Samtykke. November /18. Samtykke

Transkript

1 Nvember /18

2 Indhld 1.0 Frrd Hvad er et samtykke? Nærmere m kravene til et samtykke Tidspunkt Frmkrav Frivilligt Ulige frhld mellem parterne Specifikt Infrmeret Minimumskrav Oplysningspligt Utvetydig viljestilkendegivelse Passivitet Udtrykkeligt samtykke Retten til at tilbagekalde et samtykke Børn g samtykke Overgangen fra persndatalven til databeskyttelsesfrrdningen Tjekliste 18 2/18

3 1.0 Frrd Behandling af persnplysninger skal ske i verensstemmelse med behandlingsreglerne i databeskyttelsesfrrdningens kapitel II. fra den registrerede er et af flere retlige grundlag, sm den dataansvarlige kan bruge til at behandle persnplysninger. indtager en vigtig rlle, men udelukker ikke muligheden fr, at andre retlige grundlag afhængigt af knteksten måske er bedre egnede fra såvel den dataansvarliges sm fra den registreredes synsvinkel. I denne vejledning får du en krt intrduktin til reglerne m samtykke sm behandlingsgrundlag efter databeskyttelsesfrrdningen g en række eksempler på brugen af samtykke. Frmålet med vejledningen er at frklare, hvrnår der freligger et gyldigt samtykke, g hvad retsvirkningerne er, hvis et samtykke trækkes tilbage. Vejledningen indehlder endvidere et afsnit m de helt nye regler, der er i frrdningen, m børns samtykke i frbindelse med infrmatinssamfundstjenester. Du finder gså i vejledningens afsnit 7 en tjekliste, sm du kan bruge sm en rettesnr fr, m du hvis du er dataansvarlig er på linje med kravene i databeskyttelsesfrrdningen eller ej. Tjeklisten kan imidlertid gså bruges af f.eks. den registrerede, der gerne vil have et hurtigt verblik ver reglerne m samtykke, inden han/hun giver samtykke til en behandling af persnplysninger. Ønsker du en mere fyldestgørende gennemgang af reglerne, kan du bl.a. læse selve lvteksten i databeskyttelsesfrrdningens kapitel 1 g 2 (Eurpa-Parlamentets g Rådets frrdning (EU) 2016/679 af 27. april 2016 m beskyttelse af fysiske persner i frbindelse med behandling af persnplysninger g m fri udveksling af sådanne plysninger) eller læse i betænkning m databeskyttelsesfrrdningen i kapitel 2.3., 3.5. g 3.6 (betænkning nr. 1565/2017). Der kan i øvrigt henvises til Artikel 29-gruppens udtalelse nr. 15 af 13. juli 2011 m samtykke. Udtalelsen er under pdatering af Artikel 29-gruppen (fremver Det Eurpæiske Databeskyttelsesråd). 3/18

4 2.0 Hvad er et samtykke? er efter databeskyttelsesfrrdningen udtryk fr, at de registrerede gives et reelt valg g kntrl ver, hvrdan deres plysninger bruges, g er efter frrdningen et af flere ligestillede behandlingsgrundlag, sm den dataansvarlige kan anvende ved behandling af persnplysninger. Det er afgørende, at den dataansvarlige gør sig klart, m samtykke vil være den mest passende behandlingshjemmel, eller m det vil være mere hensigtsmæssigt at støtte behandlingen af den registreredes plysninger på et andet grundlag. Opfylder et samtykke ikke betingelserne i frrdningen, kan det ikke udgøre et grundlag fr behandlingen af plysninger. I bksen nedenfr finder du databeskyttelsesfrrdningens definitin af et samtykke. Et samtykke fra den registrerede skal være i verensstemmelse med denne definitin. Enhver, frivillig, specifik, infrmeret g utvetydig viljestilkendegivelse, hvrved den registrerede ved erklæring eller klar bekræftelse indvilliger i, at persnplysninger, der vedrører den pågældende, gøres til genstand fr behandling. Det er endvidere et krav, at den dataansvarlige kan påvise, at den registrerede har givet samtykke til behandlingen af sine persnplysninger. Det er med andre rd den dataansvarlige, sm har bevisbyrden fr, at den registrerede har givet det frnødne samtykke. Herudver gælder, at hvis den registreredes samtykke gives i en skriftlig erklæring, der gså vedrører andre frhld, skal en anmdning m samtykke frelægges på en måde, sm klart kan skelnes fra de andre frhld, i en letfrståelig g lettilgængelig frm g i et klart g enkelt sprg. Endelig er det et krav, at den registrerede, inden samtykke gives, skal plyses m, at samtykket kan trækkes tilbage. Alle de vennævnte betingelser skal være pfyldt fr, at et samtykke er gyldigt efter frrdningen. 4/18

