En personvernerklæring skal gjøre det mulig å forstå hvem som bruker personopplysningene, til hvilke formål og med hvilke følger. Den må beskrive virksomhetens faktiske behandling. En mal kan gi struktur, men den kan ikke avgjøre hvem som er behandlingsansvarlig, velge rettslig grunnlag eller fastsette riktige lagringstider uten at dere undersøker tjenesten. Denne veiledningen hjelper dere å fylle ut og kontrollere en erklæring for et norsk nettsted.
Informasjonsplikten følger særlig av artikkel 12–14 i personvernforordningen, som gjelder som norsk lov gjennom personopplysningsloven § 1. Malen nedenfor er et arbeidsutgangspunkt, ikke en ferdig erklæring for alle virksomheter. Bruk egne moduler når nettstedet håndterer ulike grupper, for eksempel besøkende, kunder og jobbsøkere. Informasjon om nettstedet erstatter heller ikke personverninformasjon til ansatte.
Start med behandlingen, ikke formuleringene
Før dere skriver, må dere finne ut hvilke opplysninger tjenesten faktisk mottar eller registrerer. Se på kontaktskjema, bestilling, innlogging, kundestøtte, serverlogger, analyseverktøy og innhold levert av andre. Et skjema med tre felt kan også sende IP-adresse, enhetsinformasjon og hendelser til flere leverandører. Avklar hva som skjer både før og etter at en bruker sender inn skjemaet. Informasjonen må følge hele den relevante behandlingen, ikke bare det brukeren ser på skjermen.
Bruk behandlingsprotokollen som et internt utgangspunkt, men oversett den til informasjon mottakeren kan bruke. Protokollen dokumenterer behandlingsaktiviteter; erklæringen forklarer dem for menneskene opplysningene gjelder. Den enkelte skal ikke måtte forstå interne systemnavn for å finne ut hvordan en henvendelse behandles. Samtidig bør de ansvarlige internt kunne peke fra hvert avsnitt i erklæringen til den aktuelle aktiviteten, leverandøren og lagringsregelen.
Et praktisk eksempel er en nettbutikk som tilbyr både kjøp og nyhetsbrev. Bestillingsopplysninger brukes til å levere varen, enkelte dokumenter oppbevares for bokføring, og adressen kan brukes til et separat nyhetsbrev dersom vilkårene er oppfylt. Dette er ulike formål selv om samme e-postadresse forekommer i alle prosessene. Beskriv derfor hvorfor adressen brukes i hver sammenheng. En samlet formulering om «kundeadministrasjon og forbedring» skjuler forskjeller som er viktige for rettighetene og lagringstiden.
Artikkel 13 og 14 gjelder i forskjellige situasjoner
Når dere samler opplysninger fra personen selv, skal informasjonen gis på tidspunktet for innsamlingen etter artikkel 13. Dette omfatter også relevante opplysninger som registreres ved observasjon av bruken av tjenesten. En lenke etter at skjemaet er sendt, kommer for sent dersom informasjonen ikke allerede er gitt. Plasser en forståelig henvisning der opplysningene etterspørres, og gjør den utfyllende erklæringen tilgjengelig uten at brukeren må registrere seg først.
Når opplysningene kommer fra andre kilder, gjelder artikkel 14. Da må dere blant annet opplyse hvilke kategorier dere har mottatt, hvor de kommer fra, og om kilden er offentlig tilgjengelig. Informasjonen skal gis innen rimelig tid og senest én måned. Skal dere kommunisere med personen tidligere, er første kommunikasjon yttergrensen; ved planlagt utlevering er første utlevering en tilsvarende grense. Det er dermed ingen generell rett til å vente en måned uansett hva dere gjør.
En kontaktperson som importeres fra en samarbeidspartner, har ikke nødvendigvis lest deres nettsted. Dere må velge en måte å gi informasjonen på som passer situasjonen. Det er heller ikke nok å vise til at partneren har sin egen erklæring dersom den ikke dekker deres behandling. Veiledningen om informasjonsplikt etter artikkel 14 går nærmere inn på kilder, tidspunkt og unntak. Skill mellom informasjon som allerede er gitt, og antakelsen om at personen kunne ha funnet den selv.
Angi riktig virksomhet og kontaktpunkt
Erklæringen skal identifisere den behandlingsansvarlige og gi kontaktopplysninger. Et merkenavn er ikke alltid tilstrekkelig til å vise hvilket selskap som har ansvaret. Hvis flere selskaper bruker samme nettsted, må teksten forklare hvem som bestemmer over hvilke behandlinger. Felles behandlingsansvar må vurderes når partene faktisk bestemmer formål og vesentlige midler sammen; en felles logo avgjør ikke spørsmålet. Representantens identitet og kontaktopplysninger tas med når en slik representant er relevant.
