Personvernerklæring: dette bør norske bedrifter vite i 2026

En personvernerklæring forteller hvilke personopplysninger virksomheten din samler inn, hvorfor, hvor lenge de lagres og hvilke rettigheter de besøkende har. Kravene står i personvernforordningen artikkel 13. En mal er et greit utgangspunkt, men den må tilpasses skjemaene, verktøyene og sporingskodene du faktisk bruker på nettstedet.

De fleste som googler dette har akkurat fått en nettside levert, eller de har fått en e-post fra en kunde som spør hvor personvernerklæringen ligger. Da er spørsmålet sjelden «hva er personvern» — det er «hva må stå der, kan jeg bruke en mal, og hvor mye jobb er dette egentlig?». Vi tar det i den rekkefølgen.

Kort sagt: en personvernerklæring er dokumentasjonen på at du vet hvilke opplysninger som flyter gjennom nettstedet ditt. Den er ikke en juridisk sperre du setter opp i etterkant, men en konsekvens av hvordan siden er bygget. Derfor er dette noe vi tar opp allerede når vi planlegger å lage en ny nettside, ikke i siste liten før lansering.

Hva en personvernerklæring faktisk er – og hvorfor den ikke er en formalitet

Personvernforordningen (GDPR) gir alle rett til å vite hva som skjer med opplysningene om dem. Erklæringen er måten du oppfyller den plikten på i praksis. Datatilsynet presiserer i sin veiledning om informasjonsplikt at informasjonen skal være kortfattet, klar og tydelig, lett tilgjengelig og skrevet på et språk mottakeren forstår. Det er verdt å lese en gang til: kravet er ikke at teksten skal være juridisk fullstendig, men at den skal være forståelig for en vanlig kunde.

Det er også et tidskrav. Samler du opplysninger direkte fra personen — for eksempel via et kontaktskjema — skal informasjonen gis på innsamlingstidspunktet. Får du opplysningene fra andre kilder, for eksempel en leverandør av leads eller et register, må du informere innen rimelig tid og senest innen én måned. Mange SMB-er som kjøper inn kundelister glemmer dette helt.

Og ja — det er sanksjonert. Brudd på de registrertes rettigheter, som informasjonsplikten i artikkel 13 og 14, hører til den strengeste bøtekategorien i artikkel 83 i personvernforordningen: inntil 20 millioner euro, eller 4 % av samlet global årsomsetning, det høyeste av de to. I praksis får ikke en rørleggerbedrift i Bergen 20 millioner euro i bot for en manglende underside. Men Datatilsynet behandler klager fra privatpersoner, og en klage koster deg tid, dokumentasjonsarbeid og omdømme uansett utfall.

Dette må erklæringen inneholde etter artikkel 13

Artikkel 13 i forordningen er en ganske konkret gjennomgang. Den lister punktene du skal opplyse om når du henter opplysninger direkte fra den registrerte. Her er kravene oversatt til noe du kan bruke:

Innholdskrav og hva det betyr i praksis

• Identitet og kontaktopplysninger | Firmanavn, organisasjonsnummer, postadresse og e-post som faktisk leses
• Personvernombud | Kun hvis dere har det — de færreste SMB-er er pålagt å ha ombud
• Formål og behandlingsgrunnlag | Hvorfor du behandler opplysningene, og om grunnlaget er samtykke, avtale, rettslig forpliktelse eller berettiget interesse
• Berettiget interesse | Bruker du dette grunnlaget, må du beskrive hvilken interesse det er snakk om
• Mottakere | Hvem får tilgang: regnskapsfører, e-postleverandør, CRM, hostingleverandør, annonseplattformer
• Overføring ut av EØS | Om opplysninger sendes til tredjeland, og hvilket overføringsgrunnlag som brukes
• Lagringstid | Hvor lenge du beholder opplysningene, eller kriteriene du bruker for å bestemme det
• Rettigheter | Innsyn, retting, sletting, begrensning, dataportabilitet og innsigelse
• Rett til å trekke samtykke | Når behandlingen bygger på samtykke, med forklaring på hvordan
• Klagerett | Rett til å klage til Datatilsynet
• Er det påkrevd å oppgi opplysningene | Typisk relevant for skjemafelt merket som obligatoriske
• Automatiserte avgjørelser og profilering | Bruker du scoring eller automatisk beslutningstaking, må logikken forklares

De to punktene vi ser bli slurvet mest med er lagringstid og mottakere. «Vi lagrer opplysningene så lenge det er nødvendig» er ikke et svar — det er en omskriving av spørsmålet. Skriv heller: kontaktskjema slettes etter 12 måneder, kundedata beholdes i fem år av hensyn til bokføringsloven, nyhetsbrevabonnenter til de melder seg av.

