Personvernerklæring Norge

Personvernerklæring Norge er en offentlig erklæring der en virksomhet som behandlingsansvarlig informerer de registrerte om hvordan personopplysningene deres samles inn, brukes, lagres og deles. Erklæringen oppfyller informasjonsplikten etter personvernforordningen (GDPR) artiklene 13 og 14, som gjelder i Norge gjennom EØS-avtalen, sammen med personopplysningsloven (2018) og ekomloven om elektronisk kommunikasjon når det gjelder informasjonskapsler. Erklæringen angir den behandlingsansvarlige, kategoriene av opplysninger, de rettslige grunnlagene etter artikkel 6, lagringstidene, de registrertes rettigheter og retten til å klage til Datatilsynet.

Informasjonsplikten er en grunnleggende plikt for den behandlingsansvarlige etter personvernforordningen (GDPR). Når personopplysninger samles inn fra den registrerte selv, gjelder artikkel 13; når opplysningene samles inn fra andre kilder, gjelder artikkel 14. Personvernerklæringen er det praktiske verktøyet for å oppfylle denne plikten på en samlet og tilgjengelig måte, og gjør det mulig for de registrerte å forstå og kontrollere hvordan opplysningene deres behandles.

Den behandlingsansvarlige er den som bestemmer formålene med og midlene for behandlingen av personopplysninger etter personvernforordningen (GDPR) artikkel 4 nr. 7. Personvernerklæringen skal identifisere den behandlingsansvarlige med navn, organisasjonsnummer og kontaktopplysninger. Dersom virksomheten har utpekt et personvernombud etter personvernforordningen (GDPR) artikkel 37, skal også ombudets kontaktopplysninger oppgis. Personvernombud er obligatorisk for offentlige myndigheter og for virksomheter som driver omfattende eller systematisk overvåking eller behandler særlige kategorier av opplysninger i stor skala.

Erklæringen skal angi kategoriene av personopplysninger som behandles og formålene med behandlingen. Vanlige kategorier er kontaktopplysninger, bestillings- og betalingsopplysninger, IP-adresse, opplysninger fra informasjonskapsler, kommunikasjonshistorikk og innloggingsopplysninger. For hvert formål skal det angis et rettslig grunnlag etter personvernforordningen (GDPR) artikkel 6, for eksempel avtale, samtykke, berettiget interesse eller rettslig forpliktelse.

Erklæringen skal angi lagringstidene for de ulike kategoriene av opplysninger. Personopplysninger skal bare lagres så lenge det er nødvendig for formålene, eller så lenge det kreves etter lov. For eksempel skal regnskapsopplysninger lagres i fem år etter bokføringsloven (2004) § 13, mens avtaledokumenter og kundekommunikasjon kan lagres i foreldelsestiden etter foreldelsesloven (1979). Etter lagringstiden skal opplysningene slettes eller anonymiseres.

De registrertes rettigheter er en sentral del av erklæringen. Den registrerte har blant annet rett til innsyn etter personvernforordningen (GDPR) artikkel 15, rett til retting etter artikkel 16, rett til sletting etter artikkel 17, rett til begrensning etter artikkel 18, rett til dataportabilitet etter artikkel 20, rett til å protestere etter artikkel 21, og rett til ikke å være gjenstand for automatiserte avgjørelser etter artikkel 22. Erklæringen skal informere om disse rettighetene og om hvordan de kan utøves.

Bruk av informasjonskapsler (cookies) reguleres av ekomloven om elektronisk kommunikasjon, som gjennomfører ePrivacy-direktivet. For andre informasjonskapsler enn de som er strengt nødvendige for tjenestens funksjon, kreves den registrertes samtykke, som normalt innhentes via et samtykkebanner ved besøk på nettstedet. Personvernerklæringen eller en egen informasjonskapselerklæring skal beskrive hvilke informasjonskapsler som brukes og til hvilke formål.

Forskjellene mot beslektede dokumenter er vesentlige. Personvernerklæringen oppfyller informasjonsplikten overfor de registrerte, mens en databehandleravtale etter personvernforordningen (GDPR) artikkel 28 regulerer forholdet mellom behandlingsansvarlig og databehandler. En GDPR innsynsbegjæring er et verktøy for den registrerte til å utøve innsynsretten etter artikkel 15. Det videre forms-legal.com biblioteket omfatter maler for flere av disse dokumentene, blant annet GDPR innsynsbegjæring.

