All behandling av personopplysninger må ha et rettslig grunnlag for å være lovlig – et behandlingsgrunnlag. Ett av grunnlagene er samtykke fra den personopplysningene gjelder.
På grunn av et ujevnt styrkeforhold mellom arbeidsgiver og arbeidstaker er samtykke lite egnet som behandlingsgrunnlag i arbeidslivet. Arbeidsgiver må derfor stort sett basere behandling av personopplysninger om ansatte på andre behandlingsgrunnlag. Baseres behandlingen likevel på samtykke, må det være helt klart for den ansatte at samtykket er gitt helt frivillig.
Når samtykke brukes som behandlingsgrunnlag, er det viktig å være oppmerksom på de skjerpede kravene.
Det følger av personvernforordningen et samtykke skal være en frivillig, spesifikk, informert og utvetydig viljesytring som er gitt ved en tydelig bekreftelse eller erklæring fra den registrerte.
Med dette forstås blant annet at den registrerte må gjøre en aktiv handling for å gi sitt samtykke. Mange virksomheter må derfor endre på måten de innhenter samtykke på, enten det gjelder på nettsider eller andre elektroniske løsninger. Et samtykke kan ikke lenger baseres på taushet eller passivitet.
Samtykket skal også være frivillig. Vil det oppstå negative konsekvenser av manglende samtykke, vil det ikke være frivillig. For eksempel kan man ikke sette samtykke som vilkår for å benytte en tjeneste.
Før et samtykke gis, skal den registrerte både få spesifikk informasjon om hva det samtykkes til og at samtykket kan trekkes tilbake når som helst. Informasjonen skal gis på et klart, enkelt og forståelig språk, slik at den registerte forstår hva et samtykke innebærer og hvordan man eventuelt kan trekke samtykket tilbake. Det skal være like lett å gi samtykke som å trekke det tilbake.
Er samtykke innhentet for å bruke opplysninger til et bestemt formål, må man skaffe nytt eller oppdatert samtykke fra den registrerte hvis man skal bruke opplysningene til andre formål.
Behandlingsansvarlig skal dessuten kunne legge fram dokumentasjon på at samtykke er gitt. Av den grunn kan det være hensiktsmessig at samtykke mottas skriftlig.
Når bilder av ansatte skal publiseres på virksomhetens hjemmesider eller på intranett, skal som utgangspunkt samtykke hentes inn.
Ifølge informasjon på Datatilsynets hjemmesider skilles det mellom portrettbilder og situasjonsbilder. På et portrettbilde vil en eller flere personer være hovedmotiv, mens et situasjonsbilde er bilder av arrangementer i regi av arbeidsgiver.
Ifølge Datatilsynet krever publisering av portrettbilder som regel samtykke, i motsetning til situasjonsbilder.
Anne Toril er jurist og har mer enn 20 års erfaring innen arbeidsrett og HR-faget.
Til daglig jobber hun som seniorrådgiver innen arbeidsrett, personal og ledelse i Compendia.
Anne Toril er jurist og har mer enn 20 års erfaring innen arbeidsrett og HR-faget.
Til daglig jobber hun som seniorrådgiver innen arbeidsrett, personal og ledelse i Compendia
