Samtykkeerklæring - sådan indhenter virksomheden et gyldigt samtykke

En samtykkeerklæring er det sted, hvor en kunde, en ansat eller en anden person siger ja til, at virksomheden må bruge oplysninger om vedkommende til et bestemt formål. Det kan være et flueben i en webshop, en underskrift på en papirformular eller et klik på en knap i en app. Om det sker på papir eller på en skærm, betyder mindre. Spørgsmålet er, om samtykket lever op til definitionen i databeskyttelsesforordningens artikel 4, nr. 11, der kræver en frivillig, specifik, informeret og utvetydig viljestilkendegivelse, givet ved en erklæring eller en klar bekræftelse.

Ordet bliver også brugt om noget helt andet. En samtykkeerklæring til kørekort før 18 år, til pas til et barn eller til at rejse med børn er forældremyndighedens accept efter de regler, der gælder for netop den ansøgning eller rejse. Den har ikke noget med persondata at gøre, og myndigheden, der behandler ansøgningen, oplyser selv, hvad den kræver. Denne side handler om samtykke til behandling af personoplysninger, som en virksomhed indhenter.

For virksomheden er samtykket både en mulighed og en forpligtelse. Det giver lov til en behandling, som ellers ikke ville have et grundlag, men det binder også. Når samtykket er det eneste grundlag, falder retten til at fortsætte væk, den dag personen trækker det tilbage.

Den mest udbredte misforståelse er, at al behandling af personoplysninger kræver samtykke. Det gør den ikke. Forordningens artikel 6, stk. 1 nævner seks grundlag, og samtykke i litra a er kun ét af dem. Databeskyttelsesloven § 6, stk. 1 henviser direkte til de samme seks. Du kan læse om alle grundlagene og de øvrige grundregler i oversigten over GDPR.

En god prøve er at spørge, hvad der skal ske, hvis personen siger nej eller senere fortryder. Vil virksomheden behandle oplysningerne alligevel, er samtykke det forkerte grundlag, fordi personen så reelt ikke har et valg. Nogle typiske situationer:

• Levering af en vare. Navn og adresse er nødvendige for at opfylde købet, og grundlaget er kontrakten (artikel 6, stk. 1, litra b).
• Bogføring og løn. Når en lov pålægger virksomheden at gemme oplysningerne, er grundlaget en retlig forpligtelse (litra c).
• Sikring af egne krav. At gemme korrespondancen med en kunde, der klager, kan bygge på en legitim interesse, når kundens interesser ikke vejer tungere (litra f).
• Nyhedsbreve, profilering til markedsføring og deling med samarbejdspartnere. Her er samtykke ofte det naturlige grundlag, fordi behandlingen ikke er nødvendig for selve handlen.

Vælg grundlaget, før behandlingen begynder, og skriv valget ned. Bygger en behandling på samtykke, og trækker personen det tilbage, kan virksomheden ikke bagefter skifte til et andet grundlag for at fortsætte, uden at det ser ud, som om samtykket aldrig var reelt.

De fire krav står i én sætning i artikel 4, nr. 11, men hver af dem bliver brudt på sin egen måde i praksis. Tabellen samler kravene med de fejl, der typisk gør en samtykkeerklæring ugyldig.

Til de fire krav kommer et krav til formen. Står anmodningen om samtykke i en skriftlig erklæring, der også handler om andre ting, skal den klart kunne skelnes fra resten og være skrevet i et klart og enkelt sprog. Gør den ikke det, er den del af erklæringen, der strider mod forordningen, ikke bindende (artikel 7, stk. 2). Et samtykke gemt midt i handelsbetingelserne holder derfor sjældent.

Frivilligheden er det krav, der oftest volder problemer. Artikel 7, stk. 4 siger ikke, at det altid er ulovligt at koble et samtykke til en ydelse, men at det skal tillægges størst mulig vægt, om ydelsen er gjort betinget af et samtykke, der ikke er nødvendigt for den.

Bygger behandlingen på samtykke, er det virksomheden, der skal kunne påvise, at personen har givet det (artikel 7, stk. 1). Et samtykke, der ikke kan dokumenteres, er i praksis lige så svagt som et samtykke, der aldrig blev givet. Gem derfor ikke kun selve ja'et, men også den tekst, personen sagde ja til, og hvornår.

Personen kan til enhver tid trække samtykket tilbage. Det gør ikke den behandling, der skete inden, ulovlig, men virksomheden skal stoppe den behandling, der kun byggede på samtykket. Personen skal have at vide, at samtykket kan trækkes tilbage, før det gives, og det skal være lige så let at trække det tilbage som at give det (artikel 7, stk. 3). Blev samtykket givet med ét klik, holder det ikke, at tilbagetrækningen kræver et brev eller et opkald.

En samtykkeerklæring, der kan stå for en kontrol, indeholder typisk disse elementer:

• Virksomhedens navn, så personen ved, hvem samtykket gives til.
• Et konkret formål for hvert samtykke, med et separat valg pr. formål.
• Hvilke typer oplysninger der bruges, og om de deles med andre.
• Et felt eller en knap, som personen selv skal aktivere.
• Oplysning om, at samtykket kan trækkes tilbage, og hvordan.
• Adskillelse fra handelsbetingelser og andre vilkår.
• En log med tidspunkt, kanal og versionsnummer på teksten.
• En procedure for, hvem der stopper behandlingen, når et samtykke trækkes tilbage.

