På denne siden får du informasjon om hvorfor du skal skrive en personvernerklæring, og hjelp til å lage en klar og tydelig personvernerklæring som forklarer hvilke data som samles inn, hvorfor de brukes og hvilke rettigheter brukerne har.

Hovedside: Personvern

Eksempel på personvernerklæring

Her finner du et eksempel på en personvernerklæring med samme innhold som denne veilederen beskriver:

Personvernerklæring for NTNU Kursportal

Hvorfor skal du skrive en personvernerklæring og hva bør den inneholde?

En personvernerklæring forklarer hvordan og hvorfor NTNU behandler personopplysninger, og hvilke rettigheter de registrerte har. Den bidrar til å øke åpenheten rundt behandlingen, og til at NTNU oppfyller informasjonsplikten etter personvernforordningen. Før du lager en personvernerklæring, bør du undersøke om behandlingen allerede er beskrevet i NTNUs sentrale personvernerklæring. Dersom den sentrale personvernerklæringen ikke dekker behandlingen godt nok, kan du vurdere å lage en egen personvernerklæring.

Punktene nedenfor viser hvilken informasjon som bør inngå i personvernerklæringen, og kan brukes som en sjekkliste når du skriver teksten.

Kort om behandlingen/systemet/tjenesten

Start med en kort beskrivelse av behandlingen, systemet eller tjenesten. Forklar kort hva behandlingen er, hva formålet med behandlingen er, og hvordan personopplysninger brukes.

Beskriv hvem personvernerklæringen gjelder for, for eksempel studenter, ansatte, eksterne kursdeltakere, forskningsdeltakere, kursholdere eller administratorer. Dersom behandlingen kan omfatte barn eller unge under 18 år, må teksten være lett forståelig og tilpasset mottakeren.

Formål med behandling av personopplysninger

Beskriv hvorfor personopplysninger skal behandles, og hvilke tjenester eller oppgaver systemet muliggjør.

Formålene bør være konkrete og forståelige. Dersom opplysningene brukes til flere formål, for eksempel kursadministrasjon, dokumentasjon, rapportering, sikkerhet og brukerstøtte, bør formålene beskrives hver for seg.

Rettslig grunnlag

Beskriv hvilket behandlingsgrunnlag etter personvernforordningen artikkel 6 behandlingen av personopplysninger hjemles i. Hvis behandlingen hjemles i personvernforordningen artikkel 6, nr. 1 bokstav c eller e, må behandlingen også hjemles i en supplerende lovhjemmel i norsk lov, for eksempel universitets- og høyskoleloven.

Dersom behandlingen baseres på NTNUs berettigede interesser (artikkel 6, nr. 1, bokstav f), må den berettigede interessen beskrives, og det må gjennomføres en interesseavveining for å avgjøre om NTNUs berettigede interesse veier tyngre enn hensynet til den enkeltes personvern.

Baseres behandlingen på samtykke, jf. personvernforordningen artikkel 6, nr. 1, bokstav a), er det særskilte regler for hvordan et samtykke skal håndteres. Det må opplyses om at samtykket er frivillig, hva samtykket gjelder og at det kan trekkes tilbake når som helst.

Dersom behandlingen omfatter særlige kategorier av personopplysninger, må det i tillegg vurderes og beskrives hvilket grunnlag i personvernforordningen artikkel 9 som gjør behandlingen lovlig.

Les om behandlingsgrunnlag hos Datatilsynet.

Hvilke personopplysninger skal behandles?

Beskriv hvilke personopplysninger som skal behandles, for eksempel navn, adresse, kontaktinformasjon, ansattnummer, studentnummer, fødselsnummer eller andre personopplysninger. Hvis særlige kategorier personopplysninger (sensitive personopplysninger) skal behandles, må dette også beskrives. Hvilke personopplysninger som behandles, kilden til personopplysningene og lagringstiden kan enten beskrives eller legges inn i en tabell. For hver opplysningstype bør du vurdere om opplysningen er nødvendig for formålet.

Kilde til opplysningene

Beskriv hvordan personopplysningene samles inn, og hvor de kommer fra. Opplys om opplysningene legges inn av den registrerte selv, eller hentes fra andre systemer eller eksterne kilder. Beskriv også om opplysninger blir innhentet automatisk fra andre interne systemer eller eksterne leverandører, for eksempel NAV, Skatteetaten eller andre kilder. Hvis systemet lagrer logger eller enhetsdata, må dette også oppgis og beskrives her.

