Hvilke tjenester hører hjemme i personvernerklæringen?

Hver innebygde tredjepartstjeneste som behandler personopplysninger — analyse, annonsering, fonter, kart, chat, CDN, hosting — må nevnes i personvernerklæringen.

Personvernerklæringen og samtykkebanneret svarer på to forskjellige spørsmål. Banneret regulerer om en tjeneste overhodet får lastes (samtykke etter § 25 TDDDG). Personvernerklæringen oppfyller informasjonsplikten etter GDPR artikkel 13 — den må også nevne tjenestene som kjører på et annet grunnlag enn samtykke: hosting, CDN, et serverbasert spamfilter, levering av skrifter. En tjeneste som ikke trenger banner, kan likevel høre hjemme i personvernerklæringen.

Opplysningene for hver tjeneste følger et fast mønster: leverandørens navn og adresse, formålet med behandlingen, rettsgrunnlaget (samtykke, avtale, berettiget interesse), kategoriene av behandlede opplysninger, lagringstiden, om og hvor opplysninger overføres til en tredjestat og på hvilket grunnlag, samt den registrertes rettigheter inkludert tilbaketrekking. Mangler ett av disse punktene, er erklæringen så langt ufullstendig — og det er et selvstendig, botlagt brudd, uavhengig av om selve innbindingen var tillatt.

Den vanligste feilen er den utdaterte listen. Tjenester kommer til via plugins, Tag Manager eller en temaoppdatering uten at personvernerklæringen oppdateres tilsvarende. Omvendt står det ofte fortsatt verktøy der som for lengst er fjernet. En pragmatisk sammenligning: last siden i privat vindu, noter i „Nettverk“-fanen alle fremmede verter og sjekk dem mot personvernerklæringen — minst etter hver større endring av nettstedet.

Er dette en risiko?

Art. 13 GDPR krever opplysninger om formål, rettslig grunnlag, mottakere, lagringstid og overføring til tredjeland. En ufullstendig personvernerklæring er et selvstendig brudd — uavhengig av om selve innbyggingen er tillatt.

Hva du kan gjøre

• Lag en fullstendig liste over alle innebygde tjenester (også de som kommer via en plugin eller tagbehandler).
• For hver tjeneste: legg til leverandør, formål, rettslig grunnlag, lagringstid, mottakerland.
• Hold personvernerklæringen oppdatert ved hver endring på nettstedet.
• Sammenlign regelmessig om de faktisk lastede tjenestene samsvarer med personvernerklæringen.

Vanlige spørsmål

Må jeg også skrive hosting og CDN i personvernerklæringen?

Ja. Hosting-leverandøren og CDN-en behandler besøkendes IP-adresser og er mottakere i henhold til GDPR artikkel 13. De trenger riktignok ikke samtykkebanner, men hører hjemme i erklæringen med formål, rettsgrunnlag og eventuelt overføring til tredjestat.

Holder en personvernerklæring-generator?

Som utgangspunkt ja. De genererte tekstene dekker standardtjenester, men må tilpasses de verktøyene som faktisk brukes, og holdes oppdatert. En generator erstatter verken kartleggingen eller den juridiske vurderingen.

Hva skjer ved en ufullstendig personvernerklæring?

Det er et selvstendig GDPR-brudd etter artikkel 13 som tilsynsmyndighetene kan ilegge bot for — selv om selve databehandlingen er lovlig. I praksis står veiledninger og oppfordringer først i forgrunnen.

Hvor ofte må jeg gjennomgå personvernerklæringen?

Etter hver endring som legger til eller fjerner tjenester, og i tillegg i en fast syklus (f.eks. halvårlig). For rutinekontrollen holder en kort sammenligning av de fremmede vertene som lastes i „Nettverk“-fanen, mot erklæringen.

Hvordan consentglass hjelper

Den gratis sjekken analyserer den leverte HTML-en og viser hvilke tjenester som er innebygd, om informasjonskapsel-banneret er oppdaget, og om lenkene til personvern og kontaktinformasjon finnes — med klassifisering for hvert funn. Erstatter ikke juridisk rådgivning.