Hvornår må du behandle personoplysninger?
"Hjemmel" betyder, at du har lov til at behandle oplysningerne. Den registreredes samtykke er den mest kendte hjemmel, men der findes andre. Personoplysninger kan behandles uden samtykke, hvis det er nødvendigt af hensyn til:
- En kontrakt
med den registrerede
- Retlige forpligtelser
som den dataansvarlige har
- Vitale interesser
for den registrerede eller en anden fysisk person
- Samfundets interesse
en opgave i samfundets interesse eller offentlig myndighedsudøvelse
- Legitim interesse
som ikke overgås af den registreredes interesser eller rettigheder (interesseafvejningsreglen)
De hjemler er som udgangspunkt ikke relevante for dig som studerende. Du registrerer og behandler oftest personoplysninger med hjemmel i forordningens artikel 6, stk. 1, litra a:
Den registrerede har givet samtykke til behandling af sine personoplysninger til et eller flere specifikke formål.
Følsomme personoplysninger — fx helbredsoplysninger, etnisk oprindelse, politisk, religiøs eller filosofisk overbevisning eller fagforeningsmæssigt tilhørsforhold — behandles med hjemmel i artikel 9, stk. 2, litra a. Begge regler giver adgang til at behandle oplysninger, når den registrerede har givet udtrykkeligt samtykke.
Samtykke
"Samtykke" fra den registrerede: enhver frivillig, specifik, informeret og utvetydig viljestilkendegivelse, hvorved den registrerede ved erklæring eller klar bekræftelse indvilliger i, at personoplysninger, der vedrører den pågældende, gøres til genstand for behandling.
Skal du indsamle empiri til en opgave eller et speciale, skal du indhente samtykke fra de personer, du ønsker oplysninger fra — de registrerede.
Fire krav til et gyldigt samtykke
Det skal du også vide
Tilbagekaldelse af samtykke
Et samtykke kan altid tilbagekaldes. De personer, du indsamler oplysninger om, kan give dig lov og bagefter ombestemme sig. Trækker de samtykket tilbage, skal du straks stoppe behandlingen af deres data og slette oplysningerne. Den behandling, du har foretaget indtil da, er dog lovlig. Den registrerede skal oplyses om retten til at trække samtykket tilbage, før samtykket gives.
Dokumentation
Den dataansvarlige skal kunne påvise, at den registrerede har givet samtykke. Det er altså dig, der har bevisbyrden, og du er selv ansvarlig for at opbevare de samtykker, du har indsamlet. AU anbefaler, at du får samtykke på skrift, men en lyd- eller videooptagelse er også i orden som dokumentation. Manglende dokumentation påvirker ikke i sig selv samtykkets gyldighed.
Sprog
Gives samtykket i en skriftlig erklæring, der også handler om andre forhold, skal anmodningen om samtykke kunne skelnes klart fra resten — i en letforståelig og lettilgængelig form og i et klart og enkelt sprog. Skriver du selv et samtykkedokument, så formulér dig i sammenhængende tekst og i et neutralt sprog, tilpasset den, der skal skrive under.
Børns samtykke
Der er ingen fast aldersgrænse for, hvornår man er moden nok til at give et gyldigt samtykke. Datatilsynet anser almindeligvis en ung på 15 år eller derover som i stand til at give samtykke. Ved direkte udbud af informationssamfundstjenester til børn, fx sociale medier, skal forældremyndighedsindehaveren give eller godkende samtykket, hvis barnet er under 13 år.
- AU’s samtykkeskabeloner til opgaver og specialer
- Datatilsynets vejledning om samtykke