Hvornår er et samtykke udtryk for en utvetydig viljestilkendegivelse?

Et samtykke kan kun bruges som behandlingshjemmel, hvis samtykket er gyldigt. Et gyldigt samtykke forudsætter, at det er afgivet frivilligt, specifikt, informeret og udtryk for den registreredes utvetydige viljestilkendegivelse.

Datatilsynets afgørelse om Dating.dk ApS vedrører kravet om, hvornår et samtykke kan siges at være udtryk for en utvetydig viljestilkendegivelse fra den registrerede. At et samtykke skal være udtryk for en utvetydig viljestilkendegivelse, betyder, at det ikke må give anledning til tvivl, om der er givet samtykke.

Datingtjenesten baserede sin behandling af personoplysninger i forbindelse med, at brugere opretter og benytter sig af tjenesten, på et samtykke fra den registrerede. Samtykkeerklæringen indhentedes ved afkrydsning i ét felt med teksten ’Jeg accepterer brugerbetingelserne samt persondatapolitikken’, hvor ordene ”brugerbetingelserne” og ”persondatapolitikken” var links til henholdsvis virksomhedens brugerbetingelser og persondatapolitik.

Datatilsynet vurderede bl.a., at der ikke var tale om et gyldigt samtykke, idet brugerne ikke ved den samtidige accept af både brugerbetingelserne og persondatapolitikken kunne siges at have afgivet en utvetydig viljestilkendegivelse til behandling af personoplysning.

Datatilsynet udtaler på den baggrund alvorlig kritik af Dating.dk ApS for behandling af personoplysninger uden et gyldigt behandlingsgrundlag og udsteder påbud om, at virksomheden skal bringe behandlingen af personoplysninger i overensstemmelse med databeskyttelsesforordningens bestemmelser. 

Afgørelsen kan ikke anses som en ændring af Datatilsynets praksis vedrørende kravene for indhentelse af gyldigt samtykke, men den understreger vigtigheden af, at den dataansvarlige sikrer sig, at der er tale om et gyldigt samtykke. Den dataansvarlige skal i den forbindelse bl.a. sikre, at samtykket er udtryk for en utvetydig viljestilkendegivelse fra den registrerede om, at denne giver samtykke til behandlingen af personoplysninger.

Afgørelsen understreger bl.a., at det ikke er muligt at afgive et gyldigt samtykke til behandling af personoplysninger ved med ét ”klik” at acceptere både virksomhedens brugerbetingelser og persondatapolitik. Dette udleder Datatilsynet bl.a. af kravet om, at når den dataansvarlige indhenter samtykket via en erklæring vedrørende flere forhold, skal anmodningen om samtykke klart kunne skelnes fra de andre forhold.

Med denne nye afgørelse fra Datatilsynet er det understreget, at dette krav ikke kun gælder selve den erklæring, hvor behandlingen af personoplysninger beskrives – dette tilfælde persondatapolitikken – men hele setuppet omkring afgivelsen af samtykket.

Har du en tjeneste, hvor du indhenter samtykke til behandling af personoplysninger og samtykke til handelsbetingelser eller lignende, vil vi anbefale, at du gennemgår dit setup og sikrer dig, at samtykket til behandling af personoplysninger er klart adskilt fra samtykke til øvrige forhold.