En personvernerklæring for nettsiden er den skriftlige forklaringen på hvilke personopplysninger virksomheten samler inn, hvorfor, på hvilket rettslig grunnlag, hvem som får dem, hvor lenge de lagres og hvilke rettigheter den besøkende har. Alle virksomheter som behandler personopplysninger har denne informasjonsplikten – også en småbedrift med bare et kontaktskjema.
Under går vi gjennom kravene punkt for punkt, slik Datatilsynet selv beskriver dem, og viser hva som gjelder for kontaktskjema, nyhetsbrev, nettbutikk og statistikkverktøy. Vi er hosting- og domeneleverandør, ikke advokat: dette er praktisk veiledning, ikke juridisk rådgivning.
Nøkkelfakta om personvernerklæringen
- Hvem: Alle virksomheter som behandler personopplysninger, uansett størrelse. Kravene står i personvernforordningen (GDPR) artikkel 12–14.
- Når: Informasjonen skal gis i det øyeblikket opplysningene samles inn – ikke i etterkant.
- Hvordan: Kortfattet, konkret, på klart språk og adskilt fra brukervilkårene.
- Endringer: Viktige endringer må varsles aktivt, for eksempel på e-post eller med et pop-up-vindu.
- Cookies: Siden 1. januar 2025 krever ekomloven § 3-15 et GDPR-gyldig samtykke for informasjonskapsler som ikke er strengt nødvendige.
- Pris for brukeren: Informasjonen skal alltid være gratis.
Hva er en personvernerklæring, og hvem må ha den?
Ifølge Datatilsynets veileder om informasjon og åpenhet (sist endret 28.03.2025) har alle virksomheter plikt til å behandle personopplysninger på en åpen måte. Det betyr blant annet at de må gi kort og forståelig informasjon om hvordan opplysningene behandles.
Loven bruker ikke ordet «personvernerklæring» – den sier at informasjonen skal gis. På en nettside er erklæringen den praktiske formen for å oppfylle plikten. Datatilsynet anbefaler at all informasjon om behandlingen ligger samlet på ett sted, og at den er tilgjengelig digitalt når tjenestene er digitale.
Datatilsynets egen sjekkliste for virksomheter nevner uttrykkelig «IP-adresser samlet inn gjennom virksomhetens nettside» som personopplysninger du må kartlegge. Det er derfor svært få nettsider som ikke behandler personopplysninger i det hele tatt.
Hva må en personvernerklæring på en nettside inneholde?
Innholdskravene står i GDPR artikkel 13, som er tatt inn i personopplysningsloven på Lovdata. Bruk dette som sjekkliste:
- Hvem dere er: navn og kontaktopplysninger til den behandlingsansvarlige, og personvernombudets kontaktopplysninger hvis dere har et.
- Hvilke opplysninger: kategoriene dere samler inn, og kilden når de ikke kommer fra personen selv.
- Formål: hva hver opplysning brukes til.
- Rettslig grunnlag: ett grunnlag per behandling etter artikkel 6, for eksempel avtale, rettslig forpliktelse, samtykke eller berettiget interesse. Ved berettiget interesse må dere si hvilken interesse det gjelder.
- Mottakere: hvem som får opplysningene, inkludert databehandlere.
- Overføring ut av EU/EØS: hvilke land og hvilket overføringsgrunnlag.
- Lagringstid: hvor lenge, eller hvilke kriterier som avgjør det.
- Rettigheter: innsyn, retting, sletting, begrensning, dataportabilitet, protest, tilbaketrekking av samtykke og klage til Datatilsynet.
- Plikt eller frivillig: om det er påkrevd å oppgi opplysningene, og hva som skjer hvis man lar være.
- Automatiserte avgjørelser: om dere bruker profilering eller automatiserte beslutninger.
Lagringstid og mottakere må være konkrete
Datatilsynet er tydelig på at det ikke holder å skrive at opplysningene lagres «så lenge som er nødvendig for formålet». Lagringstiden må beskrives slik at den enkelte kan vurdere hva som gjelder i sin situasjon.
Det samme gjelder mottakere. Ifølge Datatilsynet vil det «som regel» innebære at mottakerne navngis, og tredjeland utenfor EU/EØS skal normalt også navngis. Står det bare «samarbeidspartnere», er erklæringen for vag.
