Privatlivspolitik til din hjemmeside: eksempel, cookies og det, Datatilsynet forventer

Du har bygget hjemmesiden med AI. Den virker, den ser rigtig ud, og værktøjet har måske endda lavet en side, der hedder »Privatlivspolitik«. Spørgsmålet er, om den beskriver din hjemmeside – og om du i det hele taget skal have et cookie-banner. Det her indlæg svarer på begge dele på almindeligt dansk, med et eksempel på en privatlivspolitik, du kan tage udgangspunkt i.

Vi er ikke advokater. Det her er det, vi selv tjekker, når vi sætter en hjemmeside i drift for en kunde, og det, Datatilsynet og Digitaliseringsstyrelsen selv skriver i deres fælles vejledning. Er du i tvivl om noget konkret, så spørg en rådgiver.

Skal din hjemmeside have en privatlivspolitik?

Ja, hvis den behandler personoplysninger – og det gør næsten alle. En kontaktformular, et login, et nyhedsbrev, en bestilling, en besøgsstatistik: Alt sammen er personoplysninger i GDPR's forstand. Så snart du indsamler noget om en person, har du oplysningspligt. Du skal fortælle, hvad du indsamler, hvorfor, og hvad personen kan gøre ved det. Privatlivspolitikken er der, du fortæller det.

En ren visitkort-hjemmeside uden formular, uden login og uden statistik kan i princippet nøjes med et par linjer om serverlog og hosting, for selv den gemmer IP-adresser i loggen. Men den dag du sætter en kontaktformular på, er den ikke ren længere.

Privatlivspolitik eksempel: de ni punkter, der skal med

GDPR's artikel 13 siger, hvad du skal oplyse. Her er listen i det sprog, du kan bruge på din egen side:

1. Hvem der er ansvarlig. Dit firmanavn, CVR-nummer, adresse og en mailadresse, der bliver læst. Har du en databeskyttelsesrådgiver, skal vedkommendes kontaktoplysninger også med; det har de færreste små virksomheder.
2. Hvilke oplysninger du indsamler. Navn, mail, telefon, det, folk skriver i formularen, IP-adresse, login-oplysninger. Skriv det, din hjemmeside faktisk gemmer – ikke en generel liste.
3. Hvad du bruger dem til. At svare på henvendelser, levere det, kunden har bestilt, sende nyhedsbrev, forbedre hjemmesiden.
4. Hvad der giver dig lov til det. Typisk »aftalen med dig«, »vores legitime interesse i at …« eller »dit samtykke«. Samtykke skal kunne trækkes tilbage lige så let, som det blev givet.
5. Hvem der ellers ser oplysningerne. Din hostingudbyder, din mailtjeneste, dit betalingssystem, dit statistikværktøj – og om nogen af dem ligger uden for EU.
6. Hvor længe du gemmer dem. En periode eller en regel: »indtil sagen er afsluttet«, »fem år efter udgangen af det regnskabsår, købet hører til, som bogføringsloven kræver«.
7. Hvilke rettigheder personen har. Indsigt, rettelse, sletning, begrænsning, dataportabilitet og indsigelse – og hvordan man bruger dem (skriv til mailadressen i punkt 1).
8. At man kan klage til Datatilsynet, med et link til datatilsynet.dk.
9. Om du bruger automatiske afgørelser eller profilering. De fleste små hjemmesider: nej. Men skriv det.

Sådan kan punkt 2 til 6 se ud for en kontaktformular:

Når du skriver til os gennem kontaktformularen, gemmer vi dit navn, din mailadresse og det, du skriver. Vi bruger oplysningerne til at svare dig og til at følge op på din henvendelse. Grundlaget er vores legitime interesse i at besvare henvendelser (GDPR artikel 6, stk. 1, litra f). Formularen sendes gennem [mailtjeneste], som behandler oplysningerne på vores vegne [i EU / i USA under EU's standardkontraktbestemmelser – tjek, hvad der gælder for din tjeneste]. Vi gemmer henvendelsen i op til 12 måneder, medmindre den fører til en aftale.

Skriv resten på samme måde: ét afsnit pr. sted, hjemmesiden indsamler noget. Det er langt bedre end én side, der dækker alt, hvad en hjemmeside kunne finde på at gøre.