Personvernerklæring Norge trengs av alle virksomheter og organisasjoner som behandler personopplysninger, fordi informasjonsplikten etter personvernforordningen (GDPR) artiklene 13 og 14 gjelder for nær sagt all behandling av personopplysninger. En personvernerklæring er det praktiske verktøyet for å oppfylle denne plikten.

Nettbutikker og netthandel. Alle nettbutikker som behandler kundeopplysninger, bestillinger og betalinger, må ha en personvernerklæring. Erklæringen skal beskrive hvilke opplysninger som samles inn ved kjøp, hvilke rettslige grunnlag som gjelder (typisk avtale etter personvernforordningen (GDPR) artikkel 6 nr. 1 bokstav b), hvor lenge opplysningene lagres, og hvilke databehandlere og betalingstjenester som benyttes. Erklæringen kombineres med en informasjonskapselerklæring og et samtykkebanner etter ekomloven.

Nettsteder med kontaktskjema eller nyhetsbrev. Selv enkle nettsteder som samler inn personopplysninger gjennom kontaktskjema, påmelding til nyhetsbrev eller analyseverktøy, må ha en personvernerklæring. Erklæringen skal informere besøkende om behandlingen og om deres rettigheter etter personvernforordningen (GDPR). Ved nyhetsbrev basert på samtykke etter artikkel 6 nr. 1 bokstav a skal erklæringen informere om retten til å trekke tilbake samtykket.

Arbeidsgivere og behandling av ansattes opplysninger. Alle arbeidsgivere behandler personopplysninger om ansatte, herunder personalmappe, lønn, fravær og kommunikasjon. Arbeidsgiveren bør ha en egen personvernerklæring eller personvernrutine for ansatte som beskriver behandlingen, de rettslige grunnlagene og lagringstidene etter personvernforordningen (GDPR) og personopplysningsloven (2018). Behandling av ansattes opplysninger er i tillegg regulert av egne regler om arbeidsgivers innsyn.

Foreninger, lag og frivillige organisasjoner. Foreninger og frivillige organisasjoner som behandler medlemsopplysninger, deltakerlister og kontaktinformasjon, omfattes også av personvernforordningen (GDPR) og må informere medlemmene gjennom en personvernerklæring. Erklæringen skal beskrive hvilke opplysninger som behandles, til hvilke formål, og hvor lenge de lagres. Også mindre organisasjoner har informasjonsplikt etter artiklene 13 og 14.

Virksomheter med kundekontoer og lojalitetsprogrammer. Virksomheter som tilbyr kundekontoer, lojalitetsprogrammer eller medlemskap, behandler omfattende kundeopplysninger og bør ha en grundig personvernerklæring. Erklæringen skal beskrive profilering og målrettet markedsføring der dette forekommer, og informere om retten til å protestere etter personvernforordningen (GDPR) artikkel 21. Ved automatiserte avgjørelser skal erklæringen informere om dette etter artikkel 22.

Virksomheter som overfører opplysninger til tredjeland. Virksomheter som bruker skytjenester, leverandører eller samarbeidspartnere utenfor EØS, må informere i personvernerklæringen om overføring til tredjeland og om overføringsgrunnlaget etter personvernforordningen (GDPR) artiklene 44 til 49, for eksempel EU-kommisjonens standard personvernbestemmelser. Dette er aktuelt for de fleste virksomheter som bruker internasjonale IT-tjenester.

Virksomheter som driver markedsføring og analyse. Virksomheter som driver digital markedsføring, retargeting og nettanalyse, behandler personopplysninger gjennom informasjonskapsler og sporingsteknologi. Personvernerklæringen og en informasjonskapselerklæring skal beskrive denne behandlingen, og samtykke skal innhentes etter ekomloven for andre informasjonskapsler enn de strengt nødvendige. Korrekt håndtering av samtykke er sentralt for å unngå reaksjoner fra Datatilsynet.

Offentlige virksomheter og myndigheter. Offentlige myndigheter, kommuner og etater som behandler personopplysninger om innbyggere, har informasjonsplikt etter personvernforordningen (GDPR) og skal ha en personvernerklæring. Offentlige virksomheter skal dessuten ha personvernombud etter artikkel 37. Erklæringen skal beskrive behandlingen, de rettslige grunnlagene som ofte er rettslig forpliktelse eller utøvelse av offentlig myndighet etter artikkel 6, og innbyggernes rettigheter.

