Privatlivspolitik: hvad den skal indeholde – punkt for punkt

Kort svar: Privatlivspolitikken skal fortælle, hvem I er, hvilke personoplysninger I behandler, til hvilke formål og på hvilket retsgrundlag, hvor længe de opbevares, hvem de deles med (herunder overførsler ud af EU/EØS), og hvilke rettigheder den registrerede har – inklusive retten til at klage til Datatilsynet. Det følger af oplysningspligten i GDPR artikel 13 og 14. Skriv den ud fra jeres faktiske behandling, ikke fra en tilfældig skabelon: en politik, der nævner systemer, I ikke bruger, eller udelader dem, I bruger, giver et forkert billede og hjælper hverken kunden eller jer.

Fagligt gennemgået: 2. oktober 2026

Privatlivspolitikken er det dokument, flest kopierer og færrest læser – indtil en kunde, en konkurrent eller Datatilsynet gør. Den gode nyhed er, at en ærlig politik for en typisk dansk SMV-hjemmeside kan skrives på en eftermiddag, når du først har kortlagt dine egne datastrømme.

Her er rækkefølgen: kortlæg først, skriv derefter punkt for punkt, og hold politikken sand bagefter. Artiklen er en praktisk vejledning, ikke juridisk rådgivning. Behandler I følsomme oplysninger (fx helbred) eller data om børn, så få politikken gennemgået af en rådgiver.

1. Kortlæg dine datastrømme

Før der skrives ét ord, skal du have listen over, hvor persondata faktisk flyder. Typisk for en dansk SMV-side:

• Kontakt- og formulardata fra kontaktformularer, tilbudsforespørgsler og chat.
• Ordre- og kundedata i WooCommerce: navn, adresse, købshistorik og betalingsoplysninger via gatewayen.
• Nyhedsbrevstilmeldinger og den platform, der sender dem.
• Statistik og cookies, jf. guiden om cookiebanneret.
• Serverlogs og backup hos hostingudbyderen.
• Indlejrede tredjeparter som kort, videoer, chatwidgets og eksterne fonte.
• Det, der ikke står på hjemmesiden, men stadig er jeres ansvar: jobansøgninger, mails og leverandørkontakter.

Notér for hver linje: hvilke oplysninger, hvorfor, hvilket system, hvem der har adgang, og hvor længe de gemmes. Listen er politikkens råstof – og samtidig grundlaget for jeres fortegnelse over behandlingsaktiviteter.

2. Skriv punkterne, politikken skal indeholde

GDPR artikel 13 (når I indsamler oplysningerne direkte fra personen) og artikel 14 (når I får dem fra andre) fastlægger, hvad den registrerede skal have at vide. Omsat til en privatlivspolitik:

• Dataansvarlig: virksomhedens navn, CVR-nummer og kontaktoplysninger – og kontaktoplysninger på en databeskyttelsesrådgiver (DPO), hvis I har en.
• Formål og retsgrundlag pr. behandling: fx ordrehåndtering (aftale), bogføring (retlig forpligtelse), nyhedsbrev (samtykke) og statistik (samtykke eller legitim interesse, afhængigt af løsningen). Bruger I legitim interesse, skal interessen beskrives.
• Kategorier af oplysninger: især når oplysningerne ikke kommer fra personen selv, skal det fremgå, hvilke typer og hvorfra.
• Modtagere: kategorier af databehandlere og andre modtagere – hosting, mail, betaling, fragt, regnskab. Navngivne leverandører øger troværdigheden.
• Tredjelandsoverførsler: om data forlader EU/EØS, og på hvilket grundlag, fx en tilstrækkelighedsafgørelse eller standardkontraktbestemmelser.
• Opbevaringsperiode: hvor længe oplysningerne gemmes, eller kriterierne for det. Regnskabsmateriale skal efter bogføringsloven gemmes i 5 år fra udgangen af det regnskabsår, det vedrører, jf. guiden om bogføringsloven.
• Rettigheder: indsigt, berigtigelse, sletning, begrænsning, indsigelse og dataportabilitet – samt retten til at trække et samtykke tilbage.
• Klageadgang: at man kan klage til Datatilsynet.
• Krav om oplysninger: om det er et lovkrav eller nødvendigt for en aftale at give oplysningerne, og hvad konsekvensen er, hvis man ikke gør.
• Automatiske afgørelser og profilering: om det forekommer, og i så fald hvordan.

3. Strukturér efter situation, ikke efter paragraf

Den mest læsbare opbygning følger brugerens situation: „Når du kontakter os“, „Når du handler hos os“, „Når du tilmelder dig nyhedsbrevet“, „Når du besøger hjemmesiden“. Under hver overskrift beskriver du oplysninger, formål, retsgrundlag, modtagere og opbevaring. En tabel kan give overblik:

Situation	Oplysninger	Retsgrundlag	Opbevaring
Kontaktformular	Navn, mail, besked	Legitim interesse i at besvare henvendelsen	En konkret frist, I selv fastsætter og kan forklare
Køb i webshop	Navn, adresse, ordre, betalingsstatus	Aftale og retlig forpligtelse (bogføring)	Bogføringsdata: 5 år fra regnskabsårets udgang
Nyhedsbrev	Mail, evt. navn, tilmeldingsdokumentation	Samtykke	Til afmelding, plus dokumentation for samtykket
Statistik og cookies	Afhænger af værktøj og opsætning	Samtykke via cookiebanner, hvor det kræves	Som angivet i cookiedeklarationen

Tabellen er et eksempel på formen, ikke et facit. Retsgrundlag og frister skal passe til jeres egen behandling.

