Samtykke. De registreredes rettigheder, Skoleforvaltningen

Transkript

1 Samtykke De registreredes rettigheder, Skoleforvaltningen

2 Samtykke Når man behandler personoplysninger kræver det altid hjemmel. Hjemlen kan enten findes i lovgivningen eller via et samtykke. Personoplysninger skal behandles lovligt, rimeligt og på en gennemsigtig måde i forhold til den registrerede det er også kendt som god databehandlingsskik. Hvornår er det ikke nødvendigt at indhente samtykke? Som kommune har vi ofte hjemmel i en lov til at behandle borgeres eller ansattes personoplysninger. I forhold til medarbejdere, så er behandling af personoplysninger nødvendig, for at vi kan opfylde en ansættelsesaftale. Her bruger vi behandlingshjemlen i databeskyttelsesforordningen artikel 6. stk. 1, b. Et andet eksempel er udførelse af den eller de myndighedsopgaver, vi er pålagt. Eksempelvis siger folkeskoleloven, at vi i samarbejde med forældrene skal give eleverne kundskaber og færdigheder, der: forbereder dem til videre uddannelse og giver dem lyst til at lære mere, gør dem fortrolige med dansk kultur og historie, giver dem forståelse for andre lande og kulturer, bidrager til deres forståelse for menneskets samspil med naturen og fremmer den enkelte elevs alsidige udvikling. Her har vi hjemmel til behandling af personoplysninger i databeskyttelsesforordningen artikel 6, stk. 1, litra e, og hvis det er følsomme personoplysninger i artikel 9, stk. 2, litra g. I begge disse tilfælde vil vi normalt ikke skulle indhente samtykke fra ansatte eller borgere, medmindre der er en anden lov, der fastsætter, at vi skal gøre det. Et eksempel herpå kan være, at det er fastsat i sundhedsloven, at der skal indhentes informeret samtykke osv. Er samtykke den eneste hjemmel? Samtykke må kun bruges hvis det er det eneste behandlingsgrundlag til at bruge personoplysningerne (ex. ekstern brug af portrætbilleder i andet end specialskoler/specialklasser). I langt de fleste tilfælde vil der være en lovhjemmel for behandlingsgrundlaget, og derved er samtykke ikke relevant. Lovgrundlaget til behandling af personoplysninger kan normalt findes i særlovgivningen, der dækker det aktuelle arbejdsområde eller i persondatarettens bestemmelser. Er det stadig nødvendigt at behandle personoplysningerne? Hvis det ikke længere er nødvendigt at behandle personoplysningerne, så skal behandlingen stoppes med det samme og oplysningerne slettes. Derfor er det heller ikke relevant at se på samtykke i den forbindelse.

3 Kan samtykket findes frem igen? Det skal altid være muligt at finde det samtykke, der danner hjemlen for en bestemt behandling. Er det ikke muligt at finde samtykket, så kan det ikke bevises, at det er givet og derfor er behandlingen ikke lovlig og skal stoppes omgående. Samtykket skal derfor altid gemmes et sted, hvor det let kan findes frem og kobles sammen med den behandling, som samtykket er hjemmel for. Det er derfor bedst, at samtykket gemmes sammen med de oplysninger, som de giver hjemmel til at behandle. Derudover indeholder samtykket personoplysninger, og skal gemmes et sikkert sted. Samtykket gemmes i ESDH-systemet eller i et andet sikkert system, hvis det er i elektronisk form. Hvis det er i fysisk form, skal det opbevares aflåst, indtil det bliver scannet ind og lagt i fagsystemet. Herefter destrueres det fysiske materiale. Hvem har givet samtykket, og hvornår er det givet? Det er dokumenteret, hvem der har givet samtykket, hvis det er givet elektronisk via et system. Det kan også være dokumenteret ved, at samtykkeerklæringen er underskrevet i fysisk form, eller der er lavet et notat om et mundtligt afgivet samtykke. For at kunne dokumentere at et samtykke er gyldigt, skal det fremgå af samtykkeerklæringen, hvornår det er givet. Samtykket er gyldigt så længe det er nødvendigt at behandle personoplysningerne. Er samtykkeanmodningen tydelig og specifik? En anmodning om samtykke skal altid være tydelig og selvstændig og eksempelvis ikke en del af et ansøgningsskema. Er anmodningen skriftlig, skal det fremgå tydeligt og selvstændigt af teksten, at det er et samtykke, vi beder om. Er samtykkeanmodningen skrevet i et klart og letforståeligt sprog? Teksten i samtykket skal være formuleret i et klart og letforståeligt sprog, som er egnet til den målgruppe, som er modtager. Dette gælder for både mundtlige og skriftlige samtykkeanmodninger. Har den samtykkende aktivt givet sit samtykke? Et gyldigt samtykke, opnås gennem en utvetydig viljetilkendegivelse altså en frivillig tilkendegivelse gennem en aktiv handling, hvor den registrerede har gjort noget aktivt for at acceptere, at personoplysninger behandles. Tavshed eller inaktivitet er ikke tilstrækkeligt til at udgøre en utvetydig tilkendegivelse. Samtykket er ugyldigt, hvis det er givet ved passivitet. Eksempler herpå er skemaer, som er udfyldt på forhånd eller afkrydsningsfelter, som digitalt er markeret inden. Er formålet med samtykket beskrevet? En samtykkeanmodning skal indeholde en så præcis angivelse af formålet med behandlingen som muligt. Det skal fremgå klart og tydeligt, hvad formålet med samtykket er, og hvad der gives samtykke til. Formålet kan dog godt formuleres forholdsvist bredt, så det dækker mere end en specifik behandling. Ek-

