Du skal altid have samtykke til at indsamle persondata. Men da det kræver en bevidst og aktiv handling at deltage i en spørgeskemaundersøgelse, er selve deltagelsen at regne for et samtykke. I særlige tilfælde – for eksempel hvis en undersøgelse involverer følsomme personoplysninger – anbefaler vi dog, at du indhenter et mere eksplicit samtykke.

Uanset karakteren af persondata sætter EU’s Persondataforordning en tyk streg under, at det skal være et informeret samtykke. Det skal være helt tydeligt for respondenten, hvilke persondata han/hun afgiver og ikke mindst hvorfor. Som dataansvarlig/indsamler af persondata er du blandt andet forpligtet til at oplyse den registrerede om, hvorfor du har brug for de pågældende oplysninger, hvad formålet med indsamlingen er, hvordan du opbevarer data samt hvor længe. Du skal også oplyse, om du gør brug af tredjeparts databehandlere (som Peoplexact). EU’s Persondataforordning understreger også, at du ved indhentning af samtykke skal informere den registrerede om dennes rettigheder – til at få indsigt i egen indsamlet data, til at få foretaget ændringer i egen indsamlet data og til at tilbagetrække sit samtykke og få slettet egen indsamlet data fra din og din databehandlers (Peoplexact) database. Du skal samtidig i umiddelbar sammenhæng med indsamlingen af oplysninger gøre det nemt for den registrerede at gøre brug af disse rettigheder ved at oplyse kontaktinformationer på din virksomheds dataansvarlige.

Der er med andre ord en del oplysninger, der skal være nemt tilgængelige for respondenten for at leve op til EU’s Persondataforordnings krav til transparens. Du kan vælge at samle alle disse oplysninger på undersøgelsens forside. Du kan også vælge at nøjes med et uddrag af oplysningerne på undersøgelsens forside og via link henvise til din virksomheds generelle side til persondatapolitik. Her skal du så også beskrive de særlige forhold, der måtte være i forbindelse med dine undersøgelser – herunder, at Peoplexact er databehandler.

Reglerne for, hvordan det informerede samtykke helt præcis skal indhentes, kan fortolkes på flere måder. Men hvis der er én tommelfingerregel, der kan hjælpe dig med at overholde EU’s Persondataforordning, så er det, at du skal være 100 procent transparent i alt, hvad der handler om persondata. Du er derfor langt bedre dækket ind, hvis du er helt klar i spyttet omkring, hvad du indsamler, hvorfor, og hvor længe du opbevarer data. Samtidig giver det et ordentligt boost til troværdigheden – som jo er det vigtigste parameter i forhold til svarprocent. 

Nej. Alle respondenters IP-adresser bliver anonymiseret. Hverken du eller medarbejdere i Peoplexact har derfor adgang til at se eller benytte IP-adresserne. 

Ja, du kan slette alle data, herunder persondata, i alle undersøgelser i Peoplexact. EU’s Persondataforordning giver registrerede ”retten til at blive glemt”. Det skal altså være muligt på forespørgsel at slette alle spor fra enhver deltager i en undersøgelse. Der findes en række måder at håndtere dette på:

• Du kan slette specifikke variable i en undersøgelse
• Du kan slette en bestemt respondents besvarelse
• Du kan slette alle data i en undersøgelse
• Du kan slette hele undersøgelsen

Med vores nye respondent-søgefunktion, som gør dig i stand til at finde specifikke respondenter på tværs af alle dine undersøgelser, kan du nemt finde og slette en bestemt respondents besvarelse.

Husk, at det er dit ansvar som dataansvarlig at slette alle personhenførbare oplysninger, når formålet med din indsamling og opbevaring er opfyldt.

Ja, vores nye GDPR-anonymiseringsfunktion gør det let at anonymisere data i din undersøgelse ved hjælp af filtre og autofiltre. Du kan for eksempel benytte:

• Tidsfilter: Her kan du anonymisere data ud fra et bestemt tidsinterval
• Baggrundsdata filter: Her kan du anonymisere alle baggrundsdata
• Systemdata filter: Her kan du anonymisere for eksempel telefonnumre
• Filter for tekst- og kommentarfelter i baggrunds- og/eller spørgeskemadata: Her kan du anonymisere alle åbne felter både i databasen og i selve undersøgelsen.