En komplett Personvernerklæring Norge inneholder følgende nøkkelelementer for å oppfylle informasjonsplikten etter personvernforordningen (GDPR) artiklene 13 og 14 og personopplysningsloven (2018).

Identifikasjon av den behandlingsansvarlige. Erklæringen skal angi den behandlingsansvarliges navn, organisasjonsnummer (ni sifre) og kontaktopplysninger etter personvernforordningen (GDPR) artikkel 13 nr. 1 bokstav a. Den behandlingsansvarlige er den som bestemmer formålene med og midlene for behandlingen etter artikkel 4 nr. 7. Klare kontaktopplysninger gjør det mulig for de registrerte å henvende seg om personvernspørsmål og å utøve sine rettigheter.

Kontaktopplysninger til personvernombud. Dersom virksomheten har utpekt et personvernombud etter personvernforordningen (GDPR) artikkel 37, skal erklæringen angi ombudets kontaktopplysninger etter artikkel 13 nr. 1 bokstav b. Personvernombud er obligatorisk for offentlige myndigheter og for virksomheter som driver omfattende eller systematisk overvåking eller behandler særlige kategorier av opplysninger i stor skala. Ombudet er et kontaktpunkt for de registrerte og for Datatilsynet.

Formål og rettslig grunnlag for behandlingen. Erklæringen skal angi formålene med behandlingen og det rettslige grunnlaget for hvert formål etter personvernforordningen (GDPR) artikkel 13 nr. 1 bokstav c. De rettslige grunnlagene følger av artikkel 6: samtykke (bokstav a), avtale (bokstav b), rettslig forpliktelse (bokstav c), vitale interesser (bokstav d), offentlig myndighet (bokstav e) eller berettiget interesse (bokstav f). Ved berettiget interesse skal interesseavveiningen omtales, og ved samtykke skal retten til å trekke det tilbake fremgå.

Kategorier av personopplysninger. Erklæringen skal beskrive hvilke kategorier av personopplysninger som behandles, for eksempel kontaktopplysninger, bestillings- og betalingsopplysninger, IP-adresse, opplysninger fra informasjonskapsler, kommunikasjonshistorikk og innloggingsopplysninger. Ved behandling av særlige kategorier av personopplysninger etter personvernforordningen (GDPR) artikkel 9, som helseopplysninger, skal det særskilte grunnlaget for slik behandling angis.

Mottakere av personopplysningene. Erklæringen skal angi mottakerne eller kategoriene av mottakere av personopplysningene etter personvernforordningen (GDPR) artikkel 13 nr. 1 bokstav e. Dette omfatter databehandlere som behandler opplysninger på vegne av den behandlingsansvarlige under databehandleravtale etter artikkel 28, samt offentlige myndigheter, betalingstjenester og samarbeidspartnere. Ved overføring til tredjeland skal overføringsgrunnlaget etter artiklene 44 til 49 angis.

Lagringstider. Erklæringen skal angi hvor lenge personopplysningene lagres, eller kriteriene for å fastsette lagringstiden, etter personvernforordningen (GDPR) artikkel 13 nr. 2 bokstav a. Personopplysninger skal bare lagres så lenge det er nødvendig for formålene, eller så lenge det kreves etter lov. Regnskapsopplysninger lagres i fem år etter bokføringsloven (2004) § 13, og avtaledokumenter kan lagres i foreldelsestiden etter foreldelsesloven (1979).

De registrertes rettigheter. Erklæringen skal informere om de registrertes rettigheter etter personvernforordningen (GDPR) artikkel 13 nr. 2 bokstav b: rett til innsyn etter artikkel 15, retting etter artikkel 16, sletting etter artikkel 17, begrensning etter artikkel 18, dataportabilitet etter artikkel 20, og rett til å protestere etter artikkel 21. Erklæringen skal også informere om retten til å trekke tilbake samtykke etter artikkel 7 nr. 3 og om hvordan rettighetene utøves. Disse elementene utfyller forms-legal.com bibliotekets maler for personvern.

