Har du brug for en skabelon til en privatlivspolitik til din hjemmeside? Her er den — bygget efter oplysningskravene i artikel 13 og 14 i GDPR og klar til at tilpasse. En privatlivspolitik er den tekst, hvor du opfylder din pligt til at informere de registrerede om, hvordan du behandler deres personoplysninger: hvem du er, hvilke oplysninger du indsamler, til hvilke formål, på hvilket grundlag, hvem du deler dem med, hvor længe du opbevarer dem, og hvilke rettigheder de har. Den skal være let tilgængelig, skrevet i et klart og enkelt sprog og opdateret, så den afspejler din faktiske behandling.
Bemærk, at privatlivspolitikken opfylder oplysningspligten (art. 13-14). Den er ikke det samme som en samtykkeløsning til cookies eller en databehandleraftale — de dækker andre krav.
Skabelon til privatlivspolitik
PRIVATLIVSPOLITIK Senest opdateret: [dato]
1. Dataansvarlig. [Virksomhed], CVR [nr.], [adresse], [e-mail], er dataansvarlig for behandlingen af dine personoplysninger. [Hvis relevant: Vores databeskyttelsesrådgiver kan kontaktes på [e-mail].]
2. Hvilke oplysninger vi behandler. Vi behandler blandt andet: kontaktoplysninger (navn, e-mail, telefon), [oplysninger du afgiver ved køb/oprettelse], og tekniske oplysninger (IP-adresse, browserdata) ved brug af hjemmesiden.
3. Formål og retsgrundlag. Vi behandler dine oplysninger til følgende formål:
- Levering af vores ydelser/produkter — grundlag: kontrakt (art. 6.1.b).
- Besvarelse af henvendelser — grundlag: legitim interesse (art. 6.1.f).
- Udsendelse af nyhedsbrev — grundlag: samtykke (art. 6.1.a).
- Overholdelse af lovkrav (fx bogføring) — grundlag: retlig forpligtelse (art. 6.1.c).
4. Modtagere og databehandlere. Vi deler oplysninger med vores databehandlere (fx hosting, e-mailudbyder, betalingsudbyder), som kun behandler oplysningerne efter vores instruks. [Hvis relevant: og med offentlige myndigheder, hvor loven kræver det.]
5. Overførsel til tredjelande. [Vi overfører ikke oplysninger uden for EU/EØS / Hvor vi overfører til tredjelande, sker det på grundlag af EU-Kommissionens standardkontraktbestemmelser (art. 46).]
6. Opbevaring. Vi opbevarer dine oplysninger, så længe det er nødvendigt til formålet: [kundedata i X år efter sidste køb; regnskabsmateriale i 5 år; nyhedsbrevsdata indtil du framelder dig].
7. Dine rettigheder. Du har ret til indsigt, berigtigelse, sletning, begrænsning, indsigelse og dataportabilitet, og til at trække et samtykke tilbage. Kontakt os på [e-mail] for at udøve dine rettigheder.
8. Klage. Du kan klage til Datatilsynet, Carl Jacobsens Vej 35, 2500 Valby, dt@datatilsynet.dk, hvis du er utilfreds med vores behandling.
9. Cookies. [Se vores særskilte cookiepolitik / Vi bruger cookies som beskrevet nedenfor.]
Sådan tilpasser du skabelonen
Beskriv din faktiske behandling — ikke en idealversion. Privatlivspolitikken skal afspejle det, du reelt gør. Tag udgangspunkt i din fortegnelse over behandlingsaktiviteter: hver behandling med registrerede fra hjemmesiden skal genfindes i politikken med formål, grundlag og opbevaringsperiode.
Angiv et konkret retsgrundlag for hvert formål. “Vi behandler dine oplysninger for at give dig en god oplevelse” er ikke et retsgrundlag. Vælg ét grundlag pr. formål (kontrakt, retlig forpligtelse, legitim interesse eller samtykke), og angiv det.
Vær konkret om opbevaring. Erstat “så længe det er nødvendigt” med reelle frister, hvor du kan — det hænger sammen med opbevaringsbegrænsning. Angiv i det mindste kriterierne, hvis en fast frist ikke er mulig.
Nævn alle rettigheder — også indsigt, sletning og dataportabilitet — og gør det let at udøve dem via ét kontaktpunkt.
Adskil cookies fra privatlivspolitikken. Cookies kræver som hovedregel et aktivt samtykke, før ikke-nødvendige cookies sættes. Håndtér det i en cookiebanner og eventuelt en særskilt cookiepolitik; valget af værktøj til det er gennemgået i sammenligningen af samtykkeplatforme.
Typiske fejl
- Kopieret politik, der ikke passer til virksomheden. En politik hentet fra en anden hjemmeside beskriver den forkerte behandling. Den skal matche din fortegnelse.
- Manglende retsgrundlag. Uden angivelse af grundlag efter artikel 6 opfylder politikken ikke oplysningspligten.
- “Så længe det er nødvendigt” uden konkretisering. Angiv frister eller kriterier — ellers er opbevaringsafsnittet indholdstomt.
