Den banbrytande lagstiftningen har förändrat organisationers sätt att hantera dataskydd och har gett konsumenterna tillbaka förarsätet och större kontroll över hur deras uppgifter lagras och behandlas.
När dataskyddsförordningen trädde i kraft den 25 maj 2018 var det den största förändringen av dataskyddslagstiftningen på 20 år.
Lagstiftningen infördes för att återspegla vår alltmer digitaliserade värld och erkänna individers rättigheter när det gäller användningen av deras personuppgifter.
I stort sett alla tjänster vi använder, oavsett om det är en plattform för sociala medier, en återförsäljare eller en bank, samlar in, analyserar och lagrar våra personuppgifter. Enligt GDPR är organisationer nu skyldiga att visa att de hanterar dessa uppgifter på ett lagligt, rättvist och öppet sätt.
EU definierar "personuppgifter" som all information som kan användas för att direkt eller indirekt identifiera en person (den registrerade). Detta kan omfatta allt från namn, e-postadress, IP-adress och bilder. Det omfattar även känsliga personuppgifter som biometriska uppgifter eller genetiska uppgifter som kan behandlas för att identifiera en person.
Behandling av personuppgifter är generellt sett förbjuden om det inte är tillåtet enligt tillämplig lag eller om den registrerade har samtyckt till behandlingen. Samtycke är dock bara ett av sex legitima syften som krävs för all behandling av personuppgifter.
Giltigt GDPR-medgivande
Enligt GDPR är "laglig behandling" endast möjlig när:
- Den registrerade har gett sitt samtycke.
- Behandlingen är nödvändig för att fullgöra ett avtal med den registrerade.
- Behandlingen är nödvändig för att uppfylla en rättslig förpliktelse.
- Behandlingen är nödvändig för att skydda en registrerad persons eller en annan persons vitala intressen.
- Behandlingen är nödvändig för att utföra en uppgift som utförs i allmänhetens intresse eller för att utöva en officiell myndighet som den registeransvarige har fått.
- Behandlingen är nödvändig för att tillgodose den registeransvariges eller en tredje parts legitima intressen, utom när dessa intressen åsidosätts av den registrerades intressen, rättigheter och friheter.
Vad är samtycke?
Samtycke är ett sätt att skapa förtroende mellan en användare och en organisation. Enligt definitionen i dataskyddsförordningen: "Samtycke är en fritt given, specifik, informerad och otvetydig uppgift om den registrerades önskemål genom vilken han eller hon genom ett uttalande eller en tydlig bekräftande handling ger sitt samtycke till att uppgifter om honom eller henne behandlas."
Samtycke definieras som ganska snävt ur ett GDPR-perspektiv. Om en användare till exempel ger sitt samtycke till att uppgifterna används för att upptäcka cyberbedrägerier och uppgifterna senare används för marknadsföring utan att han eller hon vet om det eller utan att han eller hon har valt det, är det en kränkning av den registrerades personliga integritet.
Samtyckesblanketter kan inte heller ingå i långa avtal om servicevillkor. För att garantera öppenhet måste samtyckesblanketterna vara separata, specifika och uttryckliga till sin natur.
Vad gör ett samtycke giltigt?
När samtycke krävs för att behandla personuppgifter måste följande villkor vara uppfyllda för att samtycket ska vara giltigt:
1. Samtycket måste ges frivilligt
För att samtycket ska vara fritt måste individen kunna välja om han eller hon vill att hans eller hennes uppgifter ska behandlas eller inte. Om individen inte har något val när det gäller behandlingen av dessa uppgifter är samtycket inte fritt givet och kommer att anses ogiltigt. Individen bör också kunna vägra samtycke utan negativa konsekvenser och ha möjlighet att när som helst återkalla sitt samtycke. Samtycket bör i möjligaste mån skiljas från andra villkor.
2. Samtycket måste vara specifikt
Samtycket bör vara specifikt för de faktiska ändamål för vilka uppgifterna kommer att användas. Enligt dataskyddsförordningen: "Ett giltigt samtycke kan endast erhållas efter att den registeransvarige har fastställt ett specifikt, uttryckligt och legitimt syfte för den avsedda behandlingen". När behandlingen har flera syften får samtycke endast ges för de syften som grundar sig på samtycket.
3. Samtycket måste vara informerat
För att samtycket ska anses vara giltigt måste personen veta:
- Identiteten på den organisation som behandlar uppgifterna.
- De syften för vilka uppgifterna behandlas.
- Vilken typ av uppgifter som kommer att behandlas.
- Möjligheten att återkalla samtycke
4. Samtycket måste vara otvetydigt.
Samtycket bör ges genom en tydlig bekräftande handling så att den enskildes önskemål är klart och tydligt. Begäran om samtycke måste vara på ett klart och tydligt språk, begripligt och lättillgängligt. Detta kan ske genom ett skriftligt eller muntligt uttalande. Tystnad, kryssade rutor eller inaktivitet utgör inte ett giltigt samtycke.
Vilka regler gäller för barns samtycke?
Föräldrarnas samtycke krävs i allmänhet för personer under 16 år, även om åldern för samtycke varierar beroende på vilket land som deltar i EU. Dessutom måste rimliga ansträngningar göras för att kontrollera identiteten hos den person som lämnar samtycket på barnets vägnar.
Samtyckesprocessen kan vara strängare enligt GDPR, men den ger organisationer möjlighet att utveckla större förtroende och öppenhet hos sina kunder.
MetaPrivacy har utformats för att erbjuda bästa praxis för att uppfylla kraven på dataskydd. Kontakta oss för mer information om hur vi kan hjälpa din organisation att förbättra sin struktur för efterlevnad.
Ytterligare läsning:
Hur GDPR kommer att påverka rätten att bli bortglömd
Fem sätt för ditt företag att dra nytta av GDPR
ANSVAR: Innehållet och åsikterna i den här bloggen är endast för informationsändamål. De är inte avsedda att utgöra juridisk eller annan professionell rådgivning och bör inte förlitas på eller behandlas som en ersättning för specifik rådgivning som är relevant för särskilda omständigheter, dataskyddslagen eller annan nuvarande eller framtida lagstiftning. MetaCompliance tar inget ansvar för eventuella fel, utelämnanden eller vilseledande uttalanden, eller för eventuella förluster som kan uppstå till följd av att man förlitar sig på material som finns i denna blogg.
