Cookie Confirm

Mal for personvernerklæring

Hva en personvernerklæring for nettsiden eller nettbutikken din må inneholde etter personvernforordningen (GDPR) og personopplysningsloven, hvor den skal stå, de vanligste feilene, og en gratis mal med eksempeltekst du kan kopiere og fylle ut.

Sist sjekket 16 oktober 2026

Kort fortalt

  • Fortell hvem du er, hva du bruker opplysningene til, hvilket rettslig grunnlag du har og hvor lenge du lagrer dem.
  • Oppgi hvem som mottar opplysningene, og om de overføres ut av EØS, med hvilket overføringsgrunnlag.
  • Forklar rettighetene, også retten til å trekke tilbake samtykke og til å klage til Datatilsynet.
  • Lenk til den fra hver side og fra hvert skjema som samler inn personopplysninger.

Hva er en personvernerklæring?

En personvernerklæring er teksten der du forteller hva du gjør med personopplysningene til dem som bruker nettsiden din, handler hos deg eller tar kontakt. På en nettside er den som regel en egen side med lenke i bunnteksten.

Plikten kommer fra personvernforordningen (GDPR), som gjelder som norsk lov gjennom personopplysningsloven § 1. Norge er med i EØS, ikke i EU, men forordningen er tatt inn i EØS-avtalen, så kravene er de samme som i EU-landene. Artikkel 12 sier at informasjonen skal være kortfattet, åpen, forståelig og lett tilgjengelig, på et klart og enkelt språk, og at den skal gis gratis. Artikkel 13 og 14 lister opp hva du skal fortelle: artikkel 13 når du samler inn opplysninger fra personen selv, for eksempel via et skjema, og artikkel 14 når du får dem fra andre.

Datatilsynet fører tilsyn med reglene i Norge og har en egen veiledning om informasjon og åpenhet. Der står det blant annet at du skal unngå juridisk og teknisk sjargong, være konkret i stedet for å skrive hva du «kan» gjøre, og holde informasjonen om personvern adskilt fra annen informasjon, som brukervilkår.

Hva må den inneholde?

Når du samler inn personopplysninger fra noen, krever artikkel 13 denne informasjonen:

  • Hvem du er: navn og kontaktopplysninger for virksomheten, og for representanten din hvis du holder til utenfor EØS.
  • Personvernombudet, hvis du har et, med kontaktopplysninger.
  • Formål og rettslig grunnlag. For hvert formål: hvilket grunnlag i artikkel 6 du bygger på, som samtykke, avtale, rettslig forpliktelse eller berettiget interesse.
  • Den berettigede interessen, hvis det er grunnlaget. Si konkret hvilken interesse det er.
  • Mottakere: hvem som får opplysningene, også databehandlere som hosting- eller e-postleverandøren. Datatilsynet skriver at det som regel er mest meningsfullt å navngi hver mottaker; bruker du kategorier, må de beskrives tydelig etter bransje, sektor og geografi.
  • Overføringer ut av EØS: at overføringen skjer, om EU-kommisjonen har gitt en beslutning om tilstrekkelig beskyttelsesnivå, og ellers hvilke garantier du bruker og hvordan man får en kopi. Datatilsynet skriver at du normalt bør navngi landene.
  • Hvor lenge du lagrer opplysningene, eller kriteriene for å avgjøre det. Datatilsynet skriver at en generell formulering om at opplysningene lagres «så lenge det er nødvendig», ikke er nok.
  • Rettighetene: innsyn, retting, sletting, begrensning, protest og dataportabilitet.
  • Retten til å trekke tilbake samtykke når som helst, der du bygger på samtykke.
  • Retten til å klage til Datatilsynet.
  • Om opplysningene er påkrevd, for eksempel fordi du trenger dem for å oppfylle en avtale, og hva som skjer hvis personen ikke gir dem.
  • Automatiserte avgjørelser, inkludert profilering, hvis de har rettsvirkning eller tilsvarende betydelig virkning, med informasjon om logikken og konsekvensene.

Retten til å protestere fortjener ekstra oppmerksomhet: artikkel 21 krever at den gjøres uttrykkelig kjent for personen, tydelig og atskilt fra annen informasjon, senest ved første kontakt.

Hvor skal personvernerklæringen stå?

