Sådan indhenter du samtykke til kundeundersøgelser efter GDPR

Er samtykke altid det rigtige grundlag for en kundeundersøgelse?

Samtykke er ét af flere retlige grundlag for at behandle personoplysninger. Datatilsynet skriver, at grundlaget også kan være at opfylde en kontrakt eller en retlig forpligtelse. Spørg derfor først, hvad undersøgelsen skal bruges til, og om du reelt har brug for samtykke.

Spørger du fx kunder for at opfylde en aftale eller en lovbestemt opgave, kan et andet grundlag ligge nærmere. Skal svarene bruges til markedsføring, statistik eller forskning, stiller det andre krav.

Afgræns undersøgelsen, før du beder om samtykke

Skriv formålet ned i én sætning: Hvad skal undersøgelsen besvare, hvem er målgruppen, og hvad skal resultaterne bruges til? Beslut derefter, hvilke oplysninger du har brug for. Spørg ikke om flere oplysninger end nødvendigt.

Vær opmærksom på følsomme oplysninger. Kan spørgsmålene afdække fx helbred, religion eller fagforeningsforhold, gælder skærpede regler. Datatilsynet nævner, at man kan spørge, om der er noget, folk ikke spiser, i stedet for at registrere, hvilke medarbejdere der er muslimer eller ikke tåler skaldyr. Samme tankegang kan bruges i kundeundersøgelser: Spørg kun om det, du har brug for, og undgå at indsamle følsomme kategorier, hvis formålet kan opnås uden.

Sådan ser et gyldigt samtykke ud i praksis

Et gyldigt samtykke skal være en frit afgivet, specifik, informeret og utvetydig angivelse af den registreredes ønsker. Det betyder en klar og positiv handling fra personens side. Det følger af EDPB's retningslinjer for gyldigt samtykke.

Brug ikke forudafkrydsede felter. EDPB's retningslinjer siger, at cookiebannere ikke må have afkrydsningsfelter, der er markeret på forhånd. Rulning eller fortsat browsing udgør heller ikke et gyldigt samtykke. I en kundeundersøgelse betyder det, at deltageren aktivt skal sætte flueben eller på anden måde bekræfte samtykket – det er ikke nok, at de blot åbner e-mailen eller fortsætter til næste side.

Tvungne samtykker, fx en cookiewall hvor du ikke kan komme videre uden at acceptere alt, overholder ikke reglerne. Samme logik gælder, hvis undersøgelsen kun kan besvares, hvis man accepterer markedsføring.

Vigtige regler om samtykke efter GDPR – danske kilder

Indhent samtykket aktivt – ikke som skjult betingelse

Inviter tydeligt til undersøgelsen, og forklar i invitationen, hvad deltagelse indebærer, hvad svarene bruges til, og hvordan man trækker sig. Gør det klart, hvad et samtykke dækker, hvis undersøgelsen også har et andet formål, fx nyhedsbrev eller markedsføring.

Deltagelse må ikke gøres betinget af unødvendige tilladelser. Vil du bruge svarene til direkte markedsføring, skal du være opmærksom på, at reglerne om direkte markedsføring over for forbrugere blev ændret i databeskyttelsesloven med virkning fra 8. marts 2024.

Dokumentér samtykket, så du kan bevise det

Registrér hvert samtykke med oplysninger om, hvem der gav det, hvornår, til hvilket formål, og hvilken version af samtykketeksten personen så. Opbevar registreringen sikkert. Cookiebot skriver, at alle samtykker skal registreres og opbevares sikkert som bevis for, at der er givet samtykke.

Tilbagekaldelse skal håndteres lige så let som at give samtykke. Den registrerede har ret til at trække sit samtykke tilbage til enhver tid, og det skal være lige så let at gøre som at give det. Har du ikke et andet grundlag, skal oplysningerne slettes, når samtykket trækkes tilbage.

Dokumentation er ikke kun formalia. DI skriver, at virksomheder i værste fald kan straffes med bøder, hvis de ikke kan dokumentere, at de lever op til reglerne, og at dokumentation samtidig skaber tillid til danske virksomheders behandling af persondata.

Børn, følsomme svar og markedsføring

Kan undersøgelsen blive besvaret af børn, skal du være særligt opmærksom. Den danske databeskyttelseslov blev ændret den 8. marts 2024, og ændringen vedrører bl.a. indhentelse af samtykke fra børn og direkte markedsføring over for forbrugerne.

Følsomme oplysninger har egne betingelser. Vil du behandle dem til statistik eller forskning, bør du sætte dig ind i reglerne i databeskyttelseslovens § 10.

Undgå unødvendigt samtykke: anonyme og statistiske undersøgelser

Hvis undersøgelsen kan gennemføres med helt anonyme svar, er udgangspunktet, at GDPR ikke gælder for de oplysninger. Datatilsynet skriver, at en reel anonymisering forudsætter, at man hverken ud fra selve oplysningerne eller ved brug af supplerende oplysninger vil kunne identificere den registrerede, og at anonymiseringen er uigenkaldelig.

Pseudonymisering er ikke anonymisering. Kan du knytte svar til en person via en kode eller supplerende oplysninger, er der stadig tale om personoplysninger, og du skal have et behandlingsgrundlag. Det er først, når oplysningerne er fuldstændigt anonymiserede, at de kan bruges frit til andre formål.

Til statistiske eller videnskabelige undersøgelser af væsentlig samfundsmæssig betydning kan følsomme oplysninger behandles uden samtykke efter databeskyttelseslovens § 10, og almindelige personoplysninger kan bl.a. behandles efter databeskyttelsesforordningens artikel 6, stk. 1, litra e (opgave i samfundets interesse). Formålsbegrænsningen betyder, at oplysningerne ikke senere må bruges til andre formål.

Anonymisering vs. pseudonymisering – hvad gælder efter GDPR?

Tjekliste inden undersøgelsen sendes ud

Afgræns formålet med undersøgelsen, og beslut hvilke oplysninger der er nødvendige.

Vælg behandlingsgrundlag, før du indsamler. Samtykke er ét af flere grundlag.

Skriv samtykketeksten klart og specifikt: Hvad samtykkes der til, og hvad bruges svarene til?

Indhent samtykke ved en aktiv handling. Undlad forudafkrydsede felter og tvungne samtykker.

Gør det klart, hvad samtykket omfatter, hvis undersøgelsen har flere formål.

Registrér og opbevar samtykket sikkert: hvem, hvornår, til hvad og hvilken version.

Gør det lige så let at trække samtykket tilbage, som det var at give det.

Undgå unødvendige personoplysninger. Overvej, om undersøgelsen kan gennemføres anonymt.

Vær særligt opmærksom på børn, følsomme oplysninger og direkte markedsføring.