En stor misforståelse jeg hører ift. persondatabeskyttelse – GDPR – er, at en “persondatapolitik er fin nok, så klarer jeg mig”.
Det er desværre ikke korrekt.
Faktisk er det ikke lovpligtigt, at du har en persondatapolitik/privalivspolitik-dokument, men…
Du har pligt til at oplyse, hvordan du indhenter, opbevarer og håndterer data
Når du modtager data om din kunde eller f.eks. nyhedsbrevlæsere, så skal du kunne beskrive, hvordan og hvorfor du indhenter, opbevarer og håndterer disse data.
Det skal du gøre i et dokument, og det skal være synligt på din hjemmeside.
Hvad du kalder dette dokument, er ikke afgørende – det afgørende er, hvad du beskriver som din procedure for de data, du får ind.
Der er altså ikke en regel om, at du skal kalde det persondatapolitik eller privatlivspolitik – du kan kalde det, hvad du vil – men proceduren skal du beskrive.
For mig, giver det dog god mening at døbe denne beskrivelse et af de to muligheder, fordi det jo er, hvad indholdet handler om.
Det handler om, at du skal overholde din oplysningspligt overfor dine følgere/læsere/kunder.
Oplysningspligten
Når du indhenter oplysninger – det kan være
• navn
• adresse
• emailadresse
• telefonnummer
• m.v.
– skal du på eget initiativ give vedkommende, der afgiver informationer, viden om, hvad du så gør med disse data. Det skal du oplyse.
Som udgangspunkt er det bedst, at du oplyser om dette skriftligt (persondatapolitikken), da du så let kan bevise, at du efterlever din oplysningspligt.
Hvis du give disse informationer mundtligt, skal du stadig kunne bevise, at du har informeret din kunde herom – og det er svært uden en persondatapolitik (eller hvad du vælger at kalde dit dokument).
Det er ikke nok med en persondatapolitik
Du kan dog ikke nøjes med blot at udarbejde politikken.
Du skal også efterleve den.
Det vil sige, at du skal skabe procedurer for, hvad du gør med dine data – og hvornår de skal slettes, hvilken type de er osv. osv.
Derfor er det ikke nok med en persondatapolitik.
Der skal mere til.
Vil du vide hvad, så book en afklarende samtale og lad os tage en snak om GDPR