Vejledning - Datatilsynet

1 Vejledning Samtykke September 2019. indhold Forord 3. 1. Hvad er et samtykke? 4. 2. Kravene til et samtykke 5. Tidspunkt 5. Formkrav 5. Frivilligt 5. Ulige forhold mellem parterne 6. Granularitet 8. Specifikt 9. Informeret 10. Minimumskrav 10. Oplysningspligt 11. Utvetydig viljestilkendegivelse 12. Passivitet 12. Udtrykkeligt samtykke 13. 3. Retten til at tilbagekalde et samtykke 14. Opbevaring af dokumentation for samtykke 15. 4. B rn og samtykke 16. B rns mulighed for at give samtykke 16. B rns samtykke indhentet i forbindelse med informationssamfundstjenester 16. 5. Overgangen fra persondataloven til databeskyttelsesforordningen 18. 6. Tjekliste 19. 2. Forord Dette er en opdateret udgave af vejledningen om samtykke fra november 2017. N r Datatilsynet har fundet anledning til at opdatere vejledningen, skyldes det prim rt, at Artikel 29-gruppen (nu Det Europ iske Databe- skyttelsesr d) i 2018 har offentliggjort en revideret Vejledning om sam- tykke.

2 I denne Vejledning f r du en kort introduktion til reglerne om samtykke som behandlingsgrundlag efter databeskyttelsesforordningen og en r kke ek- sempler p brugen af samtykke. Behandling af personoplysninger skal ske i overensstemmelse med behandlingsreglerne i da- tabeskyttelsesforordningens kapitel II. Samtykke fra den registrerede er et af flere ligestillede retlige grundlag, som den dataansvarlige kan bruge til at behandle personoplysninger. Sam- tykke indtager en vigtig rolle, men udelukker ikke muligheden for, at andre retlige grundlag . afh ngigt af konteksten m ske er mere passende fra s vel den dataansvarliges som fra den registreredes synsvinkel. Form let med vejledningen er at forklare, hvorn r der foreligger et gyldigt samtykke, og hvad retsvirkningerne er, hvis et samtykke tr kkes tilbage.

3 Vejledningen indeholder endvidere et afsnit om forordningens regler om b rns samtykke i forbindelse med informationssamfunds- tjenester. Du finder ogs i vejledningens afsnit 6 en tjekliste, som du kan bruge som en rette- snor for, om du hvis du er dataansvarlig er p linje med kravene i databeskyttelsesforord- ningen eller ej. Tjeklisten kan imidlertid ogs bruges af den registrerede, der gerne vil have et hurtigt overblik over reglerne om samtykke, inden han/hun giver samtykke til en be- handling af personoplysninger. nsker du en mere fyldestg rende gennemgang af reglerne, kan du l se selve lovtek- sten i databeskyttelsesforordningens kapitel 1 og 2 (Europa-Parlamentets og R dets forord- ning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af s danne oplysninger), databeskyttel- seslovens 6 og 12 (Lov nr.)

4 502 af 23. maj 2018 om supplerende bestemmelser til forordning om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af s danne oplysninger) eller bet nkningen om databeskyttelsesforordningen kapitel , og (bet nkning nr. 1565/2017). Der kan i vrigt henvises til Artikel 29-gruppens udtalelse nr. 15 af 13. juli 2011 og nr. 17 af 28. november 2017 (senest revideret 10. april 2018) om samtykke. 3. 1. Hvad er et samtykke? Samtykke er efter databeskyttelsesforordningen udtryk for, at de registrerede gives et reelt valg og kontrol over, hvordan deres oplysninger bruges, og er efter forordningen et af flere . ligestillede behandlingsgrundlag, som den dataansvarlige kan anvende ved behandling af personoplysninger. Det er afg rende, at den dataansvarlige g r sig klart, om samtykke vil v re det mest passende behandlingsgrundlag, eller om det vil v re mere hensigtsm ssigt at st tte behandlingen af den registreredes oplysninger p et andet grundlag.

5 Den dataansvarlige b r overveje, om det reelt vil v re muligt for den registrerede at tr kke sit samtykke tilbage, og hvilke konse- kvenser det vil have. Opfylder et samtykke ikke betingelserne i forordningen, kan det ikke udg re et grundlag for behandlingen af oplysninger. I boksen nedenfor finder du databeskyttelsesforordningens definition af et samtykke. Et sam- tykke fra den registrerede skal v re i overensstemmelse med denne definition. Databeskyttelsesforordningens artikel 4, nr. 11. Enhver, frivillig, specifik, informeret og utvetydig viljestilkendegivelse, hvorved den registrerede ved erkl ring eller klar bekr ftelse indvilliger i, at personoplysninger, der vedr rer den p g ldende, g res til genstand for behandling.. Det er endvidere et krav, at den dataansvarlige kan p vise, at den registrerede har givet sam- tykke til behandlingen af sine personoplysninger.