5 3.0 Nærmere m kravene til et samtykke 3.1 Tidspunkt Den registreredes samtykke skal være på plads inden, den dataansvarlige påbegynder behandling af de plysninger, sm samtykket angår. 3.2 Frmkrav Et samtykke kan både afgives mundtligt, skriftligt g digitalt. Det afgørende er, at den registreredes erklæring eller handling tydeligt tilkendegiver den registreredes hensigt, g et samtykke kan derfr ikke gives stiltiende eller være underfrstået. Den dataansvarlige skal endvidere sm nævnt kunne bevise, at den registrerede har givet sit samtykke til behandlingen af persnplysninger g kunne bevise, hvad det meddelte samtykke mfatter. Et samtykke bør derfr bør i videst mulige mfang afgives skriftligt eller på anden måde, sm kan bevises. Kan den dataansvarlige ikke bevise, at der freligger et gyldigt samtykke, er knsekvensen, at samtykket ikke kan anses fr at være i verensstemmelse med frrdningen g kan dermed ikke udgøre et lvligt behandlingsgrundlag. 3.3 Frivilligt Et samtykke skal være frivilligt. Frmålet med et samtykke er at give de registrerede et valg g ikke mindst kntrl ver persnplysninger m dem selv. Et samtykke anses derfr ikke fr at være afgivet frivilligt, hvis den registrerede ikke har et reelt eller frit valg. Et samtykke må f.eks. ikke være afgivet under tvang. Dette gælder, uanset m det er den dataansvarlige eller andre, der udøver tvang ver fr den registrerede. Den mstændighed, at den registrerede er i den dataansvarliges varetægt, f.eks. indsat i fængsel, undergivet værnepligt mv., udelukker ikke, at vedkmmende kan give et gyldigt samtykke. Eksempel 1 En privat sprtsfrening beder sine medlemmer m samtykke til at tage prtrætbilleder af dem fr at ffentliggøre billederne på sprtsfreningens hjemmeside. Medlemmerne anses fr at have et reelt g frit valg, så længe et nægtet samtykke ikke medfører negative knsekvenser (f.eks. ekskludering af freningen). 5/18

6 3.3.1 Ulige frhld mellem parterne Den dataansvarlige bør i relatin til kravet m frivillighed gså være pmærksm på, m der freligger et skævhedsfrhld mellem den dataansvarlige g den registrerede. Et samtykke anses nrmalt ikke fr at være afgivet frivilligt, hvis der er en klar skævhed mellem den registrerede g den dataansvarlige. Offentlige myndigheder Det kan f.eks. være tilfældet, hvis den dataansvarlige er en ffentlig myndighed g den registrerede ansøger m en ffentlig ydelse hs myndigheden. Den registrerede vil i dette tilfælde ftest ikke have andre alternativer end at give samtykke til behandlingen, hvis brgeren vil have ydelsen. Offentlige myndigheder bør derfr verveje anvendelsen af samtykke sm behandlingshjemmel. Hvis den ffentlige myndighed har brug fr plysningen, dvs. at myndigheden sm følge af indretningen af lvgivningen ikke kan indhente de relevante plysninger på anden måde, kan myndigheden dg anvende samtykke sm behandlingshjemmel. I visse situatiner, hvr den registreredes afvisning af at give samtykke er uden betydning fr myndighedens sagsbehandling af en ydelse eller tilladelse til den registrerede, vil behandling kunne ske på grundlag af samtykke. Det kan eksempelvis gælde, hvis en brger ønsker at acceptere kmmunens tilbud m at mdtage plysninger på eller SMS m afhentning af strskrald eller plysning m frsinkede anlægsarbejder i lkalmrådet. Ansættelsesfrhld I ansættelsesfrhld frekmmer typisk en ulighed mellem arbejdsgiveren g den ansatte. En arbejdsgiver bør derfr være pmærksm på, m den ansattes samtykke reelt er udtryk fr den ansattes valg, eller m samtykket er afgivet med frygt fr væsentlige negative knsekvenser. I regeringens lvfrslag til en ny databeskyttelseslv, sm lige nu behandles i Flketinget, lægges der dg p til at slå fast, at behandling af persnplysninger i ansættelsesfrhld kan finde sted på baggrund af den ansattes samtykke, så længe samtykket lever p til frrdningens krav. En arbejdsgiver bør være pmærksm på, m den ansattes samtykke reelt er udtryk fr den ansattes valg, eller m samtykket er afgivet med frygt fr væsentlige negative knsekvenser. Der må i den frbindelse tillægges særlig vægt på, m den ansattes samtykke er nødvendigt, dvs. m der er brug fr samtykket, eller m arbejdsgiveren kan anvende en anden behandlingshjemmel. Eksempel 2 En virksmhed har en telefnbg ver de ansatte, sm er tilgængelig fr de ansatte via virksmhedens intranet. Virksmheden vækster hurtigt g har nu mkring 700 ansatte. Fr at frbedre kmmunikatinen mellem de ansatte, ønsker virksmhedens ledelse at frsyne de ansattes prfil i telefnbgen med et billede af den ansatte. Ledelsen spørger derfr hver ansat m samtykke til at tilføje et billede til virksmhedens telefnbg. Ledelsen understreger, at det er 6/18

