Behandler I personoplysninger om andre end jeres ansatte — kunder, brugere, besøgende, leverandørkontakter — skal de have oplysningerne i artikel 13-14. Typisk ligger politikken på hjemmesiden og linkes fra formularer og bunden af siderne.
Litra c kræver begge. Det er den hyppigste mangel: politikken beskriver formålet grundigt, men springer hjemlen over. For hver behandling skal der stå, om den bygger på samtykke, aftale, retlig forpligtelse eller legitim interesse.
Artikel 13, stk. 2, litra a, kræver enten en periode eller de kriterier, der fastlægger den. »Så længe det er nødvendigt« er kun tilstrækkeligt, hvis I forklarer, hvad der gør det nødvendigt — fx aftalens ophør plus bogføringslovens 5 år.
Indsigt, berigtigelse, sletning, begrænsning, indsigelse og dataportabilitet — og retten til at klage til Datatilsynet. Bygger en behandling på samtykke, skal retten til at trække det tilbage også med.
En amerikansk hostingudbyder, et globalt analyse- eller mailværktøj — det er tredjelandsoverførsler, der skal oplyses sammen med grundlaget. Det er nemt at overse, fordi overførslen sker hos en leverandør, ikke hos jer selv.
Kreditvurdering, offentlige registre, tredjeparter. Gør I det, gælder artikel 14, og kilden skal oplyses. Det er en selvstændig pligt ud over artikel 13's oplysninger om data indsamlet hos personen selv.