Behöver din hemsida en integritetspolicy – och vad ska den innehålla?

Ja, du behöver nog en – och det är enklare än du tror

Jag får samma fråga rätt ofta: "Måste jag verkligen ha en integritetspolicy? Jag är ju bara ett litet företag." Svaret är nästan alltid ja. Det handlar inte om hur stort företaget är, utan om vad hemsidan gör. Har du ett kontaktformulär, en bokningsfunktion, ett nyhetsbrev eller ens bara Google Analytics igång i bakgrunden, så samlar du in personuppgifter – namn, e-post, telefonnummer, ibland IP-adresser. Och så fort du gör det säger GDPR att besökaren har rätt att veta vad som händer med den informationen.

Det låter byråkratiskt, men i praktiken handlar det om en enda sak: ärlighet. Du berättar öppet vad du samlar in, varför, och hur länge du sparar det. Ingen kund förväntar sig perfekt juristprosa – de vill bara kunna lita på att du inte gör något skumt med deras uppgifter.

Vad som faktiskt måste stå med

En integritetspolicy behöver inte vara lång. Den behöver vara sann och komplett för just din verksamhet. Fyra saker ska alltid finnas med:

Vilka uppgifter du samlar in

Var konkret. "Namn, e-postadress och telefonnummer via kontaktformuläret" är bättre än "viss personlig information". Om du kör Google Analytics eller Meta-pixel ska det stå där också – det räknas som insamling även om du aldrig ser namnet på personen.

Varför du samlar in dem

"För att kunna svara på din förfrågan" eller "för att skicka den offert du bett om" räcker gott. Poängen är att syftet ska vara rimligt och begripligt – inte att du hittar på en anledning att skicka reklam till alla som någonsin mejlat dig.

Hur länge du sparar informationen och vem som ser den

Om du raderar formulärsvar efter sex månader, skriv det. Om du använder ett bokningssystem eller en e-postleverantör som tredje part hanterar datan åt dig (till exempel Mailchimp eller ett CRM), ska det också nämnas – det räcker att säga att uppgifterna delas med de leverantörer du använder för att driva verksamheten.

Sist ska besökaren veta att de har rätt att begära ut, rätta eller radera sina uppgifter, och vem de kontaktar för att göra det – i de flesta småföretag är det helt enkelt du.

Vad händer om du struntar i det?

Här ska jag vara ärlig med dig, för det finns gott om skrämselpropaganda på nätet: Integritetsskyddsmyndigheten (IMY) rusar inte ut och bötfäller ett enmansföretag för att policyn saknas på hemsidan. De stora böterna handlar om grova eller upprepade överträdelser hos bolag som hanterar mycket data. Men risken är ändå verklig på ett annat sätt: om en kund faktiskt anmäler dig, eller om du blir granskad av misstag i samband med något annat, är det jobbigt och onödigt att stå utan. Och rent förtroendemässigt signalerar en saknad policy att hemsidan inte är helt genomtänkt – vilket är precis det intryck du inte vill ge en potentiell kund som redan är lite osäker på om de ska anlita dig.

Så fixar du det utan att krångla till det

Du behöver inte en jurist för det här. Skriv en enkel sida – en halv A4 räcker för de flesta enmansföretag och mindre bolag – som svarar på de fyra punkterna ovan i klarspråk. Lägg den som en egen sida eller ett stycke längst ner på hemsidan, och länka till den från kontaktformuläret. Om du samlar in samtycke via en cookie-banner har jag skrivit om vad som krävs där också – integritetspolicyn och cookie-bannern hör ihop men löser olika delar av samma krav.

När jag bygger hemsidor åt kunder är det här ett av de sista stegen innan lansering: en kort, korrekt integritetspolicy anpassad efter exakt vad just den sidan faktiskt gör – inte en generisk mall kopierad från någon annanstans som lovar saker du inte håller. Det tar en eftermiddag att göra rätt, och sedan är det avklarat.