7 fuldstændigt frivilligt, g hvis den ansatte ikke ønsker at give sit samtykke, vil det ikke få negative knsekvenser fr den ansatte. Den ansattes samtykke vil blive anset fr frivilligt. Hvis ledelsen af virksmheden har plyst de ansatte m, at det vil få negative knsekvenser, hvis de ikke giver samtykke, vil samtykket ikke være frivilligt. Eksempel 3 Et filmhld skal i frbindelse med, at de er blevet hyret til at lave en reklamefilm fr en kmmune, ptage brgmesteren, mens han viser rundt g frklarer, hvrdan man har indrettet dele af rådhuset i en helt ny urban stil med kunstværker af lkale kunstnere. De følger en bestemt fastlagt rute rundt, g frvaltningen spørger de ansatte, der til daglig sidder i denne del af rådhuset, m samtykke til, at de muligvis kan blive ptaget af filmhldet, mens de er på vej rundt. Det har ingen negative knsekvenser fr de ansatte, sm ikke ønsker at kmme med i filmen, g sm derfr ikke giver deres samtykke. De får stillet en kntrstl, skrivebrd mv. magen til det, de allerede har, til rådighed, mens ptagelserne finder sted. Den ansattes samtykke vil blive anset fr frivilligt. Hvis de ansatte har fået plyst, at det kan få negative knsekvenser fr dem, hvis de siger nej, vil samtykket ikke være frivilligt. Kntrakt betinget af samtykke Ved vurderingen af, m et samtykke er afgivet frivilligt skal der tages størst mulige hensyn til m bl.a. pfyldelsen af en kntrakt er gjrt betinget af samtykke til behandling af persnplysninger, sm ikke er nødvendig fr kntraktens pfyldelse. Det betyder med andre rd, at et samtykke ikke anses fr at være givet frivilligt, hvis f.eks. køb af en vare eller en serviceydelse afhænger af samtykke, selvm et sådant samtykke ikke er nødvendigt fr købet af varen eller serviceydelsen. Eksempel 4 En nline elektrnikfrhandler gør det til en betingelse fr køb af mbiltelefner, at kunden skal give samtykke til, at elektrnikfrhandleren må dele kundens plysninger med frskellige teleselskaber. Delingen af kundens plysninger med teleselskaberne sker med henblik på, at selskaberne kan sende kunderne materiale m favrable telefnabnnementer. Deling af kundens plysninger er ikke nødvendige fr kundens køb af mbiltelefnen. Kundens samtykke vil ikke blive anset fr frivilligt, hvis det er en betingelse fr købet af telefnen. Elektrnikfrhandleren må gerne bede m samtykke til en sådan deling, men kunden skal have mulighed fr at nægte samtykke g samtidig bevare muligheden fr at købe varen. 7/18

