En integritetspolicy ska hjälpa en person att förstå vad ni gör med hens uppgifter och hur hen kan använda sina rättigheter. Texten behöver bygga på er faktiska behandling. En mall kan ge struktur, men den kan inte avgöra vilka leverantörer ni använder, hur länge uppgifter behövs eller vilken rättslig grund som gäller. Därför innehåller denna guide både en anpassningsbar mall och ett arbetssätt för att fylla den med verifierbara uppgifter.
Med integritetspolicy menas här den externa information som lämnas till registrerade enligt artiklarna 12–14 i GDPR. En intern instruktion till personalen fyller ett annat syfte. En allmän sida i webbplatsens sidfot kan vara en del av informationen, men den räcker inte automatiskt för varje formulär, rekrytering eller inköp av kontaktuppgifter. Börja med att bestämma vem texten ska hjälpa och vid vilken kontakt personen behöver den.
Samla underlaget innan ni skriver
Utgå från verksamhetens behandlingar, inte från en konkurrents webbplats. Ta reda på vilka uppgifter som samlas in i kundkontot, vad betalningsleverantören får, hur supporten arbetar och om marknadsföringen använder en separat lista. Följ ett verkligt arbetsflöde med testuppgifter och jämför resultatet med beskrivningarna från ansvariga medarbetare. Skillnader mellan formulär, avtal och faktiskt arbetssätt måste lösas innan texten kan bli tillförlitlig.
En registerförteckning kan ge mycket av underlaget, men är inte samma dokument som integritetspolicyn. Artikel 30 räknar exempelvis inte uttryckligen upp rättslig grund som ett obligatoriskt registerfält, medan artiklarna 13 och 14 kräver information om grunden. Komplettera därför underlaget där det behövs. Publicera inte heller interna säkerhetsdetaljer eller personuppgifter om andra människor bara för att de finns i verksamhetens dokumentation.
Dela hellre upp informationen efter sammanhang än att skapa ett långt dokument för alla. Kunder, arbetssökande och anställda behöver delvis olika svar. För personalen kan en separat integritetsinformation för anställda göra innehållet mer användbart. Kopplingen mellan dokumenten ska vara tydlig, så att personen förstår vilken text som gäller för den aktuella behandlingen och vart hen kan vända sig med frågor.
Artikel 13 och 14: olika källor, olika tidpunkter
När uppgifter samlas in från personen ska informationen enligt artikel 13 lämnas när uppgifterna erhålls. Lägg därför relevant information vid registreringsformuläret eller i den kanal där insamlingen sker. En länk som bara skickas efter att kunden har fyllt i känsliga uppgifter löser inte den ursprungliga tidpunkten. Vid telefonkontakt kan ni behöva kombinera en begriplig inledande förklaring med tillgång till fullständig information i en lämplig form.
Om uppgifterna kommer från någon annan gäller i stället artikel 14 och indirekt insamling. Informationen ska lämnas inom en rimlig period, senast en månad efter att uppgifterna erhölls, med hänsyn till omständigheterna. Ska uppgifterna användas för kommunikation måste informationen lämnas senast vid den första kontakten. Ska de lämnas till en annan mottagare gäller senast vid det första utlämnandet. Den tidigaste tillämpliga gränsen styr; en månad är alltså inte alltid tillgänglig.
Vid indirekt insamling ska även uppgiftskategorier och källan framgå, inklusive om källan är allmänt tillgänglig. Att en adress finns offentligt betyder inte att informationsplikten försvinner. Artikel 14 har avgränsade undantag, bland annat när personen redan har informationen och i vissa särskilt reglerade situationer. Ett påstående om orimlig ansträngning kräver bedömning och skyddsåtgärder; det är ingen generell möjlighet att slippa informera en inköpt kontaktlista.
Artikel 13 innehåller också ett undantag i den utsträckning personen redan har informationen. Dokumentera då vilken information personen faktiskt fått. Att en gammal policy varit publicerad är inte samma sak som att varje ny kund redan känner till innehållet. För detaljerna är GDPR:s svenska fulltext hos IMY den rättsliga utgångspunkten; mallen nedan måste anpassas till ert fall.