Cookies og cookie-banner: hvornår skal du spørge?

Cookie-reglerne er en anden lov end GDPR (cookiebekendtgørelsen, som Digitaliseringsstyrelsen holder øje med), men svaret er enkelt: Du må kun sætte cookies – eller noget tilsvarende, for eksempel pixels og det, browseren gemmer lokalt – uden at spørge, hvis de er nødvendige for, at hjemmesiden virker. Det er cookien, der holder dig logget ind, eller den, der husker din kurv. Alt andet kræver samtykke, før cookien sættes: statistik, markedsføring, indlejrede videoer, kort og chat-widgets.

Samtykket skal være et aktivt valg. Et banner, der siger »ved at bruge siden accepterer du cookies«, er ikke samtykke. Det skal være lige så let at sige nej som at sige ja, man skal kunne se, hvilke cookies der er tale om og til hvad, og man skal kunne skifte mening senere. Datatilsynet og Digitaliseringsstyrelsen har en fælles vejledning om cookies fra maj 2025, der dækker både banneret og samtykket. Den er skrevet til ejeren, ikke til jurister.

Så: Har din hjemmeside kun login- og kurv-cookies, behøver du ikke et banner – men du skal stadig nævne cookies i privatlivspolitikken. Har den statistik eller noget indlejret, skal du have et banner, og det skal holde cookierne tilbage, indtil der er sagt ja.

Datatilsynet og Digitaliseringsstyrelsen: hvem holder øje med hvad

Datatilsynet fører tilsyn med GDPR – altså privatlivspolitikken, rettighederne og den måde, du behandler oplysningerne på. Digitaliseringsstyrelsen fører tilsyn med cookiereglerne (det var Erhvervsstyrelsen indtil december 2022, så ældre artikler siger stadig det). I praksis mødes de i cookie-banneret: Hvad der sættes, er Digitaliseringsstyrelsens, og hvad der sker med oplysningerne bagefter, er Datatilsynets. Det er også derfor, et cookie-banner og en privatlivspolitik ikke erstatter hinanden.

Det, AI-værktøjet skriver – og det, du selv skal rette

Beder du Lovable, ChatGPT eller et andet værktøj om en privatlivspolitik, får du en. Den er på godt dansk, ser rigtig ud og beskriver, hvad en typisk hjemmeside gør. Tre ting går som regel galt:

• Den nævner ting, din hjemmeside ikke gør (»vi bruger Google Analytics«, »vi deler oplysninger med vores partnere«), og mangler det, den faktisk gør – for eksempel den AI-tjeneste, formularen sender til.
• Den nævner ikke de tjenester, værktøjet selv har koblet på: hvor databasen ligger, hvem der sender mails, hvor filerne gemmes. Det er præcis de modtagere, punkt 5 handler om.
• Den sætter et cookie-banner ind, der ser rigtigt ud, men ikke holder noget tilbage. Cookierne sættes, før man har svaret.

Det er ikke værktøjets skyld. Det ved ikke, hvad din hjemmeside gør, før du fortæller det. Spørg det derfor direkte: »Lav en liste over alle tjenester, den her hjemmeside sender oplysninger til, og hvilke oplysninger.« Den liste er råmaterialet til punkt 2 og 5.

Tjekliste, før du udgiver

• Privatlivspolitikken beskriver din hjemmeside, punkt for punkt – ikke en typisk hjemmeside.
• Firmanavn, CVR-nummer og en mailadresse, der bliver læst, står øverst.
• Hver tjeneste, hjemmesiden sender oplysninger til, er nævnt, og du ved, om den er i EU.
• Datatilsynet er nævnt som klagemulighed.
• Kun nødvendige cookies sættes, før der er sagt ja – og nej er lige så let som ja.
• Du kan selv finde det sted, hvor man ændrer sit cookie-valg.
• Siden er linket fra bunden af alle sider.
• Og når du alligevel er i gang: de fem ting, du bør tjekke, før du deler din hjemmeside.

Går det her over hovedet på dig, er det en del af det, vi gør, når vi sætter en hjemmeside i drift: Vi finder de tjenester, hjemmesiden taler med, skriver privatlivspolitikken, så den passer til dem, og sætter et cookie-banner op, der holder, hvad det lover. Det hører til lanceringen, og det starter med et gratis tjek på 25 minutter.