Der er forskellige situationer, hvor en virksomhed ikke bør anvende samtykke som retsgrundlag for behandling af personoplysninger. I henhold til databeskyttelsesforordningens artikel 6 skal en virksomhed have et retsgrundlag for hver enkelt behandling af personoplysninger. Samtykke er et af seks retsgrundlag. Det er ikke et krav at indhente samtykke for at behandle personoplysninger. Desuden er det i nogle tilfælde uhensigtsmæssigt at basere behandlingen af personoplysninger på samtykke. To andre retsgrundlag, som det kan være mere hensigtsmæssigt for virksomheder at anvende, er “kontrakter med registrerede” i henhold til artikel 6, stk. 1, litra b), i GDPR og “legitim interesse” i henhold til artikel 6, stk. 1, litra f), i GDPR.
Ulige magtforhold mellem parterne ugyldiggør samtykke
I de fleste tilfælde, hvor der er et ulige magtforhold mellem den dataansvarlige og den registrerede, og den dataansvarlige befinder sig i en stærkere position, er det ikke tilladt at anvende samtykke som retsgrundlag for behandling af den registreredes personoplysninger. F.eks. når en offentlig myndighed behandler en borgers personoplysninger. Det kan dog tillades i visse tilfælde. Hvis en kommune f.eks. bygger et nyt toglokomotiv og tilbyder at underrette beboerne om det igangværende arbejde pr. e-mail, hvis de accepterer en sådan kommunikation.
Tre eksempler på, hvornår en virksomhed ikke bør anvende samtykke som retsgrundlag for behandling af personoplysninger i henhold til GDPR
- Lønmodtager: Hvis en arbejdsgiver ansætter en person, er der et ulige magtforhold mellem parterne. Arbejdsgiveren må derfor ikke behandle arbejdstagerens navn og lønkontonummer på grundlag af samtykke. I stedet er kontrakter med den registrerede et passende retsgrundlag at anvende i sådanne tilfælde. Aftalen i den foreliggende sag er den arbejdsaftale, der er indgået mellem arbejdsgiveren og arbejdstageren. Betaling af løn er en væsentlig del af opfyldelsen af ansættelseskontrakten. Der er dog undtagelser for, hvornår en arbejdsgiver kan behandle en arbejdstagers personoplysninger på grundlag af samtykke, men det er godt at undgå samtykke i eventuelle tilfælde.
- GPS i æble: Hvis formålet med en mobilapplikation f.eks. er at redigere videoer med henblik på markedsføring, bør applikationen ikke behandle GPS til lokalisering, da det ikke er nødvendigt for at redigere videoer. Det bør derfor ikke være et krav at give samtykke for at anvende mobilapplikationen.
- Absolut forudsætning: Behovet for at give samtykke til brug af en tjeneste eller køb af et produkt må ikke være tvangsmæssigt, hvis personoplysningerne ikke er nødvendige for brugen af tjenesten. Der kan derfor ikke være tale om et obligatorisk kontraktvilkår i f.eks. almindelige forretningsbetingelser.
Bemærk, at virksomhederne skal kunne bevise, at de har opnået gyldigt samtykke. Det er derfor nyttigt at indhente skriftligt samtykke i stedet for mundtligt samtykke. Desuden skal det være muligt for registrerede let at trække deres samtykke tilbage. Tilbagetrækning af samtykke bør ikke koste de registrerede penge.
