Det korte svar er nej. Hverken “privatlivspolitik” eller “persondatapolitik” står i databeskyttelsesforordningen eller databeskyttelsesloven. Begge ord er hverdagsudtryk for en tekst, der skal opfylde oplysningspligten i art. 13 og 14. Vælg det ord, jeres kunder forstår, og brug det samme alle steder. Det, der afgør, om teksten holder, er indholdet, placeringen og om den passer med det, I faktisk gør. Her gennemgår vi, hvad teksten skal rumme, og hvad den ikke kan klare alene.
Hvad ordene bruges om
Nogle virksomheder bruger privatlivspolitik om teksten på hjemmesiden og persondatapolitik om den interne retningslinje for medarbejderne. Andre bruger ordene omvendt eller i flæng. Da ingen af dem er juridiske begreber, er enhver af fordelingerne i orden, så længe I selv ved, hvad der er hvad.
Forskellen på de to tekster er vigtigere end navnene. Den ene henvender sig til de registrerede og fortæller, hvad I gør med deres oplysninger. Den anden henvender sig til egne medarbejdere og fortæller, hvordan de skal håndtere oplysninger. Den første er et krav, når I indsamler oplysninger. Den anden er et af de redskaber, art. 24 peger på, se de dokumenter, I skal kunne lægge frem. Blandes de to sammen, bliver teksten hverken læsbar for kunden eller brugbar for medarbejderen.
Hvad skal en privatlivspolitik indeholde?
Indsamler I oplysningerne hos personen selv, opregner art. 13, stk. 1 og 2, hvad personen skal have at vide. Omsat til en privatlivspolitik er det:
- hvem I er, og hvordan I kontaktes, herunder eventuel repræsentant,
- kontaktoplysninger på DPO’en, hvis I har en,
- formålene og retsgrundlaget for hver behandling,
- de legitime interesser, hvis I bygger på art. 6, stk. 1, litra f,
- modtagere eller kategorier af modtagere,
- overførsler til tredjelande og det grundlag, de sker på, hvor det er relevant,
- hvor længe oplysningerne gemmes, eller de kriterier, der bestemmer det,
- rettighederne: indsigt, berigtigelse, sletning, begrænsning, indsigelse og dataportabilitet,
- retten til at trække et samtykke tilbage, hvis I bygger på samtykke,
- retten til at klage til Datatilsynet,
- om det er et krav at give oplysningerne, og hvad der sker, hvis personen undlader det,
- automatiske afgørelser og profilering, hvis I bruger det efter art. 22.
Datatilsynet har skabeloner til oplysningspligten, som er et fornuftigt sted at begynde. Reglerne bag, herunder hvornår oplysningerne skal gives, og hvad der gælder, når I får oplysninger fra andre, står i oplysningspligten.
Skriv efter formål
Den svageste del af mange privatlivspolitikker er afsnittet om formål. En sætning om, at oplysninger bruges “til at levere vores ydelser og forbedre vores service”, siger for lidt til, at læseren kan forstå behandlingen, og den kan ikke sammenholdes med et behandlingsgrundlag.
Det virker bedre at dele teksten efter de situationer, læseren er i: når du køber hos os, når du skriver til os, når du tilmelder dig nyhedsbrevet, når du besøger hjemmesiden. Under hver situation står, hvilke oplysninger der bruges, til hvad, på hvilket grundlag, hvem der modtager dem, og hvor længe de gemmes. Fortegnelsen rummer de fleste af svarene, og teksten bør kunne bygges fra den.
Teksten skal nå frem til personen
Art. 13 kræver, at den dataansvarlige giver oplysningerne på tidspunktet for indsamlingen. Datatilsynets vejledning om de registreredes rettigheder fra juli 2018 peger på, at I skal tage aktive skridt, og at det ikke er tilstrækkeligt at have teksten liggende på en hjemmeside, som personen selv skal finde. Et link i bunden af siden er derfor sjældent nok, når I samler oplysninger ind i en formular. Sæt en kort tekst og et tydeligt link ved selve formularen.
Vejledningen åbner for korte tekster med links til det bagvedliggende. Det passer godt til en hjemmeside. Læseren møder det vigtigste først og kan selv gå videre.
Vær også opmærksom på, at de samme krav gælder personer, der aldrig besøger hjemmesiden. Ansatte og ansøgere skal have deres egen tekst, og de oplysninger hører sjældent til på kundesiden.
Sproget
Art. 12, stk. 1, kræver en kortfattet, gennemsigtig, letforståelig og lettilgængelig form og et klart og enkelt sprog. Teksten skal altså kunne læses af den person, den er skrevet til. Juridiske standardvendinger og gentagelser af forordningens ord hjælper ikke læseren. Kan en kunde uden fagligt kendskab forklare, hvad I bruger oplysningerne til, efter at have læst afsnittet, er det et godt tegn.
Oplysningspligt og gennemsigtighed er emnet for EDPB’s fælles kontrol i 2026, som startede den 19. marts 2026, og Datatilsynet nævner emnet blandt sine fokusområder for året. Det er en god anledning til at læse teksten igennem nu.
Teksten skal passe
En privatlivspolitik er en beskrivelse af, hvad I gør. Den bliver forkert, når virkeligheden flytter sig. Typiske eksempler er en ny leverandør i et tredjeland, et nyt værktøj til nyhedsbreve eller en sporing på hjemmesiden, som teksten ikke nævner. Læg en fast kontrol ind, når der kommer nye systemer, og sammenhold teksten med fortegnelsen og med det, siden faktisk gør. Sporing og cookies har egne regler, se sporing på hjemmesiden.
Datoen for seneste ændring er nyttig for læseren. Gem desuden de tidligere udgaver, så I kan dokumentere, hvad der stod på et givet tidspunkt.
Det skal I lade være med
- At kopiere en anden virksomheds tekst · den beskriver deres behandlinger.
- At skrive én tekst til kunder, ansatte og ansøgere · de behandlinger er forskellige.
- At nøjes med et link i sidefoden, når I indsamler i en formular · oplysningerne skal gives ved indsamlingen.
- At love mere, end I gør · teksten bliver en forkert oplysning.
Det skal I kræve af den eksterne
- ☐ En gennemlæsning af teksten op mod art. 13 og 14 og jeres fortegnelse.
- ☐ Kontrol af, om leverandører, overførsler og sporing i teksten passer med systemerne.
- ☐ Rådgivning om placering ved formularer og andre indsamlingspunkter.
- ☐ Besked, når nye systemer gør teksten forældet.
Kilder
- Forordning (EU) 2016/679, dansk tekst: art. 12, stk. 1, og art. 13.
- Datatilsynet: Vejledning om de registreredes rettigheder, juli 2018: afsnit 3.
- Datatilsynets skabeloner til oplysningspligt og indsigtsret.
- EDPB: fælles kontrol 2026 om gennemsigtighed og oplysningspligt, 19. marts 2026.
- Datatilsynet: Fokusområder for tilsyn i 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Behandlingsgrundlag · Sporing på hjemmesiden
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