Beskriv ansvar, ändamål och rättslig grund tillsammans
Ange vem som är personuppgiftsansvarig och hur personen kan kontakta er. Ett varumärke räcker inte om läsaren inte kan förstå vilken juridisk person som ansvarar. Organisationsnummer kan hjälpa till med identifieringen, men är inte ett särskilt uttryckligt minimifält i artikel 13. Lägg till kontaktuppgifter till företrädare och dataskyddsombud när sådana är tillämpliga. En allmän supportadress får inte ersätta den relevanta kontaktvägen utan förklaring.
Beskriv varje ändamål så att personen förstår vad behandlingen åstadkommer. Att leverera en beställning, hantera ett reklamationsärende och skicka reklam är olika uppgifter. Skriv vilken rättslig grund enligt artikel 6 som stöder respektive behandling. En uppräkning av samtycke, avtal och berättigat intresse längst ned i texten gör inte kopplingen tydlig. När ni använder intresseavvägning ska det aktuella berättigade intresset anges.
Avtalsgrunden gäller bara behandling som är nödvändig för ett avtal med personen eller för åtgärder på personens begäran före avtal. En anställd hos en företagskund är exempelvis inte automatiskt part i företagets avtal. Inte heller blir frivillig profilering nödvändig bara för att den nämns i villkoren. Om ni använder samtycke ska texten förklara hur det återkallas, utan att ge intryck av att läsning av policyn i sig är ett samtycke.
Visa vilka uppgifter personen måste lämna
Vid direkt insamling kräver artikel 13 också information om uppgifterna måste lämnas enligt lag eller avtal, eller behövs för att ett avtal ska kunna ingås. Personen ska få veta om hen är skyldig att lämna dem och vilka följder ett uteblivet svar kan få. Skilj därför ett obligatoriskt leveransfält från en frivillig intressemarkering. Ett stjärntecken i formuläret beskriver bara den tekniska spärren och förklarar inte varför spärren finns.
Tänk exempelvis på ett företag som tar emot bokningar. För en viss bokning kan kontaktuppgifter behövas för att bekräfta tiden, medan information om framtida erbjudanden är ett separat val. Policyn bör följa den uppdelningen. Om bokningen går att genomföra utan reklamvalet ska varken texten eller formuläret antyda något annat. Om en särskild lag kräver ytterligare uppgifter behöver ni beskriva den verkliga skyldigheten, inte hänvisa allmänt till att “GDPR kräver uppgifterna”.
En sådan genomgång kan också avslöja att ni frågar efter mer än ni behöver. Låt då inte policyn bli ett försök att försvara det befintliga formuläret till varje pris. Ta frågan tillbaka till processägaren och ändra insamlingen när det behövs. Informationen blir mer begriplig när själva tjänsten har tydliga val och avgränsade ändamål. Samtidigt minskar risken att olika medarbetare ger motstridiga förklaringar till samma person.
Förklara lagring, mottagare och överföringar konkret
Ange lagringstiden eller, när en bestämd tid inte kan anges, de kriterier som används för att bestämma den. Skilj mellan olika material. Ett räkenskapsunderlag, ett övergivet kundkonto och en supportanteckning behöver inte ha samma lagringstid. Formuleringen att alla orderuppgifter alltid sparas ett visst antal år blir missvisande om bara vissa uppgifter omfattas av den relevanta skyldigheten. Koppla policyn till er faktiska gallring och lagringsminimering.
Beskriv mottagare eller tillräckligt begripliga mottagarkategorier. Läsaren ska kunna förstå vilken typ av aktör som får uppgifterna och varför. Internt behöver ni dessutom bedöma aktörernas roller. Ett personuppgiftsbiträdesavtal, eller annan bindande unionsrättslig eller nationell rättsakt enligt artikel 28, reglerar biträdets behandling skriftligen, även elektroniskt. Det gör inte leverantören automatiskt till biträde för varje egen användning av uppgifterna.
