Privatlivspolitikken er det ene GDPR-dokument, enhver besøgende på en softwarevirksomheds hjemmeside ser, og det, der oftest skrives som prosa om, hvor meget privatlivet betyder. Forordningen beder ikke om prosa. Artikel 13 opregner de oplysninger, en dataansvarlig giver, når personoplysninger indsamles hos den registrerede, på det tidspunkt, de indsamles; artikel 14 opregner de oplysninger, der gives, når oplysningerne ikke er indsamlet hos den registrerede, inden for en måned. Begge er lister af oplysninger, hver med sit eget litra, og en politik er fuldstændig, når hver oplysning, virksomhedens behandling udløser, har et svar. Denne artikel læser de to lister mod det katalog, StandardOS fører over forordningen, og den gratis side, der skriver politikken ud fra svarene, ét felt pr. oplysning.
Artikel 13: tolv oplysninger på indsamlingsstedet
Artikel 13, stk. 1, nævner seks oplysninger, der gives i alle tilfælde: a) identitet og kontaktoplysninger for den dataansvarlige og, hvor det er relevant, dennes repræsentant; b) kontaktoplysninger for databeskyttelsesrådgiveren, hvor det er relevant; c) formålene med behandlingen og retsgrundlaget for hvert; d) hvor grundlaget er legitime interesser efter artikel 6, stk. 1, litra f), de interesser, der forfølges; e) modtagerne eller kategorierne af modtagere; f) hvor det er relevant, at den dataansvarlige agter at overføre oplysningerne til et tredjeland eller en international organisation, med afgørelsen om tilstrækkelighed eller garantierne og hvor en kopi af dem kan fås. Artikel 13, stk. 2, nævner seks yderligere oplysninger, der er nødvendige for at sikre en rimelig og gennemsigtig behandling: a) opbevaringsperioden eller kriterierne for at fastlægge den; b) retten til indsigt, berigtigelse, sletning, begrænsning, indsigelse og dataportabilitet; c) hvor grundlaget er samtykke, retten til at trække det tilbage; d) retten til at indgive klage til en tilsynsmyndighed; e) om det er et lovkrav eller et kontraktkrav at give oplysningerne, eller et krav for at indgå en kontrakt, og konsekvenserne af ikke at give dem; f) forekomsten af automatiske afgørelser, herunder profilering, med meningsfulde oplysninger om logikken og konsekvenserne. Artikel 13, stk. 3, tilføjer, at et yderligere formål annonceres, før den videre behandling begynder, og artikel 13, stk. 4, ophæver pligten, hvor den registrerede allerede er bekendt med oplysningerne.
Artikel 14: tretten oplysninger, en måned, fire undtagelser
Artikel 14, stk. 1, nævner seks oplysninger: den dataansvarlige og dennes repræsentant, databeskyttelsesrådgiveren, formålene og retsgrundlaget, de berørte kategorier af personoplysninger, modtagerne og overførslerne med deres garantier; artikel 14, stk. 2, nævner syv yderligere: opbevaringsperioden, de legitime interesser, hvor de er grundlaget, rettighederne, retten til at trække samtykke tilbage, klageretten, oplysningernes kilde, og om de stammer fra offentligt tilgængelige kilder, og de automatiske afgørelser. Tidspunktet er artikel 14, stk. 3: inden for en rimelig frist efter indhentningen af oplysningerne og senest inden for en måned, eller på tidspunktet for den første kommunikation med den registrerede, hvis oplysningerne bruges til at kommunikere med vedkommende, eller når oplysningerne første gang videregives til en anden modtager, hvis en videregivelse påtænkes, alt efter hvad der kommer først. Artikel 14, stk. 5, ophæver pligten i fire tilfælde: den registrerede er allerede bekendt med oplysningerne; det viser sig umuligt at give dem, eller det vil kræve en uforholdsmæssig indsats, navnlig til arkivering, forskning eller statistik, med de foranstaltninger, den dataansvarlige træffer i stedet; indhentningen eller videregivelsen er udtrykkeligt fastsat i lovgivning med passende foranstaltninger; eller oplysningerne er underlagt tavshedspligt. En softwarevirksomhed, der beriger en tilmelding med oplysninger købt af en leverandør, modtager en kundes brugerliste eller scraper en offentlig profil, er under artikel 14 for de oplysninger, og undtagelsen "allerede bekendt med oplysningerne" gælder ikke for en person, der aldrig har hørt om virksomheden.
Syv af oplysningerne er fortegnelsen over behandlingsaktiviteter
En softwarevirksomhed, der har skrevet sin fortegnelse over behandlingsaktiviteter, har allerede besvaret syv af oplysningerne: den dataansvarliges navn og kontaktoplysninger (artikel 30, stk. 1, litra a)), formålene (30, stk. 1, litra b)), kategorierne af personoplysninger (30, stk. 1, litra c)), modtagerne (30, stk. 1, litra d)), overførslerne og deres garantier (30, stk. 1, litra e)), opbevaringsperioderne (30, stk. 1, litra f)) og repræsentanten og rådgiveren, hvor de findes (30, stk. 1, litra a)). Retsgrundlaget pr. formål er den kolonne, fortegnelsen ikke har, og politikken har, og det er den, der oftest svigter: en politik, der nævner "legitime interesser" for alt uden at nævne interessen, har ikke besvaret artikel 13, stk. 1, litra d). Rettighederne er de samme i enhver politik og læses i artikel 15 til 22; klagen er artikel 77; tilbagetrækning af samtykke er artikel 7, stk. 3. Den rækkefølge, der virker, er fortegnelsen først og politikken kopieret fra den, hvilket den gratis side er bygget til: hver oplysning, som forordningen formulerer den, et svar under hver, og politikken skrevet med oplysningen som overskrift, så intet påstås ved tavshed, og en ubesvaret oplysning skrives som ikke angivet.
Form, sprog og tidspunkt
Artikel 12, stk. 1, fastsætter formen: kortfattet, gennemsigtig, letforståelig og lettilgængelig, i et klart og enkelt sprog, skriftligt eller med andre midler, herunder elektronisk. En politik på femten siders prosa fejler på det første ord; en politik, der er en liste over de tolv oplysninger med en sætning under hver, består alle. Tidspunktet er indsamlingsstedet: tilmeldingsformularen linker til politikken, før knappen trykkes, cookiebanneret nævner formålene før samtykket, ansøgningssiden nævner opbevaringsperioden før uploaden. For oplysninger efter artikel 14 er tidspunktet den første besked til personen eller måneden, alt efter hvad der kommer først, så berigelsesleverandørens oplysninger annonceres i den første e-mail, der bruger dem. Overførselsværktøjet leverer svaret på overførselsoplysningen for hver modtager uden for EØS, og bestemmelsen af forpligtelserne siger, om virksomheden har en repræsentant eller en rådgiver at nævne.
Hvad man skal gøre med det
Skriv fortegnelsen, besvar derefter oplysningerne ud fra den, og sæt så politikken der, hvor oplysningerne indsamles. Nævn for hver formular på hjemmesiden og hver skærm i produktet, der indsamler personoplysninger, den oplysning i politikken, der dækker den, og kontrollér, at den kan nås derfra. Nævn for hver kilde til personoplysninger, der ikke er personen, den første besked eller måneden, og send politikken efter artikel 14 inden da. Gem den version af politikken, en person så den dag, personen så den, for en formålsændring genstarter pligten, og myndigheden spørger, hvilken version der gjaldt. StandardOS skriver politikken ud fra fortegnelsen og gemmer versionerne; den gratis side skriver den første.