Svar
Når samtykke skal indhentes til at behandle personoplysninger, skal følgende betingelser være opfyldt, for at samtykket er gyldigt:
- Det skal gives frivilligt.
- Det skal være informeret.
- Det skal gives til et bestemt formål.
- Alle årsagerne til behandlingen skal være tydeligt angivet.
- Det skal være udtrykkeligt og gives med en aktiv handling (f.eks. et afkrydsningsfelt på en onlineformular, hvor den registrerede aktivt skal sætte krydset, eller en underskrift på en formular).
- Det skal anvende klart og enkelt sprog og skal være tydeligt synligt.
- Det skal være muligt at trække samtykket tilbage og denne mulighed skal forklares (f.eks. via et link til framelding i slutningen af et nyhedsbrev via e-mail).
Et samtykke er givet frivilligt, hvis personen har frit valg og kan nægte at give samtykke eller trække sit samtykke tilbage uden at blive stillet ringere. Et samtykke er ikke givet frivilligt, hvis der for eksempel er et tydeligt ulige forhold mellem enkeltpersonen og virksomheden/organisationen (som eksempelvis ved forholdet mellem arbejdsgiver og ansat), eller hvis enkeltpersonen skal give samtykke til behandling af unødvendige personoplysninger som betingelse for, at opfylde en kontrakt eller levere en tjenesteydelse.
Samtykket er informeret, hvis enkeltpersonen mindst får information om:
- identiteten på den organisation, der behandler oplysningerne
- formålene med at behandle oplysningerne
- typen af oplysninger, der behandles
- muligheden for at trække samtykket tilbage (eksempel: et link til framelding i slutningen af en e-mail)
- hvis relevant: at oplysningerne vil blive anvendt til rent automatiske afgørelser, herunder automatisk genererede personprofiler
- hvis samtykket gives i forbindelse med en international overførsel: de mulige risici ved dataoverførsel til tredjelande, som ikke er omfattet af en Kommissions-beslutning om et tilstrækkeligt beskyttelsesniveau og hvis der ikke er passende garantier.
Husk: Hvis en person giver samtykke til behandling af vedkommendes personoplysninger, må I kun behandle oplysningerne i forbindelse med de formål, samtykket blev givet til.
Eksempler
Her er samtykket frivilligt
Du er et flyselskab, og virksomhedens meddelelse om beskyttelse af personlige oplysninger angiver, at der kan forekomme behandling af personoplysninger i forbindelse med en konkurrence, som luftfartsselskabet afholder med en gratis flyrejse som præmie. Kunderne der satte kryds i feltet for at angive, at de gerne ville deltage i konkurrencen, har tydeligt tilkendegivet, at de gerne vil have deres oplysninger behandlet i forbindelse med konkurrencen. Der er samtykke til behandling af oplysningerne i forbindelse med konkurrencen, men ikke til andre formål.
Her er samtykket ikke frivilligt
Jeres virksomhed/organisation tilbyder onlinefilmtjenesteydelser. Når I indsamler oplysninger til kontrakter, beder I også om yderligere oplysninger som for eksempel personens seksuelle orientering eller politiske ståsted. En person, der giver samtykke til dette, kan tro, at det er nødvendigt at give samtykke til behandling af denne type oplysninger for at få adgang til de ønskede film. I dette tilfælde er samtykket ikke frivilligt, da det er hængt op på noget andet.
Referencer
Examples
Free consent
You're an airline company and your Privacy Notice indicates that the personal data of customers can be processed for a competition organised by your company offering a free flight as a prize. The customers who ticked the box in agreeing to participate in the competition have clearly signalled their wish to have their personal data processed for the purpose of the competition. There is consent to process data for the purpose of the competition but not for other purposes.
Consent not free
Your company/organisation offers online movie services. When collecting the data needed for this contract you also ask for additional data, such as the sexual orientation or the political beliefs of a person. That person may believe that their consent for the processing of this type of data is necessary to access to the movies they request. The consent in this case isn’t free consent, it is a ‘tied consent’.