Det er mange fallgruver å havne i når du innhenter samtykke fra deltakere til bruk av persondataene du samler inn om dem.
- Hva om du skal spørre om eventuelle matallergier for å oversende informasjonen til et hotell eller en restaurant?
- Hva om du ønsker å publisere deltakerlisten?
I denne artikkelen får du svar på noen typiske problemstillinger knyttet til samtykke og deltakere på arrangement.
Hva er et gyldig samtykke?
Når du skal avholde et arrangement og i den forbindelse samler inn, behandler og lagrer persondata om deltakerne, kan du gjøre det kun dersom du har innhentet gyldig samtykke fra personene det gjelder.
Ifølge Datatilsynet er et samtykke gyldig når det er
- frivillig
- spesifikt
- informert
- utvetydig
- gitt gjennom en aktiv handling
- dokumenterbart
- mulig å trekke tilbake like lett som det ble gitt
Hva innebærer disse punktene i praksis for deg som skal hente inn samtykke fra deltakere? La oss se på tre viktige kjøreregler:
1. Samtykke skal gjenspeile det du faktisk skal bruke informasjonen til
Dette betyr at du ikke bare ukritisk bør kopiere en standard tekst og benytte den om og om igjen i alle sammenhenger. I stedet bør du faktisk lese litt kritisk gjennom teksten og se om det stemmer overens med hvordan dataene skal brukes videre i ditt tilfelle.
2. Informasjonen du innhenter, kan kun brukes til det du har opplyst om i personvernerklæringen
Dersom deltakeren har gitt deg sine personopplysninger og samtykket til at denne informasjonen kun kan brukes i forbindelse med selve arrangementet, kan du ikke bruke dataene på andre måter.
Ønsker du å bruke deltakeres e-postadresse til å sende ut nyhetsbrev, invitere til andre arrangementer eller drive målrettet markedsføring, må du samle inn egne samtykker til dette.
3. Hvis deltakere ønsker å trekke tilbake samtykke, må de enkelt kunne komme i kontakt med deg
Deltakere har som kjent rett til å trekke tilbake sitt samtykke når som helst og be om å bli slettet. Dette gjelder da først og fremst samtykker der du ønsker å bruke disse til videre kommunikasjon med deltakerne etter endt arrangement.
Dersom en deltaker ønsker å trekke tilbake sitt samtykke, må det være enkelt for deltakere å komme i kontakt med deg som arrangør, f,eks, ved at det henvises til tydelig kontaktinformasjon.
Hvordan be om samtykke, og hvilke samtykker trenger du egentlig?
Når det gjelder arrangementer, finnes det ulike typer samtykker. Grovt sett kan samtykker deles i to hovedkategorier: De du er nødt til å ha for praktisk å kunne håndtere en deltaker, og de du gjerne vil ha for å kunne fortsette en dialog med deltakeren etter at arrangementet er slutt.
Hva er den beste måten å be om samtykke på i de ulike tilfellene? Hva slags samtykker må du ha, og hvilke er bare er kjekke å ha? Og hva må du huske på dersom du skal dele data med tredjeparter/underleverandører?
La oss se på de vanligste samtykkene som blir benyttet rundt arrangementer, og noen spesielle problemstillinger knyttet til disse.
1. Grunnleggende samtykke
For at du som arrangør i det hele tatt skal kunne gi deltakere de bekreftelser og den informasjon som trengs for det de skal delta på, er det obligatorisk å registrere navn og e-post.
På enkle arrangementer, med begrenset innsamling av data (f.eks. webinarer, frokostmøter, etc.) velger de fleste å informere kort om at deltakeren ved å registrere seg automatisk gir samtykke. Dette er fordi en deltaker faktisk ikke kan delta dersom arrangøren ikke vet hvem han eller hun er.
Det forutsettes da at du ikke benytter dataene til noe annet enn å håndtere deltakeren på dette ene arrangementet, og at du ikke deler dataene med andre. Det blir litt som å bestille en flybillett – du får ikke gjort det dersom du ikke registrerer hvem du er, og hvem andre som eventuelt skal være med på reisen.
Altså, det enkleste samtykket er kun informasjon som deltakeren bekrefter og samtykker til ved å registrere seg. Noen arrangører velger likevel at dette skal lages som et påkrevd samtykke, der deltaker aktivt må huke av på at han eller hun godtar dette. Samtykker man ikke, får man ikke registrert seg.
2. Utvidet samtykke
På litt mer komplekse arrangementer, hvor arrangør krever litt mer informasjon fra deltaker, blir det ofte benyttet utvidet samtykke. Det kan være mathensyn, kredittkortinformasjon, informasjon om overnatting, etc.
Da må du informere om dette, og deltaker må aktivt huke av for at teksten er lest og samtykke gitt. Det kan likevel være påkrevd for deltaker å gi samtykke, fordi det uten samtykke ikke vil være mulig for deg som arrangør å gi deltakere det de trenger for å delta.
Skal du dele deltakerdata med andre, må det gjøres riktig. Du må naturligvis ikke dele data med flere enn det er samtykket til, eller mer data enn det som er absolutt nødvendig.
Husk også å bruke et tydelig og lett forståelig språk når du spør deltakere om samtykke og informerer om bruk av persondataene deres.
3. Samtykke til å motta fremtidige invitasjoner
Mange arrangører legger gjerne til informasjon om at deltakere ved å gi samtykke også godtar å motta invitasjoner på tilsvarende arrangementer på et senere tidspunkt.
Noen velger å ha dette som et eget samtykke, mens andre velger å slå disse to sammen. Hva som er mest riktig for deg, finnes det ikke noe fasitsvar på. Blant annet kommer det an på kundeforholdet deltakerne har til deg.
