Udfyldning er gratis. Betaling sker først når du henter dokumentet.
Artikel 13, stk. 1, litra a-b — identitet og kontakt, og en eventuel databeskyttelsesrådgiver.
Det juridiske navn som registreret i CVR — ikke binavn eller varemærke.
Otte cifre. Bruges til at forudfylde navn og adresse.
Angiv, hvordan de registrerede kan kontakte jer om deres personoplysninger (fx en e-mail). Har I udpeget en databeskyttelsesrådgiver (DPO), skal dennes kontaktoplysninger med, jf. litra b. Har I ikke en DPO, skrives det.
Behandler I personoplysninger om andre end jeres ansatte — kunder, brugere, besøgende, leverandørkontakter, jobansøgere — skal de have de oplysninger, GDPR artikel 13-14 kræver. Det gælder praktisk talt enhver virksomhed: har I en hjemmeside, en webshop, et nyhedsbrev eller blot modtager henvendelser, behandler I personoplysninger.
Privatlivspolitikken er, hvordan I opfylder den pligt. Den er blandt de ting, Datatilsynet oftest kontrollerer, og en mangelfuld politik er en hyppig anledning til kritik og påbud.
Bland dem ikke sammen:
dokument med sit eget regelsæt her på siden.
selvstændigt dokument.
En hjemmeside med kunder og medarbejdere har typisk brug for alle tre.
Litra c kræver både formålet og retsgrundlaget for hver behandling. De fleste politikker beskriver formålet grundigt (»vi bruger dine oplysninger til at levere varen«) og springer hjemlen over. Men retsgrundlaget — samtykke, aftale, retlig forpligtelse eller legitim interesse — er en selvstændig oplysning i samme sætning.
En hurtig test: kan I for hver behandling i politikken pege på hjemlen i artikel 6? Kan I ikke, mangler litra c.
Tredjelandsoverførsel. En amerikansk hostingudbyder eller et globalt analyseværktøj indebærer en overførsel ud af EU/EØS, som skal oplyses — også selv om I ikke selv »sender« noget.
Konkret opbevaringstid. »Så længe det er nødvendigt« er ikke nok alene. Knyt den til noget: aftalens ophør, bogføringslovens 5 år, samtykkets tilbagekaldelse.
Oplysninger fra andre kilder (artikel 14). Indhenter I data fra kreditbureauer, offentlige registre eller tredjeparter, skal kilden oplyses — det er en pligt ud over artikel 13.
Oplysningerne skal gives, når oplysningerne indsamles — ikke bagefter. Derfor linkes politikken direkte fra formularen, ordren eller nyhedsbrevstilmeldingen, så den er der i det øjeblik, kunden afgiver sine oplysninger.
Definitionen af de enkelte retsgrundlag (artikel 6 og 9) i detaljer, reglerne om automatiske afgørelser og profilering (artikel 22), samtykkets nærmere krav, og artikel 14's fulde frister. Behandler I følsomme oplysninger eller foretager profilering i stort omfang, kan der være brug for en konsekvensanalyse — det har sit eget regelsæt her på siden.