Året tilsynene leser personvernerklæringen: CEF 2026 om åpenhet

Grunnen til at denne aksjonen er mer ubehagelig enn de foregående har ingenting å gjøre med hvor strenge tilsynene er. Den har å gjøre med at åpenhet er den eneste plikten i forordningen som vurderes ved å lese, fra leserens side. En protokoll over behandlingsaktiviteter bedømmes etter hvor komplette feltene er; et sikkerhetstiltak etter hva det hindrer; en personvernerklæring etter om et vanlig menneske, etter å ha lest den, vet hva som skjer med opplysningene sine. Det er en kontroll som ikke krever besøk på stedet: teksten er allerede offentlig, og har vært det i årevis.

Det lønner seg å holde de tre artiklene fra hverandre, for de siteres sammen og behandles som én. Art. 12 handler om formen: konsise, åpne, forståelige og lett tilgjengelige opplysninger i et klart og enkelt språk. Art. 13 handler om innholdet når opplysningene samles inn fra personen. Art. 14 handler om innholdet når opplysningene kommer fra noen andre. I praksis finnes de to første nesten alltid i en eller annen form; den tredje finnes i de aller fleste tilfeller ikke i det hele tatt.

• «Så lenge det er nødvendig for de angitte formålene» er ingen lagringstid: det er spørsmålet gjentatt som svar. Art. 13 nr. 2 bokstav a krever perioden, eller kriteriene for å fastsette den.
• «Våre partnere», «utvalgte leverandører», «selskaper i konsernet» er ikke kategorier av mottakere. En kategori kjennes igjen på at leseren forstår hvem det er snakk om.
• Behandlingsgrunnlaget skal angis for hvert formål, ikke én gang nederst for alle. Når det er fem formål og tre grunnlag, må koblingen være lesbar.
• Overføring ut av Unionen skal oppgis med det instrumentet som bærer den, og med opplysning om hvor man får kopi av det.
• Informasjonen etter art. 14 skal gis innen én måned etter at opplysningene er innhentet, eller ved den første kommunikasjonen med den berørte dersom den kommer før.

Hvordan forberede seg, uten å vente på rapporten. Den første øvelsen er å lese sin egen erklæring slik en kunde ville lese den, altså én gang og uten lyst. Den andre er å legge den ved siden av protokollen over behandlingsaktiviteter og sammenligne linje for linje: formål, grunnlag, mottakere, frister, overføringer. Oppgir erklæringen fire formål mens protokollen lister ni, er ett av de to usant, og det er uten betydning hvilket — motsetningen mellom de to dokumentene er i seg selv funnet, fordi den viser at ett av dem ikke beskriver virkeligheten.

Om spørreskjemaet, dersom det kommer, en metodisk advarsel. Fristelsen er å svare ved å beskrive virksomheten slik vi gjerne skulle hatt den. Det er en feil som koster to ganger: tilsynet sammenligner svarene med dokumentene, og avviket mellom det du skrev i skjemaet og det som står i protokollen er et selvstendig funn, i tillegg til det opprinnelige. Det nyttige svaret sier hva som finnes, hva som mangler og med hvilken dato det blir lukket. Den andre delen er ingen svakhet: art. 24 krever egnede og oppdaterte tiltak, ikke oppnådd fullkommenhet.

En merknad om kalenderen, for den avgjør hva det er rimelig å gjøre nå. Sammenstillingen av de nasjonale resultatene er ventet i andre halvdel av 2026, og den oppsummerende rapporten kommer etterpå. Å vente på den før man rører seg er det minst fornuftige av alt: rapporten vil si hvilke mangler tilsynene fant i erklæringer som allerede er publisert, altså også i din. Å lese den gjennom på forhånd koster en ettermiddag; å lese den gjennom etter et spørreskjema koster det samme, med en frist over seg.