Samtykke

Samtykke betyder i GDPR-sammenhæng, at en person frivilligt og tydeligt accepterer en bestemt behandling af sine personoplysninger. Det lyder enkelt, men et gyldigt samtykke kræver mere end en afkrydsningsboks med teksten “jeg accepterer”. Den registrerede skal vide, hvad der accepteres, og valget skal være reelt.

Datatilsynet fremhæver, at et samtykke skal være frivilligt, specifikt, informeret og utvetydigt. Det betyder blandt andet, at stilhed eller passivitet ikke er nok, og at virksomheden ikke bør gøre en tjeneste afhængig af samtykke til en behandling, som ikke er nødvendig for tjenesten. Virksomheden skal desuden kunne dokumentere, at samtykket er givet.

Samtykke er ét af flere mulige behandlingsgrundlag under GDPR. Det skal derfor ikke bruges som standard til alt. Hvis en kunde afgiver leveringsadresse for at få sendt en ordre, er det misvisende bare at sætte et “GDPR-samtykke” under checkout. Virksomheden skal først vurdere, hvorfor oplysningerne er nødvendige, og hvilket grundlag der passer til formålet.

På hjemmesider møder samtykke ofte brugeren i forbindelse med cookies, nyhedsbrev, marketing og formularer. Her er det vigtigt at skelne mellem forskellige regelsæt og formål. Et cookiebanner kan indhente valg til ikke-nødvendig sporing, mens en nyhedsbrevstilmelding kan have sit eget samtykke. De to valg bør ikke blandes sammen til én generel accept af “alt”.

Et samtykke er heller ikke permanent. Den registrerede kan trække det tilbage, og GDPR kræver, at det skal være lige så let at trække samtykket tilbage som at give det. Derfor skal virksomheden tænke hele livscyklussen ind: indhentning, dokumentation, ændring og tilbagetrækning.

Start med formålet. Skriv helt konkret, hvad virksomheden ønsker at gøre med oplysningerne. “Send månedligt nyhedsbrev med tilbud” er mere præcist end “marketing”. Hvis der er flere uafhængige formål, bør de vurderes og præsenteres særskilt, så brugeren ikke tvinges til at acceptere noget, der ikke hænger sammen.

Vurdér derefter, om samtykke faktisk er det rigtige grundlag. Datatilsynet understreger, at samtykke ikke altid er nødvendigt eller hensigtsmæssigt. Ved behandling, der er nødvendig for at gennemføre et køb eller opfylde en aftale, kan et andet behandlingsgrundlag være mere relevant. Hvis virksomheden vælger samtykke, skal den kunne leve med, at personen senere kan trække det tilbage.

Selve samtykketeksten skal være tydelig. Undgå en lang juridisk paragraf ved siden af en checkbox. Brug klart sprog om hvem der behandler oplysningerne, hvad de bruges til, og hvordan samtykket trækkes tilbage. En anmodning om samtykke, der står midt i andre vilkår, skal kunne skelnes fra de øvrige forhold.

På websites skal det aktive valg også fungere teknisk. For cookies og tracking betyder det, at ikke-nødvendige tags ikke bare må starte, fordi banneret ser rigtigt ud. Test både accept og afvisning i browseren. Hvis Google Tag Manager eller Meta-pixel bruges, skal opsætningen afspejle brugerens valg. Consent Mode v2 kan indgå i den tekniske løsning, men ændrer ikke kravene til et gyldigt valg.

Dokumentér samtykket. Virksomheden skal kunne påvise, at det er givet. I praksis betyder det typisk, at systemet gemmer tilstrækkelige oplysninger om tidspunkt, version af teksten og det konkrete valg. Dokumentationen bør ikke i sig selv indsamle mere data end nødvendigt.

Planlæg også tilbagetrækningen. En afmeldingsfunktion i nyhedsbrevet er et enkelt eksempel. Ved cookies bør brugeren kunne finde en funktion til at ændre sit valg senere. Hvis en tilbagetrækning kræver, at personen ringer til virksomheden, mens accept skete med ét klik, er processen ikke balanceret.

En virksomhed sælger produkter i en webshop og vil samtidig sende nyheder og tilbud. Ved checkout er navn, adresse og e-mail nødvendige for ordrebehandlingen. Virksomheden tilføjer derfor ikke en generel checkbox med “jeg accepterer GDPR” som betingelse for købet.