Husk, at det er dit ansvar som dataansvarlig at anonymisere data og at have klare retningslinjer for processen. For eksempel kan ikke-personhenførbare data pludselig blive henførbare, når de kombineres.

Som følge af EU’s Persondataforordning må du kun opbevare persondata så længe, som det er nødvendigt for at opfylde det formål, du har med indsamlingen af data. Når du ikke længere har brug for de indsamlede data til din undersøgelse, skal du altså selv sørge for at slette eller anonymisere data. Du må heller ikke beholde data, selvom du kunne tænke dig at benytte dem til et andet formål som for eksempel markedsføring. I det tilfælde skal du bede om nyt specifikt samtykke. Det er dit ansvar selv at slette data i Peoplexact, når du ikke længere skal anvende dem.

Hvis du ikke selv sletter data, gemmer Xact dem, så længe du har en aktiv licens til Peoplexact. Hvis din licens udløber, sletter Peopelexact de data, du ikke selv har slettet. Når du eller Peoplexact sletter dine data gemmes de i op til 3 måneder i vores backup-system, og derefter er de uigenkaldeligt slettet.

Som følge af EU’s Persondataforordning må EU-borgeres persondata som udgangspunkt ikke sendes ud af EU, EØS eller til lande, som ikke er kategoriseret som et sikkert tredjeland.- Læs mere i Danish Data Protection Agency's guidance. 

Peoplexacts servere, som betjener vores kunder i hele verden, er fysisk placeret hos hosting-virksomheden Fuzion i Aarhus. I de tilfælde, hvor vi benytter underdatabehandlere, har vi garanti for, at data ikke sendes til usikre tredjelande

Kun nogle få medarbejdere hos os har adgang til dine data. Det drejer sig om de, der arbejder med udviklingen og driften af Peoplexact. Hvis en af disses ansættelsesforhold ophører, spærres eller nedlægges medarbejderens brugeradgange straks. Vi fører en liste over autoriserede medarbejdere med angivelse af, hvilken type adgang autorisationen dækker.

Hvis du har brug for support, kan du via vores nye supportadministrationssystem tildele adgang til dine persondata til en specifik supportmedarbejder hos Peoplexact. Supportsystemet sikrer, at adgangen kun gives til den ønskede medarbejder, til de specifikt angivne persondata i din organisation og i et begrænset tidsrum – for eksempel en time.

Respondenter har ret til at få indsigt i de persondata, du opbevarer om dem og til at korrigere dem, hvis de ikke er korrekte. Som udgangspunkt har respondenter også ret til at få slettet egne persondata fra dine undersøgelser og arkiver. I visse tilfælde trumfer formålet med at bevare persondata dog respondentens ret til at få sin data slettet. Det gælder for eksempel ved visse undersøgelser, der indeholder sundhedsdata, som kan være nødvendige for fremtidig behandling.

De nye GDPR-funktioner i Peoplexact gør det nemt for dig at imødekomme respondenters rettigheder.

Husk, at det er dit ansvar også at rette eller slette persondata i eventuelle eksporterede Excel-ark.

Hvis Peoplexact bliver kontaktet direkte af en af dine respondenter i forhold til overstående, har vi en effektiv og professionel procedure til at håndtere dette. Vi videregiver henvendelsen til den relevante person i din organisation, og samtidigt informerer vi respondenten om det videre forløb. Ifølge EU’s Persondataforordning skal du svare på respondentens anmodning ”uden unødig forsinkelse og senest en måned efter, du har modtaget anmodningen.”