8 Sm eksempel 4 viser, bør den dataansvarlige være særligt pmærksm på, hvilke plysninger, der er nødvendige fr kntraktens pfyldelse. Den dataansvarlige kan derfr verveje, m man i stedet kan anvende et andet g mere passende grundlag end samtykke til at behandle de plysninger, der er nødvendige fr kntraktens pfyldelse. En dataansvarlig kan i et vist mfang mtivere de registrerede til at give samtykke ved, at der er en frdel frbundet med at samtykke. Indmeldelse i en frretnings frdelsprgram kan f.eks. indebære rabatter, sm mtiverer kunden til at give samtykke til at mdtage reklamemateriale fra frretningen. Den rabat eller de frdele et samtykke til et frdelsprgram medfører, udelukker ikke, at samtykket kan anses fr at være frivilligt. Det er dg vigtigt at være pmærksm på, m manglende samtykke medfører negative knsekvenser fr registrerede, sm ikke vil give samtykke f. eks. i frm af mermkstninger. Relevante bestemmelser mv. Frrdningens artikel 4, nr. 11 g artikel 7, stk. 4 Præambelbetragtning nr. 42 g 43 til frrdningen 3.4 Specifikt Et samtykke skal være specifikt. Det må derfr ikke være generelt udfrmet eller uden en præcis angivelse af frmålene med behandlingen af persnplysninger. Et samtykke skal med andre rd være knkretiseret på en sådan måde, at det klart g tydeligt fremgår, hvad der meddeles samtykke til. Kravet m specifikt samtykke hænger sammen med princippet m frmålsbegrænsning, der betyder, at persnplysninger altid skal indsamles til udtrykkeligt angivne g legitime frmål (f.eks. ffentlig myndighedsudøvelse eller kntraktpfyldelse i den private sektr), g ikke må viderebehandles på en måde, der er ufrenelig med disse frmål. De registreredes samtykke skal derfr i verensstemmelse med dette princip altid indhentes til specifikt angivne frmål. Eksempel 5 Ved indmeldelse beder et fitnesscenter deres kunder m samtykke til at mdtage et månedligt nyhedsbrev. Centrets ejer har gså en internetbutik, hvr man sælger træningsmaskiner. Kunderne bliver ved indmeldelsen samtidig bedt m at give samtykke til at mdtage markedsføringsmateriale fra internetbutikken. frmularen er udfrmet, så kunden skal krydse af i et felt til mdtagelse af nyhedsbrevet g et andet felt til mdtagelse af markedsføringsmateriale. vil i denne situatin være specifikt. Hvis en behandling af plysninger tjener flere frmål, skal den dataansvarlige indhente særskilt samtykke fr hvert enkelt frmål, sm skal behandles på grundlag af den registreredes samtykke. Den dataansvarlige må derfr tilbyde den registrerede mulighed fr at samtykke til et frmål, men undlade at samtykke til andre frmål. Rent praktisk kan dette fregå f.eks. i frm af en samlet erklæring, hvr den registrerede kan markere, hvilke frmål vedkmmende vil acceptere, at der behandles plysninger til. 8/18

9 Ønsker en dataansvarlig, der behandler plysninger på grundlag af et samtykke givet til et frmål, efterfølgende at anvende plysningerne til andre frmål, skal den dataansvarlige indhente et nyt samtykke, der mfatter den ændrede behandling. Den dataansvarlige skal endvidere være pmærksm på, hvrdan en samtykkefrmular udfrmes. Hvis erklæringen gså vedrører andre frhld f.eks. handelsbetingelser fr køb af en serviceydelse skal anmdningen m samtykke klart kunne skelnes fra de andre frhld. Anmdningen m samtykke skal samtidig ske i en letfrståelig g lettilgængelig frm g i et klart g enkelt sprg, sm er egnet til den målgruppe, sm er mdtager. Nrmalt vil det være tilstrækkeligt at lave én anmdning, selvm målgruppen både er børn g vksne, hvis den er frmuleret på en sådan måde, at den er let frståelig fr børn. Relevante bestemmelser mv. Frrdningens artikel 4, nr. 11, artikel 5, stk. 1, litra b, g artikel 7, stk. 2 Præambelbetragtning nr. 32 g 33 til frrdningen 3.5 Infrmeret Et samtykke skal være infrmeret. Det betyder, at den registrerede skal være klar ver, hvad der gives samtykke til. Den dataansvarlige skal give den registrerede en række infrmatiner, sm skal sikre, at den registrerede kan træffe sin beslutning på et plyst grundlag. Der gælder ingen frmkrav til, hvrdan denne infrmatin skal gives. Det er altså muligt at pfylde kravet både skriftligt, mundtligt, eller digitalt. Ved indhentelse af samtykke fra besøgende på en hjemmeside anbefaler Datatilsynet etablering af en særlig facilitet, der sikrer verhldelsen af kravene til et gyldigt samtykke. Dette kan f.eks. ske ved en krt tekst, sm de besøgende skal klikke ja til at have læst g accepteret fr at få videre adgang. Det må frventes, at denne praksis frtsættes Minimumskrav Selve infrmatinen skal sm minimum bestå i plysninger m: den dataansvarliges identitet frmålet med den påtænkte behandling hvilke plysninger, der behandles g hvilken behandling, der finder sted Det er gså et krav, at den dataansvarlige plyser den registrerede m, at et samtykke til enhver tid kan trækkes tilbage. Den dataansvarlige skal altid tilpasse infrmatinen til den knkrete situatin g skal derfr gøre sig klart, hvilke plysninger, der indsamles g anvendes, frmålet med behandlingen, 9/18

