Et gyldigt samtykke efter GDPR er en frivillig, specifik, informeret og utvetydig tilkendegivelse, hvor en person accepterer behandling af sine personoplysninger ved en erklæring eller en klar bekræftende handling. Samtykke er ét af flere mulige behandlingsgrundlag og kan til enhver tid trækkes tilbage.
Definitionen står i artikel 4, nr. 11, hjemlen i artikel 6, stk. 1, litra a og de nærmere betingelser i artikel 7. Vælg et grundlag, der passer til formålet og behandlingen, før du indsamler oplysninger.
Hvilke krav skal et samtykke opfylde?
Samtykket skal gives frit
Personen skal have et reelt valg og kunne sige nej eller trække samtykket tilbage uden unødvendige negative konsekvenser. Du må ikke gøre en ydelse betinget af samtykke til behandlinger, som ikke er nødvendige for ydelsen; det indgår i vurderingen af frivillighed efter artikel 7, stk. 4.
Samtykke er ofte vanskeligt at bruge i et ansættelsesforhold, fordi magtforholdet kan gøre det svært at sige nej. Det kræver en konkret vurdering af, om medarbejderen faktisk har et frit valg.
Samtykket skal være specifikt og informeret
Beskriv tydeligt, hvem der behandler oplysningerne, hvilke oplysninger der bruges, til hvilke formål og hvordan samtykket kan trækkes tilbage. Oplysningspligten efter artikel 13 gælder også, når du indsamler oplysninger på grundlag af samtykke. Information skal gives klart og i et letforståeligt sprog.
Forskellige formål skal kunne vælges særskilt, når behandlingen bygger på samtykke. Et samtykke til et nyhedsbrev giver fx ikke automatisk samtykke til at videregive oplysninger til en samarbejdspartner til dennes markedsføring. En samtykkeanmodning i en aftale skal klart kunne skelnes fra aftalens øvrige indhold.
Samtykket skal være utvetydigt
Det kræver en aktiv tilkendegivelse, fx et tilvalg i en tom afkrydsningsboks eller en klar erklæring. Tavshed, inaktivitet og på forhånd afkrydsede felter er ikke gyldigt samtykke. Samtykke behøver ikke altid være skriftligt, men du skal kunne dokumentere det.
Ved følsomme personoplysninger kan der være krav om udtrykkeligt samtykke efter artikel 9, stk. 2, litra a. Almindeligt samtykke efter artikel 6 er ikke i sig selv tilstrækkeligt til en behandling, der også er omfattet af artikel 9.
Hvordan dokumenterer du samtykket?
Den dataansvarlige skal kunne påvise, at personen har givet samtykke. Gem nødvendig dokumentation for, hvem der gav det, hvornår og hvordan, og hvilken information og hvilke formål samtykket omfattede. En tidsstemplet registrering uden den tilhørende samtykketekst kan være utilstrækkelig.
Hvis formålet eller behandlingen ændrer sig, skal du vurdere, om det eksisterende samtykke stadig dækker. Samtykker og dokumentation skal ikke opbevares længere, end der er et sagligt og lovligt behov for.
Hvad sker der, når samtykket trækkes tilbage?
Det skal være lige så let at trække samtykke tilbage som at give det, og personen skal informeres om muligheden, før samtykket gives. Tilbagetrækningen påvirker ikke lovligheden af behandling, der allerede er udført på grundlag af samtykket.
Stop den behandling, som hviler på det tilbagetrukne samtykke. Du kan ikke uden videre skifte til et andet behandlingsgrundlag for at fortsætte samme behandling. Oplysninger, der også bruges til et særskilt formål med et selvstændigt lovligt grundlag, kan fortsat behandles til det formål, fx nødvendig bogføring.
Oplysninger skal slettes, når der ikke længere er et lovligt grundlag for at opbevare dem, jf. artikel 17. Nødvendig dokumentation kan efter en konkret vurdering opbevares til fx en retlig forpligtelse eller et retskrav. Tilbagetrækning giver ikke en generel ret til at beholde alle oplysninger.
Eksempler på samtykke i praksis
- Nyhedsbrev: Et klart tilvalg kan dokumentere et ønske om at modtage e-mails. Ved markedsføring gælder også markedsføringslovens regler om elektroniske henvendelser; GDPR-samtykke alene afgør ikke, om udsendelsen er lovlig.
- Medarbejderfoto: Samtykke kan være relevant til offentliggørelse af et portræt, hvis det reelt er frivilligt. Det er ikke altid det eneste mulige behandlingsgrundlag; vurder formålet og situationen.
- Cookies: Samtykke til ikke-nødvendige cookies følger særskilte cookieregler. Hvis der også behandles personoplysninger, skal behandlingen have et grundlag efter GDPR. Ikke alle cookies kræver samtykke.
Tjek før du beder om samtykke
- Er samtykke det rette grundlag for denne behandling?
- Kan personen vælge frit, og er formålene tydeligt adskilt?
- Er informationen forståelig og tilgængelig før tilvalget?
- Kræver tilvalget en aktiv handling, og kan I dokumentere den?
- Er tilbagetrækning enkel, og kan I stoppe behandlingen og håndtere sletning?