Lever din virksomheds samtykkeløsning op til reglerne?

Reglerne om samtykke

Den registreredes samtykke til behandling af sine personoplysninger er ifølge databeskyttelseslovens artikel 6, stk. 1, litra a, et lovligt behandlingsgrundlag, og defineres ved artikel 4, nr. 11, som givet ved en frivillig, specifik, informeret og utvetydig viljeserklæring.

Navnlig kan et samtykke ikke anses for frivilligt, hvis den registrerede ikke har mulighed for, at give særskilt samtykke til forskellige behandlingsformål, og det kan ikke anses for informeret, hvis den registrerede ikke oplyses om med hvilket formål den enkelte behandlingen foregår. Et lovligt samtykke forudsætter derfor, at den registrerede har mulighed for at gøre sig bekendt med hvilket formål behandlingen tjener og på den baggrund tage stilling til, om der skal samtykkes til de enkelte behandlingsformål.

Om selve behandlingen af personoplysninger bestemmer databeskyttelsesforordningens artikel 5, stk. 1, litra a, at den skal ske lovligt, rimeligt og på en gennemsigtig måde, mens udfyldningen af kravenes nærmere indhold er overladt til Datatilsynet som tilsynsmyndighed.

JP/Politikkens samtykkeløsning

Datatilsynet tog i afgørelsen stilling til JP/Politikkens samtykkeløsning, og kommenterede i den anledning på både samtykkeløsningens opbygning og design.

Samtykkeløsningens opbygning

JP/Politikken behandlede personoplysninger til præference-, statistik- og markedsføringsformål. Samtykkeløsning var opdelt i ”lag”, og i det ”første lag” blev de besøgende oplyst om, at oplysninger blev indsamlet til statistik og markedsføringsformål, samtidig med at de fik tre valgmuligheder: Kun nødvendige, Tilpas Indstillinger og Acceptér alle. Kun ved at vælge Tilpas Indstillinger kunne besøgende tilgå det ”andet lag”, hvor de blev oplyst om behandlingsformålet præferencer.

Da samtykkeløsningen ikke informerede de besøgende, der klikkede på Acceptér alle, om samtlige behandlingsformål vurderede Datatilsynet, at samtykket ikke var givet ved en informeret viljeserklæring. Da det derfor ikke opfyldte kravene i databeskyttelsesforordningens artikel 4, nr. 11, kunne det ikke danne grundlag for behandlingen i medfør af databeskyttelsesforordningens artikel 6, stk. 1, litra a.

Samtykkeløsningens design

JP/Politikkens samtykkeløsning var designet, så de tre valgmuligheder, stod i farvede felter. Således stod Kun nødvendige i et rødt felt, Tilpas Indstillinger i et gråt felt og Acceptér alle i et grønt felt. Valget af det grønne felt Acceptér alle, medførte i henhold til det anførte om samtykkeløsningens opbygning, at besøgende ikke gav et informeret samtykke.

Brugen af dette trafiklyslignende system kunne ifølge Datatilsynet skubbe besøgende i retning af det grønne felt, derfor i retning af at meddele et ikke informeret samtykke. Datatilsynet fandt derfor, at designet førte til uigennemsigtighed og urimelige behandlingssituationer, der ikke var forenelige med databeskyttelsesforordningens artikel 5, stk. 1, litra a.

På baggrund af de konstaterede overtrædelser af databeskyttelsesforordningen udtalte Datatilsynet alvorlig kritik af JP/Politikkens behandling af personoplysninger.

Betyder det at en samtykkeløsning ikke må være opbygget i ”lag”

En samtykkeløsning må godt være opbygget i flere ”lag” på den måde, at besøgende i ”første lag” har mulighed for at vælge Tilpas Indstillinger og på dette ”andet lag” vælge mellem de forskellige formål. En sådan løsning skal imidlertid informere besøgende om, hvordan forskellige formål til- og fravælges, ligesom løsningen ikke må påvirke eller besværliggøre valget mellem de forskellige formål.

At JP/Politikkens løsning var opdelt i ”lag”, var derfor ikke i sig selv genstand for Datatilsynets kritik. Det Datatilsynet kritiserede var, dels at besøgende ikke på det ”første lag” blev informeret fyldestgørende om med hvilke formål personoplysninger blev indsamlet og behandlet, dels at designet kunne påvirke de besøgende i retning af valg, der undergravede disses rettigheder.

Lever din virksomheds samtykkeløsning op til reglerne

Indsamler og bruger din virksomhed data fra hjemmesidebesøgende til flere formål, skal du sikre dig, at samtykkeløsningen lever op til databeskyttelsesforordningens krav. Hvilke krav der stilles og hvordan de skal efterleves i praksis, kan imidlertid være vanskeligt at gennemskue.

Er du i tvivl om, om din virksomhed er compliant, og ønsker du at få kigget samtykkeløsningen igennem, er du altid meget velkommen til uforpligtigende at kontakte os - så kan vi hjælpe dig i mål.