Listen er en kontrol af indholdet, ikke en færdig tekst. Ordlyden skal passe til den behandling, virksomheden faktisk foretager.

Forordningens artikel 8, stk. 1 fastsætter en aldersgrænse på 16 år for børns samtykke, men giver medlemsstaterne lov til at sænke den, dog ikke under 13 år. Danmark har valgt 15 år. Efter databeskyttelsesloven § 6, stk. 2 er behandling af oplysninger om et barn lovlig, når barnet er mindst 15 år, og er barnet under 15 år, skal samtykket gives eller godkendes af indehaveren af forældremyndigheden (§ 6, stk. 3).

Grænsen gælder kun, når to betingelser er opfyldt. Behandlingen skal bygge på samtykke, og det skal ske i forbindelse med en informationssamfundstjeneste, der udbydes direkte til børn, fx en app, et spil eller en onlinetjeneste rettet mod unge. Reglen siger altså ikke, at børn under 15 år aldrig kan give samtykke. Den siger noget om netop den situation. Uden for den skal det vurderes konkret, om barnet forstår, hvad det siger ja til.

Virksomheden skal gøre sig rimelige bestræbelser på at kontrollere, at det faktisk er forældremyndighedens indehaver, der har givet eller godkendt samtykket, under hensyn til den teknologi, der er til rådighed (artikel 8, stk. 2). Et felt med teksten "jeg er over 15" er derfor et svagt værn, hvis tjenesten tydeligt tiltrækker yngre brugere. Artikel 8 ændrer ikke de almindelige regler om, hvornår et barn kan indgå en aftale (artikel 8, stk. 3).

En medarbejder kan godt give samtykke. Databeskyttelsesloven § 12, stk. 3 siger udtrykkeligt, at behandling i ansættelsesforhold kan ske på baggrund af et samtykke efter artikel 7. Problemet er frivilligheden. Den ansatte er afhængig af arbejdsgiveren, og det er svært at sige nej til den, der betaler lønnen, så et samtykke fra en ansat bliver vurderet med skepsis.

I de fleste tilfælde er samtykke heller ikke nødvendigt. Efter § 12, stk. 1 må arbejdsgiveren behandle oplysninger, når det er nødvendigt for at overholde arbejdsretlige forpligtelser eller rettigheder efter anden lovgivning eller kollektive overenskomster. Efter stk. 2 kan behandlingen også ske ud fra en legitim interesse, der udspringer af anden lovgivning eller overenskomster, medmindre den ansattes interesser vejer tungere. Løn, ferie, sygefravær og indberetninger hører typisk hjemme her.

Samtykket er mest oplagt, når det drejer sig om noget, der ligger uden for selve ansættelsen, og som medarbejderen let kan sige nej til uden konsekvenser. Et billede af medarbejderen på virksomhedens hjemmeside er et godt eksempel. Et nej må ikke have betydning for vagtplanen eller lønsamtalen, og ja'et skal kunne trækkes tilbage lige så let.

Nogle oplysninger er særligt beskyttede. Artikel 9, stk. 1 forbyder som udgangspunkt behandling af bl.a. helbredsoplysninger, oplysninger om etnisk oprindelse, religiøs overbevisning, fagforeningsmæssigt tilhørsforhold, biometriske data til entydig identifikation og oplysninger om seksuelle forhold. Forbuddet gælder ikke, hvis personen har givet udtrykkeligt samtykke til et eller flere specifikke formål, medmindre EU-retten eller national ret siger, at forbuddet ikke kan hæves på den måde (artikel 9, stk. 2, litra a). Databeskyttelsesloven § 7, stk. 1 henviser til den samme undtagelse.

Udtrykkeligt betyder mere end utvetydigt. Ved følsomme oplysninger er det ikke nok, at personen fx fortsætter en bestilling. Samtykket bør gives i en klar erklæring, der nævner den konkrete type oplysning, fx "Jeg giver samtykke til, at klinikken gemmer oplysninger om min allergi til brug for behandlingen".

CPR-nummeret er ikke en følsom oplysning efter artikel 9, men har sine egne regler. En privat virksomhed må efter databeskyttelsesloven § 11, stk. 2 behandle personnummer, når det følger af lovgivningen, når personen har givet samtykke efter artikel 7, når det alene sker til videnskabelige eller statistiske formål eller ved visse videregivelser, eller når betingelserne i § 7 er opfyldt. Offentliggørelse af et personnummer kræver samtykke (§ 11, stk. 3). Behandler virksomheden følsomme oplysninger i stort omfang, kan det også være nødvendigt at lave en konsekvensanalyse, hvis behandlingen sandsynligvis indebærer en høj risiko for personerne.

Eksemplet viser, hvordan ét flueben for meget kan koste både samtykket og muligheden for at sende nyhedsbreve.

Rettelsen gælder fremad. Kunder, der har krydset det gamle felt af, har ikke givet et gyldigt samtykke til nyhedsbrevet, så Harald bør spørge dem på ny i en form, der lever op til kravene, i stedet for at fortsætte udsendelsen.