Vad måste innehållas i en datasekretesspolicy?

De fasta komponenterna i ett integritetssmeddelande

Ett integritetssmeddelande anger i de flesta fall vem som behandlar uppgifterna, varför, och vilka rättigheter den registrerade har i detta sammanhang. Konkret handlar det om identiteten och kontaktuppgifterna för den organisation som behandlar uppgifterna, och om kontaktuppgifterna för en dataskyddsledare om en sådan har utsetts. Dessutom anges för vilka ändamål uppgifterna används och på vilken rättslig grund det sker — tänk på utförandet av ett avtal, en rättslig förpliktelse, eller ett berättigat intresse, varvid det senare intresset också måste anges.

Vidare bör meddelandet innehålla information om vem uppgifterna lämnas vidare till, om de skickas till ett land utanför EU, och hur länge de bevaras — eller, om en bestämd tidsperiod inte kan anges, vilka kriterier som gäller för detta. Även den registrerades rättigheter återkommer: rätt till insyn, rättelse, radering, begränsning, invändning, dataportabilitet, och möjligheten att återkalla ett givet samtycke. Slutligen anför meddelandet rätten att lämna ett klagomål till tillsynsmyndigheten, och — om tillämpligt — huruvida tillhandahållandet av uppgifterna är en rättslig eller avtalsrättslig förpliktelse och vilka följder det får om någon inte gör det, samt huruvida det föreligger automatiserat beslutsfattande eller profilering.

Detta framgår av artikel 13 i GDPR

Denna uppräkning följer direkt från artikel 13 i GDPR, som föreskriver vilken information en organisation lämnar när den samlar in personuppgifter direkt från den registrerade. GDPR är en förordning och dessa krav gäller därför innehållsmässigt lika i varje medlemsstat; vad som skiljer är hos vilken tillsynsmyndighet det nämnda klagorätten i praktiken genomförs — i Sverige Datainspektionen, i Tyskland tillsynsmyndigheten i den delstat där verksamheten är belägen. För hela lydelsen av bestämmelsen och för ytterligare vägledning kan förordningen själv läsas, och för svensk praxis Datainspektionens webbplats.