Dersom virksomheten har personvernombud, skal kontaktopplysningene oppgis. Bruk en kanal som noen følger opp, og skill mellom ombudets rolle og vanlig kundeservice der dette hjelper leseren. Virksomheten bør på forhånd bestemme hvordan en personvernforespørsel som kommer til feil avdeling, blir sendt videre. Erklæringen er lite nyttig hvis den viser til en nedlagt adresse eller krever at personen kjenner en bestemt ansatt for å nå frem.
Knytt hvert formål til et konkret behandlingsgrunnlag
Artikkel 13 og 14 krever informasjon om formål og rettslig grunnlag. Ikke la en ferdig liste med «avtale, samtykke eller berettiget interesse» stå som et ubestemt alternativ. For en behandling basert på avtale må den være nødvendig for å oppfylle avtalen med personen, eller for tiltak på personens anmodning før avtaleinngåelse. At dere har en forretningsrelasjon, gjør ikke all analyse, reklame eller deling nødvendig for avtalen.
Bruker dere artikkel 6 nr. 1 bokstav f, må dere oppgi hvilke berettigede interesser dere forfølger. Forklar for eksempel hvilket konkret sikkerhets- eller administrasjonsbehov behandlingen ivaretar. Den interne vurderingen av nødvendighet og avveining må være gjennomført før teksten publiseres. Interesseavveiningen gir grunnlaget for vurderingen; personvernerklæringen skal gjøre resultatet forståelig uten å publisere opplysninger som svekker sikkerheten.
Samtykke må kunne nektes og trekkes tilbake i tråd med reglene. En avkryssing for «jeg har lest personvernerklæringen» er ikke automatisk et gyldig samtykke til enhver behandling beskrevet der. Hold informasjonsplikten atskilt fra selve valget som eventuelt krever samtykke. Ved særlige kategorier, som helseopplysninger, må dere i tillegg vurdere artikkel 9. En generell personverntekst gir ingen selvstendig tillatelse til å samle inn slike opplysninger.
Forklar mottakere og leverandørroller
Oppgi mottakere eller tydelige kategorier av mottakere. Beskrivelsen bør vise hvilken funksjon de har, slik at leseren forstår hvem som får tilgang og hvorfor. «Betrodde partnere» gir sjelden tilstrekkelig informasjon alene. Navngi gjerne en sentral mottaker når dette gjør behandlingen klarere, og bruk presise kategorier der det er mer hensiktsmessig. Sjekk også om data sendes videre når en integrasjon er aktivert; kontraktsoversikten kan være utdatert i forhold til den tekniske løsningen.
Alle leverandører er ikke databehandlere. En leverandør som behandler opplysninger for deres regning, kan være databehandler, mens en annen mottaker bestemmer over egen behandling. Betalings-, revisjons- og rådgivningstjenester må derfor vurderes ut fra oppgaven. Der artikkel 28 gjelder, kreves skriftlig avtale eller et annet bindende rettslig dokument etter unionsretten eller nasjonal rett, også i elektronisk form. Databehandleravtalen skal stemme med tjenesten; erklæringen bør ikke love at alle mottakere bare handler på deres instruks.
Overføringer utenfor EØS må beskrives konkret
Undersøk hvor mottakere behandler opplysninger og hvem som kan få tilgang. Lagring på en server i EØS besvarer ikke alene spørsmålet om overføring dersom en separat mottaker i et tredjeland får opplysningene tilgjengelige. Samtidig bør dere ikke beskrive enhver utenlandsk eierforbindelse som en faktisk overføring uten å undersøke behandlingen. Kartleggingen må bygge på leverandørkjeden, tilgangene og den konkrete tjenesten.
Når overføringer skjer, skal informasjonen forklare om det finnes en beslutning om tilstrekkelig beskyttelsesnivå, eller hvilke relevante garantier som brukes. Ved de overføringsgrunnlagene som artikkel 13 og 14 viser til, må det også fremgå hvordan personen kan få et eksemplar av garantiene, eller hvor de er tilgjengelige. Standard personvernbestemmelser er ikke en automatisk løsning på alle overføringer. Veiledningen om tredjelandsoverføringer hjelper dere å skille grunnlag og nødvendige vurderinger før dere beskriver løsningen offentlig.
Lagringstid: oppgi perioden eller forståelige kriterier
Dere skal oppgi hvor lenge opplysningene lagres, eller kriteriene som brukes dersom perioden ikke kan fastsettes på forhånd. En fast dato er altså ikke alltid påkrevd. Kriteriene må likevel være konkrete nok til at personen kan forstå hva de betyr. «Så lenge det er nødvendig» gjentar bare prinsippet. Forklar heller hvilket forhold som avslutter lagringen, hvilke kategorier som eventuelt beholdes videre, og hvorfor de har en annen frist.