Deling av personopplysninger

Beskriv hvem personopplysningene deles med og hvorfor. Dette inkluderer både eksterne databehandlere og andre behandlingsansvarlige som mottar data.
Personvernerklæringen bør oppgi enten konkrete mottakere eller tydelige kategorier av mottakere. Eksempler kan være systemleverandører, skyleverandører, brukerstøtte, kursholdere, samarbeidende institusjoner, offentlige myndigheter eller andre behandlingsansvarlige.

Dersom NTNU og en annen virksomhet i fellesskap bestemmer formål og midler for behandlingen, må det vurderes om det foreligger felles behandlingsansvar. I så fall bør hovedinnholdet i ansvarsfordelingen beskrives.

Databehandlere

Beskriv hvilke databehandlere som behandler personopplysninger på vegne av NTNU. Dette kan gjøres i tekst, liste eller tabell. Beskriv hva databehandleren gjør og hvilke personopplysninger som behandles.

Ved overføring utenfor EU/EØS må personvernerklæringen beskrive hvilket land opplysningene overføres til, hvem mottakeren er, hvilket overføringsgrunnlag som brukes, og om det er vurdert behov for ytterligere sikkerhetstiltak.

Dersom det utleveres informasjon til offentlige myndigheter må det oppgis hvilke offentlige myndigheter som får utlevert personopplysninger og hvorfor utleveringen er nødvendig.

Lagring og håndtering av personopplysninger

Oppgi hvor lenge de ulike personopplysningene lagres, eller hvilke kriterier som benyttes for å fastsette lagringstiden. Beskriv også hva som skjer når formålet er oppfylt: sletting, anonymisering, arkivering eller videre lagring på annet grunnlag. Dersom ulike opplysningstyper har ulik lagringstid, bør dette fremgå i tekst eller tabell. Dersom logger, sikkerhetsdata eller dokumentasjon lagres lenger enn øvrige opplysninger, bør dette beskrives særskilt sammen med formålet med lagringen.

Hvordan tar vi vare på personopplysningene dine?

Beskriv på et overordnet nivå hvordan personopplysninger beskyttes under behandlingen. Sikkerhetstiltak kan kun beskrives på et overordnet nivå uten å ta med tekniske detaljer som kan svekke sikkerheten.

Dine rettigheter

Beskriv hvilke rettigheter de registrerte har etter personvernforordningen, og hvordan de kan gå frem for å utøve sine rettigheter.

Den registrerte har rett til:

• Innsyn i hvilke personopplysninger som behandles
• Retting eller sletting av uriktige opplysninger
• Begrensning av behandlingen
• Å protestere på behandlingen
• Dataportabilitet der vilkårene for dette er oppfylt
• Rettigheter ved automatiserte avgjørelser hvis det er relevant
• Å klage til Datatilsynet

Ikke alle rettigheter gjelder i alle situasjoner. Forklar kort dersom en rettighet kan være begrenset, for eksempel på grunn av lovpålagt arkivering, rettslig forpliktelse eller behandling som er nødvendig for å utføre en oppgave i allmennhetens interesse.

Kontaktinformasjon i personvernerklæringen

Følgende kontaktinformasjon må være med i personvernerklæringen:

• Kontaktinformasjon til behandlingsansvarlig, som regel er dette NTNU.
• Kontaktinformasjon til NTNUs personvernombud.
• Vurder om personvernerklæringen også bør inneholde kontaktinformasjonen til systemeier eller tjenesteeier slik at den registrerte vet hvem praktiske spørsmål om behandlingen kan rettes til.

Endringer i personvernerklæringen

Beskriv at personvernerklæringen oppdateres når behandlingen endres, for eksempel ved nye formål, nye kategorier personopplysninger, nye mottakere, endret lagringstid, nye leverandører eller endringer i overføring utenfor EU/EØS. Oppgi dato for siste oppdatering.

Kontakt

Punktene over beskriver hva en personvernerklæring bør inneholde, og kan brukes som en sjekkliste når du skriver erklæringen.

Trenger du hjelp, eller har du spørsmål eller innspill til hvordan vi kan gjøre informasjonen om personvern bedre, kontakt Fagansvarlig for personvern i Seksjon for sikkerhet og beredskap via NTNU Hjelp.

Ansvarlig for siden: Avdeling for utvikling, økonomi og virksomhetsstyring

I arbeidet med å lage denne siden har vi brukt ChatGPT som et hjelpemiddel for språkforbedring.