Låt oss gå rakt på sak. På ccsweden.se inom Tech vet vi att en tydlig integritetspolicy inte är en tråkig juridisk text utan ett verktyg för förtroende. För att vara tydlig: integritetspolicyn ska beskriva vilka uppgifter som samlas in, varför de samlas in, hur länge de sparas och vilka rättigheter du som registrerad har. Poängen är att göra informationen enkel att förstå och lätt att agera på.
Vad är en integritetspolicy?
Vad som är viktigt: En integritetspolicy är dokumentet som förklarar exakt hur personuppgifter behandlas hos en webbplats eller tjänst.
Integritetspolicy innebär att du berättar vem som är personuppgiftsansvarig, vilka kategorier av personuppgifter som samlas in, de rättsliga grunderna (t.ex. GDPR/Dataskyddsförordningen 2016/679), lagringstider och mottagare av uppgifterna. Ett praktiskt fakta: incidenter ska anmälas till Integritetsskyddsmyndigheten (IMY) inom 72 timmar om de innebär en risk för registrerades rättigheter.
Om vi ska vara ärliga så är det få som läser juridiska texter helt från början till slut. Gör så här: börja texten i din integritetspolicy med en kort, klar sammanfattning (1–3 meningar) och visa nyckelfakta nära toppen, till exempel lagringstider som 24 månader eller 36 månader för medlemsdata.
När behöver du en integritetspolicy?
Kärnan i frågan: Om du samlar in, lagrar eller på annat sätt behandlar personuppgifter så behöver du en integritetspolicy.
Praktiska exempel: har du en webbformulär som samlar e‑postadresser, ett kundregister, ett nyhetsbrev, eller använder cookies för analys och marknadsföring — då behöver du en policy. E‑handel, medlemsregister och marknadsföringsverktyg (t.ex. Dynamics 365 Marketing) är vanliga fall där integritetspolicy krävs.
Rekommenderat tillvägagångssätt: gör en enkel inventering av var persondata finns i dina system, vilka tredjepartsleverantörer som hanterar data (personuppgiftsbiträden) och om uppgifterna förs utanför EU/EES. Fokusera på detta först, sen skriv policyn i klartext.
Hur skriver vi en integritetspolicy?
Vad det betyder i praktiken: Skriv kort, använd exempel och visa lagringstider och rättsliga grunder tydligt.
Börja med att svara på följande frågor internt: vem är ansvarig, vilka uppgifter samlas in, varför samlas de in, hur länge sparas de, vilka får tillgång och hur kan den registrerade utöva sina rättigheter. För att lyckas behöver du koppla varje kategori av behandling till en rättslig grund (t.ex. samtycke, avtal, berättigat intresse eller rättslig förpliktelse).
Här är ett praktiskt råd: använd konkreta exempel i policyn. Skriv inte bara kontaktuppgifter utan ange e‑post och telefonnummer används för bokningsbekräftelser och kundsupport. Ange lagringstider som 24 månader för bokningar och 36 månader för medlemsuppgifter — det gör policyn lättare att tolka.
Gör så här när du publicerar policyn: placera en länk i sidfoten, visa ett tydligt samtyckesbanner för cookies och ge möjlighet att enkelt uppdatera inställningar eller begära registerutdrag via e‑postadress eller ett formulär. För att vara tydlig: lämna kontaktuppgifter till den personuppgiftsansvarige i dokumentet.
| Kategori | Exempel | Lagringstid | Rättslig grund |
|---|---|---|---|
| Medlemsdata | Namn, e‑post, organisationsnummer | 36 månader | Avtal / berättigat intresse |
| Bokningar | Namn, faktura, kostpreferenser | 24 månader (icke‑medlem) / 36 månader (medlem) | Avtal / samtycke vid känsliga uppgifter |
| Loggar och tekniska data | IP‑nummer, cookies, analysdata | 30–90 dagar typiskt | Berättigat intresse |
Vad gör du vid en personuppgiftsincident?
Poängen är att ha en färdig plan innan något händer. En incident kan vara obehörig åtkomst, dataförlust eller läckta filer. För att vara tydlig: om incidenten kan medföra en risk för registrerades rättigheter måste den anmälas till IMY inom 72 timmar.
Gör så här direkt vid upptäckt: stoppa den pågående åtkomsten om möjligt, dokumentera vad som hänt, bedöm omfattningen och identifiera vilka kategorier av personuppgifter som påverkas. För att lyckas behöver du en ansvarig person som leder utredningen och kontaktvägar till tekniska leverantörer och juridisk rådgivning.
Rekommenderat tillvägagångssätt: utforma ett standardmeddelande till drabbade med tydlig information om vad som hänt, vilka data som påverkas och vilka åtgärder ni vidtagit. Om det finns risk för allvarlig skada för individer måste du också erbjuda rekommenderade skyddsåtgärder, till exempel lösenordsbyte eller övervakningstips.
Vanliga frågor
Vad är skillnaden mellan integritetspolicy och cookiepolicy
Integritetspolicyn beskriver alla personuppgiftsbehandlingar hos din verksamhet. Cookiepolicyn är ofta en separat del som förklarar vilka cookies som används på webbplatsen och varför (t.ex. nödvändiga, statistik, marknadsföring). Du kan ha dem samlade eller som separata dokument men båda måste vara lätta att hitta.
Behöver jag samtycke för alla cookies
Nödvändiga cookies som krävs för att webbplatsen ska fungera kräver normalt inte samtycke. För statistik‑ och marknadsföringscookies krävs informerat samtycke enligt e‑privacy och praxis i Sverige. Gör så här: använd en samtyckesbanner som låter användaren välja och dokumentera samtycket.
Hur lång tid får vi spara kunddata enligt GDPR
GDPR anger ingen exakt tidsgräns utan kräver att uppgifterna inte sparas längre än nödvändigt för ändamålet. Praktiska exempel i Sverige visar ofta 24–36 månader för kundrelationer samt specifika lagliga krav för bokföringsdata som styr längre lagring enligt bokföringslagen.
Vad händer om jag vill att mina uppgifter raderas
Du kan begära radering (rätten att bli glömd) när uppgifterna inte längre är nödvändiga eller om du återkallar samtycke. Tänk på undantag: bokförings‑ och skatterelaterade uppgifter kan behöva sparas längre enligt lag. Kontakta personuppgiftsansvarig för att begära radering eller förtydligande.
Det här gör du nu
Börja med att inventera var personuppgifter finns i dina system och vilka leverantörer som behandlar dem. Skriv en kort och tydlig integritetspolicy som visar syfte, kategorier, lagringstider och kontaktuppgifter. Publicera policyn synligt på ccsweden.se och koppla den till cookie‑banner och registreringsformulär. Sätt upp en incidentplan och utse en ansvarig som kan anmäla till IMY inom 72 timmar vid behov.
