Samtykke er en av de mest brukte grunnlagene for å behandle personopplysninger, men er din virksomhet sikker på at dere innhenter det på en gyldig måte? GDPR stiller strenge krav til samtykke, og manglende etterlevelse kan føre til alvorlige konsekvenser, inkludert bøter på opptil 4 % av global omsetning.
I denne bloggen hjelper vi deg med å forstå hvordan din virksomhet kan sikre et lovlig og dokumenterbart samtykke – og hva som skal til for å unngå fallgruvene.
Hva er kravene til et gyldig samtykke av personopplysninger?
For at et samtykke skal være gyldig etter GDPR, må det oppfylle følgende krav:
- Frivillig – Samtykket må være gitt uten press eller negative konsekvenser ved å nekte. Hvis en bruker føler seg presset til å samtykke for å få tilgang til en tjeneste, kan ikke samtykket anses som gyldig.
- Spesifikt – Den registrerte må vite nøyaktig hva de samtykker til. Dette betyr at samtykke ikke kan gis til en generell behandling av personopplysninger, men må knyttes til et spesifikt formål.
- Informert – Virksomheten må gi tydelig informasjon om hva opplysningene skal brukes til. Dette må gjøres i klart språk som er lett å forstå, og kan ikke skjules i lange brukervilkår.
- Utvetydig og aktivt – Samtykke må gis gjennom en klar handling, som å krysse av i en boks eller klikke på en knapp. Forhåndsavkryssede bokser eller stilltiende aksept er ikke tillatt.
- Dokumenterbart – Virksomheten må kunne bevise at gyldig samtykke er innhentet, inkludert hva samtykket ble gitt til, når det ble gitt, og hvordan den registrerte ble informert.
- Enkelt å trekke tilbake – Det skal være like lett å trekke tilbake samtykke som det var å gi det. Virksomheten må sørge for at det er en enkel prosess for brukere som ønsker å trekke sitt samtykke.
Les også: Sjekkliste for lovlig behandling av personvernopplysninger
Behov for gjennomgang av GDPR og behandling av personopplysninger?
Vi hjelper deg gjerne. Ta kontakt for en uforpliktende prat.
Vanlige feil virksomheter gjør ved innhenting av samtykke
Mange virksomheter tror de oppfyller GDPR-kravene, men faller likevel i fellen av å bruke ugyldige samtykker. Her er noen vanlige feil:
- Manglende frivillighet – Samtykke er bundet til bruk av tjenesten, noe som gjør det tvungent og dermed ugyldig.
- For bredt samtykke – Man ber om én aksept for flere ulike formål uten at brukeren får mulighet til å velge hva de faktisk samtykker til.
- Dårlig informasjon – Informasjonen om hva samtykket gjelder er skjult i lange brukervilkår eller uklare formuleringer.
- Vanskelig å trekke tilbake – Prosessen for å trekke tilbake samtykke er komplisert eller skjult, noe som strider mot GDPRs krav om enkel tilbaketrekning.
- Manglende dokumentasjon – Virksomheten kan ikke bevise at samtykke er innhentet på en lovlig måte, noe som kan føre til sanksjoner ved et tilsyn.
Hvordan sikre at din virksomhet er i samsvar med reglene for samtykke?
For å sikre at samtykke håndteres riktig, bør din virksomhet implementere følgende beste praksis:
- Bruk et enkelt og forståelig språk i samtykkeforespørselen, slik at brukerne vet hva de samtykker til.
- Sørg for at hver behandling av personopplysninger har et eget samtykke, slik at brukerne kan velge hvilke formål de godtar.
- Gjør det enkelt å trekke tilbake samtykke, for eksempel via en lett tilgjengelig knapp på nettsiden eller en innstilling i brukerprofilen.
- Oppbevar dokumentasjon på innhentet samtykke på en sikker måte, slik at dere kan bevise at samtykket var gyldig.
- Gi jevnlig påminnelse til brukere om at de har gitt samtykke og at det kan trekkes tilbake for å sikre transparens.
Les også: Viktig dokumentasjon for å sikre personvern i bedriften din
Hva skjer hvis virksomheten din bryter GDPR-reglene?
Dersom din virksomhet ikke oppfyller GDPR-kravene for samtykke, risikerer dere:
- Bøter på opptil 4 % av global omsetning eller 20 millioner euro, avhengig av hva som er høyest.
- Tap av kundetillit hvis brukere føler at deres data ikke behandles på en trygg og åpen måte.
- Pålegg om å stoppe behandlingen av personopplysninger, noe som kan ha store driftsmessige konsekvenser.
- Negativ medieomtale som kan skade omdømmet og svekke markedstilliten til virksomheten.
Behov for gjennomgang av GDPR og behandling av personopplysninger?
Vi hjelper deg gjerne. Ta kontakt for en uforpliktende prat.
