TRAQ er laget for virksomheter som behandler personopplysninger, og som har samtykke som behandlingsgrunnlag. Det er gjerne virksomheter med underliggende organisatoriske enheter, slik som konsern- og paraplyorganisasjoner, e-handel og kundeklubber, og virksomheter med tjenester/apper som behandler og deler data. Under har vi laget en brukerhistorie som beskriver hvordan vi hjelper en anonym virksomhet med å sikre GDPR-gyldig samtykke, og hvor hvert samtykke lagres som et objekt, og dokumentasjonsplikten tilfredsstiller med versjonering.

Brukerhistorie fra virksomhet.

Kari Nordmann er kunde hos Lillevik Bank gjennom et mangeårig forhold som bank- og kortkunde. Nå har Virksomhet B , som også er en del av konsernet, etablert et nytt produkt. Produktet lanseres for kundene og de oppfordres til å bruke en egen, nyutviklet app for å etablere og ivareta det nye forholdet.

Kari logger seg inn i den nye appen vha Vipps, slik at appen vet hvem hun er. For å kunne bruke appen til sitt fulle behov og del personopplysninger. Lillevik Bank har disse dataene allerede og fått samtykke til å behandle dem, men da for et annet formål.

Appen kan forhåndsutfylle denne informasjonen for Kari, men Lillevik bank trenger først hennes samtykke til å hente de aktuelle opplysningene, siden formålet med behandlingen nå er et annet.

Traq-widgeten, som er bygget inn i appen, henter den aktuelle samtykkeerklæringen. Widgeten og API-ene bruker egne tokens og kommunikasjonen mellom appen, Traq og eventuelle backend-systemer er kryptert.

Kari samtykker ved å klikke «Jeg samtykker» - etter å ha lest hele teksten nøye.

Samtykket («kontrakten») skrives tilbake til Traq og lagres i databasen (kryptert) for Virksomhet B . Selve recorden eksporteres fra APIet som XML til ev. lagringssystemer backend.

Samtykket knyttes også til hennes fødselsnummer, som vi fikk gjennom Vipps-påloggingen. Dette gjør også at Kari senere kan hente opp en oversikt over alle sine samtykker som er knyttet til hennes fødselsnummer, og eventuelt trekke tilbake ett eller flere, hvis hun ønsker det.

Neste gang Kari logger inn i appen, sjekker den med Traq (gjennom API-kall) om det finnes og gyldig samtykke angående Karis personopplysninger. Hvis ja, så merker Kari ingenting, men hvis ikke, så blir Kari bedt om å samtykke på nytt.

Virksomhet B bestemmer seg senere for å utvide behandlingsformålet til også å omfatte noe mer, så de lager en ny versjon av samtykkeerklæringen for appen. Da skjer en av to ting; enten kan Lillevik bank aktivt pushe spørsmål om nytt samtykke til de aktuelle brukerne, eller Kari blir bedt om å samtykke til det nye formålet neste gang hun logger inn. Det "gamle" samtykket finnes fortsatt, og det nye samtykket blir en ny versjon.

Til slutt har Kari bestemt seg for å trekke tilbake samtykket hun ga for bruk av sine personopplysninger i denne appen. Hun går til sin «Mine samtykker»-side som finnes under hennes brukerprofil hos Lillevik Bank, finner det aktuelle samtykket og trekker det tilbake. Traq markerer samtykket som «tilbaketrukket». Neste gang appen spør Traq om Karis samtykke er gyldig, vil den få negativt svar, og kan således ikke (lovlig) behandle hennes personopplysninger videre.