Kort svar
Samtykke passer ikke for alt. Det fungerer best når den registrerte har et reelt valg og virksomheten faktisk kan leve med at samtykket trekkes tilbake.
Før dere setter behandlingen i drift eller svarer den registrerte, bør dere ha kontroll på om samtykke er riktig grunnlag i denne situasjonen, hvordan samtykket innhentes og dokumenteres og hvordan tilbaketrekking håndteres i praksis.
Når dette blir aktuelt
- når nye behandlinger planlegges og teamet automatisk vil bruke samtykke
- når virksomheten vil rydde i gamle samtykkeløsninger
- når ansatte eller kunder i praksis har begrenset valgfrihet
Det bedriften bør avklare først
| Spørsmål | Hvorfor det betyr noe |
|---|---|
| Om samtykke er riktig grunnlag i denne situasjonen | avgjør om løsningen blir robust eller sårbar |
| Hvordan samtykket innhentes og dokumenteres | er viktig for å vise at det faktisk var frivillig og spesifikt |
| Hvordan tilbaketrekking håndteres i praksis | reduserer risikoen for at samtykket mister verdi |
Slik bør dere gå fram
- Start med å vurdere om annet behandlingsgrunnlag passer bedre enn samtykke.
- Hvis samtykke brukes, utform innhentingen tydelig og uten press eller skjulte konsekvenser.
- Sørg for enkel tilbaketrekking og rutiner som faktisk stanser behandlingen ved tilbaketrekning.
- Revider gamle samtykker som er for brede eller uklart dokumentert.
Dokumenter og spor som bør være på plass
I personvernspørsmål er det ofte kombinasjonen av formål, tilgangsstyring og dokumentasjon som avgjør om rutinen holder.
- tekster og flyt for innhenting av samtykke
- logg over når og hvordan samtykke er gitt
- rutine for tilbaketrekking og konsekvenser i systemene
- vurdering av hvorfor samtykke ble valgt fremfor annet grunnlag
Typiske feil
- samtykke brukes fordi det føles tryggest, ikke fordi det er riktig
- tilbaketrekking er vanskeligere enn å gi samtykke
- ingen kan vise hvilken versjon av teksten som ble akseptert
Når bør dere få konkret hjelp?
Når behandlingen er viktig for virksomheten eller gjelder ansatte og andre i avhengighetsforhold, bør grunnlaget kvalitetssikres før samtykke velges.
Slik bruker dere guiden i praksis
For en bedrift er ikke målet å lese seg opp på samtykke i seg selv. Målet er å avklare hva som må besluttes, hvem som eier oppfølgingen, og hvilke dokumenter som bør tåle en senere kontroll, tvist eller intern gjennomgang.
Bruk derfor guiden som en arbeidsliste: start med formål, datatyper, tilgang, leverandører og sletterutiner, og fordel deretter oppgavene mellom systemeier, ledelse og den som eier kundereisen eller HR-prosessen. Da blir vurderingen mer konkret enn en generell regelavklaring, og dere reduserer risikoen for for brede datainnsamlinger, uklare leverandørroller og svak håndtering av innsyn eller brudd.
Spørsmål som gir bedre avklaring
- Hvilke personopplysninger behandles, og hvilket konkret formål støtter de?
- Hvem bestemmer bruken av opplysningene, og hvem behandler dem på vegne av bedriften?
- Hvilke systemer, leverandører og tilganger må inngå i vurderingen?
- Hva sier rutinen om informasjon, innsyn, sletting og avvik?
- Hvilke valg bør dokumenteres slik at de kan forklares ved kontroll eller spørsmål?
Et godt beslutningsgrunnlag bør vise
| Del | Hva bør stå klart |
|---|---|
| Formål | hvorfor opplysningene brukes, og om bruken er nødvendig |
| Roller | hvem som bestemmer behandlingen, og hvem som leverer systemer eller tjenester |
| Kontroll | hvordan tilgang, sletting, innsyn og avvik følges opp i praksis |
Denne typen oversikt gjør det enklere å prioritere riktig nivå på arbeidet. Den hjelper også bedriften å skille mellom det som kan løses med bedre intern rutine, det som bør avklares med motpart eller leverandør, og det som bør vurderes før dere tar neste formelle steg.
Relaterte guider
- Cookies, analyse og samtykke for bedrifter
- Behandlingsgrunnlag: hvordan velge riktig grunnlag
- Kundedata i AI-verktøy: hva må bedriften avklare?