- Politikken opdateres aldrig. Ny behandling, ny databehandler eller nyt formål skal afspejles. En forældet politik dokumenterer manglende styring.
- Cookies og privatlivspolitik blandes sammen. De dækker forskellige krav og bør holdes adskilt.
Særlige situationer, der kræver ekstra afsnit
Standardskabelonen dækker de fleste hjemmesider, men visse behandlinger kræver, at du tilføjer eller uddyber afsnit:
Oplysninger indsamlet hos andre (art. 14). Får du oplysninger fra andre kilder end den registrerede selv — fx købte adresselister, offentlige registre eller partnere — skal politikken oplyse om kilden og de berørte kategorier. Det er et krav i artikel 14, som mange overser.
Profilering og automatiske afgørelser. Bruger du automatiske afgørelser med retsvirkning eller tilsvarende betydning (fx automatisk kreditvurdering), skal du oplyse om det, om logikken bag og om konsekvenserne (art. 13, stk. 2, litra f). Denne behandling kræver ofte også en konsekvensanalyse.
Børn. Retter tjenesten sig mod børn, skal sproget tilpasses, så et barn kan forstå det. Ved informationssamfundstjenester gælder desuden aldersgrænsen på 13 år i databeskyttelsesloven for samtykke.
Nyhedsbrev og markedsføring. Beskriv grundlaget (samtykke), hvordan man framelder sig, og hvor længe data opbevares. Hold markedsføringssamtykke adskilt fra andre formål.
Sociale medier og deling. Bruger du fx pixels eller deler data med annonceplatforme, skal modtagerne og formålet fremgå — og der kræves som regel samtykke via cookiebanneren.
Gør politikken tilgængelig og læsbar
En privatlivspolitik opfylder kun oplysningspligten, hvis den reelt kan findes og forstås. Gennemsigtighedskravet i artikel 12 kræver et klart og enkelt sprog. Praktiske råd:
- Placér et link i sidefoden på hver side og ved hver formular, hvor du indsamler oplysninger.
- Undgå lange, juridiske blokke — brug overskrifter, korte afsnit og eventuelt et kort resumé øverst.
- Angiv en “senest opdateret”-dato, så både brugere og Datatilsynet kan se, at politikken vedligeholdes.
- Sørg for, at politikken stemmer overens med din fortegnelse og dine faktiske databehandleraftaler — uoverensstemmelse er et klassisk fund ved et tilsyn.
Fra skabelon til publiceret politik
En privatlivspolitik skaber først værdi, når den er korrekt, publiceret og vedligeholdt. En praktisk implementering:
- Byg politikken på din faktiske behandling. Gennemgå din fortegnelse over behandlingsaktiviteter og oversæt hver relevant behandling til et afsnit med formål, grundlag og opbevaring.
- Publicér den tilgængeligt. Læg et link i sidefoden og ved hver formular. Oplysningspligten i artikel 13-14 i databeskyttelsesforordningen forudsætter, at oplysningerne gives på tidspunktet for indsamlingen.
- Hold cookies adskilt. Cookiebanneret og en eventuel cookiepolitik håndterer samtykke til trackere — det er et andet krav end oplysningspligten.
- Vedligehold politikken. Sæt en fast rytme for gennemgang, og opdatér ved hver ny behandling, databehandler eller formål. Angiv en “senest opdateret”-dato.
Ved tvivl om, hvilke oplysninger der skal gives, henviser Datatilsynet til de fælleseuropæiske retningslinjer om gennemsigtighed. En politik, der matcher din fortegnelse og dine databehandleraftaler, er samtidig din bedste dokumentation ved et tilsyn.
Ofte stillede spørgsmål
Er en privatlivspolitik lovpligtig?
Ja, i praksis. Oplysningspligten i artikel 13-14 kræver, at du informerer de registrerede om behandlingen. På en hjemmeside opfyldes den typisk med en privatlivspolitik. Uden den overholder du ikke gennemsigtighedskravet i artikel 5, stk. 1, litra a.
Er privatlivspolitik og cookiepolitik det samme?
Nej. Privatlivspolitikken opfylder oplysningspligten efter artikel 13-14 om behandling af personoplysninger. Cookiepolitikken og cookiebanneren håndterer samtykke til cookies og trackere. De dækker forskellige krav og bør holdes adskilt, selv om de kan linke til hinanden.
Hvor ofte skal jeg opdatere privatlivspolitikken?
Hver gang din behandling ændrer sig væsentligt — ny type oplysninger, nyt formål, ny databehandler eller ændret opbevaring. Angiv en “senest opdateret”-dato, og gennemgå politikken mindst årligt sammen med din fortegnelse.
Konklusion
En brugbar privatlivspolitik opfylder oplysningskravene i artikel 13-14: hvem du er, hvad du behandler, til hvilke formål, på hvilket grundlag, hvem du deler med, hvor længe du opbevarer, og hvilke rettigheder de registrerede har. Byg den på din fortegnelse, angiv konkrete retsgrundlag og opbevaringsfrister, og hold cookies adskilt. Opdatér politikken, hver gang din behandling ændrer sig — en forældet politik er lige så problematisk som ingen politik.