10 eventuelle mdtagere af plysningerne, g hvrdan den registrerede kan gøre brug af sine rettigheder m indsigt, tilbagekaldelse mv. Det afgørende er at skabe gennemsigtighed fr den registrerede g at sikre en lvlig g rimelig behandling af plysningerne. Eksempel 6 En dataansvarlig giver følgende infrmatin i frbindelse med anmdningen m samtykke: Vi behandler dine persnplysninger med henblik på at frbedre kvaliteten af denne serviceydelse. I ngle tilfælde vil vi videregive dine plysninger til tredjeparter fr at kunne tilbyde dig en bedre service Ved frtsat brug af denne tjeneste giver du samtykke til behandling af dine persnplysninger. Vi indsamler bl.a. dit navn, adresse, alder g andre relevante plysninger. Denne persndataplitik kan blive ændret. Besøg vres hjemmeside regelmæssigt fr at hlde dig pdateret. Denne infrmatin er af meget verrdnet g generel karakter g giver ikke tilstrækkelig specifik infrmatin m frmålet med den påtænkte behandling Oplysningspligt I mange tilfælde indhentes samtykke på tidspunktet fr indsamlingen af plysninger hs den registrerede. Kravet m infrmatin ved afgivelsen af samtykke falder dermed sammen med den dataansvarliges almindelige g mere mfattende plysningsfrpligtelse, sm følger af frrdningen. Det kan derfr anbefales at se på de plistede typer af plysninger, sm den dataansvarlige skal meddele den registrerede i den frbindelse, når den dataansvarlige udarbejder den infrmatin, der skal meddeles frud fr afgivelsen af samtykke. Fr at skabe gennemsigtighed fr de registrerede skal anmdningen m samtykke være adskilt fra vilkår g betingelser, jf. venfr m frmulering af erklæring m samtykke. Relevante bestemmelser mv. Frrdningens artikel 4, nr. 11, artikel 7, stk. 2 g 3, g artikel Præambelbetragtning nr. 42 til frrdningen 3.6 Utvetydig viljestilkendegivelse Den registreredes samtykke skal meddeles i frm af en utvetydig tilkendegivelse. Det betyder, at det samtykke, der er givet, ikke må give anledning til tvivl. 10/18

11 En sådan tilkendegivelse kan bestå i, at den registrerede ved en erklæring eller ved en aktiv handling, sm klart tilkendegiver en accept af, at persnplysninger m vedkmmende behandles. En utvetydig viljestilkendegivelse kan således f.eks. meddeles ved underskrift på et dkument, ved at sætte kryds i et felt ved besøg på en hjemmeside eller ved valg af tekniske indstillinger til infrmatinssamfundstjenester, f.eks. Facebk, Instagram g Snapchat. Andre aktive handlinger kan gså udgøre en utvetydig viljestilkendegivelse, frudsat at det er klart, at der freligger et samtykke. Eksempel 7 En kunde i et indkøbscenter udfylder en blanket med navn g adresse g lægger blanketten i en glasbwle fr at deltage i en knkurrence m gratis bigrafbilletter arrangeret af indkøbscenteret. Blanketten indehlder infrmatin m bl.a. frmålet med behandlingen. Infrmatinen er skrevet i starten af blanketten dvs. før de felter, sm kunden skal udfylde. Blanketten er endvidere udfrmet sådan, at kunden skal sætte kryds i et felt, fr at give sit samtykke til, at plysningerne bruges i ldtrækningen. Kundens handling udgør en klar bekræftelse, der tydeligt tilkendegiver en accept af, at indkøbscenteret behandler kundens navn g adresse med henblik på at deltage i knkurrencen. Kundens samtykke kan ikke udstrækkes til andre frmål, eksempelvis til at indkøbscenteret kan sende markedsføringsmateriale til kunden. Det kan være tilstrækkeligt, at den registrerede accepterer en præfrmuleret erklæring m samtykke, hvis bekræftelsen gives ved en aktiv handling eksempelvis ved at klikke på et felt, der tydeligt plyser den registrerede m, at handlingen medfører et samtykke til behandling. Eksempel 8 En persn udfylder et elektrnisk spørgeskema m sprtsinteresser g sender skemaet elektrnisk. Når persnen ved afslutningen af spørgeskemaet trykker send, vil dette være udtryk fr persnens accept af, at de pgivne plysninger må anvendes til de frmål, der er angivet i spørgeskemaet, hvis det klart frinden fremgår, at man ved at sende spørgeskemaet, giver samtykke. 3.7 Passivitet Tavshed, allerede afkrydsede felter på hjemmesider eller inaktivitet er ikke tilstrækkeligt til at udgøre en utvetydig tilkendegivelse g kan derfr ikke udgøre et samtykke. 11/18