Du er forpligtet til at beskytte indsamlede persondata så godt som muligt. Derfor skal du minimere adgangen til data til det absolut nødvendige niveau. Du skal kun tildele de nødvendige adgangsrettigheder til de nødvendige medarbejdere. Både den gamle og den nye brugerstyring i Peoplexact gør det nemt at styre adgangen til persondata helt detaljeret og præcist. I den nye brugerstyring, kan du til hver enkelt undersøgelse tildele dig selv og kolleger rettigheder i følgende niveauer:

• Spørgeskemarettighed (indeholder ikke persondata)
• Distributionsrettighed (indeholder persondata)
• Analyserettighed (indeholder persondata)
• Rapportrettighed (kan indeholde persondata)

På den måde kan du for eksempel nemt give visse medarbejdere adgang til at se resultater af en undersøgelse, uden at de kan se persondata.

Det er dit ansvar som dataansvarlig at administrere dine brugere – herunder oprettelse, nedlæggelse og tildeling af rettigheder. Ved at koble din brugeradministration i Peoplexact sammen med din Active Directory kan de automatisere denne proces.

Når din virksomhed ikke længere har en aktiv licens, sørger Xact for at nedlægge alle brugeradgange og rettigheder.

Vi tilbyder to tilvalgsydelser til Peoplexact, som kan automatisere administrationen af dine brugere i Peoplexact – Single-Sign-on (SSO) og to-faktor login.

Ifølge EU’s Persondataforordning må du kun indsamle og opbevare persondata, som er nødvendige for at kunne opfylde det formål, du angiver for indsamlingen. Du må for eksempel ikke indsamle telefonnummer, hvis det ikke er nødvendigt for at opnå dit angivne formål. Databehandleraftalen mellem Peoplexact og din organisation specificerer formål og regulerer, hvilke typer af persondata du må opbevare. EU’s Persondataforordning arbejder med to kategorier: Almindelige personoplysninger og følsomme personoplysninger. Du bør behandle følsomme personoplysninger med særlig opmærksomhed. 

Det kan du være helt sikker på af flere grunde! De fem primære grunde er:

• Peoplexact er et IT-system, udviklet og ejet af Rambøll. Peoplexact lever derfor op til de strenge krav, Rambøll har forpligtet sig til i forhold til at være en ansvarlig virksomhed, og som er beskrevet på Rambølls hjemmeside: https://www.ramboll.com/positions-and-policies
• Peoplexact og din organisation har indgået en gyldig databehandleraftale i overensstemmelse med EU’s Persondataforordning
• Peoplexact får revideret IT sikkerheden hvert år af PwC. Revisionen er baseret på den internationale standard ISAE 3000-II
• Vi udfører penetrationstest af driftsmiljøet, hvor vi tester, om man kan hacke sig ind i vores system
• Som licenshaver af Peoplexact har din organisation ret til at foretage audit hos Peoplexact, hvor du kan påse, at de i databehandleraftalen og i bilag nævnte tekniske og organisatoriske sikkerhedsforanstaltninger er implementeret.

Når du køber en licens til Peoplexact, følger der en databehandleraftale med. Databehandleraftalen tilpasses til netop dit formål med brugen af Peoplexact, og den er vores indbyrdes kontrakt på, at vi kun gør det, som du i databehandleraftalen instruerer os i.

Databehandleraftalen er baseret på Datatilsynets vejledninger og tilpasset Peoplexacts setup. Vores databehandleraftale bliver også årligt vurderet i forbindelse med revisionserklæringen.

https://www.datatilsynet.dk/Media/C/0/Registreredes%20rettigheder.pdf

Du skal svare på en anmodning fra en registreret om indsigt, berigtigelse, sletning osv. uden unødig forsinkelse og senest en måned efter, du har modtaget anmodningen.

Dette spørgsmål handler egentligt ikke om GDPR, men derimod om spørgeskemaundersøgelser generelt. Derfor er det hovedsagelig Markedsføringsloven, der er relevant her.

Markedsføringsloven - lignende og tilsvarende produkter

Virksomheders uanmodede henvendelser til forbrugere (også kaldet spam) er reguleret af markedsføringslovens § 10. En virksomhed skal som udgangspunkt have indhentet samtykke, inden denne må henvende sig til forbrugerne, herunder via elektronisk post (e-mails, SMS-beskeder og MMS-beskeder). Dette gælder både nuværende samt tidligere kunder.