Informasjonskapsler og sporingsteknologi. Erklæringen, eller en egen informasjonskapselerklæring, skal beskrive bruken av informasjonskapsler (cookies) og lignende sporingsteknologi etter ekomloven om elektronisk kommunikasjon. For andre informasjonskapsler enn de strengt nødvendige kreves samtykke, som innhentes via et samtykkebanner. Erklæringen skal beskrive hvilke typer informasjonskapsler som brukes (tekniske, statistikk, markedsføring) og hvordan den registrerte kan endre innstillingene.

Sikkerhetstiltak og avviksbehandling. Erklæringen bør beskrive de tekniske og organisatoriske sikkerhetstiltakene etter personvernforordningen (GDPR) artikkel 32, for eksempel kryptering, tilgangskontroll og opplæring. Den bør også omtale rutinen ved brudd på personopplysningssikkerheten, herunder melding til Datatilsynet uten ugrunnet opphold og senest innen 72 timer etter artikkel 33, og varsling av de registrerte ved høy risiko etter artikkel 34.

Klageadgang til Datatilsynet. Erklæringen skal informere om retten til å klage til Datatilsynet etter personvernforordningen (GDPR) artikkel 13 nr. 2 bokstav d og artikkel 77. Datatilsynet er den nasjonale tilsynsmyndigheten etter personopplysningsloven (2018), og Datatilsynets vedtak kan påklages til Personvernnemnda. Erklæringen bør angi hvordan den registrerte først kan henvende seg til virksomheten, og deretter klage til Datatilsynet dersom henvendelsen ikke fører frem.

Å fylle ut en Personvernerklæring Norge korrekt krever at man følger trinnene nedenfor systematisk, slik at erklæringen oppfyller informasjonsplikten etter personvernforordningen (GDPR) artiklene 13 og 14 og personopplysningsloven (2018).

Trinn 1 — Angi den behandlingsansvarlige. Oppgi virksomhetens fulle navn, organisasjonsnummer (ni sifre) og adresse etter Foretaksregisteret, samt en e-postadresse og eventuelt telefonnummer for personvernspørsmål. Den behandlingsansvarlige er den som bestemmer formålene med og midlene for behandlingen etter personvernforordningen (GDPR) artikkel 4 nr. 7. Klare kontaktopplysninger er en forutsetning for at de registrerte kan utøve sine rettigheter.

Trinn 2 — Angi personvernombud dersom aktuelt. Dersom virksomheten har utpekt et personvernombud etter personvernforordningen (GDPR) artikkel 37, oppgi ombudets navn eller funksjon og e-postadresse. Personvernombud er obligatorisk for offentlige myndigheter og for virksomheter som driver omfattende eller systematisk overvåking eller behandler særlige kategorier av opplysninger i stor skala. Dersom virksomheten ikke har ombud, kan dette feltet stå tomt.

Trinn 3 — Beskriv nettstedet og formålet. Oppgi nettstedets domenenavn og en kort beskrivelse av nettstedets hovedformål, for eksempel netthandel, kundeservice eller markedsføring. Beskrivelsen gir de registrerte kontekst for hvilken behandling personvernerklæringen gjelder, og knytter erklæringen til den konkrete virksomheten.

Trinn 4 — Angi kategoriene av personopplysninger. Beskriv hvilke kategorier av personopplysninger virksomheten samler inn og behandler, for eksempel kontaktopplysninger (navn, adresse, e-post, telefon), bestillingsopplysninger, betalingsopplysninger, IP-adresse, opplysninger fra informasjonskapsler, kommunikasjonshistorikk og innloggingsopplysninger. Vær konkret, slik at de registrerte forstår hva som faktisk behandles om dem.

Trinn 5 — Angi rettslige grunnlag for hvert formål. Angi det rettslige grunnlaget for hver type behandling etter personvernforordningen (GDPR) artikkel 6: avtale for kundeforhold (bokstav b), samtykke for nyhetsbrev (bokstav a), berettiget interesse for markedsføring og analyse (bokstav f), og rettslig forpliktelse for bokføring og skatt (bokstav c). Ved berettiget interesse beskriv interesseavveiningen, og ved samtykke informer om retten til å trekke det tilbake.

