Samtykke i Skoleforvaltningen

Når man behandler personoplysninger kræver det altid hjemmel. Hjemlen kan enten findes i lovgivningen eller via et samtykke. Personoplysninger skal behandles lovligt, rimeligt og på en gennemsigtig måde i forhold til den registrerede – det er også kendt som god databehandlingsskik.

Hvornår er det ikke nødvendigt at indhente samtykke?

Som kommune har vi ofte hjemmel i en lov til at behandle borgeres eller ansattes personoplysninger. I forhold til medarbejdere, så er behandling af personoplysninger nødvendig, for at vi kan opfylde en ansættelsesaftale. Her bruger vi behandlingshjemlen i databeskyttelsesforordningen artikel 6. stk. 1, b.

Et andet eksempel er udførelse af den eller de myndighedsopgaver, vi er pålagt. Eksempelvis siger folkeskoleloven, at vi

"i samarbejde med forældrene skal give eleverne kundskaber og færdigheder, der: forbereder dem til videre uddannelse og giver dem lyst til at lære mere, gør dem fortrolige med dansk kultur og historie, giver dem forståelse for andre lande og kulturer, bidrager til deres forståelse for menneskets samspil med naturen og fremmer den enkelte elevs alsidige udvikling." Her har vi hjemmel til behandling af personoplysninger i databeskyttelsesforordningen artikel 6, stk. 1, litra e, og hvis det er følsomme personoplysninger i artikel 9, stk. 2, litra g.

I begge disse tilfælde vil vi normalt ikke skulle indhente samtykke fra ansatte eller borgere, medmindre der er en anden lov, der fastsætter, at vi skal gøre det. Et eksempel herpå kan være, at det er fastsat i sundhedsloven, at der skal indhentes informeret samtykke osv.

Samtykke må kun bruges hvis det er det eneste behandlingsgrundlag til at bruge personoplysningerne (ex. ekstern brug af portrætbilleder i andet end specialskoler/specialklasser). I langt de fleste tilfælde vil der være en lovhjemmel for behandlingsgrundlaget, og derved er samtykke ikke relevant. Lovgrundlaget til behandling af personoplysninger kan normalt findes i særlovgivningen, der dækker det aktuelle arbejdsområde eller i personda-tarettens bestemmelser.

Hvis det ikke længere er nødvendigt at behandle personoplysningerne, så skal behandlingen stoppes med det samme og oplysningerne slettes. Derfor er det heller ikke relevant at se på samtykke i den forbindelse.

Det skal altid være muligt at finde det samtykke, der danner hjemlen for en bestemt behandling. Er det ikke muligt at finde samtykket, så kan det ikke bevises, at det er givet – og derfor er behandlingen ikke lovlig og skal stoppes omgående.

Samtykket skal derfor altid gemmes et sted, hvor det let kan findes frem og kobles sammen med den behandling, som samtykket er hjemmel for. Det er derfor bedst, at samtykket gemmes sammen med de oplysninger, som de giver hjemmel til at behandle. Derudover indeholder samtykket personoplysninger, og skal gemmes et sikkert sted. Samtykket gemmes i ESDH-systemet eller i et andet sikkert system, hvis det er i elektronisk form. Hvis det er i fysisk form, skal det opbevares aflåst, indtil det bliver scannet ind og lagt i fagsystemet. Herefter destrueres det fysiske materi-ale.

Det er dokumenteret, hvem der har givet samtykket, hvis det er givet elektronisk via et system. Det kan også være dokumenteret ved, at samtykkeerklæringen er underskrevet i fysisk form, eller der er lavet et notat om et mundtligt afgivet samtykke.

For at kunne dokumentere at et samtykke er gyldigt, skal det fremgå af samtykkeerklæringen, hvornår det er givet. Samtykket er gyldigt så længe det er nødvendigt at behandle personoplysningerne.

En anmodning om samtykke skal altid være tydelig og selvstændig og eksempelvis ikke en del af et ansøgningsskema. Er anmodningen skriftlig, skal det fremgå tydeligt og selvstændigt af teksten, at det er et samtykke, vi beder om.

Teksten i samtykket skal være formuleret i et klart og letforståeligt sprog, som er egnet til den målgruppe, som er modtager. Dette gælder for både mundtlige og skriftlige samtykkeanmodninger.

Et gyldigt samtykke, opnås gennem en utvetydig viljetilkendegivelse – altså en frivillig tilkendegivelse gennem en aktiv handling, hvor den registrerede har gjort noget aktivt for at acceptere, at personoplysninger behandles. Tavshed eller inaktivitet er ikke tilstrækkeligt til at udgøre en utvetydig tilkendegivelse. Samtykket er ugyldigt, hvis det er givet ved passivitet. Eksempler herpå er skemaer, som er udfyldt på forhånd eller afkrydsningsfelter, som digitalt er markeret inden.

En samtykkeanmodning skal indeholde en så præcis angivelse af formålet med behandlingen som muligt. Det skal fremgå klart og tydeligt, hvad formålet med samtykket er, og hvad der gives samtykke til. Formålet kan dog godt formuleres forholdsvist bredt, så det dækker mere end en specifik behandling. Eksempelvis samtykke til fotografering og anvendelse af billeder på hjemmeside, nyhedsbreve og til undervisning.

Personoplysninger skal altid indsamles til et udtrykkeligt og sagligt formål, og personoplysninger må ikke viderebehandles til andet end det specifikke formål. Ønskes det at behandle oplysninger til et andet formål, skal der indhentes et nyt samtykke, der indeholder oplysning om den ændrede behandling.

Hvis en behandling tjener flere formål, skal der indhentes særskilte samtykker for hvert enkelt formål. Denne formålsbegrænsning sikrer, at den registrerede får mulighed for at give samtykke til et formål uden at give samtykke til andre.

Praktisk kan dette ske ved en samlet erklæring, hvor den registrerede kan afkrydse, hvilke formål vedkommende accepterer, at der behandles oplysninger til. Den registrerede kan eksempelvis godt give samtykke til at blive fotograferet, men ikke at billederne offentliggøres på sociale medier.

Det skal fremgå af samtykket, at det er Skoleforvaltningen, der er dataansvarlig for den pågældende behandling, samt at det er forvaltningen samtykket gives til.

Det er et krav, at den registrerede, inden samtykket er givet, bliver informeret om, at samtykket kan trækkes tilbage. Et samtykke skal kunne trækkes tilbage på samme nemme måde, som det er afgivet. Er samtykket afgivet mundtligt, skal det også mundtligt kunne trækkes tilbage.

Skoleforvaltningen har lavet skabeloner til indhentelse af samtykkeerklæringer.

Disse er obligatoriske at bruge, når der indhentes samtykke til de pågældende behandlinger.

Du kan se skabelonerne på hjemmesiden Noget at have det i