Hvenær má vinna með persónuupplýsingar?

Vinnsla persónuupplýsinga getur að jafnaði alltaf farið fram ef þú hefur veitt samþykki fyrir því sem sérstakri yfirlýsingu eða ótvíræðri staðfestingu.

Yfirlýsing getur verið munnleg, skrifleg eða rafræn.

Ótvíræð staðfesting getur til dæmis verið fólgin í því að svara spurningakönnun á netinu.

Skilgreining á gildu samþykki

Til að samþykki teljist gilt þarf það að vera sjálfviljugt, sértækt, upplýst og ótvírætt. Þetta þýðir meðal annars að:

• ekki er hægt að veita þegjandi samþykki. Samþykki þarf alltaf að veita með aðgerð, eins og að haka í reit.

• samþykki þarf að vera sértækt og skilgreint hvaða upplýsingum er safnað og í hvaða tilgangi. Það má ekki safna öðrum upplýsingum en eru nauðsynlegar.

• það þarf að vera augljóst að þú hafi veitt samþykki og fyrir hvaða vinnslu.

• ekki megi vera óþarfa neikvæðar afleiðingar af því að gefa ekki samþykki.

Samþykki er ekki alltaf viðeigandi heimild

• Stjórnvöld geta almennt ekki byggt á samþykki þínu, heldur styðjast þau helst við heimildir í lögum.

• Vinnuveitendur geta almennt ekki byggt á samþykki starfsfólks, þar sem sjaldnast er um óþvingað samþykki er að ræða.

Ef vinnsla á persónuupplýsingum er hafin á grundvelli samþykkis, má aðeins vinna með þær í þeim tilgangi sem samþykkið var fengið.

Aðrar skilgreiningar á samþykki í lögunum

Hugtakið samþykki er notað víðar í lagalegum skilningi heldur en í persónuverndarlögum. Önnur lög geta haft aðrar skilgreiningar og kröfur um gildi. Ef vinnsla á persónuupplýsingum byggir á samþykki, er mikilvægt að uppfylla skilyrði um persónuverndarlöglegt samþykki.

Lagalegt samþykki sem ekki snýr að persónuvernd er notað til dæmis innan heilbrigðiskerfisins eða félagsmála. Hér er oft talað um vinnslu þar, sem samþykkið er ekki grundvöllur vinnslunnar, heldur hefur í lögum eða öðrum reglum verið valið að gefa einstaklingnum tækifæri til að mótamæla vinnslunni.