Artikkel 13 krever at informasjonen gis når opplysningene samles inn. Datatilsynet sier lite om nøyaktig plassering, men gir noen klare føringer, og de europeiske retningslinjene om åpenhet, som Personvernrådet (EDPB) har sluttet seg til, utfyller dem:

  • Lenke fra hver side. Retningslinjene sier at hvert nettsted bør ha en personvernerklæring med en tydelig, direkte lenke på hver side, under et vanlig navn som «Personvern» eller «Personvernerklæring».
  • Der opplysningene samles inn. Legg en lenke til personvernerklæringen ved hvert skjema som samler inn personopplysninger.
  • Ikke gjemt i vilkårene. Datatilsynet skriver at man ikke skal måtte lete etter informasjonen, og at den skal holdes adskilt fra annen informasjon.
  • Lagdelt hvis den er lang. Datatilsynet anbefaler et kort første lag med formålet, hvem du er og rettighetene, og lenker videre til detaljene. En personvernerklæring som forsøker å gjemme viktig informasjon, er ifølge Datatilsynet i strid med loven.
  • Samlet på ett sted, slik at folk kan finne tilbake til den senere.

Personvernerklæring, cookieerklæring og cookiebanner

De tre har ulike oppgaver:

  • Cookiebanneret ber om samtykke før du setter cookies som ikke er strengt nødvendige, slik ekomloven § 3-15 krever, og lenker til detaljene.
  • Cookieerklæringen forklarer hvilke cookies og lignende teknologier du bruker, hvem som står bak dem og hvor lenge de varer.
  • Personvernerklæringen dekker alle personopplysninger du behandler, også utenfor cookies: skjemaer, bestillinger, nyhetsbrev og kundeservice.

De bør lenke til hverandre. Personvernerklæringen nevner analyse- og markedsføringsverktøyene, det rettslige grunnlaget (som regel samtykke) og eventuelle overføringer ut av EØS, og lenker til cookieerklæringen for detaljene. Datatilsynet anbefaler også å forklare i personvernerklæringen hva hvert sporingsverktøy gjør. Bruker du for eksempel Google Analytics, se Google Analytics og GDPR for hva du bør skrive om overføringen til USA.

Cookie Confirm viser et banner som lagrer samtykket til hver besøkende og lenker til både cookieerklæringen og personvernerklæringen din.

Ekstra for nettbutikker

En nettbutikk behandler flere opplysninger enn en vanlig nettside, så personvernerklæringen må dekke mer:

  • Bestillinger: opplysningene du trenger for å levere, med avtalen som rettslig grunnlag. Si at du ikke kan levere uten dem.
  • Regnskap: bokføringsloven § 13 krever at bokføringsmateriale, som fakturaer, oppbevares i fem år etter regnskapsårets slutt. Grunnlaget er rettslig forpliktelse.
  • Betaling: navngi betalingsleverandøren, og si om du selv mottar kort- eller kontoopplysninger.
  • Levering: navngi transportørene som får leveringsadressen.
  • Nyhetsbrev: etter markedsføringsloven § 15 trenger du forhåndssamtykke for å sende markedsføring på e-post til privatpersoner. Unntaket er eksisterende kunder: har du fått e-postadressen i forbindelse med et salg, kan du markedsføre egne varer og tjenester som ligner dem kundeforholdet bygger på, så lenge kunden enkelt og gebyrfritt kan reservere seg både når adressen samles inn og i hver e-post. Si i personvernerklæringen hvilket av de to du bygger på.
  • Kundeomtaler: sender en omtaletjeneste invitasjoner etter kjøp, navngi den og si hvilke opplysninger du deler.
  • Kundekonto: si hvor lenge du beholder en konto, og hva som skjer etter en periode uten aktivitet.

Vanlige feil

  • En kopiert tekst. En personvernerklæring fra et annet nettsted eller en generator beskriver andre verktøy og andre opplysninger. Stemmer den ikke med det nettsiden din faktisk gjør, er den ikke åpen.
  • Vage formål. Datatilsynet advarer mot formuleringer om hva virksomheten «kan» gjøre med opplysningene.
  • Ikke noe rettslig grunnlag per formål. En generell setning som «vi behandler opplysninger i tråd med GDPR» sier ingenting.
  • Amerikanske verktøy uten informasjon om overføring. Analyse, e-postmarkedsføring og hosting er ofte amerikanske. Oppgi leverandøren, landet og overføringsgrunnlaget, for eksempel EU–US Data Privacy Framework eller standardavtalebestemmelser.
  • «Så lenge det er nødvendig». Oppgi en periode eller kriteriene.
  • Datatilsynet er ikke nevnt. Folk skal få vite at de kan klage til Datatilsynet.
  • Utdatert. Hver nye plugin, hvert nye verktøy og hver nye databehandler kan endre det du må si.

