Hva må du gjøre hvis noen trekker sitt samtykke?

Hva må gjøres når samtykke trekkes tilbake

Når en person tilbakekaller sitt samtykke til behandling av personopplysninger, må virksomheten som behandler opplysningene umiddelbart stanse behandlingen. Dette gjelder også dersom samtykket i utgangspunktet var ugyldig. Videre behandling av personopplysningene vil da være ulovlig.

Dette er fastslått i personvernforordningen (GDPR) artikkel 7 nr. 3, som sier at samtykke kan trekkes tilbake når som helst. Virksomheten er også pliktig til å informere den registrerte (personen som samtykket gjelder) om denne retten i forbindelse med innhenting av samtykke.

Konsekvensene av å fortsette behandlingen av personopplysninger etter at samtykke er trukket tilbake, kan være alvorlige. Virksomheten kan risikere bøter, erstatningsansvar og omdømmetap.

Når et samtykke trekkes tilbake, må virksomheten:

• Stanse all videre behandling av personopplysningene
• Slette eller anonymisere personopplysningene, med mindre det foreligger et annet rettslig grunnlag for behandlingen (f.eks. lovpålagt behandling)
• Informere den registrerte om at samtykket er trukket tilbake og at behandlingen er stanset
• Dokumentere at samtykket er trukket tilbake og at behandlingen er stanset

Virksomheter bør ha rutiner på plass for å håndtere tilbaketrekking av samtykke på en effektiv og rettidig måte. Dette kan inkludere å opprette et system for å registrere tilbakekallinger og å utarbeide maler for meldinger til registrerte.

Ved å ha gode rutiner på plass kan virksomheter sikre at de overholder personvernforordningen og unngår risikoen for bøter og andre konsekvenser.