Ett giltigt samtycke enligt GDPR ska vara frivilligt, specifikt, informerat och otvetydigt. Den personuppgiftsansvarige ska kunna visa att kraven är uppfyllda och göra det lika enkelt att återkalla samtycket som att lämna det. En kryssruta eller en underskrift räcker därför inte i sig. Det avgörande är vilket val personen faktiskt får, vilken information som ges och hur organisationen sedan använder uppgifterna.
Den här guiden förklarar hur kraven i artikel 4.11 och 7 tillämpas i ett svenskt arbetsflöde, med särskilda avsnitt om barn, elektronisk marknadsföring och kakor. Den handlar om att välja och förvalta samtycke som rättslig grund. För själva utformningen av dokument finns en separat mall för samtyckesblankett. Reglerna behöver följas även när samtycket samlas in muntligt, i en app eller genom ett annat gränssnitt än ett formulär.
Börja med att avgöra om samtycke passar
Samtycke är en av rättsgrunderna i artikel 6, inte ett generellt krav för all personuppgiftsbehandling. Om organisationen måste behandla uppgifter för att uppfylla en rättslig skyldighet är det missvisande att erbjuda ett val som inte kan respekteras. Motsvarande gäller uppgifter som verkligen är nödvändiga för att fullgöra avtalet med personen eller vidta åtgärder på personens begäran före ett avtal. Valet av rättslig grund ska göras innan behandlingen börjar och för varje konkret ändamål.
Tänk exempelvis på en kursarrangör. Uppgifter som behövs för deltagarens beställning kan ha en grund, bokföringsunderlag en annan och ett frivilligt nyhetsbrev en tredje. Att deltagaren tackar nej till nyhetsbrevet ska inte stoppa hanteringen av en redan beställd kurs. Organisationen måste kunna skilja dessa behandlingar åt i både information och system. Ett enda fält som säger att personen har ”godkänt GDPR” visar inte vilken användning som är tillåten.
IMY:s vägledning om samtycke betonar att samtycke bara bör efterfrågas när ett nej kan respekteras. Det är ett praktiskt sätt att börja bedömningen. Fråga vad verksamheten gör om personen avstår eller senare ångrar sig. Om svaret är att samma behandling ändå fortsätter, behöver ni antingen välja en annan tillämplig grund för det ändamålet eller ändra behandlingen och erbjudandet innan ni samlar in uppgifter.
Frivillighet: ett verkligt val utan nackdelar
Frivillighet handlar om kontroll, inte bara om att en knapp är klickbar. Personen ska kunna säga nej utan otillbörliga negativa konsekvenser. Undersök om tillgången till en grundläggande tjänst, ett arbete eller en förmån används som påtryckning. Ett nej som leder till upprepade påminnelser, försämrad service eller en svårförklarlig avgift kan påverka bedömningen. Organisationen behöver kunna visa hur alternativet utan samtycke fungerar i praktiken.
Artikel 7.4 kräver särskild hänsyn till om ett avtal eller en tjänst villkoras av samtycke till behandling som inte är nödvändig för avtalet. Att skriva in reklamprofilering i avtalsvillkoren gör inte behandlingen avtalsnödvändig. Regeln innebär en stark presumtion mot sådant villkorande; bedömningen får inte förenklas till att vilken behandling som helst blir frivillig så länge den kallas en del av tjänsten. Om behandling faktiskt behövs för avtalet ska ni bedöma den relevanta rättsgrunden i stället för att konstruera ett skenbart val.
I arbetslivet och vid myndighetskontakter finns ofta en maktobalans. Därför är samtycke normalt svårt att använda. Det finns begränsade situationer där ett verkligt frivilligt sidomoment kan fungera, men organisationen måste visa att personen kan avstå utan följder. En anställds foto blir inte automatiskt frivilligt bara för att en blankett är undertecknad inför chefen. Kontrollera syfte, spridning och alternativ; guiden om GDPR i HR och rekrytering behandlar den bredare roll- och grundbedömningen.