Klage til Datatilsynet

I klageavsnittet bør du oppgi hvordan man når Datatilsynet. Klager sendes digitalt via klageskjemaet på datatilsynet.no (innlogging med ID-porten) eller per post til Datatilsynet, Postboks 458 Sentrum, 0105 Oslo. Datatilsynets telefonnummer er 22 39 69 00. Datatilsynet ber folk ta kontakt med virksomheten først, og gjelder klagen en rettighet som innsyn, retting eller sletting, må personen ha gjort det og legge ved dokumentasjon. Det er derfor lurt å ha en tydelig e-postadresse for personvern i erklæringen. Retten til å klage gjelder også i landet der personen bor eller arbeider.

Malen

Nedenfor finner du en mal for personvernerklæring som du kan kopiere. Fyll ut alt mellom [hakeparenteser], fjern avsnittene du ikke trenger, og legg til behandlinger som mangler, slik at teksten beskriver det nettsiden din faktisk gjør. En mal er ikke juridisk rådgivning: er du usikker på om den passer til din situasjon, la en advokat se over den.

Kilder

Mal for personvernerklæring

Personvernerklæring for [Firmanavn]

Sist oppdatert: [dato]

Hvem vi er
[Firmanavn] («vi») driver nettstedet [nettadresse] [og nettbutikken på [adresse]]. Vi er behandlingsansvarlig for personopplysningene som er beskrevet i denne erklæringen.
[Firmanavn], [gateadresse], [postnummer og sted]
Organisasjonsnummer: [nummer]
E-post: [e-postadresse for personvern]
[Hvis dere har personvernombud: Du kan kontakte personvernombudet vårt på [e-postadresse].]

Hva denne erklæringen gjelder
Her forklarer vi hvilke personopplysninger vi samler inn når du besøker nettstedet vårt, kontakter oss, abonnerer på nyhetsbrevet eller handler hos oss, hvorfor vi gjør det, og hvilke rettigheter du har. Cookies og lignende teknologier forklarer vi i cookieerklæringen vår: [lenke til cookieerklæringen].

Når du kontakter oss
Bruker du kontaktskjemaet eller sender oss e-post, bruker vi navnet ditt, e-postadressen din, [telefonnummeret ditt] og meldingen din for å svare deg.
Rettslig grunnlag: vår berettigede interesse i å svare på henvendelser[, eller å gjennomføre tiltak du har bedt om før en avtale inngås].
Vi lagrer henvendelsene i [periode, for eksempel 12 måneder] etter at saken er avsluttet, med mindre de fører til et kjøp.

Når du handler hos oss
For å behandle og levere bestillingen din bruker vi navn, adresse, e-postadresse, telefonnummer, hva du har bestilt og betalingsstatus.
Rettslig grunnlag: avtalen med deg. Uten disse opplysningene kan vi ikke levere bestillingen.
Vi lagrer ordreopplysningene i [periode]. Regnskapsmateriale, som fakturaer, lagrer vi i fem år etter utgangen av regnskapsåret, fordi bokføringsloven krever det.
Rettslig grunnlag for å lagre regnskapsmateriale: rettslig forpliktelse.
[Hvis kundene kan opprette konto: Oppretter du en kundekonto, lagrer vi kontoopplysningene til du sletter kontoen, eller etter [periode] uten aktivitet.]

Betaling
Betalingen håndteres av [betalingsleverandør, for eksempel Vipps eller Klarna]. Vi får bekreftelse på at du har betalt, men ikke de fullstendige kort- eller kontoopplysningene dine. [Betalingsleverandør] behandler betalingsopplysningene [som vår databehandler / som selvstendig behandlingsansvarlig etter sin egen personvernerklæring: lenke].

Levering
Vi deler navn og adresse [og e-postadresse eller telefonnummer] med [transportør, for eksempel Posten/Bring] slik at de kan levere pakken og varsle deg.

