RETNINGSLINJER 23. MAJ 2018 Indhentning af samtykke Gældende version Godkendt af Landsstyrelsen d. 23. maj 2018 HER KAN DU FINDE INFORMATIONER OM HVORDAN DU INDHENTER SAMTYKKE TIL BEHANDLING AF PERSONDATA Urk.dk
INDHOLD 1 Introduktion... 3 2 Hvornår og hvordan kan du bruge et samtykke?... 3 2.1 Frivilligt samtykke... 3 2.2 Hvor specifik skal et samtykke være?... 3 2.3 Krav til information... 4 2.4 Hvornår er et samtykke utvetydigt afgivet?... 4 3 Tjekliste til samtykke... 4 4 Samtykke skabelon... 5 URK Retningslinjer for samtykke (2018) 2
1 INTRODUKTION Et samtykke er defineret i EU persondataforordning som Enhver, frivillig, specifik og utvetydig viljetilkendegivelse, hvorved den registrerede ved erklæring eller klar bekræftelse indvilliger i, at personoplysninger der vedrører den pågældende, gøres til genstand for behandling. Formålet med disse retningslinjer er, at omsætte ovenstående formulering til en praktisk vejledning til, hvad du skal tænke over før du indhenter samtykke til behandling af persondata, og hvordan du rent praktisk indhenter samtykket. Disse retningslinjer er en del af udmøntningen af Ungdommens Røde Kors (herefter URK ) persondatapolitik, som gælder for URK s lokalafdelinger med tilhørende aktiviteter og på sekretariatet. 2 HVORNÅR OG HVORDAN KAN DU BRUGE ET SAMTYKKE? Samtykke skal indhentes når du vil gennemføre en behandling af persondata, som du ikke på andre måder har lov (hjemmel) til at gennemføre. Hjemmel til at behandle persondata kan du få via en kontrakt eller lovgivning, eller når du skal behandle persondata som en del af den URK-opgave, som du skal løse (legitim interesse). Til eksempel på URK s legitime interesse er registrering af mentees. Hvis vi ikke registrerer mentees, kan vi ikke løse opgaven med at finde en mentor til dem. Derfor behøver vi ikke samtykke til registrering af mentees. Du kan læse mere om, hvordan du undersøger, om du har hjemmel til at indsamle og behandle data, i persondatapolitikken. Et samtykke kan til enhver tid trækkes tilbage, og så skal behandlingen stoppes med det samme. Det skal fremgå af samtykkeerklæringen, hvem man skal kontakte, hvis man ønsker at trække sit samtykke tilbage. 2.1 Frivilligt samtykke Et samtykke skal først og fremmest være frivilligt. Dvs. at du ikke kan bruge et samtykke til at få lov til at behandle persondata, hvis personen ikke har mulighed for at sige nej. Kan den du spørger ikke deltage i en aktivitet, hvis de ikke vil give samtykke, til det du spørger om, ja så kan du ikke anvende dette samtykke som dit lovlige grundlag for behandlingen. Hvis en deltager i en aktivitet godt kan sige nej til at deltage i en spørgeskemaundersøgelse, og stadig deltage i aktiviteten, så kan samtykke til indhente persondata til undersøgelsen godt bruges i dette tilfælde. 2.2 Hvor specifikt skal et samtykke være? Et samtykke skal være så specifikt, at den person, du vil behandle persondata om, kan gennemskue, hvad der siges ja til. URK Retningslinjer for samtykke (2018) 3
Et samtykke må ikke indeholde et implicit samtykke, hvor der gives tilladelse til flere ting. I stedet skal personen aktivt kunne give samtykket, f.eks. ved at sætte kryds i en boks og skrive under. Det skal også være tydeligt, hvad formålet med behandlingen er. Et formål kan være, at vi gerne vil have deltagere i en aktivitet til at deltage i en spørgeskemaundersøgelse. Vi vil derfor bede dem om at give samtykke til, at vi gemmer deres navn og e-mail indtil undersøgelsen er gennemført, hvor vi vil sende dem et link til undersøgelsen. Er der flere formål, som der indhentes samtykke til, skal disse beskrives hver for sig, og det skal være muligt at til- eller fravælge samtykke for hver enkelt. Husk også at skrive, hvor længe samtykket gælder. 