Vid tredjelandsöverföring ska informationen ange den avsedda överföringen och relevant grund enligt reglerna i kapitel V. Förklara om det finns ett beslut om adekvat skyddsnivå eller vilka tillämpliga skyddsåtgärder som används och hur personen kan få en kopia eller tillgång till dem. Leverantörens hemland är inte ensamt ett fullständigt svar. Kontrollera faktiska dataflöden, fjärråtkomst och underleverantörer innan ni skriver att inga överföringar sker.
Rättigheter och automatiserade beslut behöver rätt omfattning
Förklara hur personen begär tillgång, rättelse, radering eller begränsning och när invändning eller dataportabilitet kan bli aktuellt. Rättigheterna har olika villkor. Dataportabilitet förutsätter bland annat automatiserad behandling som grundas på samtycke eller avtal och gäller vissa uppgifter som personen har tillhandahållit. Radering är inte ovillkorlig. En begriplig text kan beskriva dessa skillnader utan att återge hela förordningen eller lova mer än lagen medger.
En begäran ska hanteras utan onödigt dröjsmål och information om åtgärder lämnas senast inom en månad. Vid behov kan fristen förlängas med två månader på grund av komplexitet och antal begäranden; personen ska få besked om förlängningen och skälen inom den första månaden. Om ni inte vidtar åtgärder ska skälen, möjligheten att klaga och möjligheten till rättslig prövning lämnas utan dröjsmål, senast inom en månad. En länk till rätten till registerutdrag kan ge fördjupning, men ersätter inte er egen kontaktväg.
Information om automatiserat beslutsfattande enligt artikel 22.1 och 22.4 ska bland annat omfatta meningsfull information om logiken, betydelsen och förutsedda följder. All profilering är inte ett sådant beslut. Samtidigt får ni inte gömma relevant profilering bakom ett påstående att ett system bara ger rekommendationer, om människans roll i praktiken saknar betydelse. Kartlägg hur beslutet faktiskt fattas och anpassa informationen efter det, inklusive vilka rättigheter och skydd som gäller.
Anpassningsbar mall för integritetsinformation
Mallen är en arbetsstruktur för artiklarna 13 och 14, inte en färdig beskrivning av er verksamhet. Ersätt samtliga hakparenteser och välj de alternativ som motsvarar verkligheten. Upprepa avsnittet om behandling för varje relevant ändamål. Stryk inte ett tillämpligt informationskrav för att uppgiften är svår att hitta; utred frågan först. Branschregler och särskilda behandlingar kan kräva ytterligare information.
Integritetsinformation för [målgrupp och tjänst]
Version [datum]. Informationen gäller [avgränsning].
Vem ansvarar?
[Fullständigt namn på personuppgiftsansvarig] ansvarar för den
behandling som beskrivs här. Kontakta oss på [postadress, e-post
eller annan fungerande kontaktväg].
[Om tillämpligt: Vår företrädare är ..., med kontaktuppgifter ... .]
[Om tillämpligt: Vårt dataskyddsombud nås på ... .]
Vad använder vi uppgifterna till?
För [konkret ändamål] behandlar vi [uppgiftskategorier].
Uppgifterna används för [begriplig beskrivning av behandlingen].
Rättslig grund är [tillämplig grund i artikel 6 och relevant
förklaring, exempelvis vilket avtal eller vilken rättslig skyldighet].
[Vid berättigat intresse: Det intresse vi eller tredje part
[identifiera vem] eftersträvar är ... .]
Vi sparar uppgifterna [tid eller tydliga kriterier för tiden].
[Upprepa för varje ändamål med rätt koppling mellan uppgifter,
användning, grund och lagring.]
Varifrån kommer uppgifterna?
[Vid direkt insamling: Du lämnar uppgifterna genom ... .]
[Vid indirekt insamling: Vi får kategorierna ... från ... .
Ange relevant källa och om den är allmänt tillgänglig.]
Vilka får uppgifterna?
Vi lämnar [relevanta uppgifter] till [mottagare eller tydliga
mottagarkategorier] för [sammanhang och syfte].
[Beskriv de verkliga mottagarna; undvik obegränsade reservkategorier.]