Nyhetsbrev
[Velg:]
[Melder du deg på, bruker vi e-postadressen din [og fornavnet ditt] til å sende deg nyhetsbrevet vårt. Rettslig grunnlag: ditt samtykke. Du kan melde deg av når som helst via lenken i hvert nyhetsbrev eller ved å sende oss en e-post. Det påvirker ikke det vi gjorde før du trakk samtykket tilbake.]
[Som kunde kan du få e-post fra oss om egne varer og tjenester som ligner dem du har kjøpt. Rettslig grunnlag: vår berettigede interesse i direkte markedsføring. Du kan reservere deg gratis når som helst via lenken i hver e-post, og du fikk muligheten da du oppga e-postadressen din.]
Vi bruker [e-posttjeneste] til å sende nyhetsbrevet. Vi lagrer e-postadressen din til du melder deg av.

Kundeomtaler
[Hvis aktuelt: Etter et kjøp kan vi be deg om en omtale via [omtaletjeneste]. Vi deler da navn, e-postadresse og ordrenummer med [omtaletjeneste]. Rettslig grunnlag: [vår berettigede interesse i å samle inn kundeomtaler / ditt samtykke]. Skriver du en omtale, publiseres den med [fornavnet ditt / navnet du velger].]

Analyse og markedsføring
Vi bruker [analyseverktøy] for å se hvordan nettstedet brukes, og [markedsføringsverktøy, for eksempel Google Ads, Meta Pixel] for å måle og vise annonsene våre. Disse verktøyene bruker cookies eller lignende teknologier. Vi bruker dem bare hvis du samtykker i cookiebanneret vårt. Du kan endre valget ditt når som helst via [lenken «Cookieinnstillinger» nederst på hver side]. Hvilke cookies vi bruker, hvem som står bak dem og hvor lenge de varer, står i cookieerklæringen vår: [lenke].

Hvem som får opplysningene dine
Vi selger ikke personopplysningene dine. Vi deler dem bare slik denne erklæringen beskriver, eller når loven krever det. Disse selskapene behandler opplysninger på våre vegne, under en databehandleravtale:
- [Hostingleverandør] – drift av nettstedet [og nettbutikken]
- [E-posttjeneste] – utsending av e-post og nyhetsbrev
- [Nettbutikkplattform] – nettbutikken vår
- [Regnskapsprogram] – regnskap
[Legg til eller fjern mottakere slik at listen stemmer med din situasjon.]

Opplysninger utenfor EØS
Noen av disse selskapene holder til utenfor EØS, eller kan få tilgang til opplysninger derfra:
- [Leverandør] i [land]. Overføringsgrunnlag: [EU-kommisjonens beslutning om tilstrekkelig beskyttelsesnivå for EU–US Data Privacy Framework / EUs standardavtalebestemmelser].
Du kan be om en kopi av garantiene ved å sende e-post til [e-postadresse for personvern]. [Hvis ingen: Vi overfører ikke personopplysninger ut av EØS.]

Hvor lenge vi lagrer opplysningene
Vi lagrer ikke opplysningene dine lenger enn det som trengs for formålene over. Lagringstiden står under hvert avsnitt. Deretter sletter eller anonymiserer vi opplysningene.

Automatiserte avgjørelser
Vi tar ingen avgjørelser om deg som bare bygger på automatisert behandling, inkludert profilering, og som har rettsvirkning eller tilsvarende betydelig virkning for deg. [Gjør dere det, for eksempel automatisk svindelkontroll, beskriv det, logikken bak og hva det betyr for kunden.]

Rettighetene dine
Du har rett til å:
- få innsyn i personopplysningene vi har om deg;
- få rettet feil opplysninger;
- få opplysningene dine slettet;
- kreve at behandlingen begrenses;
- få utlevert opplysningene du har gitt oss i et strukturert, alminnelig brukt format, eller få dem overført til en annen virksomhet, når vi behandler dem på grunnlag av samtykke eller avtale (dataportabilitet);
- trekke tilbake samtykket ditt når som helst, der vi bygger på samtykke. Det påvirker ikke det vi gjorde før du trakk det tilbake.

Retten til å protestere
Der vi bygger på berettiget interesse, kan du protestere mot behandlingen av grunner som gjelder din situasjon. Mot direkte markedsføring kan du alltid protestere, og da slutter vi å bruke opplysningene dine til det.