Specificitet: skilj mellan ändamålen
Personen ska förstå vilken behandling samtycket omfattar. Formuleringar som ”för framtida behov”, ”för bättre upplevelse” eller ”för våra samarbetspartners” kan vara för vida om de inte preciseras. Beskriv den faktiska användningen, vilka uppgifter den kräver och vilka ansvariga organisationer som berörs. En framtida affärsmöjlighet är inte ett tillräckligt avgränsat ändamål bara för att den nämns i en lång integritetspolicy.
Olika självständiga ändamål ska kunna väljas separat när det är relevant. En person kan vilja få ett nyhetsbrev utan att godkänna att kontaktuppgifter delas med andra företag för deras marknadsföring. Ett odelat ja till båda delarna ger inte den kontroll som krävs. Däremot behöver varje tekniskt steg inom samma tydligt angivna ändamål inte bli en egen ruta. Utgå från personens val och behandlingens syften, så att uppdelningen blir begriplig och användbar.
Dokumentera vilken avgränsning ni har gjort. Om en ny partner vill använda uppgifterna för egna ändamål eller om analysen får ett nytt syfte, får ni inte anta att den gamla formuleringen täcker förändringen. Bedöm den nya behandlingen och inhämta ett nytt giltigt samtycke där det är den tillämpliga grunden. Att ensidigt uppdatera en policy utvidgar inte ett tidigare samtycke. En versionsändring i ett dokument och ett nytt aktivt val är olika händelser.
Information före valet
För ett informerat samtycke behöver personen åtminstone förstå vem som är ansvarig, ändamålet med varje behandling, vilka typer av uppgifter som används och rätten att återkalla. Vid relevanta särskilda situationer behövs också information om automatiserat beslutsfattande eller riskerna med en överföring som stöds på det särskilda samtyckesundantaget för tredjeland. Informationen måste finnas före valet och vara begriplig för den aktuella målgruppen, inklusive barn om tjänsten riktar sig till dem.
Informationsplikten enligt artikel 13 eller 14 gäller dessutom. All information måste inte pressas in i samma korta samtyckestext, men viktiga delar får inte döljas bakom en otydlig länk. En kort beskrivning av valet kan kombineras med en lättillgänglig integritetspolicy. Läs båda tillsammans: om rutan lovar användning bara för ett nyhetsbrev medan policyn beskriver obegränsad delning, blir det svårt att förstå vad personen faktiskt har tagit ställning till.
Kontrollera särskilt att språk och utformning inte blandar ihop information med godkännande. En knapp för att bekräfta att information har tagits emot behöver inte uttrycka samtycke till behandling. Ett allmänt godkännande av köpvillkor visar inte heller att personen separat har accepterat marknadsföring. Den som utformar gränssnittet behöver därför veta exakt vilken rättslig funktion varje knapp eller ruta ska ha innan lösningen publiceras.
Otvetydighet och uttryckligt samtycke
Vanligt samtycke kräver en tydlig bekräftande handling eller förklaring. En tom ruta som personen själv markerar kan fungera om informationen och övriga villkor är riktiga. Förkryssade alternativ, tystnad och fortsatt vanlig användning räcker inte. Att någon scrollar kan lika gärna betyda att personen letar efter innehåll. Organisationen behöver kunna koppla handlingen till den specifika behandling som personen informerades om, inte bara registrera att ett besök har skett.
I vissa bestämmelser krävs uttryckligt samtycke, exempelvis när samtycke används som undantag för känsliga personuppgifter enligt artikel 9.2 a. Det kräver en uttrycklig förklaring; en underskrift är en möjlig metod men inte ett generellt lagkrav. Ett tydligt elektroniskt besked kan fungera om kraven uppfylls. Kontrollera också om unionsrätt eller nationell rätt hindrar att förbudet hävs genom samtycke. Ett generellt medgivande undanröjer inte sådana begränsningar.
