Samtykke er det grundlag, de fleste først tænker på, og det er ofte det forkerte. Det lyder trygt at spørge folk. Men et samtykke giver personen et reelt valg og en løbende ret til at fortryde, og det er kun rimeligt at bede om, hvis I kan leve med et nej. Kan I ikke det, er spørgsmålet misvisende, og et andet grundlag passer bedre. Datatilsynet skriver i sin vejledning fra maj 2021, at den dataansvarlige først bør vurdere, om samtykke er det mest passende grundlag. Her er kravene og de situationer i private virksomheder, hvor samtykke holder dårligt. Børn og skoler er uden for denne artikel.
Kravene til et gyldigt samtykke
Art. 4, nr. 11, kræver en frivillig, specifik, informeret og utvetydig viljestilkendegivelse. Art. 7 lægger flere krav til. Omsat til praksis betyder det:
- Frivilligt. Personen skal have et reelt valg og kunne sige nej uden ulempe. Er der en klar skævhed mellem parterne, anses samtykket normalt ikke for frivilligt.
- Specifikt. Samtykket gælder bestemte formål. Forskellige formål skal kunne vælges hver for sig, og Datatilsynet kalder det granularitet.
- Informeret. Personen skal vide, hvad der siges ja til, og hvem der behandler oplysningerne, og have at vide, at samtykket kan trækkes tilbage. Mangler den sidste oplysning, kan samtykket ikke anses for gyldigt.
- Utvetydigt. Der skal være en aktiv handling. Tavshed, inaktivitet og forudkrydsede felter tæller ikke.
- Adskilt. Står anmodningen i en erklæring om andet, skal den klart kunne skelnes fra resten (art. 7, stk. 2).
- Dokumenteret. Efter art. 7, stk. 1, skal I kunne påvise samtykket. Bevisbyrden ligger hos jer, og kan I ikke løfte den, er der ikke et lovligt grundlag.
Følsomme oplysninger kræver et udtrykkeligt samtykke efter art. 9, stk. 2, litra a.
Samtykket skal foreligge, før behandlingen begynder. Det kan afgives mundtligt, men vejledningen anbefaler en form, der kan bevises.
Tilbagekaldelse er hele prøven
Art. 7, stk. 3, kræver, at tilbagekaldelsen er lige så enkel som selve samtykket. Datatilsynets vejledning bruger eksemplet med en webbutik, hvor samtykket gives med et flueben, mens tilbagekaldelsen kræver et opkald i kontortiden. Det lever ikke op til kravet.
Tilbagekaldelsen gælder fremtiden. Det, der er sket inden, forbliver lovligt, men behandlingen skal så stoppe hurtigst muligt, og det omfatter også opbevaring. Hviler behandlingen alene på samtykket, bør I tage stilling til sletning, også selvom personen ikke beder om det. Det kræver, at systemet teknisk kan stoppe og slette, se systemet kan ikke slette.
Her er den vigtigste konsekvens. Datatilsynet skriver, at den dataansvarlige som udgangspunkt ikke kan skifte behandlingsgrundlag, når et samtykke er trukket tilbage. Det er urimeligt over for personen at gå over til legitim interesse bagefter. I den situation burde I have brugt det grundlag fra begyndelsen. Vejledningen nævner en sag med alvorlig kritik, hvor en virksomhed havde lagt op til netop det skifte. Har I et selvstændigt andet formål, fx bogføring, kan den del fortsætte på sit eget grundlag.
Ansatte
Databeskyttelseslovens § 12, stk. 3, gør det muligt at behandle oplysninger om ansatte på samtykke. Det er en mulighed, som kræver omtanke. Datatilsynet peger på, at der typisk er en ulighed mellem arbejdsgiver og ansat, og at I skal overveje, om samtykket reelt er den ansattes valg, eller om det er afgivet af frygt for negative konsekvenser. Der skal lægges vægt på, om samtykket overhovedet er nødvendigt, eller om et andet grundlag er mere passende.
Derfor holder samtykke sjældent til det, der hører til ansættelsen. Løn, ferie, sygefravær og adgangsstyring skal kunne ske, uanset om den ansatte vil, og det bør bygge på kontrakt, lov eller § 12, stk. 1 og 2. Kontrol af medarbejdere er heller ikke noget, den enkelte reelt kan sige nej til.
Vejledningen viser det modsatte tilfælde. Et foto i en intern telefonbog, hvor ledelsen gør det klart, at det er helt frivilligt og uden konsekvenser for den, der siger nej, er et frivilligt samtykke. Prøven er, om et nej kan gives og respekteres, uden at nogen mærker det.