12 Eksempel 9 I frbindelse med bestilling af et ugebladsabnnement i en udgivers webshp, præsenteres kunden på bestillingssiden fr en rubrik, hvraf det fremgår, at kunden ved afgivelsen af bestillingen samtidig giver sit samtykke til, at udgiveren til brug fr markedsføring må videregive kundens plysninger til andre selskaber i kncernen. Ud fr rubrikken er der et allerede afkrydset samtykkefelt. I eksemplet vil der ikke være givet et gyldigt samtykke, idet der er anvendt et frudafkrydset samtykkefelt, g kunden har dermed ikke givet et aktivt samtykke. 3.8 Udtrykkeligt samtykke I ngle tilfælde stilles der krav m et udtrykkeligt samtykke fra den registrerede. Det drejer sig bl.a. m den situatin, hvr den dataansvarlige ønsker at behandle følsmme plysninger (f.eks. plysning m race eller etnisk prindelse, plitisk, religiøs verbevisning, fagfreningsmæssigt tilhørsfrhld eller helbredsplysninger), ved autmatiseret behandling g prfilering g ved verførsel til et usikkert tredjeland. Frrdningen frklarer ikke nærmere, hvad der skal frstås ved et udtrykkeligt samtykke, g frmuleringen medfører ikke et yderligere skærpet krav til samtykket, men understreger vigtigheden af, at der ikke må være tvivl m, at der er afgivet samtykke. Den dataansvarlige skal sm tidligere nævnt kunne bevise, at der freligger et udtrykkeligt samtykke, g det vil derfr kunne være hensigtsmæssigt, at et samtykke freligger skriftligt. Relevante bestemmelser mv. Frrdningens artikel 4, nr. 11, artikel 7, stk. 1, artikel 9, stk. 2, litra a, artikel 22, stk. 2, litra c, g artikel 49, stk. 1, litra a Præambelbetragtning nr. 32 til frrdningen 12/18

13 4.0 Retten til at tilbagekalde et samtykke Den registrerede kan på et hvilket sm helst tidspunkt trække sit samtykke tilbage. Det er den dataansvarliges pgave at sikre sig, at de registrerede kan trække deres samtykke tilbage på en enkel g lettilgængelig måde. Det skal være lige så let at trække sit samtykke tilbage sm at give det, men det er ikke et krav, at tilbagekaldelse skal ske på samme måde, sm samtykke prindeligt er givet. Hvis et samtykke f.eks. indhentes ved et enkelt museklik, tasteslag eller swipe, bør den registrerede kunne tilbagekalde sit samtykke på tilsvarende enkle måde. Hvis samtykke indhentes via en hjemmeside, en applikatin eller via , bør den registrerede kunne trække sit samtykke tilbage ved brug af samme løsning. Det anbefales endvidere at tilbyde de registrerede flere muligheder fr at trække deres samtykke tilbage, idet ikke alle registrerede er trygge ved brugen af internettet eller har internetadgang. Hvis samtykket er afgivet på internettet, må det dg være tilstrækkeligt, at det kan trækkes tilbage på internettet. Eksempel 10 En nline tøjbutik beder ved rdreafgivelsen m kundens samtykke til at sende s med frdelagtige tilbud g rabatter på udvalgte varer. afgives ved at sætte flueben i en bks. Det fremgår af den infrmatin, sm kunden mdtager, at samtykke altid kan tilbagekaldes ved at ringe til tøjbutikken på hverdage mellem Butikken lever ikke p til kravet m, at det skal være lige så let at trække sit samtykke tilbage sm at give det. Tilbagetrækning af samtykke vil kræve et telefnpkald i arbejdstiden, g er derfr ikke lige så let sm at sætte flueben i en bks på hjemmesiden. Den registrerede skal endvidere have mulighed fr at trække sit samtykke tilbage, uden at det er til skade fr den pågældende. Det betyder bl.a., at den registrerede skal kunne tilbagekalde sit samtykke uden betaling af gebyrer. Infrmatin m, at et samtykke kan trækkes tilbage g måden, hvrpå dette kan ske, skal være givet, inden den registreredes samtykke indhentes. Er der ikke givet tilstrækkelig infrmatin m muligheden fr at trække samtykket tilbage, kan selve samtykket ikke anses fr gyldigt. Hvis den registrerede vælger at trække sit samtykke tilbage, påvirker det ikke lvligheden af den behandling, der er baseret på samtykke inden tilbagekaldelsen. Tilbagekaldelse af samtykke vedrører kun den fremtidige behandling af den registreredes plysninger. Udgangspunktet er, at den dataansvarlige skal phøre med at behandle plysningerne så hurtigt sm muligt, hvis den registrerede tilbagekalder sit samtykke. Det er vigtigt at være pmærksm på, at pbevaring af den registreredes plysninger gså er en behandling, sm derfr skal 13/18

