Vad din bloggs integritetspolicy MÅSTE innehålla enligt GDPR

En enkel, icke-juridisk guide för webbplatsägare som vill bygga en transparent policy som skyddar både dina läsare och din verksamhet.

---

Därför är din blogg inte undantagen

Myten: ”Jag är bara bloggare, jag behöver ingen integritetspolicy.”

Verkligheten: Om du använder Google Analytics, tillåter kommentarer eller har ett formulär för e-postprenumeration samlar du in personuppgifter (IP-adresser, e-postadresser, namn). Då gäller omfattande integritetslagstiftning som GDPR.

Policyns roll: Den är det centrala juridiska dokumentet som krävs enligt GDPR:s princip om laglighet, korrekthet och öppenhet (artikel 5) och förklarar hur och varför du samlar in data.

---

Obligatoriska avsnitt: dina juridiska skyldigheter

En policy som uppfyller kraven måste besvara specifika frågor ur användarens perspektiv. Avsnitten uppfyller rätten till information (GDPR artikel 12 och 13).

---

1. Grunderna (vem du är)

Identitet och kontaktuppgifter:

• Krav: Ange tydligt vem som är personuppgiftsansvarig (du eller ditt företagsnamn).
• Åtgärd: Erbjud ett lättillgängligt sätt för användare att kontakta dig med integritetsfrågor (e-postadress).

Datum för senaste uppdatering:

• Krav: Placera datumet för senaste uppdatering väl synligt högst upp. Det uppfyller kravet på att informera användarna om ändringar.

---

2. Vad du samlar in och varför (transparens)

Kategorier av insamlade uppgifter:

• Krav: Lista varje typ av personuppgift du samlar in, oavsett om det sker direkt eller indirekt.

Exempel för bloggar: Namn och e-postadresser (från formulär), IP-adresser (från analys och kommentarer), kommentarsinnehåll, cookie-ID:n, webbläsartyp och enhetsdata.

Ändamål och rättslig grund (GDPR:s kärna):

• Krav: Förklara för varje typ av data varför du samlar in den och vilken av de sex rättsliga grunderna du stöder dig på.

Exempel:

• E-postadress → Ändamål: Skicka nyhetsbrev → Rättslig grund: Användarens samtycke.
• IP-adress → Ändamål: Webbplatssäkerhet och förebyggande av bedrägerier → Rättslig grund: Berättigat intresse.

Cookies och spårningstekniker:

• Krav: Upplys om att du använder cookies (och liknande teknik som spårningspixlar).
• Åtgärd: Förklara deras ändamål (till exempel funktion, analys, annonsering) och länka till din särskilda cookiepolicy eller till inställningssidan i din CMP.

Delning och lagring av data

Delning av data med tredje part:

• Krav: Upplys om alla externa tjänster som behandlar dina användares data (dina personuppgiftsbiträden).

Exempel för bloggar: Google Analytics, Mailchimp/MailerLite, plugin för delning i sociala medier (Facebook, X/Twitter), annonsnätverk (AdSense).

Policy för lagringstid:

• Krav: Förklara hur länge du sparar olika typer av data.
• Åtgärd: Ange att du bara sparar data så länge det behövs för ändamålet (till exempel e-postadresser tills användaren avregistrerar sig, analysdata raderas efter 26 månader).

---

3. Användarens rättigheter: ge läsarna kontroll

GDPR ger användarna åtta grundläggande rättigheter över sina uppgifter. Din policy måste förklara dessa rättigheter och, framför allt, hur användaren kan utöva dem (begäranden från registrerade om tillgång till uppgifter).

• Rätten till tillgång och rättelse: Rätten att fråga vilka uppgifter du har och att få eventuella felaktigheter rättade.
• Rätten till radering (rätten att bli glömd): Rätten att begära att personuppgifterna raderas (till exempel att radera en kommentar och all tillhörande data).
• Rätten att återkalla samtycke: Rätten att när som helst enkelt tacka nej till marknadsföring eller icke nödvändig spårning.

---

4. Bästa praxis för placering och tydlighet

En bra policy är en som faktiskt går att läsa.

Placering: Länken till din integritetspolicy ska placeras väl synligt på varje sida (vanligtvis i sidfoten). Den måste också länkas direkt i alla registreringsformulär och kommentarsfält.

Ton: Använd enkelt språk. Undvik juridisk jargong och komplicerade meningsbyggnader. Skriv så att en genomsnittlig läsare förstår sina rättigheter och hur du arbetar.

Korrekthet: Gör först en datagranskning. Policyn måste korrekt återspegla de verktyg och plugin du faktiskt använder på din blogg.

---

Källor

Kraven i det här blogginlägget bygger på GDPR, ICO:s vägledning och EDPB:s riktlinjer.