Trinn 6 — Angi lagringstidene. Beskriv hvor lenge de ulike kategoriene av opplysninger lagres, eller kriteriene for å fastsette lagringstiden. For eksempel lagres regnskapsopplysninger i fem år etter bokføringsloven (2004) § 13, kundekontoer så lenge kontoen er aktiv og deretter en angitt periode, og markedsføringsdata til samtykket trekkes tilbake. Etter lagringstiden skal opplysningene slettes eller anonymiseres.

Trinn 7 — Beskriv mottakere og eventuell overføring til tredjeland. Beskriv hvem opplysningene deles med, for eksempel databehandlere under databehandleravtale etter personvernforordningen (GDPR) artikkel 28, betalingstjenester, offentlige myndigheter og samarbeidspartnere. Dersom opplysninger overføres til tredjeland utenfor EØS, angi overføringsgrunnlaget etter artiklene 44 til 49, for eksempel EU-kommisjonens standard personvernbestemmelser.

Trinn 8 — Informer om de registrertes rettigheter. Beskriv de registrertes rettigheter etter personvernforordningen (GDPR): innsyn etter artikkel 15, retting etter artikkel 16, sletting etter artikkel 17, begrensning etter artikkel 18, dataportabilitet etter artikkel 20, rett til å protestere etter artikkel 21, og rett til å trekke tilbake samtykke etter artikkel 7 nr. 3. Angi hvordan rettighetene utøves, typisk ved henvendelse til virksomhetens e-postadresse for personvernspørsmål.

Trinn 9 — Beskriv informasjonskapsler og sikkerhet. Beskriv bruken av informasjonskapsler (cookies) etter ekomloven, herunder at samtykke innhentes for andre enn strengt nødvendige informasjonskapsler. Beskriv de tekniske og organisatoriske sikkerhetstiltakene etter personvernforordningen (GDPR) artikkel 32, og rutinen ved brudd på personopplysningssikkerheten med melding til Datatilsynet etter artikkel 33.

Trinn 10 — Informer om klageadgang og publiser erklæringen. Informer om retten til å klage til Datatilsynet etter personvernforordningen (GDPR) artikkel 77, og at Datatilsynets vedtak kan påklages til Personvernnemnda. Publiser personvernerklæringen tilgjengelig på nettstedet, typisk i bunnteksten, slik at den er lett å finne. Oppdater erklæringen ved endringer i behandlingen eller i regelverket, og angi gjerne dato for siste oppdatering.

Personvernerklæring Norge omfattes av et regelverk i personvernforordningen (GDPR), personopplysningsloven (2018) og ekomloven som fastsetter hva erklæringen skal inneholde og hvordan personopplysninger skal behandles.

GDPR gjelder i Norge gjennom EØS-avtalen. Personvernforordningen (GDPR), Europaparlaments- og rådsforordning (EU) 2016/679, gjelder i Norge gjennom EØS-avtalen og er gjennomført i norsk rett ved personopplysningsloven (2018). De samme grunnleggende pliktene og rettighetene gjelder i Norge som i EU. Datatilsynet er den nasjonale tilsynsmyndigheten, og Personvernnemnda er klageorgan for Datatilsynets vedtak.

Informasjonsplikten etter personvernforordningen (GDPR) artiklene 13 og 14. Når personopplysninger samles inn fra den registrerte selv, skal den behandlingsansvarlige gi informasjon etter artikkel 13; når opplysningene samles inn fra andre kilder, gjelder artikkel 14. Informasjonen omfatter den behandlingsansvarliges identitet og kontaktopplysninger, eventuelt personvernombud, formålene og de rettslige grunnlagene, mottakerne, eventuell overføring til tredjeland, lagringstidene, de registrertes rettigheter og retten til å klage til Datatilsynet. Personvernerklæringen er det praktiske verktøyet for å oppfylle denne plikten samlet.

Rettslig grunnlag for behandling etter personvernforordningen (GDPR) artikkel 6. All behandling av personopplysninger må ha et rettslig grunnlag etter artikkel 6: samtykke, avtale, rettslig forpliktelse, vitale interesser, offentlig myndighet eller berettiget interesse. Erklæringen skal angi grunnlaget for hvert formål. Ved behandling av særlige kategorier av personopplysninger etter artikkel 9, som helse, religion eller fagforeningstilhørighet, kreves et særskilt grunnlag i tillegg. Behandlingen skal også oppfylle de grunnleggende prinsippene i artikkel 5, herunder lovlighet, formålsbegrensning, dataminimering og lagringsbegrensning.

