Samþykki fyrir vinnslu persónuupplýsinga

Sá sem ber ábyrgð á vinnslu persónuupplýsinga um þig, t.d. fyrirtæki, þarf að geta sýnt fram á að þú hafir samþykkt vinnslu persónuupplýsinga um þig. Samþykki geta verið í mismunandi formi, en þó eru ákveðin grunnskilyrði sem þarf alltaf að uppfylla:

• Samþykki verður að vera veitt með aðgerð. Þetta þýðir meðal annars að reitur, sem þegar hefur verið hakað í fyrir notandann, telst ekki fullnægjandi samþykki.
• Samþykki getur verið veitt með sérstakri yfirlýsingu eða með ótvíræðri staðfestingu. Yfirlýsingin getur verið munnleg, skrifleg eða með rafrænum hætti. Ótvíræð staðfesting getur t.d. verið fólgin í því að svara spurningakönnun á netinu, að því gefnu að könnunin sé í samræmi við persónuverndarlög að öðru leyti.
• Samþykki þarf að vera óþvingað, þ.e. veitt af fúsum og frjálsum vilja. Ef ekki er hægt að afturkalla samþykki án neikvæðra afleiðinga er það ekki veitt af fúsum og frjálsum vilja.
• Samþykki þarf að vera sértækt. Í því felst að þú þarf að vita hvaða persónuupplýsingar á að vinna með og í hvaða tilgangi. Þú átt einnig að geta valið hvaða tilgang vinnslu þú samþykkir og hvaða tilgang þú samþykkir ekki, t.d. hvort þú samþykkir að fá sendan markaðssetningarpóst þegar þú kaupir eitthvað á netinu.
• Samþykki þarf einnig að vera upplýst og þarf ábyrgðaraðili að veita fullnægjandi upplýsingar um vinnslu persónuupplýsinga áður en samþykki er veitt. Engar formkröfur eru gerðar til fræðslu af þessu tagi en þó þarf hún að vera einföld og á auðskiljanlegu máli.
• Samþykki þarf að vera ótvírætt, þ.e. það það þarf að vera augljóst að þú hafir samþykkt vinnslu persónuupplýsinga um þig. Ábyrgðaraðilinn þarf að geta sýnt fram á þetta eins og önnur atriði varðandi samþykki.
• Þú átt alltaf rétt á því að draga samþykki þitt til baka og það á að vera jafn auðvelt að draga samþykki til baka og að veita það, t.d. ef þú veittir samþykki á vefsíðu, þá áttu allajafna að geta farið á viðkomandi vefsíðu aftur og afturkallað samþykkið.

Stjórnvöld geta almennt ekki byggt á samþykki þínu við vinnslu persónuupplýsinga um þig, heldur styðjast þau einna helst við heimildir í lögum. Vinnuveitendur geta líka almennt ekki byggt á samþykki starfsmanna sinna, þar sem sjaldnast er um óþvingað samþykki er að ræða.