2.3 Krav til information Inden du kan bede om et samtykke, skal du informere personen om, at det er URK, som er dataansvarlig, hvad dit formål er med behandlingen, hvilke persondata du vil behandle, og hvordan behandlingen foregår. Ydermere skal du informere om, at samtykket kan trækkes tilbage, og hvem personen skal kontakte for at trække det tilbage. Husk det skal være lige så nemt at trække samtykket tilbage, som det er at give det. Du kan også henvise til URK s privatlivspolitik på www.urk.dk, hvor man kan læse mere om, hvordan vi behandler persondata. Du skal dog stadig oplyse om ovenstående. 2.4 Hvornår er et samtykke utvetydigt afgivet? Et skriftligt samtykke er utvetydigt og kan afgives skriftligt på flere måder. En printet samtykkeerklæring eller blanket kan udfyldes i hånden og underskrives af personen, hvorefter samtykke til behandling er gældende. Men samtykke kan også indhentes elektronisk ved at personen svarer på e-mail eller udfylder en elektronisk formular eller spørgeskema. Så snart personen har udfyldt og svaret ved at trykke send, så er samtykket afgivet. Det er URK, som skal kunne bevise, at vi har indhentet samtykke, og det gør det lidt mere vanskeligt at bruge et mundtligt samtykke. Derfor må du kun bruge mundtligt samtykke, hvis det kan dokumenteres ved optagelse af en samtale eller lignende husk, at du i så fald også skal spørge, om du må optage samtalen eller hvis der er en person til stede, som kan bevidne, at samtykket er afgivet. Hvis der er behov for at bruge et mundtligt samtykke i en proces, hvor det ikke er muligt at dokumentere samtykket, skal processen afklares i samarbejde med sekretariatet (for medarbejdere: med nærmeste leder), før behandlingen sættes i gang. 3 TJEKLISTE TIL SAMTYKKE Et samtykke skal indhentes før indsamling af persondata begynder, og det skal være skrevet på en sådan måde, at det er tydeligt for personen, hvad der siges ja til. URK Retningslinjer for samtykke (2018) 4
Denne tjekliste giver et overblik over de ting, du skal huske, når du beder om et samtykke: Navnet på den dataansvarlige fremgår af samtykketeksten (Ungdommens Røde Kors) og kontakt information på den dataansvarlige dette kan angives som: info@urk.dk Samtykketeksten er tydelig og adskilt fra eventuel anden tekst Samtykke skal altid være et aktivt tilvalg, og må fx aldrig være forud-afkrydsede samtykkefelter Samtykket skal være formuleret i et klart og enkelt sprog, som er letforståeligt for en person i målgruppen Samtykket skal angive formålet med behandlingen af persondata Hvis der ønskes samtykke til flere forskellige formål, spørges om separat samtykke for hvert formål må gerne være på én samtykkeerklæring Angiv hvor længe samtykket gælder Du oplyser om muligheden for at trække samtykket tilbage Der må ikke være negative konsekvenser forbundet med ikke at give samtykke Samtykket må ikke være en betingelse for levering af en vare/ydelse For børn under 13 år skal der indhentes forældre-samtykke. Dette kan også gøre sig gældende for ældre målgrupper. Det er derfor en god idé at rådføre sig med sekretariatet (for medarbejdere: nærmeste leder) angående behov for samtykke for unge mellem 13 og 17 år Angiv navn på den som giver samtykket og for hvem samtykket gælder (hvis børn eller værge for voksne) samt dato for afgivelse af samtykke Der skal altid indhentes samtykke til billedtagning samt lyd- og videooptagelse, og til brugen af sådanne data. Se særlig vejledning for samtykker i denne sammenhæng i særskilt vejledning Sørg for at personen får en kopi af samtykket Husk at gemme samtykket et sted, hvor andre relevante personer internt i URK, der skal behandle samtykket, også har adgang, men hvor samtykket samtidig opbevares i overensstemmelse med URK s informationssikkerhedspolitik. Følg regelmæssigt op på, at samtykket stadig er aktuelt og korrekt, og at formålet med behandlingen eller selve behandlingen ikke har ændret sig. 4 SAMTYKKE SKABELON Du kan finde en skabelon til samtykke i URK s værktøjskasse. Kontakt info@urk.dk, hvis du har behov for sparring vedrørende samtykke. URK Retningslinjer for samtykke (2018) 5