Personvernerklæring med mal – slik bruker du den uten å gå i fella

En mal for personvernerklæring er et helt greit utgangspunkt, og vi fraråder ingen å bruke en. Problemet er ikke malen i seg selv, men at den blir liggende uendret. Det vi ser oftest når vi overtar drift av en nettside, er en erklæring som nevner Google Analytics på et nettsted som for lengst har byttet til et annet verktøy, eller som omtaler en nettbutikk bedriften aldri fikk lansert.

Hva en mal dekker, og hva den ikke dekker

Standardtekstene om rettigheter, klagerett til Datatilsynet og hvordan man trekker samtykke er stort sett like for alle. Det er den generiske delen, og den kan du trygt hente fra en mal. Det som er unikt for deg er listen over faktiske behandlinger: hvilke skjemaer finnes på siden, hvilke verktøy sender data ut av huset, hvor ligger serveren, og hvem har tilgang. Den delen finnes ikke i noen mal, fordi ingen mal vet hvordan nettstedet ditt er satt opp.

Fem spørsmål du må svare på før du fyller ut malen

• Hvilke skjemaer finnes på nettstedet, og hvor havner innsendelsene? Ofte både i en database og i en e-postinnboks — begge må nevnes.
• Hvilke tredjepartsskript kjører? Analyseverktøy, chat, kartintegrasjon, videospiller, bookingløsning og annonsepiksler.
• Hvor ligger nettstedet fysisk? Valg av webhotell og serverplassering avgjør om du må beskrive overføring ut av EØS.
• Samler du e-postadresser til nyhetsbrev? Da trenger du et eget samtykke, og det henger tett sammen med hvordan du driver markedsføring via e-post.
• Hvem er databehandlerne dine, og har du databehandleravtale med hver av dem? Leverandøren av nettsiden er nesten alltid én av dem.

Vårt råd: bruk en time på å gå gjennom disse fem punktene før du åpner malen. Da skriver du erklæringen på tjue minutter i stedet for å gjette deg gjennom den.

Informasjonskapsler og samtykke: reglene som ble strengere i 2025

Personvernerklæringen og samtykkebanneret er to forskjellige ting, og det er her flest går i surr. Erklæringen informerer. Banneret henter samtykke. Du trenger begge deler hvis nettstedet bruker sporing.

Den nye ekomloven som trådte i kraft 1. januar 2025 skjerpet kravet betydelig. Tidligere kunne norske virksomheter i praksis lene seg på at brukeren hadde godtatt gjennom nettleserinnstillingene sine. Det holder ikke lenger — samtykket må oppfylle kravene i personvernforordningen, altså være frivillig, spesifikt, informert og gitt ved en aktiv handling. Nkom har samlet reglene for informasjonskapsler på ett sted. I praksis betyr det tre ting: ingen sporingskapsler før brukeren har klikket ja, «avvis alle» skal være like lett tilgjengelig som «godta alle», og det må være mulig å ombestemme seg i etterkant.

Unntaket er kapsler som er strengt nødvendige for at tjenesten skal fungere — handlekurv, innlogging, språkvalg, lastbalansering. De trenger ikke samtykke, men de bør fortsatt beskrives i erklæringen.

Dette får direkte konsekvenser for markedsføringen. Kjører du annonsering på Facebook og Instagram med Meta-piksel, eller annonsering i Google med konverteringssporing, må disse skriptene være låst bak samtykke og bruke samtykkemodus. Vi anbefaler å teste dette skikkelig: last siden i et nytt privat vindu, avvis alt, og sjekk i nettleserens utviklerverktøy om piksler likevel fyrer. Det gjør de oftere enn folk tror. Er du usikker på hva som faktisk kjører på siden din, er en strukturert gjennomgang av hvordan du sjekker nettsider et nyttig utgangspunkt.

Det er en hyggelig bieffekt av denne ryddejobben også. Når tredjepartsskript først blir kartlagt, oppdager de fleste at halvparten av dem ikke lenger er i bruk. Å fjerne dem gir raskere sider, og ytelse er en del av teknisk søkemotoroptimalisering.

Etter Lighthouse-optimalisering (bildekomprimering, caching, opprydding i skript) forbedres ytelsesscore hos Box sine kunder typisk fra under 55 til over 80.

Hvor erklæringen skal ligge, og hvordan den holdes oppdatert

Kravet om «lett tilgjengelig» tolkes i praksis som at erklæringen skal nås fra hver eneste side. Standarden er en lenke i bunnfeltet, og i tillegg en lenke rett ved siden av samtykkeavkrysningen i skjemaene dine. På nettsider for bedrifter legger vi den som en egen underside på /personvern, med lenke fra bunnfeltet, fra samtykkebanneret og fra alle skjemaer.

