Samtykke efter GDPR: sådan indhenter du det i detail

Samtykke er ét grundlag – ikke hele løsningen

Datatilsynet afviser myten om, at virksomheder kun må bruge personoplysninger, når kunden giver lov. Samtykke er ét af flere retlige grundlag. Behandling kan også ske for at opfylde en kontrakt eller en retlig forpligtelse.

I detail skal du først afklare, hvad oplysningerne bruges til. Skal de gennemføre et køb, levere en vare eller opfylde en bogføringsforpligtelse, er samtykke ikke automatisk det rigtige grundlag. Samtykke er først relevant, når behandlingen ikke kan hvile på et andet grundlag – fx hvis kunden frivilligt skal kunne sige ja til nyhedsbrev eller kundeklubfordele.

Samtykke vs. andre retlige grundlag i GDPR

Start med formålet: hvad må kunden ikke tvinges til?

Datatilsynet kalder GDPR for fleksible regler: Du kender din virksomhed og skal selv vurdere, hvilke personoplysninger du har behov for, til hvilke formål og hvor længe. Start derfor med formålet, før du vælger samtykke.

Efter artikel 7, stk. 4, tages der ved vurderingen af, om samtykke er givet frit, størst muligt hensyn til bl.a., om opfyldelse af en kontrakt – herunder en tjenesteydelse – er gjort betinget af samtykke til behandling, der ikke er påkrævet for at opfylde kontrakten.

I butikken betyder det, at du ikke må gøre et køb, en levering eller en reklamation betinget af, at kunden også samtykker til behandling ud over, hvad kontrakten kræver. Det frivillige valg skal kunne stå alene.

Sådan ser et gyldigt samtykke ud i praksis

Efter artikel 7, stk. 1, skal den dataansvarlige kunne påvise, at kunden har givet samtykke. Det er ikke nok at mene, at kunden sagde ja.

Hvis samtykket gives i en skriftlig erklæring, der også vedrører andre forhold, skal anmodningen ifølge artikel 7, stk. 2, forelægges klart adskilt fra de andre forhold, i en letforståelig og lettilgængelig form og i et klart og enkelt sprog. Dele af erklæringen, der overtræder forordningen, er ikke bindende.

Endelig skal kunden ifølge artikel 7, stk. 3, inden samtykket gives, oplyses om, at samtykket kan trækkes tilbage. Tilbagetrækning må ikke være sværere end at give samtykket.

Processen til gyldigt samtykke efter GDPR

Vigtige regler om samtykke efter GDPR

Indhent samtykke ved kasse, nyhedsbrev, kundeklub og webshop

Ved kassen, på nyhedsbrevblanketten og i kundeklubben skal samtykket være et selvstændigt valg; teksten skal være tydelig og let at skelne fra andre vilkår. Ved e-mailmarkedsføring skal virksomheden dokumentere et gyldigt samtykke eller, hvor betingelserne er opfyldt, grundlaget for at sende markedsføring til en tidligere kunde (Forbrugerombudsmanden). Et samtykke til markedsføring via e-mail giver ikke adgang til at sende en SMS for at få kunden til at opdatere samtykket (Forbrugerombudsmanden).

Et eksempel på en kort erklæring er: »Jeg ønsker at modtage [virksomhedens] nyhedsbrev via e-mail om [formål]. [Virksomheden] behandler min e-mailadresse til dette formål.« Tilføj: »Jeg kan til enhver tid trække samtykket tilbage via [afmeldingsmetode].« Oplysningerne bør gøre identitet, formål, behandlede oplysninger og retten til at trække samtykket tilbage tydelige (Datatilsynet).

Medarbejderen ved kassen skal kunne forklare det samme mundtligt, så kunden ikke tror, at et køb er betinget af samtykket. Bruger I samtykke, skal I bagefter kunne påvise, at netop den kunde gav det.

Før du sætter eller læser cookies på webshoppen, skal den besøgende samtykke, medmindre de er teknisk nødvendige. Cookiebekendtgørelsen kræver også oplysninger om, hvilke cookies der sættes eller læses, af hvem, til hvilke formål, cookiesenes udløbsdato og hvordan samtykket trækkes tilbage. Et banner kan indhente både cookie-samtykke og samtykke til behandling af personoplysninger, hvis det tydeligt oplyser om begge dele og opfylder GDPR’s oplysningskrav (Datatilsynet).

Dokumentér samtykket – ikke bare processen

Bevisbyrden følger af artikel 7, stk. 1: I skal kunne påvise samtykket. Gem derfor, hvem der samtykkede, hvornår, til hvilket formål, og hvilken version af teksten kunden så.

I CRM- eller kasseløsningen kan I registrere kundens identifikator, tidspunkt, formål, kanal og den tekstversion, kunden så. Knyt registreringen til kundens handling, så I kan dokumentere det konkrete ja og ikke blot jeres procedure.

Sørg for, at medarbejderne kan finde registreringen, hvis kunden trækker samtykket tilbage. Det konkrete valg skal kunne påvises, jf. artikel 7, stk. 1.

Hvis samme samtykkeerklæring også udgør behandlingsgrundlaget efter databeskyttelsesreglerne, stiller Datatilsynet ikke krav om, at erklæringen opbevares i 5 år under henvisning til databeskyttelsesloven (Datatilsynet). Vurder stadig, hvilke dokumentationsoplysninger der er nødvendige for formålet.

Tilbagekaldelse skal være lige så nem som at sige ja

Efter artikel 7, stk. 3, har kunden til enhver tid ret til at trække sit samtykke tilbage. Tilbagetrækningen berører ikke lovligheden af den behandling, der var baseret på samtykke inden tilbagetrækningen.

Inden samtykket gives, skal kunden oplyses om retten til at trække det tilbage. Tilbagetrækning må ikke kræve mere, end da samtykket blev givet.

Hvis behandlingen alene bygger på samtykke, kunden trækker det tilbage, og I ikke har en anden hjemmel, skal oplysningerne ifølge Datatilsynets gennemgang af slettebetingelserne slettes. Det gælder fx, hvis kundeklubben kun findes på samtykke: Så skal en udmelding føre til, at behandlingen stopper, og oplysningerne slettes, medmindre et andet grundlag holder behandlingen i gang.

Typiske fælder for detailvirksomheder

Datatilsynet har samlet en række myter, som også rammer detailvirksomheder. Den første er, at alt kræver samtykke. Det er ikke tilfældet; samtykke er ét af flere retlige grundlag, og behandling kan fx ske for at opfylde en kontrakt eller en retlig forpligtelse.

Den anden er, at virksomheden er godkendt af Datatilsynet. Datatilsynet skriver, at man i udgangspunktet ikke bliver godkendt eller får tilladelse; i nogle meget få tilfælde skal man indhente Datatilsynets tilladelse, men normalt er det den enkelte dataansvarliges opgave at leve op til reglerne i GDPR.

Den tredje er unødig registrering af følsomme oplysninger. Datatilsynet kalder det en dårlig idé at registrere, hvilke medarbejdere der er muslimer eller ikke kan tåle skaldyr, men der er intet galt i at spørge, om der er noget, folk ikke spiser – det kan dække både tro og helbred. I detail kan samme logik bruges: Spørg generelt, hvis et særligt behov kan løses uden at oprette felter med religion eller allergi.

Endelig er retten til sletning ikke ubetinget; Datatilsynet gør op med forestillingen om, at man altid har ret til at få slettet alt.

Tjekliste: sådan indhenter du samtykke efter GDPR trin for trin

Tjekliste: Sådan indhenter du samtykke efter GDPR trin for trin