EDPB:s slutliga riktlinjer 05/2020 förklarar skillnaden och dokumentationskraven. Riktlinjerna innebär inte att mer ingripande identifiering alltid ger bättre samtycke. En kopia av en identitetshandling kan skapa onödig behandling utan att förbättra själva valet. Välj en metod som kan visa vem eller vilken användare valet avser på en nivå som är lämplig för sammanhanget, och håll isär identitetskontroll från bedömningen av frivillighet.
Bevisning: mer än ett ja i kundregistret
Enligt artikel 7.1 ska den ansvarige kunna visa att personen har samtyckt. Ett användbart underlag knyter valet till ändamålet, tidpunkten, sättet att lämna samtycke och den information som visades. Om ni bara sparar den senaste texten kan det bli omöjligt att veta vad en tidigare användare faktiskt såg. Spara därför den relevanta versionen eller en säker hänvisning till den, tillsammans med uppgifter som visar det individuella valet.
Detta betyder inte att varje samtycke måste ligga som en rad i artikel 30-registret. Registerförteckningen beskriver behandlingsaktiviteter, medan samtyckesbevisningen gäller enskilda val. De bör kunna kopplas ihop, men rättslig grund är inte ett uttryckligt separat minimifält i artikel 30 bara för att den är praktiskt viktig att dokumentera. Håll loggen begränsad och skyddad; bevisbördan är inget undantag från uppgiftsminimering.
Bestäm också hur länge bevisningen behövs. Under den samtyckesbaserade behandlingen måste ni kunna visa samtycket. Efteråt krävs en särskild bedömning av nödvändig fortsatt bevaring, exempelvis för en rättslig skyldighet eller ett rättsligt anspråk. Det är inte ett skäl att behålla hela kundprofilen för alltid. En avregistrering kan behöva lämna ett begränsat spår för att undvika nya utskick, samtidigt som andra uppgifter ska tas bort enligt sin egen gallringsregel.
Återkallelse ska fungera genom hela kedjan
Personen ska kunna återkalla när som helst och lika enkelt som samtycket lämnades. Om det gavs med ett enkelt elektroniskt val fungerar det normalt inte att hänvisa till ett brev eller ett samtal under begränsade öppettider. Se till att funktionen går att hitta och att ett avbrutet kundkonto inte gör återkallelse omöjlig. Kontrollera också att informationen om hur man ångrar sig gavs redan när samtycket efterfrågades.
När samtycket återkallas ska den berörda behandlingen upphöra. Tidigare behandling som var laglig på samtyckesgrund blir inte olaglig i efterhand. Uppgifter ska raderas om ingen annan grund motiverar fortsatt behandling, men samma uppgift kan behövas för ett annat, separat och från början tydligt ändamål. En kund som lämnar nyhetsbrevet kan fortfarande ha en beställning som måste hanteras. Rätten till radering behöver därför bedömas mot de olika ändamålen och undantagen.
Ni får inte i efterhand byta till berättigat intresse för att rädda samma behandling när samtycket visar sig ogiltigt eller dras tillbaka. En sådan reservlösning gör valet missvisande. Kontrollera i stället vad som måste stoppas i utskickssystem, analysverktyg, exportfiler och hos personuppgiftsbiträden. Biträdesavtalets instruktioner behöver stödja detta. En statusändring i huvudsystemet räcker inte om nästa nattliga import återaktiverar den gamla preferensen.
Barns samtycke: rätt innebörd av 13-årsgränsen
Sveriges regel finns i dataskyddslagen 2 kap. 4 §. När informationssamhällets tjänster erbjuds direkt till ett barn som bor i Sverige kan barnet själv samtycka från 13 års ålder. Under den åldern krävs att den som har föräldraansvar ger eller godkänner samtycket. Artikel 8 blir aktuell när den berörda behandlingen bygger på samtycke; regeln är inte en allmän åldersgräns för all behandling av barns uppgifter.