Rettighetene må knyttes til situasjonen
Det er ikke nok å ramse opp alle rettighetene i GDPR. Erklæringen må si hvilke som gjelder for den konkrete behandlingen, og hvordan man går fram for å bruke dem. Henvendelser om for eksempel innsyn eller sletting skal etter artikkel 12 besvares uten ugrunnet opphold og senest én måned etter at de er mottatt.
Hvordan skal erklæringen skrives?
Datatilsynets krav til form er like viktige som innholdet. Teksten skal være kortfattet, åpen, forståelig og lett tilgjengelig. Det betyr i praksis:
- Ingen juridisk eller teknisk sjargong – skriv for målgruppen, med klart språk og god struktur.
- Vær konkret. Datatilsynet sier at virksomheter bør unngå formuleringer som «vi kan bruke personopplysninger til …».
- Hold erklæringen adskilt fra annen informasjon, for eksempel brukervilkår.
- Brukeren skal ikke måtte lete eller lese store mengder tekst for å finne det som gjelder dem.
- Bruk gjerne lag: Første lag bør vise hvem dere er, formålene og rettighetene – og det som kan overraske. Detaljene kan ligge et klikk lenger ned.
Datatilsynet sier rett ut at en personvernerklæring som forsøker å gjemme viktig informasjon, er i strid med loven.
Må en liten bedrift ha personvernerklæring hvis nettsiden bare har et kontaktskjema?
Ja, informasjonsplikten gjelder også her. Et kontaktskjema samler inn navn, e-postadresse og ofte telefonnummer, og GDPR artikkel 13 krever at informasjonen gis «på tidspunktet for innsamlingen». Datatilsynet skriver at det er for sent å informere etter at opplysningene er registrert.
Den enkleste løsningen er en kort tekst rett ved skjemaet – hva opplysningene brukes til og hvor lenge de lagres – med lenke til den fullstendige erklæringen. Datatilsynet kaller dette akkurat-i-tide-informasjon. Husk også at e-posten fra skjemaet havner hos e-post- og hostingleverandøren deres, som da er databehandler. Vi har skrevet om databehandleravtale, SSL og backup i en egen guide.
Hva gjelder for nyhetsbrev, nettbutikk og statistikk?
Nyhetsbrev
Selve samtykket til å sende e-post styres av markedsføringsloven § 15: I næringsvirksomhet er det forbudt å sende markedsføring på e-post eller SMS til privatpersoner uten forutgående samtykke. Unntaket er eksisterende kunder som har gitt adressen ved et kjøp, og da bare for egne, tilsvarende varer og tjenester. Personvernerklæringen forklarer resten: hvilket verktøy som sender brevet, hvor lenge adressen lagres og hvordan man melder seg av.
Nettbutikk
En nettbutikk har flere behandlinger, og hver trenger sitt formål og grunnlag. Ordrebehandling skjer typisk for å oppfylle avtalen med kunden, mens oppbevaring av regnskapsbilag er en rettslig forpliktelse. Betalingsløsning, fraktleverandør og regnskapssystem er mottakere som bør navngis. Ved kontoregistrering passer akkurat-i-tide-informasjon godt.
Statistikk- og sporingsverktøy
Datatilsynets veileder om samtykke til informasjonskapsler og sporingsteknologier (sist endret 03.04.2025) har en klar tommelfingerregel: Bruker du sporingsverktøy på nettsiden, behandler du personopplysninger. Hashet eller «avidentifisert» betyr ikke anonymt. Klarer du ikke å forklare folkelig hva verktøyet gjør, kan du heller ikke bruke det, ifølge tilsynet.
Hvordan henger cookiebanneret sammen med personvernerklæringen?
Ekomloven § 3-15 trådte i kraft 1. januar 2025. Den forbyr å lagre eller hente opplysninger på brukerens utstyr uten at brukeren er informert om blant annet hvilke opplysninger som behandles, formålet og hvem som behandler dem – og uten samtykke som oppfyller kravene i GDPR. Regelen er teknologinøytral og gjelder uansett om det er personopplysninger eller ikke.
Unntakene er snevre. Det viktigste for vanlige nettsider gjelder kapsler som er strengt nødvendige for å levere en tjeneste brukeren uttrykkelig har bedt om – og bare der kapselen er en forutsetning for tjenesten. Statistikk og markedsføring faller normalt utenfor. Nkom vurderer om en teknisk løsning er unntatt, mens Datatilsynet vurderer informasjonen og samtykket.