De registrertes rettigheter etter personvernforordningen (GDPR) kapittel 3. Den registrerte har rett til innsyn etter artikkel 15, retting etter artikkel 16, sletting etter artikkel 17, begrensning etter artikkel 18, dataportabilitet etter artikkel 20, og rett til å protestere etter artikkel 21. Den registrerte har dessuten rett til ikke å være gjenstand for automatiserte avgjørelser etter artikkel 22 og rett til å trekke tilbake samtykke etter artikkel 7 nr. 3. Den behandlingsansvarlige skal svare på begjæringer uten ugrunnet opphold og senest innen en måned etter artikkel 12 nr. 3.

Informasjonskapsler etter ekomloven. Bruk av informasjonskapsler (cookies) og lignende sporingsteknologi reguleres av ekomloven om elektronisk kommunikasjon, som gjennomfører ePrivacy-direktivet. For andre informasjonskapsler enn de som er strengt nødvendige for å levere tjenesten den registrerte har bedt om, kreves informert samtykke. Samtykke innhentes normalt via et samtykkebanner ved besøk på nettstedet. Erklæringen eller en egen informasjonskapselerklæring skal beskrive hvilke informasjonskapsler som brukes og til hvilke formål.

Databehandleravtale etter personvernforordningen (GDPR) artikkel 28. Når den behandlingsansvarlige bruker en databehandler som behandler personopplysninger på dens vegne, for eksempel en IT-leverandør eller en e-posttjeneste, skal det inngås en databehandleravtale etter artikkel 28. Avtalen skal regulere blant annet formålet, varigheten, sikkerhetstiltakene og bruken av underdatabehandlere. Personvernerklæringen bør opplyse om at databehandlere benyttes under slike avtaler.

Overføring til tredjeland etter personvernforordningen (GDPR) artiklene 44 til 49. Overføring av personopplysninger til land utenfor EØS krever et særskilt overføringsgrunnlag. Dette kan være en beslutning om tilstrekkelig beskyttelsesnivå etter artikkel 45, EU-kommisjonens standard personvernbestemmelser etter artikkel 46, bindende virksomhetsregler etter artikkel 47, eller unntak etter artikkel 49. Erklæringen skal informere om eventuell overføring til tredjeland og om overføringsgrunnlaget.

Sikkerhet og avviksbehandling etter personvernforordningen (GDPR) artiklene 32 til 34. Den behandlingsansvarlige skal treffe egnede tekniske og organisatoriske sikkerhetstiltak etter artikkel 32 for å sikre et beskyttelsesnivå tilpasset risikoen. Ved brudd på personopplysningssikkerheten skal den behandlingsansvarlige melde fra til Datatilsynet uten ugrunnet opphold og senest innen 72 timer etter artikkel 33, og varsle de registrerte ved høy risiko for deres rettigheter og friheter etter artikkel 34.

Tilsyn, klage og sanksjoner etter personvernforordningen (GDPR) og personopplysningsloven (2018). Datatilsynet fører tilsyn med at regelverket overholdes og kan gi pålegg, irettesettelser og overtredelsesgebyr etter personvernforordningen (GDPR) artiklene 58 og 83. Den registrerte kan klage til Datatilsynet etter artikkel 77, og Datatilsynets vedtak kan påklages til Personvernnemnda etter personopplysningsloven (2018). Den registrerte har også rett til effektivt rettsmiddel for domstolene etter artikkel 79 og rett til erstatning etter artikkel 82. En manglende eller mangelfull personvernerklæring kan utgjøre et brudd på informasjonsplikten.

Vanlige feil ved utforming av Personvernerklæring Norge kan føre til at informasjonsplikten ikke oppfylles, at erklæringen blir misvisende, eller at virksomheten risikerer reaksjoner fra Datatilsynet.

Feil 1 — Generisk erklæring som ikke passer virksomheten. Å kopiere en standard personvernerklæring uten å tilpasse den til virksomhetens faktiske behandling gir en erklæring som er misvisende og ikke oppfyller informasjonsplikten etter personvernforordningen (GDPR) artiklene 13 og 14. Løsning: kartlegg hvilke personopplysninger virksomheten faktisk behandler, til hvilke formål og på hvilket grunnlag, og tilpass erklæringen til dette.