14 phøre ved tilbagekaldelsen. Det gælder dg kun de plysninger, der er behandlet på grundlag af samtykket, men derimd ikke plysninger, hvr behandlingsgrundlaget er et andet end samtykke eksempelvis en kntrakt mellem den dataansvarlige g den registrerede. Den registrerede har ret til at få plysninger m sig selv slettet, når et samtykke er tilbagekaldt. Selvm den registrerede ikke selv anmder m det, bør den dataansvarlige tage stilling til spørgsmålet m at slette plysningerne, hvis behandlingen alene hviler på samtykke, idet der ikke længere er et lvligt grundlag i frhld til pbevaring af den registreredes plysninger. I ngle tilfælde vil det dg være muligt at frtsætte en behandling, selvm den registrerede har tilbagekaldt sit samtykke. En frtsat behandling må således kunne finde sted, hvis den er rimelig i frhld til den registrerede. Vælger den dataansvarlige at frtsætte behandlingen, kan den registreredes uvilje tale imd at anse den dataansvarliges interesse fr at være berettiget, g en afvejning af de mdstridende interesser vil derfr kunne falde ud til den registreredes frdel. Har den dataansvarlige et andet lvligt grundlag fr behandling end samtykke med et selvstændigt frmål eksempelvis pbevaring af plysninger af hensyn til verhldelse af reglerne m bgføring vil denne behandling endvidere frtsat kunne finde sted. Frtsættes behandlingen på et andet grundlag, skal den registrerede have infrmatin m behandlingsgrundlag, frmål mv. Relevante bestemmelser mv. Frrdningens artikel 5, stk. 1, litra a, artikel 7, stk. 3, g artikel 17, stk. 1, litra b Præambelbetragtning nr. 42 til frrdningen 14/18

15 5.0 Børn g samtykke Børn skal efter databeskyttelsesfrrdningen have en særlig beskyttelse, frdi de er mindre bevidste m de risici g knsekvenser, der kan være frbundet med behandling af persnplysninger. En sådan særlig beskyttelse bør navnlig gælde fr brug af børns persnplysninger med henblik på markedsføring eller til at prette persnligheds- eller brugerprfiler g indsamling af persnplysninger vedrørende børn, når de anvender tjenester, der tilbydes direkte til børn. Frrdningen indehlder derfr yderligere krav til et samtykke indhentet fra et barn i frbindelse med infrmatinssamfundstjenester direkte til børn. Kravene gælder med andre rd samtidig med de krav, der ellers i alle andre sammenhænge gælder, når en dataansvarlig vil basere en behandling af persnplysninger på et samtykke fra den registrerede. Infrmatinssamfundstjenester er f. eks. e-handel, nline spil g sciale medier sm Facebk, Instagram g Snapchat. Behandling af almindelige persnplysninger i frbindelse med udbud af infrmatinssamfundstjenester til børn er sm udgangspunkt lvlig, hvis den registrerede er mindst 16 år g har givet samtykke. Databeskyttelsesfrrdningen giver mulighed fr, at de enkelte lande kan fastsætte en lavere aldersgrænse, sm dg ikke må lavere end 13 år. Det frventes, at aldersgrænsen herhjemme fastsættes til 13 år i situatiner, hvr den dataansvarlige eller databehandleren er etableret i Danmark, jf. regeringens lvfrslag til en ny databeskyttelseslv, sm lige nu behandles i Flketinget. Er barnet under 13 år, skal indehaveren af frældremyndigheden give samtykke på barnets vegne. Den infrmatin, sm skal gives frud fr meddelelse af samtykke skal tilpasses barnets frståelse. Infrmatinen skal være frmuleret i et klart g let frståeligt sprg, så barnet kan verskue plysningerne. Udbydere af infrmatinssamfundstjenester direkte til børn skal sikre beskyttelse ved at indbygge mekanismer, så børn under den fastsatte aldersgrænse udelukkes fra at give samtykke i frbindelse med f.eks. prettelse af en prfil. Er barnet under den fastsatte aldersgrænse, skal udbyderen af tjenesten ud fra den tilgængelige teknlgi, gøre sig rimelige anstrengelser fr at kntrllere, at frældremyndighedsindehaveren har givet sit samtykke. Frebyggende eller rådgivende tjenester, der tilbydes direkte til børn er ikke mfattet af kravet m samtykke, idet børn i alle aldre skal kunne henvende sig til eksempelvis BørneTelefnen 15/18

