Persondataforordningen (GDPR) styrker individets kontrol over egne data, og en af de grundlæggende rettigheder er retten til indsigelse, som er fastsat i Artikel 21.
Retten til indsigelse giver den registrerede mulighed for at gøre indsigelse mod behandlingen af personoplysninger i særlige situationer, herunder markedsføring, forskning samt behandling under offentlig interesse.
Hvad siger artikel 21?
Artikel 21 i GDPR styrker den registreredes ret til at modsætte sig behandlingen af sine personoplysninger under bestemte betingelser. Det gælder, selvom data behandles baseret på legitime interesser, udførelse af opgaver i offentlighedens interesse eller profilering relateret til direkte markedsføring.
Ifølge Artikel 21 har den registrerede ret til at gøre indsigelse mod behandling af personoplysninger under følgende omstændigheder:
- Behandling baseret på legitime interesser eller offentlighedens interesse
Under GDPR har den registrerede ret til at modsætte sig behandling af personoplysninger, der er baseret på legitime interesser eller offentlighedens interesse, hvis den registrerede har specifikke grunde relateret til vedkommendes unikke situation. Det kan være situationer, hvor den pågældendes privatliv påvirkes på måder, der ikke umiddelbart var forudset af den dataansvarlige.
- Direkte markedsføring
Den registrerede har en ubetinget ret til at modsætte sig behandlingen af personoplysninger til direkte markedsføring. Denne ret afspejler lovgivningens intention om at sætte individets privatlivsrettigheder forrest og beskytte mod uønsket eller invasiv reklame. Det er en grundlæggende anerkendelse af, at individet bør have det endelige ord i forhold til, om personlige oplysninger anvendes til markedsføringsaktiviteter. - Forskning og statistik
Den registrerede har ret til at gøre indsigelse mod behandlingen af personoplysninger til videnskabelige eller historiske forskningsformål eller statistiske formål. Dog er der en anerkendelse af, at behandlingsaktiviteter i den henseende kan tjene væsentlige samfundsmæssige interesser, der overstiger individets indsigelsesret.
Når en indsigelse er fremsat, er det afgørende, at den dataansvarlige vurderer grundlaget for indsigelsen. Organisationen skal tage højde for den registreredes individuelle situation og vurdere, om behandling af personoplysninger kan fortsætte. Det kræver en vurdering af, om de legitime grunde til at fortsætte behandlingen overstiger den registreredes interesser og rettigheder eller om behandlingen er nødvendig for at etablere, udøve eller forsvare retskrav.
Hvis organisationen ved den nye vurdering kommer frem til, at behandlingen fortsat er nødvendig, skal det kunne demonstreres overfor den registrerede – fx ved at forklare den registrerede, at der er foretaget en konkret vurdering af hensynene og ved at begrunde, hvorfor organisationen ikke mener, at indsigelsen kan imødekommes.
LÆS OGSÅ: Retten til dataportabilitet: Artikel 20 i GDPR
Informationspligt ved første kommunikation
Artikel 21 i GDPR fastslår et centralt princip omkring informationspligten over for den registrerede, som er essentielt for at sikre gennemsigtighed og fremme individets kontrol over egne persondata. Princippet er særligt relevant i konteksten af individets ret til at gøre indsigelse mod databehandling i forbindelse med punkt 1 og 2 i ovenstående beskrivelse (behandling baseret på legitime interesser eller offentlighedens interesse samt profilering i forbindelse med markedsføring).
Nøglepunkter for informationspligten:
- Tidspunkt for information
Senest på tidspunktet for den første kommunikation med den registrerede, er det afgørende, at denne bliver udtrykkeligt informeret om sin ret til at gøre indsigelse mod databehandling. Det sikrer, at den registrerede fra starten er klar over sine rettigheder og kan udøve disse proaktivt. - Klar og adskilt information
Oplysningerne om retten til at gøre indsigelse skal meddeles på en måde, der er letforståelig og direkte tilgængelig. Det er vigtigt, at oplysningerne præsenteres klart og adskilt fra alle andre oplysninger. Et skridt, der er afgørende for at undgå forvirring og sikre, at den registrerede fuldt ud forstår sine rettigheder uden at skulle gennemtrawle virksomhedens privatlivspolitik.
Ved at fremhæve retten til indsigelse i den første kommunikation med den registrerede, understreger GDPR lovgivningens fokus på at beskytte persondata og styrke individets kontrol over egne oplysninger. Tiltaget tjener til at opbygge en kultur af gennemsigtighed og tillid mellem dataansvarlige og de registrerede.