Markedsføringslovens § 10, stk.2, giver dog mulighed for direkte markedsføring af egne og tilsvarende produkter uden samtykke. Produkter og tjenesteydelser skal blot forstås som tilsvarende, og ikke identiske som det oprindeligt solgte produkt eller tjenesteydelse. Der er dog krav om, at kunden har oplyst sin e-mailadresse i forbindelse med et køb. Hertil skal kunden ved afgivelse af e-mailen oplyses om, at dennes e-mailadresse vil blive brugt til senere markedsføring af egne og tilsvarende produkter/tjenesteydelser. Kunden skal både ved afgivelsen af e-mailadressen samt efterfølgende, have mulighed for at frabede sig yderligere markedsføring. Muligheden for at melde fra, skal ligeledes fremgå ved hver efterfølgende henvendelse, således at kunden hver gang denne modtager direkte markedsføring, bliver oplyst om muligheden for at frabede sig fremtidig markedsføring.

Markedsundersøgelser, kundetilfredshedsundersøgelser og lignende

E-mails og SMS’er indeholdende markedsundersøgelser, kundetilfredshedsundersøgelser og lignende er i henhold til Forbrugerombudsmanden som udgangspunkt ikke omfattet af de ovenstående regler. Det er derfor tilladt at sende den type e-mails og SMS’er uden forudgående samtykke. Dette gælder dog ikke, hvis undersøgelsen har til formål at brande eller reklamere for en virksomheds produkter. Her lægges der i praksis vægt på, at indholdet skal være helt neutralt og uden henvisninger til virksomheden eller dens produkter. Forbrugerombudsmanden har i et konkret tilfælde taget stilling til spørgsmålet, hvor han lagde vægt på, at kundetilfredshedsundersøgelsen blev sendt ud i umiddelbar forlængelse af, at ydelsen blev leveret, den indeholdte ikke opfodringer til køb, rosende omtale eller anden branding af virksomheden. På baggrund af dette var vurderingen, at formålet ikke var markedsføring, men at undersøge kundetilfredsheden.

Der bør dog ifølge Forbrugerombudsmanden være en mulighed for at framelde sig fremtidige kundetilfredshedsundersøgelser i henvendelsen. Selvom henvendelsen ikke er omfattet af spamreglerne, kan det være i strid med reglerne om god markedsføringsskik, jf. markedsføringslovens § 3, hvis virksomheden ikke respekterer, at kunden frabeder sig fremtidige henvendelser.

Hvis undersøgelsen ikke er neutral, anses dette som markedsføring og derfor omfattet af markedsføringslovens § 10, hvor modtageren skal have afgivet samtykke inden, medmindre undtagelsen i stk. 2, kan gøres gældende.

Når du indsamler data til din spørgeskemaundersøgelse, er du dataansvarlig. Som dataansvarlig er du underlagt kravet om at føre interne fortegnelser over de behandlinger af personoplysninger, der foretages af dig og din databehandler, og du skal kunne vise, at dine behandlinger af personoplysninger lever op til reglerne.

Fortegnelser skal være skriftlige og elektroniske og skal kun efter anmodning udleveres til Datatilsynet. Det er både behandling af almindelige (ikke følsomme personoplysninger) og særlige kategorier af personoplysninger (følsomme personoplysninger), der er omfattet af pligten.

Fortegnelsen skal som minimum indeholde:

• Navn og kontaktoplysninger
• Formål
• Kategorier af registrerede personoplysninger
• Kategorier af modtagere ved videregivelse
• Overførsler til tredjelande og internationale organisationer
• Slettefrister
• Tekniske og organisatoriske foranstaltninger

Du kan læse mere om kravet om at føre fortegnelse i Datatilsynets og Justitsministeriets vejledning: https://www.datatilsynet.dk/Media/E/5/Fortegnelse%20(3).pdf