Hvad en privacy policy bør gøre klart

En omfattende privacy policy har ét formål: at forklare, hvordan en tjeneste behandler personoplysninger om dig. Det betyder typisk, at du skal kunne finde svar på følgende: Hvilke typer oplysninger indsamles, hvad de bruges til, hvor længe de opbevares, om de deles med andre, og hvordan du kan udøve dine rettigheder.

Du kan ikke altid konkludere alt alene ud fra ordlyden, men du kan kontrollere, om dokumentet er tilstrækkeligt konkret til, at du kan forstå konsekvenserne af at bruge tjenesten. Hvis oplysningerne er meget generelle, eller hvis vigtige felter mangler (for eksempel opbevaring eller deling), bør det påvirke din vurdering.

Et enkelt model: 6 kontrolpunkter du kan tjekke

Brug denne enkle model til at læse dokumentet systematisk. Start fra “datatilgangen” og bevæg dig mod “dine muligheder”:

  1. Datatyper: Hvilke oplysninger nævnes? Det kan være kontaktdata, loginoplysninger, tekniske data (som enheds- eller logoplysninger) og eventuelt oplysninger fra formularer eller interaktioner.

  2. Formål: Hvad skal oplysningerne bruges til? Kig efter konkrete formål som drift, sikkerhed, personalisering, kommunikation eller analyse. Jo tydeligere formål, jo lettere er det at vurdere relevans.

  3. Retsgrundlag/grundlag for behandling: Dokumentet bør forklare, hvad der gør behandlingen lovlig. Du behøver ikke kunne lovteksten, men du bør kunne se, om grundlaget skifter efter aktivitetstype.

  4. Deling og datamodtagere: Beskriver politikken, om oplysninger deles med leverandører, partnere eller myndigheder? Hvis der nævnes kategorier af modtagere, bør der også være en begrundelse for, hvorfor delingen er nødvendig.

  5. Opbevaring og sletning: Hvilke kriterier gælder for, hvor længe data gemmes? Ofte angives enten tidsrum eller begrundelser for, hvornår data slettes/arkiveres.

  6. Dine rettigheder og valg: Kan du få indsigt, berigtigelse, sletning eller indsigelse—og hvordan? Kig efter praktiske beskrivelser af processen samt eventuelle undtagelser.

Hvad “omfang” betyder: detaljer, undtagelser og forskelle i praksis

Når du søger efter “omfattende”, bør du især kigge efter, at dokumentet dækker både det generelle og det konkrete.

Datadækning: Nogle politikker beskriver kun de data, der indsamles “direkte”, men uddyber ikke tekniske signaler som logdata eller cookie/trackere. Hvis det mangler, kan du ende med et ufuldstændigt billede.

Undtagelser: Selv når der står, at du kan få data slettet eller gøre indsigelse, kan der være begrænsninger. Typisk kan sådanne begrænsninger handle om lovkrav, sikkerhed, eller nødvendigheden af at håndtere bestemte legitime behov. Det vigtige er, at undtagelserne er forklaret, ikke at de “findes”.

Forskelle mellem behandlingsformer: Politik kan skelne mellem behandling til drift/sikkerhed og behandling til markedsføring, profilering eller analyse. Hvis dokumentet blander formål uden at skelne, bliver vurderingen sværere.

Udenlandske overførsler (hvis relevant): Hvis en tjeneste har infrastruktur eller partnere på tværs af lande, bør det i det mindste beskrives på et overordnet niveau. Du kan ikke altid vurdere den konkrete risikoprofil ud fra politikken, men du bør kunne se, om der overføres data, og hvilken ramme der nævnes.

Praktisk brug: Sådan kan du kontrollere, om teksten matcher din forventning

Du kan bruge et par konkrete “checkspørgsmål” for at teste, om privacy policy’en faktisk hjælper dig.

  • Kan du gentage dokumentets kerne i dine egne ord? Hvis du ikke kan forklare, hvilke data der behandles og hvorfor, så er dokumentet for uklart til at være “omfattende” i praksis.
  • Står der noget om opbevaring? Hvis opbevaring kun beskrives meget vagt, bør du være opmærksom på, at din mulighed for at forstå sletteadfærd er begrænset.
  • Er deling forklaret som mere end en generel sætning? “Vi kan dele med partnere” uden kategorier, formål eller rammer gør det svært at vurdere, hvad der sker.
  • Er dine rettigheder skrevet som handlinger, ikke kun som principper? Find frem til, hvordan du konkret anmoder, og om der nævnes tidsrammer eller undtagelser.
  • Stemmer valg ved cookies/trackere med din adfærd? Hvis dokumentet omtaler trackere, bør der også være forklaringer om fravalg eller styring, hvor det er relevant.

Til sidst: Hvis du oplever uoverensstemmelse mellem det, tjenesten beskriver, og det du praktisk kan gøre (for eksempel adgang til sletning eller kontaktmuligheder), er det en indikator for, at du bør være mere forsigtig eller vælge en anden løsning.

Vigtige grænser: hvad en privacy policy ikke kan garantere

Selv en “omfattende” privacy policy kan ikke alene bevise, at alt bliver behandlet præcis som teksten siger. Politikteksten beskriver ofte intentioner, rammer og procedurer, men du kan stadig møde ændringer, tekniske variationer eller undtagelser.

Desuden bør du være opmærksom på, at der kan være forskel på, hvad der står for forskellige funktioner (for eksempel login vs. browsing uden konto). Derfor er det ofte bedst at læse politikken sammen med de konkrete funktioner, du faktisk bruger.

Hvis du vil lave en hurtig, ærlig vurdering, så hold fokus på: datatyper, formål, opbevaring, deling, rettigheder og undtagelser. Manglende eller meget uklare oplysninger på disse punkter er den mest relevante “grænse”, når du skal beslutte, om dokumentet giver dig tilstrækkelig indsigt.