6 Det er med andre ord den dataansvarlige, som har bevisbyrden for, at den registrerede har givet det forn dne samtykke. Herudover g lder, at hvis den registreredes samtykke gives i en skriftlig erkl ring, der ogs . vedr rer andre forhold, skal en anmodning om samtykke forel gges p en m de, som klart kan skelnes fra de andre forhold, i en letforst elig og lettilg ngelig form og i et klart og enkelt sprog. Endelig er det et krav, at den registrerede, inden samtykke gives, skal oplyses om, at samtyk- ket kan tr kkes tilbage. Alle de ovenn vnte betingelser skal v re opfyldt for, at et samtykke er gyldigt efter forordningen. 4. 2. Kravene til et samtykke Tidspunkt Den registreredes samtykke skal v re p plads inden, den dataansvarlige p begynder be- handling af de oplysninger, som samtykket ang r.

7 Inden behandlingen b r den dataansvarlige f rst vurdere om samtykke er det mest passende behandlingsgrundlag. Hvis dette er tilf ldet, og den dataansvarlige mener, at samtykket kan leve op til kravene i databeskyttelsesforordningen, skal samtykket indhentes inden behandlin- gen af personoplysninger p begyndes. Formkrav Et samtykke kan b de afgives mundtligt, skriftligt og digitalt. Det afg rende er, at den registre- redes erkl ring eller handling tydeligt tilkendegiver den registreredes hensigt, og et samtykke kan derfor ikke gives stiltiende eller v re underforst et. Den dataansvarlige skal endvidere som n vnt kunne bevise, at den registrerede har givet sit samtykke til behandlingen af personoplysninger, og kunne bevise, hvad det meddelte sam- tykke omfatter. Et samtykke b r derfor i videst mulige omfang afgives skriftligt eller p anden m de, som kan bevises.

8 Kan den dataansvarlige ikke bevise, at der foreligger et gyldigt samtykke, er konsekvensen, at samtykket ikke kan anses for at v re i overensstemmelse med forordningen og dermed ikke kan udg re et lovligt behandlingsgrundlag. Frivilligt Et samtykke skal v re frivilligt. Form let med et samtykke er at give de registrerede et valg og ikke mindst kontrol over personoplysninger om dem selv. Et samtykke anses derfor ikke for at v re afgivet frivilligt, hvis den registrerede ikke har et reelt eller frit valg. Et samtykke m . ikke v re afgivet under tvang. Dette g lder, uanset om det er den dataansvarlige eller andre, der ud ver tvang over for den registrerede. Enhver form for upassende pres p eller p virkning af den registreredes frie vilje, medf rer at samtykket er ugyldigt.

9 Den omst ndighed, at den registrerede er i den dataansvarliges varet gt, indsat i f ngsel, undergivet v rnepligt mv., udelukker ikke, at vedkommende kan give et gyldigt sam- tykke. Eksempel 1. En privat sportsforening beder sine medlemmer om samtykke til at tage billeder af dem for at offentligg re billederne p sportsforeningens hjemmeside. Medlemmerne anses for at have et reelt og frit valg, s l nge et n gtet samtykke ikke medf rer negative konsekvenser ( ekskludering af foreningen). Sportsforeningen b r i vrigt overveje, om samtykke er det mest passende behandlingsgrundlag, eller om foreningen vil kunne offentligg re billederne p baggrund af et andet behandlings- grundlag, fx interesseafvejningsreglen i forordningens artikel 6, stk. 1, litra f. 5. Ulige forhold mellem parterne Den dataansvarlige b r i relation til kravet om frivillighed ogs v re opm rksom p , om der foreligger et ulige forhold mellem den dataansvarlige og den registrerede.

10 Et samtykke anses normalt ikke for at v re afgivet frivilligt, hvis der er en klar sk vhed mellem den registrerede og den dataansvarlige. Offentlige myndigheder Det kan v re tilf ldet, hvis den dataansvarlige er en offentlig myndighed, og den regi- strerede ans ger om en offentlig ydelse hos myndigheden. Den registrerede vil i dette tilf lde oftest ikke have andre alternativer end at give samtykke til behandlingen, hvis borgeren vil have ydelsen. En offentlig myndighed vil derfor ofte ikke kunne behandle personoplysninger p baggrund af et samtykke. Offentlige myndigheder b r af denne grund n je overveje anvendelsen af sam- tykke som behandlingsgrundlag. Offentlige myndigheder er i flere tilf lde underlagt bestemmelser, som stiller krav om sam- tykke fra borgeren. I disse tilf lde skal myndigheden imidlertid v re opm rksom p , at selvom det kan f lge af lovgivningen, at der kr ves samtykke , er det ikke n dvendigvis ens- betydende med, at der er tale om et samtykke i databeskyttelsesforordningens forstand.