Hvad skal en privatlivserklæring indeholde?

De faste dele af en privatlivserklæring

En privatlivserklæring angiver i de fleste tilfælde, hvem der behandler oplysningerne, hvorfor, og hvilke rettigheder den registrerede har i den forbindelse. Konkret drejer det sig om identiteten og kontaktoplysningerne for den organisation, der behandler oplysningerne, og om kontaktoplysningerne for en databeskyttelsesansvarlig, hvis sådan er udpeget. Derudover fremgår det, til hvilke formål oplysningerne bruges, og på hvilket retsgrundlag det sker — tænk på opfyldelse af en kontrakt, en juridisk forpligtelse eller en berettiget interesse, hvor sidstnævnte interesse også skal angives.

Desuden skal erklæringen indeholde oplysninger om, hvem oplysningerne videregives til, om de sendes til et land uden for EU, og hvor længe de opbevares — eller, hvis en fast periode ikke kan angives, hvilke kriterier der anvendes hertil. Den registreredes rettigheder gentages også: adgang, berigtigelse, sletning, begrænsning, indsigelse, dataportabilitet og mulighed for at tilbagekalde samtykke. Endelig angiver erklæringen retten til at indgive klage til tilsynsmyndigheden, og — hvis relevant — om oplysning er en juridisk eller kontraktlig forpligtelse, og hvad konsekvenserne er, hvis nogen ikke opfylder det, plus om der er automatiseret beslutningstagning eller profilering.

Dette fremgår af artikel 13 i GDPR

Denne opstilling følger direkte af artikel 13 i GDPR, som foreskriver, hvilke oplysninger en organisation skal give på det tidspunkt, hvor den indsamler personoplysninger hos den registrerede selv. GDPR er en forordning, og disse krav gælder således indholdsligt ens i hver medlemsstat; hvad der varierer, er hos hvilken tilsynsmyndighed den nævnte klagerett i praksis varetages — i Danmark Datatilsynet, i Tyskland tilsynsmyndigheden for det bundesland, hvor virksomheden er etableret. Den fuldstændige tekst til bestemmelsen og nærmere vejledning kan findes i forordningen selv, og for dansk praksis på Datatilsynets hjemmeside.