GDPR – Samtykke

Behandling af personoplysninger er generelt forbudt, medmindre det er udtrykkeligt tilladt ved lov, eller den registrerede har givet samtykke til behandlingen. Selvom det er en af de mere velkendte juridiske grunde til behandling af personoplysninger, er samtykke kun én af seks grunde nævnt i Databeskyttelsesforordningen (GDPR). De andre er: kontrakt, juridiske forpligtelser, den registreredes vitale interesser, offentlig interesse og legitim interesse som angivet i artikel 6(1) GDPR.

De grundlæggende krav til effektiviteten af et gyldigt juridisk samtykke er defineret i artikel 7 og præciseret yderligere i betragtning 32 i GDPR. Samtykke skal være givet frit, specifikt, informeret og utvetydigt. For at opnå frit givet samtykke, skal det gives på frivillig basis. Elementet “frit” indebærer et reelt valg af den registrerede. Enhver form for upassende pres eller indflydelse, der kan påvirke resultatet af dette valg, gør samtykket ugyldigt. I den forbindelse tager den juridiske tekst en vis ubalance mellem den dataansvarlige og den registrerede i betragtning. For eksempel i et arbejdsgiver-arbejdstager forhold: Medarbejderen kan bekymre sig om, at hans nægtelse af samtykke kan have alvorlige negative konsekvenser for hans ansættelsesforhold, således kan samtykke kun være et lovligt grundlag for behandling i få undtagelsestilfælde. Derudover gælder et såkaldt “sammenkoblingsforbud” eller “forbud mod kobling eller binding”. Dermed kan udførelsen af en kontrakt ikke gøres afhængig af samtykke til at behandle yderligere personoplysninger, som ikke er nødvendige for udføre

For at samtykke kan være informeret og specifikt, skal den registrerede som minimum informeres om dataansvarliges identitet, hvilken type data der vil blive behandlet, hvordan de vil blive brugt, og formålet med behandlingsaktiviteterne som en beskyttelse mod ‘funktionstur’. Den registrerede skal også informeres om sin ret til at trække samtykke tilbage når som helst. Tilbagetrækningen skal være lige så nem som at give samtykke. Hvor relevant, skal dataansvarlige også informere om brugen af data til automatiseret beslutningstagning, de mulige risici ved dataoverførsler på grund af manglende tilstrækkelighedsbeslutning eller andre passende sikkerhedsforanstaltninger.

Samtykket skal være knyttet til ét eller flere angivne formål, som derefter skal forklares tilstrækkeligt. Hvis samtykket skal legitimere behandlingen af særlige kategorier af personoplysninger, skal informationen til den registrerede udtrykkeligt henvise til dette.
Der skal altid være en klar skelnen mellem de oplysninger, der er nødvendige for det informerede samtykke, og oplysninger om andre kontraktuelle forhold.

Sidst men ikke mindst skal samtykke være utvetydigt, hvilket betyder, at det kræver enten en erklæring eller en klar bekræftende handling. Samtykke kan ikke være underforstået og skal altid gives gennem et opt-in, en erklæring eller en aktiv handling, så der ikke er nogen misforståelse om, at den registrerede har givet samtykke til den specifikke behandling. Når det er sagt, er der ikke noget formkrav for samtykke, selvom skriftligt samtykke anbefales på grund af dataansvarliges ansvarlighed. Det kan derfor også gives i elektronisk form. I denne henseende er børns og unges samtykke i forbindelse med informationssamfundstjenester et særligt tilfælde. For dem, der er under 16 år, er der et yderligere samtykke eller godkendelseskrav fra indehaveren af forældremyndigheden. Aldersgrænsen er underlagt en fleksibilitetsklausul. Medlemsstater kan fastsætte en lavere alder ved national lovgivning, forudsat at en sådan alder ikke er under 13 år. Når et servicetilbud eksplicit ikke er rettet mod børn, er det fritaget for denne regel. Dette gælder dog ikke for tilbud, der er henvendt til både børn og voksne.

Som man kan se, er samtykke ikke en universalløsning, når det kommer til behandling af personoplysninger. Især i betragtning af at de europæiske databeskyttelsesmyndigheder har gjort det klart, “at hvis en dataansvarlig vælger at basere sig på samtykke for en del af behandlingen, skal de være forberedt på at respektere dette valg og stoppe den del af behandlingen, hvis en person trækker samtykket tilbage.” Strengt fortolket betyder dette, at den dataansvarlige ikke har lov til at skifte fra det juridiske grundlag samtykke til legitim interesse, når den registrerede trækker sit samtykke tilbage. Dette gælder, selvom der oprindeligt eksisterede en gyldig legitim interesse. Derfor bør samtykke altid vælges som en sidste mulighed for behandling af personoplysninger.