Den ansvarige ska göra rimliga ansträngningar för att kontrollera att föräldraansvarig har gett eller godkänt samtycket, med hänsyn till tillgänglig teknik. Metoden måste stå i proportion till riskerna och undvika onödig insamling. Barnet behöver också begriplig information. Att en vuxen klickat på en länk säger inte i sig vilken relation personen har till barnet, medan en alltför omfattande identitetskontroll kan skapa egna integritetsrisker. Dokumentera därför varför den valda kontrollen är lämplig.
Förebyggande eller rådgivande tjänster som erbjuds direkt till barn är ett viktigt undantag. Enligt skäl 38 och EDPB:s riktlinjer, punkt 150, krävs inte föräldrars samtycke för sådana tjänster, även när de ges online. IMY beskriver samma möjlighet så att barn ska kunna söka stöd utan att föräldrarna först informeras. Utanför artikel 8:s särskilda tillämpningsområde måste barnets förståelse och mognad samt andra tillämpliga regler bedömas. Varken 13-årsdagen eller en förälders underskrift gör varje behandling tillåten.
Elektronisk marknadsföring kräver en separat kontroll
Det är missvisande att generellt ange berättigat intresse som lösningen för e-postreklam. Marknadsföringslagen 19 § kräver som huvudregel förhandssamtycke vid elektronisk post till en fysisk person. Det begränsade undantaget gäller när adressen erhållits i samband med försäljning, personen inte motsatt sig användningen, marknadsföringen avser egna likartade produkter och personen får enkla och kostnadsfria möjligheter att motsätta sig vid insamlingen och varje meddelande. Alla villkoren behöver vara uppfyllda.
GDPR:s rättsgrund och marknadsföringslagens sändningsregel måste alltså bedömas tillsammans. Även ett meddelande till en juridisk person ska enligt 20 § innehålla en giltig adress för att begära att marknadsföringen upphör. Vid invändning mot direktmarknadsföring ska den berörda personuppgiftsbehandlingen för marknadsföringsändamålet upphöra. Skilj sådana meddelanden från nödvändig servicekommunikation, men använd inte en orderbekräftelse som förevändning för orelaterad reklam.
Kakor och samtyckesverktyg
För lagring eller åtkomst i terminalutrustning gäller lagen om elektronisk kommunikation, 9 kap. 28 §. Undantag från samtycke gäller bland annat vad som behövs för överföring av ett elektroniskt meddelande eller en tjänst på användarens uttryckliga begäran. Det innebär inte ett allmänt undantag för statistik eller sådant som webbplatsägaren anser affärsmässigt viktigt. Bedöm dessutom personuppgiftsbehandlingen som följer av tekniken.
PTS vägledning om kakor beskriver bland annat hur ja och nej ska erbjudas lika enkelt och hur återkallelse ska vara tillgänglig. Ett verktyg behöver stämma med de skript som faktiskt används. Kontrollera före ett val, efter ett nej och efter återkallelse att tekniken beter sig som informationen säger. I en jämförelse av samtyckesplattformar är sådana funktioner och möjligheten att bevara begriplig bevisning mer relevanta än att leverantören bara beskriver sin banner som GDPR-anpassad.
När behöver samtycket förnyas?
GDPR har ingen allmän giltighetstid som automatiskt gör alla samtycken ogiltiga efter ett visst antal månader. Giltigheten beror på sammanhanget, det ursprungliga samtyckets omfattning och personens rimliga förväntningar. En väsentlig förändring av behandlingen kan kräva nytt samtycke. EDPB rekommenderar lämpliga återkommande uppdateringar som god praxis; det är inte en universell årsfrist. Ett samtycke innebär inte heller att uppgifter får lagras för alltid utan fortsatt behov.
En praktisk förvaltningsrutin bör fånga nya ändamål, ändrad information, nya mottagare och problem med återkallelse. Låt den som ansvarar för tjänsten och den som administrerar samtycken granska samma verkliga flöde. Följ ett exempel från val till användning och sedan till återkallelse, inklusive leverantörer och importer. Då blir det möjligt att upptäcka om informationen, bevisningen och behandlingen har glidit isär och rätta till felet innan fler uppgifter används på fel grund.