I stedet ligger der et separat, frivilligt valg om nyhedsbrev. Teksten forklarer, at e-mailadressen bruges til nyheder og tilbud, og at tilmeldingen kan trækkes tilbage via afmeldingslinket. Feltet er ikke forhåndsafkrydset, og kunden kan gennemføre købet uden at tilmelde sig.

Webshoppen bruger samtidig statistik og annoncering. Her vises et cookiebanner med valg for de relevante kategorier. Marketingtags venter på brugerens valg. Virksomheden tester i en privat browser, at afvisning faktisk forhindrer de tags, der ikke er nødvendige, og at et senere ændret samtykke slår igennem.

Efter et halvt år ændres nyhedsbrevssystemet og tilmeldingsformålet udvides. Virksomheden bruger ikke automatisk det gamle samtykke til noget væsentligt andet, som kunderne ikke blev informeret om. Den vurderer i stedet, om ændringen ligger inden for det oprindelige formål, eller om der kræves en ny information og et nyt valg.

Eksemplet viser, hvorfor “samtykke” ikke er én central GDPR-knap. Ordrebehandling, nyhedsbrev og tracking er tre forskellige behandlinger, som kan kræve forskellige grundlag og brugerhandlinger.

Den mest almindelige fejl er samtykke, der ikke er frivilligt. Hvis en kunde kun kan købe et produkt ved at acceptere markedsføring, selv om markedsføringen ikke er nødvendig for købet, er valget problematisk. Det samme gælder, hvis afvisning udløser unødvendige negative konsekvenser.

Forhåndsafkrydsede felter og stiltiende accept er en anden faldgrube. Brugeren skal foretage en klar bekræftende handling. Det er ikke nok at skrive, at fortsat brug af siden tæller som accept.

Pas også på samle-samtykker. “Jeg accepterer vilkår, cookies, nyhedsbrev og deling med samarbejdspartnere” kan skjule flere forskellige formål i ét valg. Hvis de kan adskilles, bør brugeren normalt kunne tage stilling til dem hver for sig.

En teknisk faldgrube er at registrere et valg i banneret uden at kontrollere, hvad scripts faktisk gør. Et banner kan vise “afvist”, mens et tredjepartsplugin stadig sender data. Derfor skal samtykke testes som funktion, ikke kun som design.

Endelig kan samtykke blive forældet, hvis formålet eller behandlingen ændres markant. Dokumentation for et gammelt valg viser kun, hvad personen accepterede dengang. Den giver ikke virksomheden et åbent mandat til fremtidige formål.

GDPR kræver, at den dataansvarlige kan påvise samtykket, når behandlingen bygger på samtykke. Det er derfor ikke nok at kunne sige, at “formularen altid har haft en checkbox”. Systemet bør kunne vise, hvad personen faktisk valgte og på hvilket grundlag.

Dokumentationen bør også kunne følge ændringer i samtykketeksten. Hvis teksten bliver omskrevet, bør virksomheden kunne se, hvilken version en person accepterede. Det gør det lettere at vurdere, om et eksisterende samtykke stadig dækker formålet, eller om der er sket en reel ændring. I praksis kan versionsnummer, tidspunkt og valgte formål være mere nyttige end at gemme et screenshot af en formular uden sammenhæng.

Tilbagetrækning gør ikke den tidligere lovlige behandling ulovlig med tilbagevirkende kraft. Den betyder, at virksomheden ikke længere kan fortsætte den behandling på samtykkegrundlaget fremover, medmindre der er et andet gyldigt grundlag, der faktisk passer til situationen.

Samtykke til cookies og samtykke som GDPR-behandlingsgrundlag hænger ofte sammen på en hjemmeside, men de bør ikke reduceres til samme begreb. Cookiereglerne regulerer blandt andet lagring og adgang til oplysninger på brugerens udstyr, mens GDPR regulerer behandling af personoplysninger. Når sporingsteknologien behandler personoplysninger, kan begge regelsæt være relevante.

EDPB’s retningslinjer om samtykke går i dybden med blandt andet frivillighed, specifikke formål, information, utvetydig handling og dokumentation. For en almindelig hjemmeside er den praktiske hovedregel stadig enkel: spørg kun om samtykke, når det er det rigtige grundlag, forklar valget forståeligt, og sørg for at teknikken respekterer både ja og nej.

Deluxe Media kan hjælpe med den tekniske implementering på hjemmesiden — formularer, cookieopsætning, tags og integrationsflow. Den juridiske vurdering af behandlingsgrundlag og virksomhedens samlede samtykketekster bør altid tage udgangspunkt i den konkrete behandling.