Hva må stå i personvernerklæringen?

Kravene står i personvernforordningen artikkel 13, som gjelder når dere henter opplysningene fra personen selv, og artikkel 14, som gjelder når dere har fått dem fra andre.

De fjorten punktene

Om virksomheten

1. Hvem som er behandlingsansvarlig, med kontaktopplysninger
2. Representant, dersom virksomheten er etablert utenfor EØS
3. Personvernombud, dersom dere har et

Om behandlingen

4. Hva formålet er
5. Hvilket behandlingsgrunnlag som brukes
6. Hvilken berettiget interesse, dersom det er grunnlaget
7. Hvor lenge opplysningene lagres, eller hvordan lagringstiden fastsettes

Om hvem som får se dem

8. Mottakere, eller kategorier av mottakere
9. Om opplysningene overføres ut av EØS
10. Hvilket grunnlag overføringen bygger på

Om rettighetene til den registrerte

11. Rett til innsyn, retting, sletting, begrensning, dataportabilitet og protest
12. Rett til å trekke tilbake samtykke, der samtykke er grunnlaget
13. Rett til å klage til Datatilsynet

Om automatikk

14. Om det treffes automatiserte avgjørelser, med informasjon om logikken og konsekvensene

Henter dere opplysninger fra andre enn personen selv, kommer det i tillegg krav om å oppgi hvilke kategorier opplysninger det gjelder, hvor de kommer fra, og informasjonen må gis innen rimelig tid, normalt innen én måned.

Punktet alle hopper over

Punkt 8 og 9: hvem får se opplysningene, og havner de utenfor EØS?

Har nettsiden Google Analytics, er Google en mottaker, og opplysningene sendes ut av EØS. Har den en Facebook-piksel, er Meta en mottaker. Har den et innebygd YouTube-vindu, en kartløsning, eller en skriftfil som lastes fra Google Fonts, er det også deling.

De fleste personvernerklæringer nevner ingen av delene. Det er ikke en formalitet. Det er selve informasjonen den besøkende trenger for å ta stilling.

Saken som viser hva dette koster

I juni 2025 førte Datatilsynet tilsyn med seks norske nettsteder som brukte sporingspiksler. Kristiansand kommune fikk overtredelsesgebyr på 250 000 kroner for Alarmtelefonen for barn og unge.

Bruddene var tre: manglende rettslig grunnlag, informasjon som ikke var klar og forståelig, og brudd på informasjonsplikten i artikkel 13.

Det som er verdt å merke seg for alle som skal skrive en erklæring:

• Nettstedet hadde ingen samtykkemekanisme i det hele tatt
• Personvernerklæringen hevdet at data var «helt anonymisert», mens IP-adresser og enhetsinformasjon faktisk ble registrert
• Erklæringen nevnte hverken pikslene eller tredjepartsdelingen
• Språket var for teknisk for målgruppen, som var barn mellom 7 og 18 år

Den tredje kulen er den vanligste. Den andre er den farligste, fordi den gjør erklæringen til en uriktig opplysning, ikke bare en mangelfull en.

Må den ligge på nettsiden?

Formelt krever artikkel 13 at informasjonen gis, ikke at den ligger på et bestemt sted. Men Datatilsynet er tydelig på forventningen: er tjenestene tilgjengelige elektronisk, forventes informasjonen å være tilgjengelig digitalt.

Datatilsynet aksepterer lagdelt informasjon. Det betyr at dere kan ha et kort førstelag med formål, hvem dere er, rettighetene og det som eventuelt er overraskende, og en lenke videre til den fullstendige erklæringen. En kort setning ved kontaktskjemaet om hva som skjer med det man sender inn, er også en gyldig form.

Det er verdt å bruke. En erklæring på fire skjermlengder blir ikke lest av noen.

Særlig for skoler

To ting går igjen.

Feil behandlingsansvarlig. For en offentlig grunnskole er det kommunen, for videregående fylkeskommunen. Bare private skoler er selv behandlingsansvarlige. Står skolens eget navn på en kommunal skoleside, er det feil.

Erklæringen dekker nettsiden, men ikke skolehverdagen. Datatilsynets tilsyn med 50 kommuner i 2025 handlet ikke om nettsider i det hele tatt. Det handlet om læringsverktøy, og funnene var systematiske: manglende oversikt over hvilke verktøy som er i bruk, manglende databehandleravtaler, og en utbredt misforståelse om at Feide-innlogging i seg selv er en personverngodkjenning. Det er det ikke. Feide er en innloggingsløsning.

Datatilsynet har varslet nye stedlige tilsyn med grunnskoler våren 2026, der ett av temaene er informasjonen som gis til elever og foreldre.

Slik ville jeg gått fram

1. Kartlegg først. Åpne nettsiden i et privat vindu, trykk F12 og se i Nettverk-fanen hvilke eksterne tjenester som faktisk lastes. Det er mottakerlisten deres.
2. Skriv erklæringen fra den listen, ikke fra en mal.
3. Bruk et språk mottakeren forstår. På en skoleside er leseren en forelder, ikke en jurist.
4. Sett en dato på den, og gå gjennom den når noe endres på siden.

Kort oppsummert

• Fjorten punkter, hvorav mottakere og overføring ut av EØS er de som oftest mangler
• En erklæring som ikke stemmer, er verre enn ingen erklæring
• Datatilsynet aksepterer lagdelt informasjon, og det bør dere bruke
• Behandlingsansvarlig for en offentlig skole er kommunen, ikke skolen
• Kartlegg hva som faktisk lastes, før dere skriver

Vil dere ha listen over hvilke eksterne tjenester deres egen side faktisk laster, måler jeg det og sender den. Det koster ingenting, og det følger ingen forpliktelser med.