I må behandle personoplysninger, når I har et lovligt grundlag for det. GDPR artikel 6 opregner seks: samtykke, kontrakt, retlig forpligtelse, vitale interesser, opgaver i samfundets interesse og legitime interesser. Mindst ét af dem skal passe på hver enkelt behandling, og I skal vide hvilket, før I begynder.
Det lyder juridisk, men spørgsmålet dukker op hele tiden i almindeligt arbejde. Må vi gemme den her ansøgning? Må jeg sende kundelisten til bureauet? Må vi lægge billedet fra sommerfesten på sociale medier? Svaret afhænger hver gang af, hvilket grundlag der er.
De seks grundlag i GDPR artikel 6
| Grundlag | Kort forklaring | Eksempel fra arbejdspladsen |
|---|---|---|
| Samtykke (litra a) | Personen har sagt ja til et bestemt formål | Portrætfoto af en medarbejder på hjemmesiden |
| Kontrakt (litra b) | Nødvendigt for at opfylde en aftale med personen | Navn og adresse for at levere en ordre, kontonummer for at udbetale løn |
| Retlig forpligtelse (litra c) | Loven kræver det | Indberetning af løn til Skattestyrelsen, opbevaring af bilag efter bogføringsloven |
| Vitale interesser (litra d) | Nødvendigt for at beskytte liv eller helbred | Oplysninger til ambulancefolk ved en arbejdsulykke |
| Samfundets interesse eller myndighedsudøvelse (litra e) | Opgaver, som myndigheder udfører i kraft af lovgivning | Sagsbehandling hos en offentlig myndighed |
| Legitime interesser (litra f) | Virksomheden har en saglig interesse, som vejer tungere end personens | Kontaktoplysninger på en kundes indkøber, adgangslog på kontoret |
Den fulde ordlyd står i databeskyttelsesforordningen. Nedenfor er de fire, private virksomheder bruger mest.
Kontrakt
Det er det mest brugte og mindst omtalte grundlag. Når en kunde bestiller en vare, må I behandle de oplysninger, der skal til for at levere og fakturere. Når I ansætter en medarbejder, må I behandle det, der skal til for at opfylde ansættelsesaftalen.
Grænsen går ved ordet nødvendigt. Leveringsadressen er nødvendig for at sende pakken. Fødselsdatoen er det som regel ikke.
Retlig forpligtelse
En del behandling sker, fordi loven siger, at den skal. Bogføringsloven kræver, at regnskabsmateriale gemmes i fem år. Skattelovgivningen kræver indberetning af løn. Hvidvaskloven kræver, at visse virksomheder kender deres kunder.
Her har I ikke et valg, og personen kan ikke kræve oplysningerne slettet, så længe forpligtelsen gælder.
Legitime interesser
Det er det fleksible grundlag, og det kræver mest omtanke. I skal kunne svare på tre spørgsmål: Har vi en saglig interesse? Er behandlingen nødvendig for at forfølge den? Og vejer personens interesser tungere end vores?
Den afvejning skal I lave, før I går i gang, og I bør skrive den ned. At gemme en mailkorrespondance med en leverandørs kontaktperson falder normalt ud til virksomhedens fordel. At overvåge medarbejdernes private brug af internettet i detaljer gør det normalt ikke.
Offentlige myndigheder kan ikke bruge legitime interesser, når de udfører deres myndighedsopgaver.
Samtykke
Mange tror, at samtykke er hovedreglen. Det er ét af seks grundlag og ofte det mest besværlige. Et gyldigt samtykke skal være frivilligt, specifikt, informeret og utvetydigt, og det kan trækkes tilbage når som helst. Når det sker, skal behandlingen stoppe.
Derfor egner samtykke sig dårligt til behandling, som virksomheden under alle omstændigheder er nødt til at gennemføre. I kan ikke bede en medarbejder om samtykke til at behandle lønoplysninger, for I kan ikke stoppe med at udbetale løn, hvis samtykket bliver trukket tilbage. Der er grundlaget kontrakt og retlig forpligtelse.
Databeskyttelseslovens § 12 giver mulighed for at bruge samtykke i ansættelsesforhold, men Datatilsynet har peget på, at afhængighedsforholdet mellem arbejdsgiver og medarbejder kan gøre det svært at vise, at samtykket er frivilligt. Det bruges mest til ting, medarbejderen reelt kan sige nej til uden konsekvenser, for eksempel billeder til markedsføring.
Det gælder også, når grundlaget er i orden
Et lovligt grundlag er nødvendigt, men det er ikke nok. De grundlæggende principper i artikel 5 gælder altid. Oplysningerne må kun bruges til det formål, de blev indsamlet til. I må kun have dem, der er nødvendige. De skal være korrekte, de skal slettes, når formålet er opfyldt, og de skal beskyttes.
En kundes mailadresse, der er indsamlet for at sende en ordrebekræftelse, må altså ikke uden videre bruges til nyhedsbreve. Det er et nyt formål, og markedsføring på mail kræver som udgangspunkt samtykke efter markedsføringsloven.
Følsomme oplysninger kræver mere
Helbredsoplysninger, fagforeningsmedlemskab, religion og de øvrige særlige kategorier er som udgangspunkt forbudt at behandle. Her skal I ud over et grundlag i artikel 6 også kunne pege på en undtagelse i artikel 9. For CPR-numre og oplysninger om strafbare forhold er der særlige regler i den danske databeskyttelseslov. Vi gennemgår forskellene i artiklen om almindelige og følsomme personoplysninger.
Tre fejl, der går igen
Samtykke som helgardering. Virksomheden beder om samtykke til noget, den alligevel har ret eller pligt til. Det forvirrer, og det giver personen indtryk af et valg, der ikke findes.
Genbrug til nye formål. Oplysninger indsamlet til ét formål bliver brugt til et andet uden ny vurdering. Deltagerlisten fra et webinar ender i sælgernes ringeliste.
Ingen ved, hvad grundlaget er. Behandlingen har kørt i årevis, og ingen har taget stilling. Grundlaget skal fremgå af virksomhedens fortegnelse og af den information, de registrerede får, så det skal kunne slås op.
Hvad medarbejderne har brug for at vide
De færreste medarbejdere skal kunne citere artikel 6. De skal kunne genkende de situationer, hvor spørgsmålet opstår, og vide, hvem de spørger. Typisk er det, når de:
- indsamler oplysninger på en ny måde, for eksempel i en ny formular eller en ny app
- vil bruge eksisterende oplysninger til noget nyt
- bliver bedt om at udlevere oplysninger til andre, internt eller eksternt
- får en henvendelse fra en person, der vil have sine oplysninger slettet
Det er den slags situationer, vores GDPR træning tager udgangspunkt i. Forløbet er udviklet i samarbejde med specialister i databeskyttelsesret, og scenarierne kan tilpasses jeres egen hverdag. Har I brug for det brede overblik først, så læs hvad er GDPR.