Sprog og form

GDPR artikel 12 kræver, at oplysningerne gives i en „kortfattet, gennemsigtig, letforståelig og lettilgængelig form“ i et klart og enkelt sprog – det modsatte af 4.000 ord juratekst. Skriv almindeligt dansk, brug konkrete systemnavne, og link politikken fra footeren, formularerne og cookiebanneret.

Sælger I til andre markeder, bør politikken findes på de sprog, kunderne handler på – en naturlig del af lokaliseringsarbejdet. Og læg den som en almindelig, hurtig underside frem for en PDF, så den kan læses på mobilen og findes af søgemaskiner.

Faldgruberne

• Skabelonarv: politikken nævner et nyhedsbrevssystem eller en analyseplatform, I ikke bruger. Kopierede politikker beskriver en anden virksomheds datastrømme.
• Glemte behandlinger: jobansøgninger, chatbots, videoovervågning og mails glemmes oftest.
• Vage opbevaringsfrister: „så længe det er nødvendigt“ uden konkretisering opfylder ikke kravet om at oplyse perioden eller kriterierne for den.
• Uenighed med cookiebanneret: bannerets kategorier og politikkens afsnit skal fortælle samme historie.
• Ingen dato: sæt altid „Senest opdateret“ – det viser, at dokumentet vedligeholdes.
• Rettigheder uden rutine: lover politikken indsigt og sletning, skal der findes en intern rutine, der kan levere inden for fristen.

Vedligehold: hold politikken sand

En privatlivspolitik er ikke et dokument, man skriver én gang – det er et dokument, man holder sandt. Afvigelserne opstår stille: I skifter nyhedsbrevssystem, formularerne får et nyt felt, eller et plugin begynder at sætte cookies, ingen har beskrevet.

Opdatér politikken samme uge, som virkeligheden ændrer sig: nyt mailsystem, ny fragtpartner, ny tracking. Læg en fast gennemgang ind i jeres rutiner, fx sammen med tjeklisten over lovkrav, og gem gamle versioner med dato. Ved en klage er „hvad stod der dengang?“ et spørgsmål, du vil kunne besvare.

Kobl samtidig politikken til virkeligheden bag: hver rettighed, politikken nævner, skal have en ejer og en fremgangsmåde. Løftet på siden og rutinen bagved er ét system – går de fra hinanden, er politikken ikke længere dokumentation, men en risiko.

Når nogen bruger deres rettigheder

Efter GDPR artikel 12 skal en anmodning om fx indsigt eller sletning besvares uden unødig forsinkelse og som udgangspunkt senest inden for en måned. Den frist er nem at overskride, hvis ingen ved, hvem der ejer opgaven.

• Angiv én kontaktadresse i politikken, fx en fælles mailadresse, som flere kan se.
• Skriv ned, hvor oplysningerne ligger, så I kan finde dem i webshop, mailsystem, nyhedsbrev og regnskab.
• Bekræft personens identitet, før I udleverer oplysninger.
• Husk, at sletning ikke omfatter oplysninger, I er forpligtet til at gemme, fx bogføringsmateriale.

Hvor bor siden teknisk?

Selve privatlivspolitikken er en almindelig side på hjemmesiden. Men den skal beskrive den tekniske virkelighed: hvor hjemmesiden hostes, hvor backup ligger, og hvilke tredjeparter der indlæses. Spørg derfor din hostingudbyder om serverplacering og databehandleraftale, og skriv svaret ind. Hos Hostious er der tale om en dansk virksomhed med servere i Europa, og du kan få svar fra dansk support døgnet rundt.

Læs også

• Hub: Lovkrav til hjemmesider og webshops
• Databehandleraftale med dit hostingfirma: det skal du tjekke
• GDPR i formularer: hvad du må gemme, og hvor længe
• Cookiebanner efter reglerne: samtykke, der er lovligt og brugbart
• Webhotel hos Hostious – dansk virksomhed med servere i Europa

Ofte stillede spørgsmål om privatlivspolitik

Er en privatlivspolitik lovpligtig?

Oplysningspligten er: behandler du persondata via formularer, ordrer eller statistik, skal de registrerede informeres om punkterne i GDPR artikel 13 og 14. En privatlivspolitik på sitet er den praktiske måde at gøre det på.

Kan jeg bruge en skabelon?

Som struktur, ja – men indholdet skal afspejle dine egne datastrømme og leverandører. Kortlæg først, skriv derefter, og slet alt, der ikke passer på jer.

Hvor tit skal politikken opdateres?

Når behandlingerne ændres – nyt system, ny leverandør, nyt formål – og ellers ved en fast, planlagt gennemgang. Sæt altid en „senest opdateret“-dato, og gem tidligere versioner.

Skal privatlivspolitikken nævne vores leverandører ved navn?

GDPR kræver som minimum, at modtagerne eller kategorierne af modtagere oplyses. Navngivne leverandører giver dog et mere præcist og troværdigt billede, især når det gælder overførsler ud af EU/EØS.