Vilka tjänster hör hemma i integritetspolicyn?

Varje inbäddad tredjepartstjänst som behandlar personuppgifter — analys, annonsering, typsnitt, kartor, chatt, CDN, hosting — måste finnas med i integritetspolicyn.

Integritetspolicyn och samtyckesbannern besvarar två olika frågor. Bannern reglerar om en tjänst över huvud taget får laddas (samtycke enligt § 25 TDDDG). Integritetspolicyn uppfyller informationsplikten enligt artikel 13 GDPR — den måste även nämna de tjänster som körs på en annan grund än samtycke: hosting, CDN, ett serverbaserat skräppostfilter, leverans av teckensnitt. En tjänst som inte behöver någon banner kan ändå höra hemma i integritetspolicyn.

Uppgifterna för varje tjänst följer ett fast mönster: leverantörens namn och adress, ändamålet med behandlingen, den rättsliga grunden (samtycke, avtal, berättigat intresse), kategorierna av behandlade uppgifter, lagringstiden, om och vart uppgifter överförs till ett tredjeland och på vilken grund, samt den registrerades rättigheter inklusive återkallelse. Saknas någon av dessa punkter är policyn i den delen ofullständig — och det är en självständig, bötesbelagd överträdelse, oberoende av om själva inbäddningen var tillåten.

Det vanligaste felet är den föråldrade listan. Tjänster tillkommer via tillägg, Tag Manager eller en temauppdatering utan att integritetspolicyn uppdateras i motsvarande mån. Omvänt står det där ofta kvar verktyg som sedan länge har tagits bort. En pragmatisk jämförelse: ladda sidan i privat fönster, anteckna i fliken ”Nätverk” alla främmande värdar och kontrollera dem mot integritetspolicyn — åtminstone efter varje större ändring av webbplatsen.

Är detta en risk?

Art. 13 GDPR kräver uppgifter om ändamål, rättslig grund, mottagare, lagringstid och tredjelandsöverföring. En ofullständig integritetspolicy är en självständig överträdelse — oberoende av om själva inbäddningen är tillåten.

Vad du kan göra

• Upprätta en fullständig lista över alla inbäddade tjänster (även de som kommer via en plugin eller tagghanterare).
• Per tjänst: lägg till leverantör, ändamål, rättslig grund, lagringstid, mottagarland.
• Underhåll integritetspolicyn vid varje ändring av webbplatsen.
• Stäm regelbundet av om de faktiskt laddade tjänsterna stämmer med integritetspolicyn.

Vanliga frågor

Måste jag skriva in hosting och CDN i integritetspolicyn också?

Ja. Hostingleverantören och CDN:en behandlar besökarnas IP-adresser och är mottagare i den mening som avses i artikel 13 GDPR. De behöver visserligen ingen samtyckesbanner, men hör hemma i policyn med ändamål, rättslig grund och i förekommande fall tredjelandsöverföring.

Räcker en integritetspolicygenerator?

Som utgångspunkt ja. De genererade texterna täcker standardtjänster, men måste anpassas till de verktyg som faktiskt används och hållas aktuella. En generator ersätter varken inventeringen eller den juridiska prövningen.

Vad händer vid en ofullständig integritetspolicy?

Det är en självständig GDPR-överträdelse enligt artikel 13 som tillsynsmyndigheterna kan belägga med böter — även om själva databehandlingen är laglig. I praktiken står anvisningar och uppmaningar först i förgrunden.

Hur ofta måste jag granska integritetspolicyn?

Efter varje ändring som lägger till eller tar bort tjänster, och dessutom i en fast cykel (t.ex. halvårsvis). För rutinkontrollen räcker en kort jämförelse av de främmande värdar som laddas i fliken ”Nätverk” mot policyn.

Så hjälper consentglass

Den gratis skanningen kontrollerar den levererade HTML-koden och visar vilka tjänster som är inbäddade, om en cookiebanner upptäcks och om länkar till integritet och ansvarig utgivare finns — med sammanhang för varje fynd. Den ersätter inte juridisk rådgivning.