Virksomheder kan have indhentet ubrugelige samtykkeerklæringer
29. august 2017
3 minutters læsetid
Har din virksomhed indhentet ubrugelige samtykkeerklæringer til behandling af personfølsomme oplysninger? Vi kan hjælpe dig og din virksomhed med at få styr på behandlingen af persondata.
Persondataforordningens ikrafttræden nærmer sig med hastige skridt, og flere virksomheder begynder at blive opmærksomme på at opfylde de strenge krav til behandling af personfølsomme oplysninger.
For mange virksomheder virker det attraktivt blot at indhente samtykke, for derefter at fortsætte som virksomheden altid har gjort. Virksomheden bør dog være varsom. Dels er et samtykke ikke altid tilstrækkeligt, dels er et samtykke ubrugeligt, hvis det er indhentet forkert.
God databehandlingsskik er en samlet betegnelse for en række brede krav til, hvordan virksomheden skal opføre sig, når den behandler persondata. Disse regler gælder uanset om virksomheden har modtaget et samtykke til behandlingen eller ej. Hvis virksomheden indhenter et ellers gyldigt samtykke, men den behandling der samtykkes til ikke overholder god databehandlingskik, vil behandlingen på trods af samtykket være ulovlig.
De væsentligste dele af god databehandlingsskik kan kort opsummeres i følgende punkter:
– Indsamling af oplysninger skal ske til udtrykkeligt angivne formål, og senere behandling må ikke stride imod disse formål
– Oplysningerne skal være relevante, tilstrækkelige og ikke omfatte mere end nødvendigt i forhold til formålet
– Der skal ske fornøden kontrol, ajourføring og berigtigelse af oplysningerne
– Oplysningerne må ikke opbevares på en måde, hvor det er muligt at identificere den bagvedliggende fysiske person i et længere tidsrum end nødvendigt i forhold til formålet
Et samtykke er en viljestilkendegivelse, som er frivillig, specifik og informeret. Opfylder et samtykke ikke samtlige disse krav, kan det ikke bruges som lovligt grundlag for databehandlingen. Virksomheden risikerer dermed at få en bøde eller et pålæg fra Datatilsynet.
En viljestilkendegivelse er en aktiv handling, som tilkendegiver, at den registrerede har til hensigt at afgive sit samtykke. Dette betyder, at det ikke er muligt at indhente et stiltiende samtykke, eller at forpligtige en person, som undlader at reagere på en opfordring. Typeeksemplet er afkrydsningsfelter for nyhedsbreve i webshops, som ikke må være afkrydset på forhånd.
Frivillig betyder, at den registrerede skal afgive samtykket uden tvang. Kravet om frivillighed indebærer også, at den registrerede ikke må stilles dårligere, fordi vedkommende ikke ønsker at give samtykke. Dette kan eksempelvis være samtykkeerklæringer indhentet fra en medarbejder under trussel om afskedigelse.
Specifik betyder, at den registrerede person skal oplyses om præcist, hvilke typer af oplysninger der behandles om vedkommende, hvem der foretager behandlingen, og hvilke formål oplysninger behandles til.
Informeret betyder, at den registrerede i øvrigt skal have alle de oplysninger, som er nødvendige for, at den registrerede kan vurdere, om han eller hun bør give samtykke.
Virksomheden bør være opmærksom på, at den registrerede på ethvert tidspunkt, og helt uden begrundelse, kan tilbagekalde sit samtykke.
En virksomhed der har baseret lovligheden af helt essentielle forretningsgange eller processer i driften på samtykkeerklæringer, eksempelvis markedsføring ved brug af visse medarbejderoplysninger, kan risikere, at skulle spilde værdifuld tid og ressourcer på at håndtere fremtidige problemer, såfremt et samtykke trækkes tilbage. Det medfører både værdispild og en usolid grobund for en vækstende virksomhed.
Hvis du ser trusler i den måde din virksomhed håndterer samtykkeerklæringer i dag, eller muligheder i hvordan de kan håndteres i fremtiden, er du velkommen til at kontakte os for et uforpligtende møde.
Du er altid velkommen til at henvende dig til os og få en indledende drøftelse af din sag. Vi har stor erfaring i at analysere situationen og give dig råd om, hvad der er bedst at gøre.