Bokføringsloven § 13 viser hvorfor det er feil å gi alle kundeopplysninger samme femårsfrist. Bestemmelsen har fem år etter regnskapsårets slutt for kategoriene i første ledd nr. 1–4, mens nr. 5–8 har tre år og seks måneder. Særregler kan gi andre krav. En faktura og en frivillig brukerprofil må derfor ikke automatisk behandles likt. Kontroller dokumenttypen og aktuell regel; en varslet lovendring med fremtidig ikrafttredelse er ikke allerede gjeldende.
Beskriv også hva som skjer når et formål avsluttes. Et nyhetsbrev kan stoppes ved tilbaketrekking, mens en begrenset opplysning om reservasjonen kan ha et annet nødvendig formål, som å unngå nye utsendelser. Det betyr ikke at hele markedsføringsprofilen kan bli liggende. Sammenhold teksten med lagringsbegrensning og sletting, inkludert systemkopier og leverandører. Ikke lov umiddelbar full sletting dersom prosessen dere faktisk har, ikke støtter dette eller loven krever avgrenset oppbevaring.
Rettighetene må beskrives med sine vilkår
Informasjonen skal gjøre det klart hvordan personen kan be om innsyn, retting, sletting, begrensning og andre relevante rettigheter. Unngå å love at alle opplysninger alltid kan slettes eller flyttes. Dataportabilitet gjelder på bestemte vilkår, blant annet om grunnlag og automatisert behandling, mens innsigelsesretten varierer med behandlingen. Den særskilte retten til å protestere mot direkte markedsføring skal fremheves tydelig. Forklar hvilke rettigheter som er relevante for de formålene dere faktisk beskriver.
Ved samtykke skal det fremgå at tilbaketrekking ikke påvirker lovligheten av tidligere behandling basert på samtykket. Gi en praktisk fremgangsmåte. Opplys også om retten til å klage til Datatilsynet; dette må ikke fremstilles som betinget av at virksomheten først har godkjent klagen. Innsynsveiledningen kan støtte den interne behandlingen, men en lenke til en veiledning erstatter ikke deres eget kontaktpunkt og rutine.
Artikkel 12 krever svar om tiltak uten ugrunnet opphold og senest én måned etter mottak av en rettighetsanmodning. Fristen kan på vilkår forlenges med ytterligere to måneder på grunn av kompleksitet eller antall anmodninger; personen skal få beskjed og begrunnelse innen den første måneden. Hvis dere ikke etterkommer anmodningen, skal dere uten opphold og senest innen én måned forklare hvorfor, og opplyse om klage og rettslig prøving. En generell tekst om «svar når vi har kapasitet» dekker ikke dette.
Informasjonskapsler og automatiserte avgjørelser
Ekomloven § 3-15 regulerer lagring av og tilgang til opplysninger på brukerens utstyr. Hovedregelen krever informasjon og samtykke som oppfyller personvernforordningens vilkår. Unntak gjelder teknisk lagring eller tilgang utelukkende for overføring av kommunikasjon, eller det som er strengt nødvendig for en informasjonssamfunnstjeneste brukeren uttrykkelig har bedt om. Det er ikke tilstrekkelig at virksomheten selv synes et analyseverktøy er nyttig eller nødvendig for markedsføringen.
Cookieinformasjonen og valgene på nettstedet må beskrive samme virkelighet. Gjennomgå tjenesten før valg, etter avslag og etter tilbaketrekking. Kontrollen av informasjonskapsler og ekomloven gir en egen arbeidsflyt for dette. Dersom dere bruker et verktøy, vurder om det kan dokumentere og gjennomføre de faktiske valgene; sammenligningen av samtykkeplattformer er relevant for denne kravstillingen. En personvernerklæring er verken selve samtykket eller en erstatning for fungerende innstillinger.
Dersom dere har automatiserte individuelle avgjørelser som omfattes av artikkel 22 nr. 1 og 4, må informasjonen omfatte forekomsten, relevant informasjon om logikken, betydningen og forventede konsekvenser. Ikke nøye dere med å skrive «vi bruker algoritmer». Forklar hva avgjørelsen gjelder for personen. Omvendt bør en virksomhet uten slike avgjørelser ikke kopiere en omfattende standardtekst som antyder at de forekommer. Kartleggingen må avgjøre hvilken modul som faktisk trengs.
Arbeidsmal for personvernerklæring
Bruk strukturen under etter at dere har avklart behandlingene. Feltene er instrukser til den som skriver, og må erstattes med konkrete opplysninger før publisering. Formålsmodulen gjentas ved behov; den hindrer at flere ulike behandlinger skjules i én samlepost. Utelat irrelevante alternativer, og kontroller at nødvendige opplysninger ikke forsvinner når teksten forkortes.