Koblingen til erklæringen er direkte. Datatilsynet anbefaler en tydelig lenke fra samtykkebanneret til en erklæring med fullstendig informasjon, og en fast lenke nederst på siden der samtykket kan trekkes tilbake når som helst. Det skal være like lett å si nei som å si ja, og scrolling eller et klikk på «X» er ikke samtykke.
Hvor ofte må personvernerklæringen oppdateres?
Verken loven eller Datatilsynets veiledere vi har lest setter en fast frekvens. Kravet er at erklæringen er riktig til enhver tid. Den må altså oppdateres når dere får nye formål, nye verktøy, nye mottakere eller endret lagringstid, og Datatilsynet ber virksomheter jevnlig gjennomgå bruken av sporingsteknologi.
Viktige endringer må kommuniseres til den enkelte, og jo mer inngripende endringen er, jo tidligere bør varselet komme. Skrivefeil trenger ikke varsles. Ifølge Datatilsynet er det ikke i tråd med loven å skrive at brukeren selv har ansvar for å sjekke etter endringer. Vårt råd er en fast gjennomgang i kalenderen, for eksempel én gang i året – men det er en god rutine, ikke et lovkrav.
Hvilke feil ser vi oftest?
Når vi flytter nettsteder, kjenner vi igjen et mønster: Erklæringen ble skrevet da siden ble lansert, mens chatmodulen, sporingspikselen eller nyhetsbrevverktøyet kom til senere. Andre gjengangere:
- En mal der hakeparenteser og eksempeltekst aldri ble byttet ut.
- «Vi kan bruke opplysningene til …» i stedet for hva dere faktisk gjør.
- Lagringstid oppgitt som «så lenge som nødvendig».
- Mottakere beskrevet som «utvalgte partnere» uten navn.
- Erklæringen er bakt inn i kjøpsvilkårene.
Konsekvensene kan være reelle. Ifølge Datatilsynet (12. juni 2025) delte alle seks nettsteder de undersøkte besøkendes personopplysninger ulovlig gjennom sporingspiksler. Ett fikk et overtredelsesgebyr på 250 000 kroner, de fem andre irettesettelser. Tilsynet fant også brudd på informasjonsplikten, blant annet at besøkende fikk uriktig informasjon om at de var anonyme.
Slik gjør vi det selv
Vår egen personvernerklæring følger samme oppbygging: behandlingsansvarlig med organisasjonsnummer og kontaktadresse, opplysningene vi behandler, formål med rettslig grunnlag per formål, navngitte mottakere og databehandlere, overføringsgrunnlag utenfor EU/EØS og lagringstid. Bruk den gjerne som inspirasjon til struktur, men skriv deres egen tekst – innholdet må beskrive deres behandlinger.
For innholdet på et webhotell er det kunden som er behandlingsansvarlig, mens vi er databehandler. Står personvernerklæring på oppstartslisten deres, finner dere resten av punktene i vår digitale sjekkliste for å starte bedrift.
Ofte stilte spørsmål
Kan jeg bruke en mal for personvernerklæring?
Ja, som utgangspunkt. Datatilsynet krever at teksten er konkret, så malen må fylles ut med deres egne formål, mottakere og lagringstider. En ufullstendig mal oppfyller ikke kravene.
Må personvernerklæringen og cookie-erklæringen være samme dokument?
Nei, Datatilsynet snakker om «en erklæring eller tilsvarende». Det viktige er en tydelig lenke fra cookiebanneret og nederst på siden, og tilsynet anbefaler å samle all informasjon på ett sted.
Trenger jeg samtykke for statistikkverktøy?
Som hovedregel ja, fordi statistikk-cookies ikke er strengt nødvendige for tjenesten brukeren ber om. Om en bestemt teknisk løsning er unntatt, avgjør Nkom konkret.
Hva skjer hvis personvernerklæringen mangler eller er feil?
Datatilsynet kan gi irettesettelse, pålegg eller overtredelsesgebyr. I tilsynet med sporingspiksler i 2025 fikk ett nettsted gebyr og fem fikk irettesettelse, og tilsynet varslet at reaksjonene kan bli mye strengere.
Må personvernerklæringen være på norsk?
Datatilsynet krever at teksten er forståelig for målgruppen. Henvender nettsiden seg til norske besøkende, er vårt råd derfor å skrive den på norsk.