Uden en privatlivserklæring mangler på dit websted det dokument, hvor du forklarer, hvilke personoplysninger du indsamler, hvortil, og hvor længe. GDPR'en forpligter organisationer til at informere besøgende og kunder herom på forhånd; det kaldes informationspligten. Hvis disse oplysninger mangler, kan du således ikke dokumentere, at du opfylder denne forpligtelse.
Hvad der konkret sker, afhænger af, hvem der bemærker det. En besøgende kan indgive en klage til Datatilsynet, en erhvervskunde kan stille spørgsmål herom under en budgettering, og en betalingsudbyder eller reklameplattform kan nægte at knytte forbindelse til dit websted, så længe der ikke er nogen privatlivserklæring. Ingen af disse situationer er teoretisk; de stammer fra betingelser, som tredjeparter selv allerede stiller, uafhængigt af hvad en tilsynsmyndighed nogensinde ville gøre.
Hvorfor en privatlivserklæring er mere end en formalitet
En privatlivserklæring er det synlige bevis på noget, som du alligevel burde vide: hvilke data dit websted indsamler, via hvilke formularer, cookies eller analyseværktøjer, og hvortil. Hvis erklæringen mangler, er det sandsynligt, at denne opgørelse selv heller ikke er blevet udført. Det påvirker ikke kun webstedet, men også det bredere billede af, hvordan din virksomhed håndterer personoplysninger — noget, der også kommer frem, så snart du søger efter et svar på et konkret GDPR-spørgsmål.
EDPB og Datatilsynet har udgivet retningslinjer om, hvad en privatlivserklæring i det mindste skal indeholde, såsom kontaktoplysninger for den dataansvarlige, opbevaringsperioder og registrerede personers rettigheder. Disse retningslinjer er ikke lov, men tilsynsmyndighederne vurderer ud fra dem, når de afgør, om informationspligten er opfyldt.
Hvad der i praksis sker, når erklæringen mangler
De mest direkte konsekvenser spiller sig sjældent af hos en tilsynsmyndighed, men hos de parter, du handler med. Et forsikringsselskab, der vurderer en cyberpolice, spørger ofte efter privatlivserklæringen som en del af sagen. En offentlig indkøber kan gøre det samme. Og en besøgende, der undrer sig over, hvad der sker med en udfyldt kontaktformular, kan beslutte ikke at handle med dig på grund af mangel på forklaring, eller indgive en klage.
Derudover er en manglende privatlivserklæring ofte et signal om, at andre dele heller ikke er i orden: ingen oversigt over, hvilke SaaS-værktøjer der behandler personoplysninger, ingen databehandleraftaler med leverandører, ingen fastlagte opbevaringsperioder. Det er præcis den slags sammenhæng, som en viden bank med forklaringer pr. GDPR-emne gør transparent: privatlivserklæringen står sjældent alene.
Tilsynsmyndighedens rolle
Datatilsynet kan gribe ind, når informationspligten ikke overholdes, men hvordan og hvornår det sker, afhænger af omstændighederne i det konkrete tilfælde og kan ikke forudsiges på forhånd. Det, der er sikkert, er, at manglen på en privatlivserklæring ikke er en udeladelse, der automatisk bliver mindre synlig, når et websted får flere besøgende — snarere det modsatte.
Om en klage faktisk fører til undersøgelse, og hvad resultatet heraf ville være, kan ikke siges på generelt grundlag. For vurderingen af en specifik situation er en jurist eller Datatilsynet selv det rette kontaktpunkt.
Sådan løser du det
Udarbejdelsen af en privatlivserklæring kræver et klart overblik over, hvad jeres website faktisk indsamler: kontaktformularer, cookies, en webshop med ordredata, et nyhedsbrev. Når først det overblik er på plads, kan selve erklæringen som regel skrives hurtigt. For det underliggende spørgsmål om, hvilke data I faktisk behandler, og via hvilke værktøjer, hjælper det at se på måden, hvorpå det overblik opbygges, for eksempel via måden, hvorpå data og systemer kortlægges.
En privatlivserklæring er desuden ikke en engangsopgave. Nye formularer, nye værktøjer eller en ny nyhedsbrevstjeneste ændrer det, der indsamles, og derfor også det, der skal stå i erklæringen. Hvis du ønsker, at det overblik skal følge med ændringer på websitet, kan du registrere det i en erhvervskonto så det ikke bliver ved med at være en engangshandling.
Gdpria.eu tilbyder generatoren til en privatlivserklæring gratis, ligesom videnbanken og de øvrige basiskontroller. Hvis du vil vide, hvor dit firma står i øjeblikket, er den gratis hurtigkontrol et godt udgangspunkt for at se, hvilke dele, der allerede er i orden, og hvilke der kræver opmærksomhed.