Hvilke samtykker bør ikke være påkrevd?
Dersom du ønsker å be om samtykke til helt andre ting enn å delta på et spesifikt arrangement eller å bli invitert til tilsvarende arrangementer (f.eks. at du ber om samtykke til å sende ut nyhetsbrev, etc.), bør dette være eget samtykke og IKKE påkrevd å svare ja på for å få meldt seg på arrangementet.
Når samtykker ikke gjelder lagring og håndtering av data
I tillegg til samtykker som gjelder lagring og håndtering av data, kan det være andre ting en deltaker bør samtykke til, som f.eks. spesielle betalingsvilkår og publisering av deltakerliste.
Spesielle betalingsvilkår
Dersom arrangementet har en pris og det er spesielle vilkår rundt betaling, bør du spesifisere dette for seg selv. Det har ingenting med lagring av data og behandling av disse å gjøre. F.eks. kan det være avbestillingsregler som er viktige å gjøre oppmerksomme på.
I slike tilfeller bør det være et aktivt samtykke, slik at deltaker har huket av og du er sikker på at det er oppfattet og lest.
Publisering av deltakerliste
Deltaker bør samtykke til om han eller hun ønsker å stå på en offentlig deltakerliste eller ikke. Dersom dere skal publisere navneliste i forbindelse med et arrangement, bør deltakere selv bestemme om de ønsker å stå på en slik liste eller ikke.
3 samtykketilfeller – og hva du må huske på
1. Når du spør om mathensyn og allergier
Vær spesielt påpasselig hvis det blir spurt om allergier, etc. ved servering av mat, da dette går som helseopplysning og i utgangspunktet er informasjon som ikke skal deles.
Samtidig velger de fleste arrangementsplanleggere likevel å ta dette med i påmeldingsskjemaet, fordi deltakere som har matallergi, gjerne ønsker at dette skal tas hensyn til.
Et tips til hvordan du kan omgå denne problematikken: Spør om mathensyn i stedet for allergier. Ber du deltakerne om å krysse av for det de ikke spiser, så har det ikke lenger med sykdom å gjøre, men med hva de faktisk velger å ikke spise. Det kan være gluten, kjøtt, laktose, kylling, etc.
Altså handler det ikke nødvendigvis om at deltakeren ikke tåler den aktuelle mattypen/ingrediensen, men at han eller hun ikke ønsker å spise det. Hva grunnen til det er, har man som arrangør ikke noe med.
Bruker du et påmeldingssystem, bør systemet ha funksjonalitet som sikrer at denne typen deltakerinformasjon ikke lagres etter at arrangementet er slutt. Et godt påmeldingssystem bør ha en spesialfunksjon som gjør at systemet automatisk kan slette svar på denne type spørsmål umiddelbart etter arrangementsslutt eller på en gitt dato. På den måten blir ikke denne informasjonen lagret på lik linje med annen historikk etter endt arrangement.
2. Når du skal bruke data til andre formål senere
Dersom du skal samle inn data som skal brukes til noe helt annet etter endt arrangement – f.eks. til å sende ut nyhetsbrev eller annet – må du sørge for å informere tydelig om det i tillegg.
Et godt påmeldingssystem bør skille mellom a) samtykke som deltaker gir for å bli “håndtert” på arrangementet (samt at de samtykker til å bli invitert igjen på tilsvarende arrangementer neste gang), og b) det å samtykke til å motta nyhetsbrev eller annen “reklame” på et senere tidspunkt. Ved fremtidige utsendelser basert på slike samtykker er det viktig at det er enkelt å melde seg av og/eller trekke samtykke tilbake.
3. Når du skal publisere deltakerlisten
Ønsker du å publisere deltakerlisten på arrangementet ditt? Eller kanskje du ønsker å vise via app hvem som faktisk deltar, slik at deltakerne kan kommunisere med hverandre underveis?
Dette må du spørre om lov til. For det første er det ikke alle som ønsker å stå på slike lister, og det må respekteres. For det andre tillater ikke GDPR at personopplysninger om deltakere utleveres til andre. Derfor er det heller ikke tillatt å publisere deltakerlister – med mindre du på forhånd har samlet inn samtykke fra deltakerne til å gjøre dette.
Husk derfor å gi deltakeren mulighet til å velge å IKKE være synlig på en slik liste når de melder seg på.
Del opp samtykkene
Disse tre tilfellene gjør at det er viktig å dele opp de ulike samtykkene du trenger. Dermed kan påmeldte enkelt si ja til å bli behandlet som en deltaker på dette ene arrangementet, men de får likevel muligheten til å si nei både til senere “reklame” og til å stå på deltakerlisten.
Når informasjon blir overført til eget CRM
Enkelte ganger når man benytter et påmeldingssystem til å be om samtykker, vil man på et senere tidspunkt overføre denne informasjonen til eget CRM-system. I slike tilfeller er det viktig at samtykker til videre oppfølging utover det å være deltaker på akkurat det arrangementet følger med.
Oppsummert
Når du skal avholde et arrangement, kan ingen deltakere registrere seg uten at de samtykker til at du lagrer og håndterer grunnleggende informasjon om dem.
Husk på følgende når du skal be deltakerne dine om samtykke til bruk av persondata:
- Grunngi tydelig hvorfor du samler inn dataene, hvordan du har tenkt å bruke dem, og ideelt sett hvor lenge du skal ha informasjonen lagret.
- Tilpass samtykkene til det du trenger at deltaker skal ta stilling til, og lag separate samtykker hvis det er helt ulike ting du ønsker samtykke til, slik at det blir et reelt valg for deltakere.
- Sørg for at det er mulig for deltaker å trekke samtykke tilbake på et senere tidspunkt.
