Utan en integritetspolicy saknas på din webbplats det dokument där du förklarar vilka personuppgifter du samlar in, varför och hur länge. Dataskyddsförordningen kräver att organisationer informerar besökare och kunder om detta i förväg; det kallas informationsplikten. Om denna information saknas kan du alltså inte visa att du uppfyller denna skyldighet.
Det som faktiskt händer beror på vem som märker det. En besökare kan lämna in ett klagomål till Datatilsynsmyndigheten, en affärspartner kan fråga om det vid en upphandling, och en betalningsleverantör eller annonsplattform kan vägra att koppla till din webbplats så länge det inte finns någon integritetspolicy. Ingen av dessa situationer är opåverklig; de härrör från villkor som tredje parter redan ställer, oberoende av vad en tillsynsmyndighet någonsin skulle göra.
Varför en integritetspolicy är mer än en formalitet
En integritetspolicy är synligt bevis för något som du redan borde veta: vilka uppgifter din webbplats samlar in, genom vilka formulär, cookies eller analysverktyg, och för vilket syfte. Om förklaringen saknas är det sannolikt att denna inventering inte heller har genomförts. Det påverkar inte bara webbplatsen, utan också den bredare bilden av hur ditt företag hanterar personuppgifter — något som också framkommer när du söker svar på en konkret dataskyddsfråga.
Europabyrån för dataskydd och Datatilsynsmyndigheten har publicerat riktlinjer om vad en integritetspolicy måste innehålla, såsom uppgifter om den registrerade personens kontaktuppgifter, bevarandeperioder och registrerades rättigheter. Dessa riktlinjer är inte lag, men tillsynsmyndigheter använder dem för att bedöma om informationsplikten är uppfylld.
Vad som faktiskt händer i praktiken när förklaringen saknas
De mest direkta konsekvenserna uppstår sällan hos en tillsynsmyndighet, utan hos de parter du gör affärer med. En försäkringsgivare som granskar en cyberförsäkring frågar ofta efter integritetspolicyn som en del av dokumentationen. En upphandlande myndighet kan göra detsamma. Och en besökare som undrar vad som händer med ett ifyllt kontaktformulär kan, utan förklaring, besluta sig för att inte göra affärer med dig eller lämna in ett klagomål.
Dessutom är en saknad integritetspolicy ofta ett tecken på att andra delar inte heller är i ordning: ingen överblick över vilka SaaS-verktyg som behandlar personuppgifter, inga databehandlingsavtal med leverantörer, inga fastställda bevarandeperioder. Det är exakt denna typ av koppling som en kunskapsbas med förklaring per dataskyddsämne gör tydlig: integritetspolicyn står sällan för sig själv.
Tillsynsmyndighetens roll
Datatilsynsmyndigheten kan agera när informationsplikten inte efterlevs, men hur och när det sker beror på omständigheterna i det enskilda fallet och kan inte förutsägas i förväg. Det som är säkert är att en saknad integritetspolicy inte är en försummelse som blir mindre synlig ju fler besökare din webbplats får — snarare tvärtom.
Huruvida ett klagomål faktiskt leder till utredning och vad resultatet skulle vara kan inte sägas i allmän mening. För bedömningen av en specifik situation är en jurist eller Datatilsynsmyndigheten själv rätt kontaktpunkt.
Hur du löser detta
Att upprättar en integritetspolicy kräver en tydlig överblick över vad din webbplats faktiskt samlar in: kontaktformulär, cookies, en webshop med beställningsdata, ett nyhetsbrev. När denna överblick väl finns, är själva förklaringen vanligtvis snabb att skriva. För den underliggande frågan om vilka uppgifter du faktiskt behandlar och via vilka verktyg, hjälper det att titta på hur denna överblick byggs upp, till exempel via sättet på vilket uppgifter och system kartläggs.
En integritetspolicy är dessutom ingen engångsdokument. Nya formulär, nya verktyg eller en ny nyhetsbrevstjänst förändrar vad som samlas in, och därmed också vad som måste stå i förklaringen. Den som vill hålla denna överblick uppdaterad tillsammans med ändringar på webbplatsen kan registrera detta i ett affärskonto så att det inte blir en engångsåtgärd.
Gdpria.eu erbjuder generatorn för en integritetspolicy kostnadsfritt, precis som kunskapsbanken och de andra grundläggande kontrollerna. Om du vill veta var ditt företag står för närvarande, är den kostnadsfria snabbkontrollen en bra startpunkt för att se vilka komponenter som redan är i ordning och vilka som kräver uppmärksamhet.