysningene deles med, hvor lenge de lagres, og hvilke rettigheter den registrerte har. Rett til innsyn, retting og sletting er typiske punkter, sammen med retten til å klage til tilsynsmyndigheten.

Ta med underleverandører og verktøy du faktisk bruker, for eksempel betalingsløsning, frakt, e-postsystem, chat og analyse. Overføres opplysninger til land utenfor EØS, skal det også beskrives. Husk at vanlig e-post er ukryptert, og at sensitive opplysninger ikke bør sendes på e-post. Står det i erklæringen, bør det også stemme med hvordan dere svarer kunder i praksis.

Datatilsynets anbefaling er lagvis informasjon: en kort oppsummering av det viktigste først, med mulighet for å klikke seg videre til mer detaljer. En erklæring som gjemmer viktig informasjon, er i strid med loven. Skriv i klarspråk, med korte setninger og overskrifter som gjør det mulig å finne svaret uten å lese alt.

Slik lager du erklæringen, steg for steg

Start med kartlegging, ikke med teksten. Gå gjennom nettsiden og list opp hvert sted der en person kan legge igjen opplysninger: kontaktskjema, booking, nyhetsbrev, kundekonto, handlekurv, chat, søknadsskjema. Ta med verktøy som samler inn data i bakgrunnen, som statistikk og annonsering.

For hvert punkt noterer du formål, behandlingsgrunnlag, mottaker og lagringstid. Da ser du raskt hvilke punkter som mangler grunnlag, hvilke leverandører som trenger databehandleravtale, og hvor opplysningene blir av. Først når dette er gjort, skriver du teksten. Det er forskjellen på en erklæring som beskriver virksomheten din, og en som beskriver en generisk mal.

Skriv, og test deretter. Les erklæringen som om du var kunde, og spør om du forstår hva som skjer med opplysningene dine. Sett dato og versjon, og oppdater når du tar i bruk nye verktøy. Legg lenken i bunnteksten på alle sider, slik at den er like lett å finne fra produktsiden som fra forsiden. GDPR og personvernerklæring: slik lager du en god erklæring går grundigere gjennom formuleringene.

Maler, informasjonskapsler og feilene som går igjen

En mal er et greit utgangspunkt, men den er bare et skjelett. Den vanligste feilen er å beholde punkter som beskriver tjenester du ikke bruker, for eksempel kundeklubb eller nyhetsbrev, samtidig som du glemmer skjemaet du faktisk har. En erklæring som lover mer enn du gjør, eller utelater noe du faktisk gjør, er verre enn ingen mal i det hele tatt. Fjern alt du ikke kan stå for, og legg til det som mangler.

Informasjonskapsler håndteres ofte i en egen erklæring, fordi reglene for dem følger av ekomloven og ikke av personvernreglene alene. Det er vanlig og ryddig å ha en egen side for dette, lenket fra bunnteksten sammen med personvernerklæringen. Informasjonskapsler på nettsiden: dette sier reglene viser hva som skal inn.

Bruker du annonsering eller sporing på tvers av nettsteder, må samtykke og personvernerklæring snakke samme språk. Google Ads: retningslinjer, cookie consent og Consent Mode v2 forklarer sammenhengen. Er du usikker på om nettsiden er trygg nok til å håndtere opplysningene du ber om, gir Trygg nettside: sikkerhetstiltak for bedrifter en gjennomgang av det tekniske grunnlaget.

Engelsk versjon og netthandel

Du trenger en engelsk versjon når du har kunder eller besøkende som ikke leser norsk, eller når nettsiden din finnes på engelsk. Da skal erklæringen oversettes, ikke bare kjøres gjennom et maskinoversettelsesverktøy. Begreper som behandlingsansvarlig, behandlingsgrunnlag og registrert har egne engelske fagtermer, og en dårlig oversettelse gjør erklæringen vanskeligere å forstå enn den trenger å være.

Hold de to versjonene like i innhold, og oppdater dem samtidig. Det er også lov å si tydelig hvilken versjon som gjelder dersom de skulle komme i utakt, men det er bedre å sørge for at de ikke gjør det. Lenk mellom versjonene, slik at den engelske ikke blir en blindvei.

I en nettbutikk på Shopify eller en annen plattform finnes det ferdige maler for personvernerklæring. De dekker plattformens egen databehandling, men ikke de valgene du har gjort: hvilke apper du har installert, hvilke betalings- og fraktløsninger du bruker, og hvilke markedsføringsverktøy som er koblet på. Gå gjennom applisten, ikke bare malen. Trenger du hjelp til å få erklæring, samtykke og skjemaene til å henge sammen, kan du booke en demo.

Vanlige spørsmål

Er personvernerklæring lovpålagt?

Ja. Når virksomheten behandler personopplysninger, skal de som opplysningene gjelder, få informasjon om behandlingen. Personvernerklæringen er den praktiske måten å gi denne informasjonen på nettsiden, og den må være lett å finne.

Hva er forskjellen på personvernerklæring og cookie-erklæring?

Personvernerklæringen beskriver all behandling av personopplysninger, mens cookie-erklæringen handler om informasjonskapsler og følger av ekomloven. Mange velger en egen side for informasjonskapsler og lenker til den fra bunnteksten på alle sider.

Kan jeg bruke en personvernerklæring mal?

Ja, som utgangspunkt. Men du må fjerne punkter som ikke gjelder deg, og legge til tjenestene du faktisk bruker. En mal som beskriver en annen virksomhet enn din, er ikke verdt mye.

Må jeg ha personvernerklæringen på engelsk?

Ikke alltid. Du bør ha en engelsk versjon hvis du har engelskspråklige kunder eller en engelsk nettside, slik at de forstår hva du gjør med opplysningene deres. Innholdet skal være det samme i begge versjoner.

Hvor skal personvernerklæringen ligge?

Den bør være lenket fra bunnteksten på alle sider, og fra skjemaer der du ber om personopplysninger. Da er den like lett å finne fra kassen som fra forsiden.