Et spørgeskema kan være kort og alligevel indsamle mange personoplysninger. Platformen kan gemme et personligt invitationsnummer, IP-adresse, tidspunkt og oplysninger fra kundekontoen, selv om formularen kun viser tre vurderingsfelter. En rapport uden navne gør heller ikke automatisk hele undersøgelsen anonym.
En brugbar GDPR-vurdering følger derfor svaret fra invitation til sletning. Den afgør, hvilke spørgsmål der er nødvendige, hvilket grundlag behandlingen har, hvem der kan se de enkelte svar, og hvornår en analyse faktisk kan anvendes uden personhenførbare oplysninger. Her gennemføres den vurdering for en fiktiv dansk servicevirksomhed med et udfyldt spørgeskema og en konkret afslutningsbeslutning.
Start med den beslutning, undersøgelsen skal understøtte
Virksomheden Hjemmehjælp Service leverer almindelig rengøring til private kunder. Den vil undersøge, om informationen før besøget fungerer lige godt i tre brede serviceområder. Resultatet skal bruges til at forbedre bookingbeskeder og planlægning. Undersøgelsen skal ikke rangordne enkelte medarbejdere eller finde kunder til nye tilbud.
Den afgrænsning ændrer spørgsmålene. Virksomheden behøver ikke kundens navn, fulde adresse, fødselsdato, konkrete besøgsdato eller navnet på rengøringsmedarbejderen. Den behøver heller ikke oplysninger om sygdom eller årsagen til, at kunden køber rengøring. Et generelt ønske om bedre kundekendskab ville ikke forklare nødvendigheden af disse felter.
Skriv formålet som en beslutning: »Vi sammenligner kundernes oplevelse af bookinginformationen mellem tre serviceområder og vælger, hvilke beskeder der skal forbedres.« Gennemgå derefter hvert felt med metoden til dataminimering i formularer og systemer. Et felt, som ikke påvirker den beskrevne beslutning, udgår som udgangspunkt af dette spørgeskema.
Det udfyldte spørgeskema
Hjemmehjælp Service vælger følgende udformning. Svarene i tabellen er et konstrueret eksempel, ikke oplysninger fra en faktisk kunde.
| Spørgsmål | Svarmuligheder | Eksempel på svar | Anvendelse |
|---|---|---|---|
| Hvordan var informationen før besøget? | Meget god, god, mindre god, dårlig, ved ikke | Mindre god | Prioritere ændringer i bookingbeskeder |
| Var beskeden om ankomsttidspunktet forståelig? | Ja, delvist, nej, ved ikke | Delvist | Vurdere behov for tydeligere tidsinterval |
| Hvilket serviceområde bruger du? | Nord, Midt, Syd, ønsker ikke at svare | Midt | Sammenligne brede områder, når grupperne er store nok |
Virksomheden fjerner et oprindeligt spørgsmål om »hvem der kom hjemme hos dig«. Det ville gøre undersøgelsen til en mulig vurdering af identificerbare medarbejdere. Den fjerner også et åbent kommentarfelt, fordi formålet kan opfyldes med disse spørgsmål. Lukkede svarmuligheder reducerer risikoen for uventede oplysninger, men gør ikke enhver kombination anonym eller nødvendig.
Kunden kan springe spørgsmål over og afslutte uden at sende. Et særskilt link tilbyder kontakt til kundeservice. Kontaktønsket åbner en anden formular, hvor kunden selv beskriver sin henvendelse. Virksomheden forbinder ikke automatisk denne formular med undersøgelsens svar. Dermed bliver ønsket om at blive ringet op ikke en skjult identifikationsnøgle i analysematerialet.
Afklar, om der stadig behandles personoplysninger
I den første prøveeksport finder projektlederen både et svarnummer og et skjult kundenummer. Leverandøren har sat kundenummeret ind fra et personligt link. Materialet er derfor ikke anonymt for virksomheden, selv om navn og e-mail mangler. Kundesystemet kan forbinde nummeret med en bestemt person.
En IP-adresse kan også være en personoplysning, afhængigt af sammenhængen og mulighederne for identifikation. Kontrollér både svarfilen og platformens driftsoplysninger. Spørg, hvem der kan slå invitationsnumre op, om support kan hente tidligere versioner, og om en rapport kan afsløre en enkelt husstand i et lille område.
GDPR’s definition omfatter direkte og indirekte identificerbare personer. Pseudonymisering er derfor ikke det samme som at fjerne behandlingen fra reglernes anvendelsesområde. Det retlige udgangspunkt findes i forordningens artikel 4 og betragtning 26.
Hjemmehjælp Service vælger at behandle indsamling og råsvar som personoplysninger. Først den endelige, særskilt kontrollerede rapport vurderes med henblik på anonymitet. Det er en mere præcis information til kunderne end et løfte om en anonym undersøgelse, som teknikken ikke understøtter.
Vælg et behandlingsgrundlag for det konkrete formål
Det er ikke nok, at deltagelsen er valgfri. Frivillighed i daglig tale afgør ikke, om hjemlen er samtykke, legitim interesse eller et andet grundlag. En almindelig kundeaftale gør heller ikke enhver efterfølgende tilfredshedsundersøgelse nødvendig for at opfylde aftalen.