Överföring utanför EU/EES
[Välj och verifiera: Ingen sådan överföring sker i behandlingen.]
[Eller: Uppgifter överförs till ... . Beskriv om kommissionens
beslut om adekvat skyddsnivå finns eller saknas. När relevanta
skyddsåtgärder enligt artiklarna 46, 47 eller 49.1 andra stycket
används: ange dem och hur en kopia kan erhållas eller var de finns.]
Behöver du lämna uppgifterna?
[Vid direkt insamling: Ange om tillhandahållandet är ett lagkrav,
ett avtalskrav eller ett krav för att ingå avtal. Förklara om du
är skyldig att lämna uppgifterna och möjliga följder om du inte gör
det. Skilj obligatoriska uppgifter från frivilliga val.]
Dina rättigheter
Du kan begära tillgång till dina personuppgifter och rättelse av
felaktiga uppgifter. Du kan också begära radering eller begränsning
av behandlingen när villkoren för dessa rättigheter är uppfyllda.
[Beskriv tillämplig rätt att invända mot behandling enligt artikel
6.1 e eller f utifrån din särskilda situation.]
[Vid direktmarknadsföring: Du kan när som helst invända mot att
uppgifterna används för direktmarknadsföring, inklusive profilering
som hör samman med sådan marknadsföring. Då upphör den användningen.]
[Vid tillämplig dataportabilitet: Förklara rätten att få vissa
uppgifter som du tillhandahållit i ett strukturerat, allmänt använt
och maskinläsbart format och föra dem vidare; direkt överföring kan
begäras när den är tekniskt möjlig.]
[Vid samtycke: Du kan när som helst återkalla ditt samtycke genom
... . Det påverkar inte lagligheten av tidigare samtyckesbaserad
behandling.]
Kontakta [kontaktväg] för att använda dina rättigheter.
Du har rätt att lämna klagomål till en tillsynsmyndighet, till
exempel Integritetsskyddsmyndigheten, IMY: www.imy.se.
Automatiserat beslutsfattande
[Om sådana beslut enligt artikel 22.1 eller 22.4 förekommer:
beskriv beslutet, ge meningsfull information om logiken och
förklara betydelsen och de förutsedda följderna för personen.
Förklara tillämpliga rättigheter och skyddsåtgärder.]
[Om inga sådana beslut förekommer: använd endast ett verifierat
påstående om detta. Beskriv annan relevant profilering i ändamålen.]
Ändringar och frågor
Kontakta [kontaktväg] om informationen är oklar. Vid ett nytt ändamål
lämnar vi information om ändamålet och övriga relevanta uppgifter
innan den nya behandlingen börjar, när informationsplikten gäller.
Gör texten tillgänglig där den behövs
En text kan vara innehållsmässigt korrekt men praktiskt svår att hitta. Kontrollera därför den väg en person faktiskt använder: formuläret på mobil, telefonsamtalet, rekryteringsportalen eller välkomstbrevet. En kort första informationsnivå kan presentera det viktigaste och länka vidare till detaljer. Den fullständiga informationen måste fortfarande vara lätt tillgänglig; centrala eller oväntade användningar ska inte döljas flera länkar bort.
Be någon som inte deltagit i arbetet att hitta tre svar: varför uppgifterna behövs, hur länge de används och hur personen kontaktar er. Detta är en praktisk kvalitetskontroll, inte ett särskilt lagstadgat användartest. Om personen måste känna till interna systemnamn för att förstå texten behöver ni skriva om. För information riktad till barn ställer artikel 12 särskilt tydliga krav på begripligt språk, vilket också påverkar form och presentation.
Integritetspolicyn ska inte användas som en generell godkännandeknapp. Informationen lämnas därför att lagen kräver insyn; ett eventuellt samtycke gäller en särskild behandling och måste uppfylla egna villkor. Verktyg för exempelvis samtyckeshantering kan stödja val och bevisning, men ni behöver kontrollera vad som faktiskt är aktiverat. Att användaren accepterar köpvillkor innebär inte att alla användningar i policyn är tillåtna.