• Én fast URL som ikke endres — den blir referert til i avtaler og i banneret
• Dato for sist oppdatert øverst, slik at det er synlig at dokumentet lever
• Lenke i bunnfelt på alle sider, inkludert landingssider og kampanjesider
• Egen lenke i skjemaene, ikke bare i bunnfeltet
• Kort innholdsfortegnelse hvis teksten er lengre enn en A4-side

Vedlikehold er den delen alle undervurderer. Vi mener erklæringen bør gjennomgås ved to anledninger: én gang i året som fast rutine, og hver gang dere tar i bruk et nytt verktøy som berører kundedata. Legger du inn en ny chatløsning, et bookingsystem eller et nytt e-postverktøy, er det en endring i erklæringen. Har du et fornuftig innholdsstyringssystem, tar oppdateringen fem minutter — og det er et av argumentene for å ikke la teksten ligge hardkodet i en designfil.

Hva koster det å få personvernet i orden?

Dette er kommersielt sett et lite punkt i budsjettet, men det dukker ofte opp som en ubehagelig ekstrapost rett før lansering. Her er de tre kostnadsdriverne, slik vi opplever dem i prosjektene våre:

Typiske kostnadselementer

• Tekst basert på mal, tilpasset selv | Kun intern tid, normalt 2–4 timer inkludert kartlegging av verktøy
• Samtykkeløsning (banner) | Flere leverandører har gratisnivå for små nettsteder; ellers en månedlig abonnementskostnad
• Teknisk implementering av samtykkemodus | Én til to timers arbeid hvis sporingen er satt opp ryddig fra før
• Juridisk gjennomgang | Aktuelt ved sensitive opplysninger, helsedata, barn eller profilering
• Årlig vedlikehold | Én gjennomgang i året, pluss oppdatering ved nye verktøy

For de aller fleste SMB-er er dette altså en jobb på under en dag, ikke et prosjekt. Den blir dyr først når den gjøres etterpå — når skjemaer, sporingskoder og integrasjoner allerede er bygget uten at noen tenkte på samtykke. Derfor tar vi det inn i estimatet fra start når vi setter opp prisen på en ny nettside.

Når en personvernerklæring ikke er riktig sted å starte

Det finnes situasjoner der vi fraråder å bruke tid på selve teksten først. Her er de tre vanligste.

Den første: du har ikke oversikt over hvilke opplysninger du behandler. Skriver du erklæringen før kartleggingen, ender du opp med et dokument som beskriver en virksomhet som ikke finnes. Start med behandlingsprotokollen — altså listen over hva dere faktisk gjør med personopplysninger — og la erklæringen bli et sammendrag av den.

Den andre: nettstedet skal uansett bygges om de neste månedene. Da endres skjemaer, verktøy og sporing. Skriv en kortversjon som dekker minstekravene nå, og ta den grundige runden når den nye siden lanseres. Skal du samtidig etablere en nettbutikk, kommer det uansett en rekke nye behandlinger inn — betalingsløsning, fraktleverandør, ordrehistorikk — som må beskrives fra bunnen av.

Den tredje: du behandler særlige kategorier av opplysninger. Helseopplysninger, fagforeningsmedlemskap, biometri eller opplysninger om barn krever strengere vurderinger, og noen ganger en vurdering av personvernkonsekvenser. Der stopper malene opp, og da er vårt råd å kjøpe noen timer juridisk bistand framfor å improvisere.

Slik jobber vi med dette i praksis

Når vi setter opp en ny side, gjør vi kartleggingen som en del av leveransen: vi lister opp hvert skript som lastes, kobler det til et formål, plasserer det i riktig samtykkekategori og skriver utkastet til erklæringen ut fra den listen. Deretter tester vi at ingenting fyrer før samtykke er gitt. Det er en liten del av jobben med å levere en nettside, men det er den delen som gjør at du slipper å svare på ubehagelige e-poster seks måneder senere.

Erfaringen vår er at bedrifter som tar denne runden én gang, sjelden bruker mer enn en time i året på å holde dokumentet ved like. De som utsetter den, bruker en hel arbeidsuke når spørsmålet først kommer fra en kunde eller en anbudsprosess.

Når personvernerklæring ikke er riktig valg

Vi fraråder å investere videre hvis du ikke kan måle effekt, hvis marginene ikke tåler kostnadene, eller hvis grunnlaget (produkt, side, sporning) fortsatt er ustabilt. Da er det bedre å fikse fundamentet først.