Trekke samtykke og protestere: to ulike personvernrettigheter
Forstå forskjellen mellom å trekke samtykke og å protestere. Et tjenesteeksempel skiller direkte markedsføring, avtale og andre formål.
Du finner en knapp som sier «trekk samtykket», men personvernerklæringen viser også ord som avtale og berettiget interesse. Betyr ett klikk at all behandling av opplysningene dine må stoppe? For å forstå svaret må du skille tilbaketrekking av samtykke fra retten til å protestere.
Et behandlingsgrunnlag forklarer hvorfor en virksomhet mener den kan bruke personopplysninger til et bestemt formål. Samme virksomhet kan behandle forskjellige opplysninger til forskjellige formål. Derfor kan også rettighetene du bruker, få ulik betydning for de ulike delene.
Tre formål i én og samme tjeneste
I et tenkt eksempel har Emil kjøpt medlemskap i en digital lesetjeneste. Han har valgt å motta nyhetsbrev. Tjenesten bruker også opplysninger for å levere medlemskapet, og den beskriver en annen bruk med henvisning til berettiget interesse.
Emil vil slutte å få reklame. Han vil samtidig forstå hva som skjer med resten av opplysningene. Hvis han bare skriver «Jeg trekker alt samtykke», kan det bli uklart om han også ønsker å avslutte medlemskapet. Det er ikke sikkert at behandlingen som er nødvendig for å levere avtalen, bygger på samtykke i utgangspunktet.
Han deler derfor behovet i konkrete spørsmål:
- Jeg vil ikke lenger motta direkte markedsføring.
- Jeg trekker samtykket jeg ga til nyhetsbrevet.
- Jeg ønsker å vite hvilke andre formål dere bruker opplysningene til, og hvilket behandlingsgrunnlag dere bruker for hvert formål.
Dette er ikke en ferdig juridisk konklusjon om tjenesten. Det er en måte å gjøre en henvendelse forståelig på. Den aktuelle virksomheten må kunne forklare sin egen behandling.
Hva skjer når samtykket trekkes?
Når en bestemt behandling bygger på samtykke, kan samtykket trekkes tilbake. Det betyr at virksomheten ikke kan fortsette akkurat den behandlingen på det tilbaketrukne samtykket. Det betyr ikke at behandlingen før tilbaketrekkingen automatisk var ulovlig. Se også Datatilsynets veiledning om samtykke og personvernforordningen artikkel 7.
Emil bør se etter hvilket valg samtykket faktisk gjaldt. Var det nyhetsbrevet, en bestemt deling eller noe annet? En avmeldingsknapp kan løse ett av disse spørsmålene uten å være en knapp som avslutter hele kundeforholdet.
Samtykke er heller ikke et universelt navn på alle behandlingsgrunnlag. At Emil en gang trykket «godta» i en tjeneste, forteller ikke alene hva hver behandling juridisk bygger på. Han kan be om en forklaring i stedet for å gjette ut fra knappenes navn.
Protest kan kreve en annen vurdering
Retten til å protestere er særlig relevant når behandling bygger på visse andre grunnlag, blant annet berettiget interesse eller oppgaver i allmennhetens interesse. Utenfor direkte markedsføring kan personens særlige situasjon og virksomhetens begrunnelse få betydning. Datatilsynet forklarer vilkårene for protest.
Ved direkte markedsføring er protestretten ubetinget. Virksomheten skal da ikke fortsette å behandle opplysningene til dette formålet. Det er annerledes enn å protestere mot en annen behandling og automatisk forvente det samme utfallet.
Protestretten er heller ikke en generell rett til å oppheve nødvendig behandling for å oppfylle en avtale eller en rettslig plikt. Det kan finnes andre spørsmål å undersøke, men ordet «protest» gjør ikke alle grunnlag like.
| Hva Emil ønsker | Hva han bør være tydelig om |
|---|---|
| Stoppe direkte markedsføring | At protesten gjelder dette formålet |
| Trekke et nyhetsbrevsamtykke | Hvilket samtykke han trekker tilbake |
| Protestere mot annen behandling | Hvilken behandling og hvorfor hans situasjon er relevant |
| Avslutte medlemskapet | At dette er et eget spørsmål om avtalen |
| Få opplysninger slettet | Hvilke opplysninger ønsket gjelder; sletteretten vurderes separat |
Avmelding er ikke det samme som at alle spor forsvinner
Emil får beskjed om at nyhetsbrevet er stoppet. Han bør ikke dermed anta at betalingsdokumentasjon, kontoen og alle andre opplysninger er borte. Guiden om sletting og lovlig lagring forklarer hvorfor formål må vurderes hver for seg.
Hvis han ikke vet hva tjenesten behandler, kan han begynne med personverninnsyn. Da blir det lettere å velge rett spørsmål fremfor å sende en generell beskjed om at «alt er trukket tilbake».
Han beholder en kopi av valgene han har endret og svaret han får. Datatilsynets veiledning til virksomheter beskriver håndtering av slike henvendelser. For selve innsendingen gir digitale skjema og søknader nyttig ordstøtte.
Når han leser svaret, sjekker han formålene ett etter ett. Det avgjørende er ikke hvor mange knapper han trykket på, men hvilken bruk som er stoppet, hva som fortsetter, og hvorfor.