Hvilke tjenester hører hjemme i privatlivspolitikken?

Enhver indlejret tredjepartstjeneste, der behandler personoplysninger — analyse, annoncering, skrifttyper, kort, chat, CDN, hosting — skal fremgå af privatlivspolitikken.

Privatlivspolitikken og samtykkebanneret besvarer to forskellige spørgsmål. Banneret regulerer, om en tjeneste overhovedet må indlæses (samtykke efter § 25 TDDDG). Privatlivspolitikken opfylder oplysningspligten efter artikel 13 i GDPR — den skal også nævne de tjenester, der kører på et andet grundlag end samtykke: hosting, CDN, et serverside-spamfilter, levering af skrifttyper. En tjeneste, der ikke har brug for et banner, kan alligevel høre hjemme i privatlivspolitikken.

Oplysningerne for hver tjeneste følger et fast skema: udbyderens navn og adresse, formålet med behandlingen, retsgrundlag (samtykke, aftale, legitim interesse), kategorier af behandlede data, opbevaringsperiode, om og hvortil data overføres til et tredjeland og på hvilket grundlag, samt de registreredes rettigheder inklusive tilbagekaldelse. Mangler et af disse punkter, er erklæringen i det omfang ufuldstændig — og det er en selvstændig, bødesanktioneret overtrædelse, uanset om selve integrationen var tilladt.

Den hyppigste fejl er den forældede liste. Tjenester kommer til via plugins, tag manageren eller en temaopdatering, uden at privatlivspolitikken følger med. Omvendt står der ofte stadig værktøjer, der for længst er fjernet. En pragmatisk kontrol: indlæs siden i et privat vindue, notér alle tredjepartsværter i netværksfanen, og hold dem op mod privatlivspolitikken — mindst efter hver større ændring af webstedet.

Er dette en risiko?

Art. 13 GDPR kræver oplysninger om formål, retsgrundlag, modtagere, opbevaringstid og tredjelandsoverførsel. En ufuldstændig privatlivspolitik er en selvstændig overtrædelse — uafhængigt af, om selve indlejringen er lovlig.

Hvad du kan gøre

• Udarbejd en fuldstændig liste over alle indlejrede tjenester (også dem, der kommer via et plugin eller en tag manager).
• Per tjeneste: tilføj leverandør, formål, retsgrundlag, opbevaringstid, modtagerland.
• Vedligehold privatlivspolitikken ved hver ændring af webstedet.
• Afstem regelmæssigt, om de faktisk indlæste tjenester stemmer med privatlivspolitikken.

Ofte stillede spørgsmål

Skal jeg også skrive hosting og CDN i privatlivspolitikken?

Ja. Hostingudbydere og CDN'er behandler de besøgendes IP-adresser og er modtagere i henhold til artikel 13 i GDPR. De har ikke brug for et samtykkebanner, men hører med i politikken med formål, retsgrundlag og eventuel tredjelandsoverførsel.

Er en privatlivspolitik-generator nok?

Som udgangspunkt ja. De genererede tekster dækker standardtjenester, men skal tilpasses de faktisk anvendte værktøjer og holdes opdaterede. En generator erstatter hverken kortlægningen eller den juridiske vurdering.

Hvad sker der ved en ufuldstændig privatlivspolitik?

Det er en selvstændig GDPR-overtrædelse efter artikel 13, som tilsynsmyndighederne kan pålægge bøde for — også selvom selve databehandlingen er lovlig. I praksis er vejledninger og opfordringer det første, der sker.

Hvor ofte skal jeg tjekke privatlivspolitikken?

Efter hver ændring, der tilføjer eller fjerner tjenester, og desuden i en fast rytme (f.eks. halvårligt). En kort sammenligning af de tredjepartsværter, der indlæses i netværksfanen, med erklæringen er nok til rutinetjekket.

Sådan hjælper consentglass

Den gratis scanning tjekker den leverede HTML og viser, hvilke tjenester der er indlejret, om der registreres et cookiebanner, og om links til privatliv og kolofon findes — med kontekst for hvert fund. Den erstatter ikke juridisk rådgivning.