Feil 2 — Manglende eller uklart rettslig grunnlag. En erklæring som ikke angir et rettslig grunnlag for hvert formål etter personvernforordningen (GDPR) artikkel 6, oppfyller ikke kravene. Å oppgi samtykke som grunnlag der avtale eller berettiget interesse er det riktige, kan skape problemer. Løsning: angi det korrekte rettslige grunnlaget for hvert formål; bruk samtykke kun der det faktisk innhentes, og berettiget interesse kun etter en reell interesseavveining.

Feil 3 — Manglende informasjon om lagringstid. En erklæring som ikke angir hvor lenge opplysningene lagres, eller kriteriene for dette, bryter personvernforordningen (GDPR) artikkel 13 nr. 2 bokstav a. Løsning: angi konkrete lagringstider for de ulike kategoriene, med henvisning til lovpålagt oppbevaring der det er relevant, for eksempel fem år for regnskapsopplysninger etter bokføringsloven (2004) § 13.

Feil 4 — Manglende håndtering av informasjonskapsler. Å bruke informasjonskapsler til statistikk og markedsføring uten å innhente samtykke etter ekomloven, eller uten å beskrive dem i erklæringen, er en vanlig feil som kan utløse reaksjoner fra Datatilsynet. Løsning: innhent gyldig samtykke via et samtykkebanner for andre enn strengt nødvendige informasjonskapsler, og beskriv informasjonskapslene i erklæringen eller i en egen informasjonskapselerklæring.

Feil 5 — Manglende informasjon om de registrertes rettigheter. En erklæring som ikke informerer om innsyn, retting, sletting, begrensning, dataportabilitet og retten til å protestere etter personvernforordningen (GDPR) kapittel 3, oppfyller ikke informasjonsplikten. Løsning: list opp de registrertes rettigheter og angi hvordan de utøves, typisk ved henvendelse til virksomhetens e-postadresse for personvernspørsmål.

Feil 6 — Manglende informasjon om overføring til tredjeland. Mange virksomheter bruker skytjenester eller leverandører utenfor EØS uten å informere om dette eller om overføringsgrunnlaget etter personvernforordningen (GDPR) artiklene 44 til 49. Løsning: kartlegg om opplysninger overføres til tredjeland, og angi overføringsgrunnlaget i erklæringen, for eksempel EU-kommisjonens standard personvernbestemmelser.

Feil 7 — Manglende databehandleravtaler. Å bruke databehandlere som IT-leverandører og e-posttjenester uten databehandleravtale etter personvernforordningen (GDPR) artikkel 28 er et brudd, selv om personvernerklæringen er korrekt. Løsning: inngå databehandleravtaler med alle som behandler personopplysninger på virksomhetens vegne, og opplys i erklæringen om at databehandlere benyttes under slike avtaler.

Feil 8 — Manglende rutine for avviksbehandling. En erklæring som ikke omtaler hva som skjer ved brudd på personopplysningssikkerheten, og en virksomhet uten rutine for dette, risikerer å bryte meldeplikten etter personvernforordningen (GDPR) artikkel 33. Løsning: etabler en rutine for å oppdage og melde avvik til Datatilsynet uten ugrunnet opphold og senest innen 72 timer, og varsle de registrerte ved høy risiko etter artikkel 34; omtal dette i erklæringen.

Feil 9 — Manglende oppdatering ved endringer. En personvernerklæring som ikke oppdateres når behandlingen, leverandørene eller regelverket endres, blir raskt utdatert og misvisende. Løsning: gjennomgå og oppdater erklæringen jevnlig og ved vesentlige endringer; angi dato for siste oppdatering, og informer de registrerte ved vesentlige endringer.

Feil 10 — Vanskelig tilgjengelig eller uforståelig erklæring. En erklæring som er gjemt bort på nettstedet, eller som er skrevet i et uforståelig juridisk språk, oppfyller ikke kravet om at informasjonen skal gis i en lett tilgjengelig og forståelig form etter personvernforordningen (GDPR) artikkel 12 nr. 1. Løsning: gjør erklæringen lett å finne, typisk i bunnteksten på alle sider, og skriv den i et klart og forståelig språk slik at de registrerte faktisk kan forstå behandlingen.