Dorte Højlund, jurist og master i uddannelse og læring, underviser i juridiske metoder på Københavns Universitet. Foto: privat
De seks betingelser
De seks grundlag for behandling af almindelige personoplysninger er:
• Samtykke fra borgeren
• Opfyldelse af en kontrakt
• Overholdelse af retlig forpligtigelse
• Beskyttelse af vitale interesser
• Offentlig myndighedsudøvelse
• Interesseafvejningsreglen.
Dorte Høilund siger det som noget af det første i interviewet.
- Persondataret er kompliceret, og man skal holde tungen lige i munden, når man snakker om emnet og reglerne.
Og hun bør om nogen vide det. Dorte Høilund er uddannet jurist og har specialiseret sig i persondataret – og har netop udgivet 4. udgave af lærebogen ”Persondataret”.
Og måske er mekanismen sådan, at jo mere komplekst et regelsæt er, desto lettere hælder man til den praksis, man kender. Et sådant eksempel er samtykke.
Dorte Høilund har indvilget i at forklare, hvorfor samtykket ikke nødvendigvis er den bedste løsning at ty til, når man behandler personoplysninger.
Seks forskellige muligheder
Men først skal et par begreber på plads. Forudsætningen for brug af persondataforordningen (GDPR) er bl.a., at der er tale om personoplysninger – almindelige eller følsomme. Hvis disse er i spil, skal der i forhold til persondataretten være et grundlag til at behandle, dvs. håndtere, disse personoplysninger. Det er dette grundlag, som er interessant.
Hvis der er tale om almindelige personoplysninger, f.eks. oplysninger om økonomi, uddannelse, arbejdsområde, familieforhold mv., så er man i artikel 6.
- Og her er der seks betingelser eller muligheder for, hvordan man kan få grundlaget på plads. Samtykke er blot en af de seks og måske ikke altid den bedste, siger Dorte Høilund.
Pointen er, at de seks betingelser er ligestillede. Samtykke er ikke bedre end de fem andre.
Når samtykke er ugyldigt
Samtykker kan forveksles
• Offentlige myndigheder er i en række tilfælde underlagt krav om samtykke fra borgeren. Men dette er ikke nødvendigvis et samtykke i GDPR-mæssig forstand.
• Inden for f.eks. sundhedsområdet og i den sociale forvaltning anvendes samtykke, men dette handler ofte mere om retssikkerhed, f.eks. en garantiforskrift, som sikrer borgeren ret til at sige fra over for en behandling. Et sådant samtykke er ikke et persondataretligt grundlag til at behandle personoplysninger.
Jamen, er det ikke altid godt med et samtykke, for så er man vel på den sikre side ift. GDPR?
- Nej, lyder det korte svar fra Dorte Høilund.
Der er nemlig seks krav til, at et persondataretligt samtykke er gyldigt som behandlingsgrundlag. Et af dem er, at samtykket skal være afgivet frivilligt.
- Men i den offentlige forvaltning vil der være mange situationer med en skævhed, altså en slags magt-ubalance mellem borger og myndighed. Hvis der er en sådan klar skævhed, er samtykket ikke gyldigt, forklarer Dorte Høilund.
Datatilsynet har for nylig udtalt, at i sager, hvor en myndighed har kontrol over borgerens forsørgelsesgrundlag, er der en ubalance i magtforholdet, og samtykke vil derfor sjældent kunne anses for frivilligt – og altså ikke et gyldigt grundlag.
- Pointen er derfor, at myndigheden skal være meget varsom med at bruge samtykke, men nøje overveje andre muligheder, understreger juristen.
Andre muligheder ligger lige for
Det fører videre til næste pointe – nemlig at der er andre muligheder end samtykke. For måske er samtykke slet ikke nødvendigt, fordi en af de fem andre betingelser i sig selv giver ret til at behandle personoplysninger.
Det kan f.eks. være, at sagsbehandlingen sker som led i en myndighedsudøvelse, eller hvis sagsbehandleren opfylder en retlig forpligtigelse. Disse bestemmelser skal forstås bredt.
En retlig forpligtigelse betyder, at en myndighed kan behandle personoplysninger i sager om f.eks. SU, boligstøtte, folkepension, børnepenge mv. – hvor borgeren har en lovbestemt rettighed, og myndigheden har en ditto forpligtigelse.
Samtykke kan trækkes tilbage
Dorte Høilund
• Dorte Høilund er uddannet jurist og har en master i uddannelse og læring. Hun har i flere år været lektor på Københavns Professionshøjskole med speciale i persondataret og forvaltningsret.
• Hun har i en årrække undervist i juridisk metode på Københavns Universitet og skrevet lærebøger i persondataret og juridisk metode. Er forfatter til flere bøger, bl.a. ”Retssikkerhed & juridisk metode” og ”Persondataret”, der netop er kommet i 4. opdaterede udgave.
På samme måde med myndighedsudøvelse, for efter den bestemmelse kan myndigheden behandle almindelige personoplysninger, forudsat at der er en saglig grund til det, ligesom den kan indhente og videresende personoplysninger til f.eks. en anden myndighed, hvis den har brug for det som led i behandlingen af en sag.
Den tredje problemstilling ved at bruge samtykke er, at det kan trækkes tilbage af borgeren. Og så står myndigheden uden dataretligt grundlag for at behandle personoplysninger.
I den situation er det så et spørgsmål, om myndigheden ikke bare kan bruge en af de fem andre muligheder på paletten? Den situation har Datatilsynet også set på – og ikke til myndighedens fordel.
Dorte Høilund forklarer, at hvis myndigheden har bedt om et samtykke, så har den også givet det indtryk over for borgeren, at han/hun har et reelt valg – og mulighed for fravalg.
- Når Datatilsynet anlægger det synspunkt, kan myndigheden ikke pludselig finde hjemmel i en alternativ plan. Hvis man benytter samtykke som grundlag, så binder man sig som udgangspunkt på det som grundlag og ikke et andet grundlag uagtet, at hvis man havde brugt det andet fra starten, ville det have været tilstrækkeligt.