PERSONVERNERKLÆRING FOR [TJENESTE]
Oppdatert [dato]. Gjelder [hvem og hvilke aktiviteter].
Ansvarlig: [juridisk navn, identitet og kontaktopplysninger].
Representant, dersom relevant: [identitet og kontakt].
Personvernombud, dersom relevant: [kontaktopplysninger].
For hver behandling:
- Formål: [hva opplysningene faktisk brukes til].
- Opplysninger: [relevante kategorier].
- Kilde: [fra personen eller konkret annen kilde; offentlig kilde?].
- Rettslig grunnlag: [valgt grunnlag og nødvendig forklaring].
- Berettiget interesse, dersom relevant: [konkret interesse].
- Ved direkte innsamling: [lov-/avtalekrav eller nødvendig for avtale;
plikt eller frivillig valg; konsekvens av å ikke oppgi opplysningene].
- Mottakere: [navn eller tydelige kategorier og deres funksjon].
- Overføring utenfor EØS: [aktuell overføring, tilstrekkelighetsbeslutning
eller relevante garantier og hvordan kopi kan fås/finnes].
- Lagring: [periode eller forståelige kriterier, start og eventuelle unntak].
Dine rettigheter: [relevante rettigheter og vilkår; konkret kontaktmåte].
Samtykke: [hvis brukt, hvordan det trekkes tilbake, og at tidligere
samtykkebasert behandling ikke blir ulovlig av tilbaketrekkingen].
Klage: [retten til å klage til Datatilsynet og tilgjengelig kontaktlenke].
Automatiserte avgjørelser etter artikkel22(1)/(4), dersom relevant:
[forekomst, relevant informasjon om logikk, betydning og konsekvenser].
Informasjonskapsler: [faktisk bruk, informasjon og tilgang til valg].
Endringer: [hvordan relevant oppdatert informasjon gis til berørte].
Kontroller teksten der brukeren møter den
Les erklæringen sammen med de faktiske skjermbildene og prosessene. Hvis telefonnummer er merket obligatorisk, må dere kunne forklare hvorfor det trengs og hva som skjer dersom brukeren ikke oppgir det. Hvis teksten sier at kontaktopplysninger bare brukes til å svare, må en eventuell overføring til et salgssystem vurderes mot den beskrivelsen. Det er ofte i slike konkrete overganger at en pen formulering viser seg å være feil.
En lagdelt løsning kan gi en kort forklaring ved skjemaet og mer informasjon via en tydelig lenke. Den første teksten bør fremheve det som er vesentlig eller overraskende, mens den samlede erklæringen gjør detaljene tilgjengelige. Dette er en praktisk måte å oppfylle kravene på, ikke et krav om akkurat én bestemt nettsidemal. Informasjonen skal være gratis og forståelig for målgruppen. Vurder språk, mobilvisning og behovene til barn uten å anta at en lang engelsk standardtekst fungerer for alle norske brukere.
Unntak og oppdateringer krever egne vurderinger
Artikkel 13 gjør unntak i den utstrekning personen allerede har informasjonen. Artikkel 14 har flere avgrensede unntak, blant annet ved bestemte lovkrav, lovregulert taushetsplikt eller umulig eller uforholdsmessig informering under bestemmelsens vilkår. Ved den siste typen må egnede beskyttelsestiltak treffes, herunder offentlig tilgjengelig informasjon. Det er ikke et generelt unntak for mange kunder. Personopplysningsloven § 16 har også nasjonale begrensninger som må knyttes til konkrete vilkår, ikke en generell påstand om at saken er intern.
Når et nytt formål innføres, må dere både vurdere om viderebehandlingen er lovlig og gi den påkrevde informasjonen før den starter. Å endre datoen nederst på nettsiden skaper ikke nytt samtykke og gjør ikke et uforenlig formål lovlig. Datatilsynets veiledning om informasjon og åpenhet beskriver hvordan vesentlige endringer må kommuniseres. Skillet mellom en rettet skrivefeil og en ny bruk av kundedata bør være tydelig i endringsprosessen.
Utpek en ansvarlig for erklæringen og knytt oppdatering til faktiske endringer i tjenesten. En planlagt periodisk gjennomgang kan være nyttig, men erstatter ikke oppdatering når en ny mottaker, funksjon eller lagringsregel gjør informasjonen uriktig. Behold versjoner og oversikt over når de ble brukt. Da kan dere kontrollere hvilken informasjon en person fikk ved en bestemt innsamling, og rette både teksten og den underliggende prosessen når de ikke lenger stemmer overens.