Når I får oplysninger om et menneske, skal I af jer selv fortælle personen, hvad I gør med dem, hvorfor I må, hvor længe I beholder dem, og hvem der ellers får dem. Det er GDPR's oplysningspligt, og den rammer alle med kunder, ansatte eller en kontaktformular.
Det, de fleste mangler, er ikke en privatlivspolitik. Den findes tit. Det, der mangler, er, at den dækker alle punkterne, og at den faktisk bliver givet, når oplysningerne indsamles, i stedet for bare at ligge på hjemmesiden.
Sidst gennemgået 5. september 2026. Vi forklarer reglerne, som vi læser dem; det er ikke juridisk rådgivning.
Hvem gælder det for?
Alle virksomheder, der behandler personoplysninger. Har I en ansat, en kunde med navn og e-mail eller en formular på websitet, er I omfattet. Der er ingen nedre grænse.
Oplysningspligten gælder også, når oplysningerne kommer fra andre end personen selv, fx leadlister eller referencer. Så skal I desuden fortælle, hvilke oplysninger det er, og hvor de kommer fra.
Hvor kommer reglerne fra?
Reglerne står i GDPR (databeskyttelsesforordningen), artikel 12, 13 og 14, som har været gældende siden 25. maj 2018. Databeskyttelsesloven supplerer med danske særregler, blandt andet om CPR-numre.
Datatilsynet fører tilsyn og har en vejledning om de registreredes rettigheder og en kort pjece om oplysningspligten, skrevet til små virksomheder. Tilsynet har i afgørelser slået fast, at det ikke er nok at lægge oplysningerne på en hjemmeside eller bag en QR-kode: de skal gives aktivt.
Det kræves
- Hvem I erVirksomhedens navn og kontaktoplysninger, og kontakt til en databeskyttelsesrådgiver, hvis I har en.
- Formål og retsgrundlagHvad I bruger oplysningerne til, og hvilken regel der giver jer lov, pr. behandling og ikke som én generel sætning.
- ModtagereHvem der ellers får oplysningerne: leverandører, systemer, myndigheder. Og om noget sendes ud af EU, og på hvilket grundlag.
- Hvor længeOpbevaringsperioden, eller de kriterier I bruger til at afgøre den.
- RettighederneIndsigt, berigtigelse, sletning, begrænsning, indsigelse og dataportabilitet, retten til at trække samtykke tilbage, og retten til at klage til Datatilsynet.
- Givet på det rigtige tidspunktSamtidig med, at oplysningerne indsamles: ved formularen, i autosvaret, på ansøgningsskemaet. Kommer oplysningerne fra andre, senest inden for en måned.
- Svar inden for fristenBeder nogen om indsigt eller sletning, skal I svare uden unødig forsinkelse og senest inden en måned.
Det, vi oftest ser gå galt
- Kontaktformularen har intet link til privatlivspolitikken, så oplysningerne gives ikke, når de indsamles.
- Politikken nævner formål, men ikke retsgrundlaget for hver behandling.
- Der står ikke, hvor længe oplysningerne gemmes, eller at man kan klage til Datatilsynet.
- Politikken er skrevet til websitet, men dækker ikke ansatte, jobansøgere eller kunder, der ringer.
Det tjekker Ajourly i dag
Vores scanner ser jeres website, som en besøgende ser det. Den prober ikke, logger ikke ind og gætter ikke. Det, den kan afgøre, siger den. Resten siger den, at den ikke kunne afgøre.
- Om der findes en privatlivspolitik på jeres domæne, og om formularer på sitet henviser til den.
- Om politikken berører punkterne: formål, retsgrundlag, modtagere, opbevaring, rettigheder og klageadgang.
- Hvilke felter jeres formularer beder om, og om nogen af dem ligner CPR-numre eller følsomme oplysninger.
- Om siden kører på en tidssvarende kryptering (TLS, HSTS), som er en del af kravet om sikkerhed.
- Om politikken faktisk dækker det, I gør. Et scan kan læse, at et afsnit findes, ikke at det er rigtigt. Derfor bliver en fundet politik aldrig grøn af sig selv.
- Alt det, der ikke sker på websitet: fortegnelsen, databehandleraftalerne, sletning og håndtering af brud. Det er jeres papirer, og dem hjælper vi jer med at få på plads.
Sådan holder I jer ajour
- Lav listen over steder, hvor I får personoplysninger: website, mail, telefon, butik, ansøgninger.
- Skriv privatlivspolitikken, så alle punkter er dækket, med formål og retsgrundlag pr. behandling.
- Sæt et link til politikken ved hver formular, og henvis til den i autosvar og ansøgningsskemaer.
- Skriv, hvor længe I gemmer, og hvordan man klager.
- Gem dokumentation for, hvornår og hvordan oplysningerne blev givet.
Spørgsmål, vi tit får
- Skal en enkeltmandsvirksomhed have en privatlivspolitik?
- Ja, hvis den behandler personoplysninger, og det gør stort set alle med kunder eller en kontaktformular. Kravet er ikke en politik som sådan, men at oplysningerne gives. En privatlivspolitik er den nemmeste måde at gøre det på.
- Er det nok, at politikken ligger på hjemmesiden?
- Nej. Datatilsynet kræver, at oplysningerne gives aktivt, når oplysningerne indsamles. I praksis: et tydeligt link ved formularen, i autosvaret og på ansøgningsskemaet.
- Hvem fører tilsyn, og hvad kan det koste?
- Datatilsynet fører tilsyn og kan udtale kritik, give påbud og politianmelde. Bøder udmåles af domstolene. Tilsynets bødevejledning tager udgangspunkt i virksomhedens størrelse.
Kilder
Seneste nyt om Persondata og de registreredes rettigheder
Svensk it-leverandør får bøde for mangelfuld informationssikkerhed
Den svenske databeskyttelsesmyndighed har givet Miljödata en bøde på 1,8 mio. svenske kroner efter et cyberangreb. Afgørelsen handler om utilstrækkelige sikkerhedsforanstaltninger ved behandling af personoplysninger.
Skrevet af Ajourlys redaktørbot ud fra EDPB · nyheder og kontrolleret mod kilden.
Uber får nederlandsk GDPR-bøde for automatiske afgørelser
Den nederlandske databeskyttelsesmyndighed har pålagt Uber en administrativ bøde på 824,99 mio. euro. Sagen handler om fuldautomatiske afgørelser om chaufførers konti og mangelfuld information om profilering.
Skrevet af Ajourlys redaktørbot ud fra EDPB · nyheder og kontrolleret mod kilden.
Italiensk tilsyn bøder BBVA for fortsat markedsføring
Det italienske datatilsyn har bødet BBVA 5.508.000 euro, efter at en kunde fortsat fik markedsføringsnotifikationer trods en indsigelse. Afgørelsen understreger, at gyldige indsigelser skal slå korrekt igennem i virksomhedens systemer.
Skrevet af Ajourlys redaktørbot ud fra EDPB · nyheder og kontrolleret mod kilden.