Persondata og de registreredes rettigheder
Skal jeg overhovedet have en privatlivspolitik på min hjemmeside?
Sidst efterset . Vi forklarer reglerne, som vi læser dem; det er ikke juridisk rådgivning.
GDPR nævner ikke ordet privatlivspolitik. I skal derimod selv fortælle folk, hvad I gør med deres oplysninger. En privatlivspolitik er den nemmeste måde at gøre det på. Har I formular, nyhedsbrev, webshop eller ansatte, behandler I personoplysninger og bør have en.
Sådan gør du
- Skriv ned, hvor I får oplysninger: formular, webshop, nyhedsbrev, telefon, ansatte.
- Skriv politikken, så den dækker hvem I er, data, formål, retsgrundlag, opbevaring, modtagere og rettigheder.
- Sæt et tydeligt link ved hver formular, ikke kun i sidefoden.
- Hold cookieerklæringen adskilt. Den er et selvstændigt krav.
- Gennemgå teksten, når I tager et nyt system i brug.
Tjekliste
Det kræver loven
GDPR artikel 13 og 14 pålægger jer at oplyse de registrerede om behandlingen, når I indsamler personoplysninger. Kravet er oplysningerne, ikke et bestemt dokumentnavn. Indholdet skal dække dataansvarlig, hvilke data, formål, retsgrundlag, opbevaringsperiode, modtagere og de registreredes rettigheder. Cookieerklæringen er et separat, lovpligtigt krav uanset virksomhedens størrelse.
Gælder det mig?
- Håndværker med kundeliste i Excel
- Navne, mails og adresser i et regneark er personoplysninger, og I skal fortælle kunderne, hvad I gør med dem. En kort politik på sitet dækker det.
- Tandklinik med patientjournaler
- Ja, og den skal dække både booking og helbred. Helbred er følsomme oplysninger, så formål og retsgrundlag skal stå tydeligt, også for journalen.
- Freelancefotograf uden ansatte
- Har I en kontaktformular eller fakturerer navngivne kunder, behandler I personoplysninger og bør have en politik. Et rent porteføljesite uden formular kan ofte undvære den.
Typiske fejl
- Politikken ligger kun i sidefoden, og formularen henviser ikke til den.
- Teksten nævner formål, men ikke retsgrundlaget.
- Cookieerklæring og privatlivspolitik er blandet sammen eller mangler den ene.
- Politikken dækker websitet, men ikke ansatte eller jobansøgere.
Ordbog og definitioner
- Dataansvarlig
- Den virksomhed, der beslutter, hvorfor og hvordan personoplysninger behandles, typisk jer selv.
- Retsgrundlag
- Den hjemmel i GDPR, I støtter behandlingen på, for eksempel kontrakt, samtykke eller legitim interesse.