Andre tilfælde, hvor samtykke er forkert
Det, I skal gøre alligevel. Kan en kunde ikke købe hos jer uden at give oplysningerne, er behandlingen nødvendig for kontrakten. At bede om samtykke er forkert, for kunden har reelt ikke et valg. Art. 7, stk. 4, lægger vægt på, om en ydelse gøres betinget af et samtykke, der ikke er nødvendigt for kontrakten.
Det, loven kræver. Bogføringsbilag kan ikke trækkes tilbage. Grundlaget er en retlig forpligtelse.
Det, I vil fortsætte med. Har I planer om at beholde oplysningerne, uanset svaret, skal I ikke spørge.
Pakkeløsninger. Et samlet samtykke til alt i en formular er ikke specifikt.
Gammel form. En tekst fra før 2018 eller et felt, der er forudkrydset, er ikke et godt udgangspunkt. Tjek, om samtykket kan bevises og opfylder kravene i dag.
Her passer samtykke
Samtykke er det rigtige, når I tilbyder noget ekstra, som personen frit kan sige ja eller nej til. Nyhedsbreve og markedsføring til kunder, hvor andre regler også gælder, er det klassiske eksempel. Andre eksempler er billeder af ansatte på hjemmesiden, deltagelse i en frivillig undersøgelse og sporing på hjemmesiden, hvor cookiereglerne gælder. Fælles for dem er, at I kan leve med et nej, og at systemet kan håndtere det.
Valget af det rigtige alternativ er gennemgået i behandlingsgrundlag.
Hvad skal der stå i en samtykkeerklæring?
Datatilsynets vejledning nævner fire minimumsoplysninger: hvem den dataansvarlige er, formålet, hvilke oplysninger der behandles, og retten til at trække samtykket tilbage. Teksten skal stå adskilt fra øvrige vilkår, være skrevet klart og enkelt, og hvert formål skal kunne vælges for sig. I et tænkt eksempel om billeder af ansatte kan teksten lyde sådan, og I retter den til jeres egen behandling:
“Jeg giver samtykke til, at [virksomhed] bruger mit navn og billede til [formål, fx at vise mig under medarbejdere på hjemmesiden]. Jeg kan når som helst trække samtykket tilbage ved at skrive til [adresse], og det har ingen betydning for mit ansættelsesforhold, om jeg siger ja eller nej. Dato og underskrift eller anden bekræftelse.”
Lægger I tekster som denne i et system, skal der stå et tomt felt, som personen selv krydser af. Skal oplysningerne til et usikkert tredjeland, eller bruges de til automatiske afgørelser, skal det også fremgå.
Det praktiske ved et samtykke
Gem, hvad der blev sagt ja til, hvornår, og med hvilken tekst. Datatilsynet skriver, at dokumentationen ikke bør gemmes længere end nødvendigt, når behandlingen er ophørt, fx for at et retskrav kan fastlægges eller forsvares. Opbevaring af dokumentationen skal altså med i slettepolitikken. Det er også en god idé at gennemgå samtykker med mellemrum, for jo ældre et samtykke er, jo svagere er forbindelsen til det, personen sagde ja til.
Det skal I lade være med
- At bruge samtykke til det, I skal gøre alligevel · et nej skal kunne respekteres.
- At skifte grundlag, når samtykket trækkes tilbage · det anser Datatilsynet som udgangspunkt for urimeligt.
- At basere ansættelsesforholdet på samtykke · skævheden i forholdet gør det skrøbeligt.
- At gøre tilbagekaldelsen sværere end samtykket · det lever ikke op til art. 7, stk. 3.
Det skal I kræve af den eksterne
- ☐ En gennemgang af, hvor I bruger samtykke i dag, og om et andet grundlag passer bedre.
- ☐ Kontrol af, at systemerne kan registrere, bevise og stoppe ved tilbagekaldelse.
- ☐ Kritisk gennemlæsning af tekster og formularer.
- ☐ Rådgivning om samtykke fra ansatte med udgangspunkt i konkrete behandlinger.
Kilder
- Forordning (EU) 2016/679, dansk tekst: art. 4, nr. 11, art. 6, art. 7 og art. 9, betragtning 42 og 43.
- Databeskyttelsesloven, LBK nr. 289 af 8. marts 2024: § 12.
- Datatilsynet: Vejledning om samtykke, maj 2021: afsnit 2, 2.5.1, 3 og 3.1 og tjeklisten i afsnit 5.
- Datatilsynet: Vejledning om databeskyttelse i ansættelsesforhold.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Oplysningspligten · Kontrol af medarbejdere
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
