GDPR 2026: transparens

Informasjon til registrerte skal være kortfattet, transparent, forståelig og lett tilgjengelig — særlig overfor barn. Juridisk fyllmasse og generiske klausuler tilfredsstiller ikke kravet.

Behandlingsansvarlig skal svare på Art. 15–22-forespørsler (innsyn, retting, sletting mv.) innen én måned, med mulighet for to måneders forlengelse hvis kompleksitet krever det.

Det er lov å be om dokumentasjon for å verifisere identitet, men det må stå i forhold til forespørselens karakter. Kopier av pass for en enkel innsynsforespørsel er ikke proporsjonalt.

Tilby registrerte et programmatisk grensesnitt (MCP-tool) for å få oversikt over egne data, behandlinger og kilder. Senker SLA-risiko og dokumenterer modalitetskravet i Art. 12.

Ved direkte innsamling skal virksomhetens navn, kontaktinfo, DPO-kontakt og eventuell representant i EU oppgis.

Hver behandlingsaktivitet skal ha eksplisitt formål + hvilket rettslig grunnlag fra Art. 6/9 som ligger til grunn. Generiske beskrivelser ('forretningsformål') godtas ikke.

Brukes berettiget interesse som grunnlag, skal interesseavveining dokumenteres og de konkrete interessene oppgis til registrerte (LIA).

Liste over konkrete mottakere eller minst kategorier (databehandlere, underleverandører, myndigheter). Navngi de viktigste underleverandørene.

Overføres data utenfor EØS skal det oppgis hvilket land, hvilket overføringsgrunnlag (adekvansbeslutning, SCC, BCR) og hvordan registrerte kan få kopi av sikkerhetstiltakene.

Hvor lenge hvert datasett beholdes (konkret periode) eller hvilke kriterier som brukes. 'Så lenge nødvendig' alene er ikke tilstrekkelig.

Oppgi Art. 15–22-rettigheter, rett til å trekke samtykke, og adgang til å klage til Datatilsynet (med URL/kontaktinfo).

Ved Art. 22-situasjoner: fortell at det skjer automatisert behandling, gi meningsfull informasjon om logikken, samt betydningen og konsekvensene. AI Act Art. 86 styrker dette kravet fra 2026.

Hver vesentlig endring skal logges med dato, tidligere versjon og begrunnelse. EDPB påpeker at stillferdig oppdatering uten varsling svekker transparens.

Når data ikke er samlet inn fra den registrerte selv, skal kilden opplyses — inkl. om den er offentlig tilgjengelig. Scraping/broker-data krever eksplisitt kilde-angivelse.

Informasjonen skal gis senest innen én måned, eller ved første kommunikasjon med registrerte. Ventes lenger, må spesifikke unntak (Art. 14(5)) dokumenteres.

Ved indirekte innsamling skal kategoriene av opplysninger (ikke bare formål) oppgis: identifikatorer, demografiske data, atferdsdata, særlige kategorier osv.