4 sempelvis samtykke til fotografering og anvendelse af billeder på hjemmeside, nyhedsbreve og til undervisning. Personoplysninger skal altid indsamles til et udtrykkeligt og sagligt formål, og personoplysninger må ikke viderebehandles til andet end det specifikke formål. Ønskes det at behandle oplysninger til et andet formål, skal der indhentes et nyt samtykke, der indeholder oplysning om den ændrede behandling. skal kunne trækkes tilbage på samme nemme måde, som det er afgivet. Er samtykket afgivet mundtligt, skal det også mundtligt kunne trækkes tilbage. Vidste du at Skabeloner Skoleforvaltningen har lavet skabeloner til indhentelse af samtykkeerklæringer. Er samtykke til flere uafhængige formål søgt separat? Hvis en behandling tjener flere formål, skal der indhentes særskilte samtykker for hvert enkelt formål. Denne formålsbegrænsning sikrer, at den registrerede får mulighed for at give samtykke til et formål uden at give samtykke til andre. Disse er obligatoriske at bruge, når der indhentes samtykke til de pågældende behandlinger. Du kan se skabelonerne her Til andre behandlinger kan samtykket se anderledes ud. Det vigtige er blot, at ovenstående regler overholdes. Praktisk kan dette ske ved en samlet erklæring, hvor den registrerede kan afkrydse, hvilke formål vedkommende accepterer, at der behandles oplysninger til. Den registrerede kan eksempelvis godt give samtykke til at blive fotograferet, men ikke at billederne offentliggøres på sociale medier. Du kan også orientere sig i nedenstående skema eller flowchart, om samtykket er nødvendigt og gyldigt. Fremgår det af samtykkeerklæringen, at Skoleforvaltningen i Aalborg Kommune er den dataansvarlige? Det skal fremgå af samtykket, at det er Skoleforvaltningen, der er dataansvarlig for den pågældende behandling, samt at det er forvaltningen samtykket gives til. Retten til at tilbagekalde et samtykke Det er et krav, at den registrerede, inden samtykket er givet, bliver informeret om, at samtykket kan trækkes tilbage. Et samtykke

5 Tjekliste til samtykke 1. Er samtykket eneste hjemmel til at behandle data i den givne situation? 2. Er det stadig nødvendigt at behandle personoplysningerne? 3. Kan samtykket let findes frem igen? Er svaret nej til bare et af nedenstående spørgsmål, er samtykket ugyldigt, og der skal indhentes nyt samtykke. 4. Kan det dokumenteres hvem, der har givet samtykket? 5. Kan det dokumenteres, hvornår samtykket er givet? 6. Kan det dokumenteres, hvordan samtykket er givet? 7. Er samtykkeanmodningen tydelig og selvstændig? 8. Er samtykket formuleret i et klart og letforståeligt sprog? 9. Har den samtykkende aktivt givet sit samtykke (og ikke passivt)? 10. Er formålet med samtykket beskrevet? 11. Er samtykke til flere uafhængige formål søgt separat? 12. Fremgår det af samtykkeerklæringen, at Skoleforvaltningen er dataansvarlig? 13. Er der oplyst om muligheden for at trække samtykket tilbage?

6 Håndtering af samtykke I loven står der, at et gyldigt samtykke er: Enhver, frivillig, specifik, informeret og utvetydig viljestilkendegivelse, hvorved den registrerede ved erklæring eller klar bekræftelse indvilliger i, at personoplysninger, der vedrører den pågældende, gøres til genstand for behandling. Om et samtykke lever op til kravene finder du ud af ved at følge nedenstående flowchart Tjeklistens spørgsmål 1: Er samtykke den eneste hjemmel? Brug af lovhjemmel i stedet Tjeklistens spørgsmål 2: Er det stadig nødvendigt at behandle personoplysninger? Behandlingen stoppes Tjeklistens spørgsmål 3: Kan samtykket let findes frem? Samtykket skal findes, før behandlingen må fortsætte Tjeklistens spørgsmål 4-13 Svares der nej til blot ét af tjeklistens spørgsmål 4-13, er samtykket ugyldigt og der skal indhentes nyt samtykke Kan der svares ja til tjeklistens spørgsmål 4-13, så er samtykket i orden. Du har nu én arbejdsopgave mindre. Jeg har selvfølgelig også husket min oplysningspligt!

7 Lill-na Vandmose Larsen Jurist og databeskyttelseskonsulent Skoleforvaltningen Godthåbsgade Nørresundby Tlf lvl-skole@aalborg.dk