Lär av tillsyn utan att kopiera ett annat företags lösning
IMY:s ärende om Klarnas bristande information gällde information under våren 2020, med beslut den 28 mars 2022. Myndigheten pekade bland annat på brister i information om ändamål, rättslig grund och rättigheter. Ärendesidan redovisar att kammarrätten fastställde sanktionsavgiften till 7,5 miljoner kronor efter att förvaltningsrätten tidigare sänkt den till 6 miljoner. Det är ett specifikt ärende, inte ett normalt pris för en dålig policy.
Den användbara lärdomen är att kontrollera sambanden mellan textens delar. Om en tjänst beskrivs i ändamålsavsnittet ska motsvarande grund, lagring och rättigheter gå att förstå. En längre text är inte automatiskt tydligare. En kort men vag text är inte heller tillräcklig. Läs varje avsnitt utifrån den verkliga behandlingen och rätta motsägelser mellan huvudtext, kortinformation, formulär och vanliga frågor.
Granska ett helt informationsflöde före publicering
Välj en konkret situation och följ den från första kontakten till lagringen. Vid rekrytering kan en kandidat lämna uppgifter själv medan en referensperson tillkommer senare. Det är inte säkert att samma text och samma tidpunkt täcker båda personerna. Kontrollera vilka personer informationen avser, varifrån deras uppgifter kommer och vem som ska se till att de får rätt förklaring. En generell länk i kandidatens konto når inte automatiskt referenspersonen.
Kontrollera därefter kontaktuppgifterna praktiskt och läs texten tillsammans med den som ska svara på frågor. Om policyn lovar en viss väg för återkallande måste den vägen fungera. Om ni anger en lagringstid ska systemägaren kunna förklara hur den följs. Anteckna olösta avvikelser och ansvarig för rättelse före publicering. Detta ger ett användbart granskningsresultat utan att göra policyn till en intern projektplan för läsaren.
Underhåll policyn när behandlingen ändras
Utse någon som tar emot uppgifter om nya system, mottagare och ändamål. Koppla publicering till den ansvariges kontroll av faktaunderlaget. Vid ett nytt ändamål ska relevant information lämnas före den ytterligare behandlingen enligt artiklarna 13.3 och 14.4, när skyldigheten gäller. En uppdaterad policy gör däremot inte en annars otillåten ändring laglig; den bedömningen måste ske separat.
Spara versionsdatum och tillräckligt underlag för att förstå vilken text som lämnades i respektive sammanhang. Ett verktyg kan underlätta samordningen, men kontrollera funktioner och arbetsflöde innan ni väljer programvara för dataskyddsarbetet. Jämför även ansvar för anpassning och uppdateringar i kostnadsguiden. En automatiskt skapad text behöver fortfarande granskas mot er verksamhet.
Vanliga frågor
Måste varje liten webbplats ha en lång policy?
Längden beror på behandlingen, inte på företagets storlek. En enkel kontaktfunktion kan kräva mindre information än en tjänst med konton, profilering och flera mottagare. Alla tillämpliga uppgifter ska ändå finnas och lämnas i rätt tid. Beskriv den aktuella situationen tydligt och undvik att lägga in hypotetiska framtida behandlingar som om de redan förekom.
Kan vi skriva att uppgifter sparas så länge det behövs?
En sådan formulering är normalt för vag om den står ensam. Personen behöver förstå lagringstiden eller kriterierna som bestämmer den. Ange exempelvis vilken händelse som startar en tidsfrist och vilka uppgifter den gäller. Kontrollera sedan att gallringen fungerar i systemen; policyn bör beskriva genomförbar behandling, inte en ambition som ingen ansvarar för.
Är mallen klar när alla hakparenteser är ifyllda?
Nej. Läs igenom hela texten, kontrollera villkorliga avsnitt och jämför den med faktiska dataflöden. Bekräfta särskilt kontaktvägar, indirekta källor, mottagare och påståenden om automatiserade beslut. Kontrollera också att informationen når rätt personer. En ifylld mall är ett granskningsunderlag; den blir användbar först när verksamhetens ansvariga har bekräftat att innehåll och leveranssätt stämmer.