16 eller anden ffentlig eller privat rådgivning uden samtykke fra indehaveren af frældremyndigheden. Relevante bestemmelser mv. Frrdningens artikel 4, nr. 11, artikel 6, stk. 1, litra a, g artikel 8 Præambelbetragtning nr. 38 g 58 i frrdningen 16/18

17 6.0 Overgangen fra persndatalven til databeskyttelsesfrrdningen Mange dataansvarlige behandler persnplysninger på baggrund af et samtykke indhentet i verensstemmelse med persndatalvens krav til et gyldigt samtykke. Når frrdningen finder anvendelse fra den 25. maj 2018 intrduceres en række nye krav til et gyldigt samtykke, jf. venfr. Dataansvarlige, der på nuværende tidspunktet behandler plysninger på baggrund af samtykke, skal ikke nødvendigvis indhente et nyt samtykke, når frrdningen finder anvendelse. Det følger af frrdningen, at samtykke indhentet i verensstemmelse med persndatalvens regler frtsat er gyldigt, hvis samtykket er i verensstemmelse med betingelserne i frrdningen. De dataansvarlige skal derfr gennemgå deres metder g prcedurer fr indhentning af samtykke fr at vurdere, m de lever p til kravene i frrdningen. Det bør i den frbindelse vervejes, m man sm dataansvarlig lever p til bl.a. kravet m, at man skal kunne bevise, at der er meddelt samtykke, g til hvad samtykke er meddelt til, fr de enkelte registrerede. Er dette ikke tilfældet, vil et samtykke ikke være i verensstemmelse med frrdningen, g vil ikke kunne udgøre et lvligt behandlingsgrundlag. Det nye krav m, at den dataansvarlige skal infrmere m muligheden fr at trække et samtykke tilbage, inden samtykke afgives, antages ikke at være en gyldighedsbetingelse fr et eksisterende samtykke, der er indhentet inden den 25. maj I det mfang det er praktisk muligt kan de dataansvarlige verveje at rientere de registrerede m muligheden fr tilbagekaldelse fr at sikre en gennemsigtig behandling fr de registrerede. Relevante bestemmelser mv. Frrdningens artikel 7, stk. 3 Præambelbetragtning nr. 171 i frrdningen 17/18

18 7.0 Tjekliste Tjeklisten herunder kan tjene sm en rettesnr fr, m man sm dataansvarlig er på linje med kravene i databeskyttelsesfrrdningen eller ej: I har taget stilling til, at samtykke er den mest hensigtsmæssige hjemmel til at behandle data i den givne situatin anmdningen er tydelig g adskilt fra øvrig tekst sm f.eks. salgs- g leveringsbetingelsesvilkår I indhenter altid samtykke via et aktivt tilvalg fra den samtykkendes side I indhenter aldrig samtykke via frudafkrydsede samtykkefelter eller på anden vis, der baserer sig på den samtykkendes passivitet t er frmuleret i et klart g enkelt sprg, sm er letfrståeligt fr en persn i målgruppen t specificerer frmålet med den påtænkte behandling af data Hvis I ønsker samtykke til flere frskellige frmål, spørger I m separat samtykke fr hvert frmål Navnet på den/de dataansvarlige fremgår af samtykketeksten I plyser m muligheden fr at trække samtykket tilbage Der er ikke negative knsekvenser frbundet med ikke at give samtykke er ikke en betingelse fr levering af en vare/ydelse Hvis I udbyder nline tjenester direkte rettet md børn under 13 år, anvender I kun samtykke i det mfang, det er muligt at tjekke barnets alder, g I indhenter frældresamtykke, hvis barnet er under 13 år. I kan dkumentere, hvem der har givet samtykke, hvrnår g hvrdan samtykket blev givet, hvad den enkelte har samtykket til, g at samtykket reelt er afgivet frivilligt I følger regelmæssigt p på, at samtykket stadig er aktuelt g krrekt, g at frmålet med behandlingen eller selve behandlingen ikke har ændret sig. 18/18