Vil du bruke rettighetene dine, send e-post til [e-postadresse for personvern]. Vi svarer innen én måned. Er forespørselen sammensatt, kan fristen forlenges med ytterligere to måneder; det får du i så fall beskjed om innen den første måneden. Vi kan be deg bekrefte identiteten din først.

Klage
Er du misfornøyd med hvordan vi behandler opplysningene dine, ta gjerne kontakt med oss først på [e-postadresse for personvern]. Du har også rett til å klage til Datatilsynet: datatilsynet.no/om-datatilsynet/kontakt-oss/klage-til-datatilsynet/, telefon 22 39 69 00, Postboks 458 Sentrum, 0105 Oslo. Bor eller arbeider du i et annet EØS-land, kan du også klage til tilsynsmyndigheten der.

Endringer i erklæringen
Vi kan oppdatere denne erklæringen når tjenestene våre eller regelverket endres. Datoen øverst viser når den sist ble oppdatert. Ved viktige endringer gir vi deg beskjed [på e-post / med et varsel på nettstedet].

Vil du heller slippe å fylle det ut selv?Cookie Confirm skriver cookieerklæringen din ut fra det skanneren finner på nettstedet ditt, og holder den oppdatert når cookiene endres.

Ofte stilte spørsmål

Er det påbudt med personvernerklæring på nettsiden?

Samler nettsiden inn personopplysninger, for eksempel gjennom et kontaktskjema, et nyhetsbrev, bestillinger eller analyseverktøy, krever personvernforordningen at du gir informasjonen i artikkel 13 og 14. Loven krever ikke en side som heter «personvernerklæring», men en personvernerklæring med lenke fra hver side er den vanlige måten å gjøre det på. Datatilsynet forventer at informasjonen er tilgjengelig digitalt når tjenestene dine er det.

Kan jeg bruke en mal eller en generator?

En mal er et godt utgangspunkt, så lenge du sjekker hver setning mot det nettsiden din faktisk gjør: hvilke opplysninger, hvilke verktøy, hvilke mottakere og hvor lenge du lagrer dem. Datatilsynet minner om at informasjonen skal være konkret, ikke bare si hva virksomheten «kan» gjøre.

Hva er forskjellen på personvernerklæring og cookieerklæring?

Personvernerklæringen dekker alle personopplysningene du behandler, også utenfor cookies: skjemaer, bestillinger, nyhetsbrev og kundeservice. Cookieerklæringen handler bare om cookies og lignende teknologier. Du kan slå dem sammen eller ha to sider som lenker til hverandre.

Hvem klager man til i Norge?

Til Datatilsynet. Klagen sendes digitalt via klageskjemaet på datatilsynet.no, med innlogging gjennom ID-porten, eller per post. Datatilsynet ber folk kontakte virksomheten først, og gjelder klagen en rettighet som innsyn eller sletting, må det være gjort. Vedtak fra Datatilsynet kan påklages til Personvernnemnda.

Gjelder GDPR i Norge, når Norge ikke er med i EU?

Ja. Personvernforordningen er tatt inn i EØS-avtalen og gjelder som norsk lov gjennom personopplysningsloven § 1. En norsk personvernerklæring har derfor det samme innholdet som en i EU, men nevner Datatilsynet som tilsynsmyndighet.

Hvor ofte bør jeg oppdatere personvernerklæringen?

Hver gang behandlingen endres: et nytt verktøy, en ny databehandler, et nytt formål eller en overføring ut av EØS. Sett datoen for siste oppdatering øverst. Datatilsynet skriver at vesentlige endringer i informasjonen skal formidles til de registrerte.

Denne veiledningen er generell informasjon, ikke juridisk rådgivning. Vi sjekker den jevnlig, men lover og veiledning endres. Usikker på hva som gjelder for deg? Spør en advokat.

Les videre

Flere veiledninger

Alle veiledninger →

Prøv de første 7 dagene helt gratis

Opprett en gratis konto og se om Cookie Confirm passer for deg. Live på 5 minutter.

  • Ingen kredittkort nødvendig
  • Deretter €7,95 per måned
  • Plug & play-installasjon
Start gratis prøveperiode

4,9/5 5 000+ nettsteder