GDPR og samtykkeerklæring: slik lager du en som holder

Når du trenger en samtykkeerklæring

Det finnes ingen generell plikt til å ha en samtykkeerklæring. Plikten er betinget og utløses først når samtykke er, eller må være, behandlingsgrunnlaget ditt. Samtykke er bare ett av flere grunnlag i GDPR artikkel 6, og for mye av det du gjør som håndverker eller nettbutikk, er avtale eller rettslig forpliktelse et mer presist grunnlag.

Samtykke passer der du trenger et reelt ja fra personen: nyhetsbrev og annen elektronisk markedsføring, bruk av bilder eller video av navngitte personer, og behandling av særlige kategorier opplysninger der artikkel 9 nr. 2 bokstav a er grunnlaget. Velger du samtykke, skifter kravene fra «kan» til «skal».

Personvern treffer nettsiden din samtidig som flere andre regelverk. Regler for nettsider og netthandel: komplett guide for bedrifter gir oversikten du bør ha før du setter deg ned med selve erklæringen.

Kravene som avgjør om samtykket er gyldig

Et gyldig samtykke skal være frivillig, spesifikt, informert og utvetydig. Det er de fire vilkårene i GDPR artikkel 4 nr. 11, og alle må være oppfylt samtidig. Mangler ett av dem, har du ikke noe samtykke, uansett hvor ryddig dokumentet ser ut.

Frivillig betyr at personen har et reelt valg. Et samtykke som er pakket inn i vilkårene for å få varen, tjenesten eller konkurransepremien, står svakt. Spesifikt betyr at du ikke samler alt i én boks: hvert formål får sitt eget ja.

Informert betyr at personen vet hvem som er behandlingsansvarlig, hva som samles inn, hva det brukes til, hvor lenge det lagres og at samtykket kan trekkes. Utvetydig betyr en aktiv handling, ikke stillhet. I tillegg sier artikkel 7 at du må kunne påvise samtykket, og at det skal være like enkelt å trekke som å gi.

Slik bygger du opp erklæringen

Start med å identifisere den behandlingsansvarlige: firmanavn, organisasjonsnummer og et kontaktpunkt som faktisk er bemannet. Formuler deretter formålet konkret nok til at en kunde skjønner hva de sier ja til. «Markedsføring» er for vagt, «nyhetsbrev med tilbud om befaring og småjobber» er tydeligere.

Ta så med hvilke opplysningstyper det gjelder, grunnlaget, eventuelle mottakere, lagringstid, rettighetene og hvordan samtykket trekkes. Behandles særlige kategorier opplysninger, viser du til artikkel 9 nr. 2 bokstav a i selve erklæringen, ikke bare i en fotnote.

Skriv på klart og enkelt språk, og skill flere formål med egne avkryssingsbokser. En lang juridisk tekst som skjuler hovedpoenget i siste avsnitt, oppfyller ikke kravet om at informasjonen skal være forståelig og lett tilgjengelig.

Samtykke på nettstedet og dokumentasjonen bak

Samtykket gis der handlingen skjer. En avkryssingsboks som ikke er forhåndsavkrysset, tydelig tekst og en lenke til personvernerklæringen rett ved skjemaet på nettsiden din, er det som fungerer i praksis. Forhåndsavkryssede bokser og stilltiende aksept gir deg ingenting å vise til i ettertid.

Ikke koble samtykket til noe som ikke er nødvendig for formålet. Skal e-postadresser fra en konkurranse også brukes til markedsføring, må det komme klart frem og samtykkes til separat. Markedsføringsloven og konkurranser: slik lager du en lovlig konkurranse går gjennom den delen.

Dokumentasjonen bør ligge et sted du finner den igjen: tidspunkt, hva personen samtykket til, hvilken versjon av teksten som ble vist, og hvordan samtykket ble gitt. Havner kundedata i et CRM eller bookingsystem, se GDPR og CRM: slik behandler du kundedata trygt. Er det flere som har tilgang til systemene, er adgangskontroll og GDPR neste steg.

Å trekke samtykke og holde erklæringen oppdatert

Når noen trekker samtykket, skal behandlingen stoppe. Det betyr ikke nødvendigvis at alt skal slettes med en gang, for andre regler kan pålegge deg å oppbevare opplysninger, for eksempel regnskapsmateriale. Da må du skille mellom det som var basert på samtykke, og det som har et annet grunnlag.

Et samtykke gjelder formålet det ble gitt til. Endrer du formålet, må du innhente nytt samtykke. Sett erklæringen i versjoner, og gå gjennom den når du bytter systemer, leverandører eller tjenester.

Samtykkeerklæringen erstatter ikke personvernerklæringen. Den ene er dokumentasjon på et ja, den andre er informasjonen du gir om all behandling. GDPR og personvernerklæring: slik lager du en god erklæring viser hva som hører hjemme hvor.

Feil som går igjen, og når du bør hente hjelp

Den vanligste feilen er å bruke samtykke som universalgrunnlag for alt. Da påtar du deg en plikt du ellers ikke hadde, og du må håndtere tilbaketrekking på alt du gjør. Neste feil er ferdige maler kopiert fra en annen bransje, med formål og opplysningstyper som ikke stemmer med det du faktisk driver med.

Den tredje er at erklæringen aldri oppdateres. Nye skjemaer og nye systemer samler inn nye opplysninger, og teksten må følge etter. En mal er et utgangspunkt, ikke en ferdig erklæring, og innholdet bør kontrolleres mot din egen drift.

Skal du ha skjemaer, samtykketekst og systemer som henger sammen i praksis, kan du booke en demo og se hvordan Nettsaga setter det opp.

Vanlige spørsmål

Er det påbudt å ha en samtykkeerklæring?

Nei, ikke som et generelt krav. Plikten utløses når samtykke er eller må være behandlingsgrunnlaget ditt. Behandler du bare opplysninger for å oppfylle en avtale eller en rettslig forpliktelse, trenger du den ikke for det.

Hva må stå i en samtykkeerklæring?

Hvem som er behandlingsansvarlig, hvilke opplysninger det gjelder, hva de brukes til, grunnlaget, lagringstid, rettighetene og hvordan samtykket trekkes. Erklæringen skal være forståelig, lett tilgjengelig og bygget slik at du kan påvise samtykket.

Holder det med en avkryssingsboks på nettsiden?

En boks er en måte å innhente samtykke på, men den må ikke være forhåndsavkrysset, teksten må være tydelig, og du må ta vare på dokumentasjonen på hva den enkelte krysset av for og når.

Kan jeg bruke ett samtykke til flere ting?

Du kan innhente flere samtykker i samme skjema, men hvert formål skal ha sitt eget ja. Ett samtykke for alt, for eksempel både nyhetsbrev og utlevering til samarbeidspartnere, er ikke spesifikt nok.

Gjelder egne regler for barn?

Tilbyr du informasjonssamfunnstjenester direkte til barn, tar GDPR artikkel 8 utgangspunkt i 16 år, men land kan ha lavere aldersgrense i egen lovgivning. Sjekk hva som gjelder der virksomheten din er etablert.