I eksemplet undersøger den private virksomhed artikel 6, stk. 1, litra f. Interessen er at forbedre bookinginformation for eksisterende kunder. Nødvendighedsvurderingen begrænser undersøgelsen til få vurderinger og et bredt område. Afvejningen tager hensyn til kundernes forventninger, den begrænsede indsamling, manglende konsekvenser ved ikke at deltage, adgangsbegrænsning og muligheden for indsigelse.
Det er en konkret vurderingsmodel, ikke en forhåndsgodkendelse af alle kundeundersøgelser. En undersøgelse om intime forhold, en medarbejdermåling med individuelle konsekvenser eller omfattende profilering kræver en anden analyse. Brug en udfyldt interesseafvejning, hvis dette grundlag vælges. Ved samtykke skal løsningen i stedet opfylde kravene til blandt andet specificitet, dokumentation og tilbagetrækning.
Datatilsynet beskriver de forskellige hjemler og understreger, at oplysningernes type og behandlingens sammenhæng er afgørende. Samtykke er kun ét af mulighederne. Se tilsynets vejledning om lovligt behandlingsgrundlag.
Giv information dér, hvor kunden tager stilling
Virksomheden placerer et frivilligt undersøgelseslink i kundeportalen. Den første tekst lyder i eksemplet: »Hjemmehjælp Service bruger dine svar til at forbedre informationen før rengøringsbesøg. Det er frivilligt at svare, og det påvirker ikke din service. Vi behandler råsvar som personoplysninger og offentliggør kun kontrollerede samlede resultater.«
Denne korte tekst er første lag. Det tilknyttede informationslag skal også give de relevante oplysninger efter artikel 13, herunder kontaktoplysninger, det faktiske behandlingsgrundlag, den legitime interesse, modtagere, opbevaring, rettigheder og eventuelle tredjelandsoverførsler. En formulering om, at »GDPR overholdes«, kan ikke erstatte disse oplysninger.
Oplysningerne skal passe til teknikken. Hvis råsvar kan forbindes med kunden i en periode, må teksten ikke love fuld anonymitet fra starten. Hvis en tilbagetrækning eller indsigelse senere bliver umulig at knytte til en reelt anonym rapport, skal virksomheden kunne forklare forskellen mellem faserne. Arbejd med klare tekster og svar efter artikel 12.
Valget af invitationskanal skal vurderes særskilt. En lovlig behandling efter GDPR gør ikke automatisk en e-mail med markedsføring lovlig. Indhold, formål og kanal kan udløse andre regler. Eksemplets link i portalen er derfor ikke en generel tilladelse til at udsende spørgeskemaer til enhver e-mailadresse.
Kontroller platformen og adgangen til råsvar
Leverandørens rolle afhænger af, hvad den faktisk gør. Behandler den udelukkende svar på virksomhedens instruktion, skal forholdet håndteres som et databehandlerforhold. Bruger leverandøren svarene til egne selvstændige formål, skal dette analyseres særskilt. En standardbetegnelse som »analysepartner« løser ikke fordelingen mellem dataansvarlig og databehandler.
Hjemmehjælp Service giver to analysemedarbejdere adgang til råsvar. Områdeledere får kun den kontrollerede rapport. Kundenumre deaktiveres i eksporten, og supportadgang begrænses. Leverandøren skal kunne forklare opbevaring af logdata, underdatabehandlere, eksportmuligheder og sletning. En server i EU er ikke i sig selv dokumentation for, at ingen uden for EØS kan få adgang.
Projektlederen foretager en ny prøvebesvarelse efter ændringen. Den undersøges i formularen, administrationen, eksporten og leverandørens beskrevne logning. At et kundenummer er skjult på skærmen er utilstrækkeligt, hvis det stadig ligger i filen, som alle analytikere henter.
Fra råsvar til rapport og afsluttet undersøgelse
I eksemplets afslutningskontrol fremgår det, at området Syd kun har tre svar. Virksomheden undlader derfor at offentliggøre området særskilt. Tallet tre er et konkret faresignal her, ikke en generel juridisk grænse. Risikoen afhænger også af, hvad modtagerne ved om kunderne og hvilke andre oplysninger rapporten indeholder.
Rapporten viser de samlede vurderinger og en sammenligning, hvor små grupper er slået sammen på en forsvarlig måde. Den indeholder ingen individuelle svarlinjer. Analytikeren dokumenterer, hvilke koblinger der er fjernet, og hvorfor rapportens resterende oplysninger ikke med rimelige midler kan føres tilbage til personer. Se de praktiske metoder og grænser for anonymisering.
Virksomheden har på forhånd valgt at slette råsvar efter kvalitetssikring og afsluttet analyse, med en konkret intern slutdato. Den begrunder perioden ud fra undersøgelsens behov; der findes ikke én generel GDPR-frist for alle spørgeskemaer. Slutkontrollen omfatter arbejdsfiler, downloads, leverandørens aktive data og håndteringen af eventuelle sikkerhedskopier.
Den udfyldte afslutningsbeslutning bliver: »Bookingteksten om ankomst ændres. Ingen individuelle kundevurderinger genbruges til salg eller medarbejderkontrol. Rapporten godkendes efter sammenlægning af den lille gruppe. Råsvar slettes efter den aftalte kontrol, og sletning hos leverandøren følges til dørs.« Dermed har undersøgelsen både besvaret et konkret spørgsmål og fået en afslutning, som kan dokumenteres.