En samtyckesblankett ska göra det tydligt vad personen väljer och vad organisationen sedan får göra. Enligt GDPR måste samtycke vara frivilligt, specifikt, informerat och otvetydigt. Organisationen ska kunna visa att det har lämnats, och personen ska kunna återkalla det lika enkelt som det gavs. En underskrift eller kryssruta hjälper bara om dessa villkor faktiskt är uppfyllda.
Här finns anpassningsbara exempel för fotografier, nyhetsbrev och hälsouppgifter. De behöver kompletteras med verksamhetens uppgifter och tillhörande dataskyddsinformation. Börja med att avgöra om samtycke är rätt verktyg; en blankett kan inte göra en obligatorisk behandling frivillig. Guiden om samtyckets krav utvecklar de rättsliga villkoren, medan den här sidan fokuserar på utformning och praktisk hantering.
När är en samtyckesblankett lämplig?
Samtycke passar när personen har ett verkligt val och kan avstå utan otillbörliga nackdelar. Ett separat erbjudande om ett nyhetsbrev kan ofta utformas så. Om organisationen däremot måste behandla uppgifter för att uppfylla en lagstadgad skyldighet ska informationen beskriva den skyldigheten och den rättsliga grunden. Personen ska inte behöva samtycka till något som ändå kommer att göras oberoende av svaret.
Detsamma gäller behandling som är nödvändig för ett avtal med personen. Pröva nödvändigheten för den aktuella tjänsten; att skriva in extra databehandling i villkoren gör den inte automatiskt avtalsnödvändig. För en köpt kurs kan kontaktuppgifter behövas för kursadministration, samtidigt som publicering av ett porträtt i nästa års reklam är en separat fråga. Översikten över rättsliga grunder hjälper till att hålla dessa ändamål isär.
I arbetslivet och i relationen mellan en myndighet och en enskild kan maktobalansen göra frivilligt samtycke svårt. Det är inte ett absolut förbud i varje situation, men organisationen måste kunna visa att ett nej inte påverkar anställning, bemötande eller tillgång till nödvändiga tjänster. Ett frivilligt porträttprojekt kan behöva en möjlighet att delta utan publicering och en kontaktväg som inte går genom den närmaste chefen.
Samtycke ska också vara möjligt att återkalla i praktiken. Om organisationen redan från början vet att den tänker fortsätta använda uppgifterna oavsett återkallelse är utgångspunkten fel. Bedöm i stället om det finns en annan tillämplig grund för just den nödvändiga behandlingen, eller ändra upplägget. Ett avtal med en samarbetspartner om långvarig publicering upphäver inte personens rättigheter.
Vad behöver stå intill valet?
Den som lämnar samtycke behöver förstå vem som är personuppgiftsansvarig, vilka uppgifter som används, för vilka tydliga ändamål och hur samtycket återkallas. Beskriv användningen med ord som deltagaren kan koppla till verksamheten. Formuleringar om all framtida kommunikation eller lämpliga marknadsföringsåtgärder ger inte ett avgränsat val.
Den fullständiga informationen enligt artikel 13 behöver också vara tillgänglig vid insamlingen. Den omfattar bland annat kontaktuppgifter, eventuell kontakt till dataskyddsombud, mottagare, relevanta överföringar utanför EES, lagringstid eller kriterier och tillämpliga rättigheter. Förklara särskilt återkallelsens verkan och rätten att klaga hos IMY. Organisationens organisationsnummer kan underlätta identifieringen, men är inte ett fristående obligatoriskt fält i varje samtyckesblankett enligt GDPR.
Håll valet åtskilt från allmänna avtalsvillkor. En länk till information kan komplettera en kort förklaring, men ska inte dölja det som är avgörande för beslutet. Att bekräfta att man läst informationen är inte samma sak som att samtycka. Undvik förkryssade rutor och knappar där ett och samma klick samtidigt innebär anmälan, betalning och godkännande av orelaterad reklam.
Dela upp olika ändamål när personen ska kunna välja dem separat. Antalet rutor beror på användningen, inte på ett visst lagstadgat formulärformat. Publicering i en intern deltagargrupp och en annons för en obegränsad publik kan få helt olika konsekvenser. Förklara dessa skillnader och ge relevanta val i stället för att lägga alla kanaler under en ospecificerad formulering om kommunikation.
Mall för fotosamtycke
Det här exemplet avser frivillig publicering av identifierbara bilder. Fyll i organisation, sammanhang, bestämda användningar och tidsperiod innan blanketten används. Kontrollera även regler utanför GDPR som kan vara relevanta för bildanvändningen. Exemplet behandlar inte särskilda undantag för exempelvis journalistiska ändamål.
Frivilligt val om bildpublicering
Personuppgiftsansvarig: [organisation och kontaktväg]. Vi vill använda [beskriv bilderna och tillfället] för följande ändamål. Markera bara det du godkänner:
☐ Jag samtycker till publicering på [angiven webbplats] för [avgränsat ändamål] under [period].
☐ Jag samtycker till publicering i [angiven kanal] för [separat beskrivet ändamål] under [period].
Det är frivilligt att välja, och ett nej påverkar inte [beskriv deltagandet eller tjänsten]. Jag kan återkalla mitt samtycke via [enkel kontaktväg]. Återkallelsen påverkar inte lagligheten av den behandling som redan skett med stöd av samtycket före återkallelsen. Information om bland annat mottagare, lagring och rättigheter finns i [bifogad information eller länk, version].
Namn eller annan tillräcklig identifiering: [fält]. Datum och val: [fält]. Underskrift eller dokumenterad digital bekräftelse: [metod].
Förklara före valet om publiceringen är öppen på internet och om en extern plattform är inblandad. Ange relevanta mottagare och hantera eventuella tredjelandsöverföringar separat. Att skriva namnet på en social plattform i blanketten gör inte alla dess användningar till organisationens egna eller undanröjer kraven på en rättslig bedömning.
Planera hur bilderna hittas efter en återkallelse. Om personen måste ange ett internt filnummer som bara fotografen känner till blir rutinen svår att använda. En kontaktperson kan i stället hjälpa till att identifiera den aktuella publiceringen. Begränsa vilka identitetsuppgifter som efterfrågas; en fullständig kopia av en identitetshandling är inte en självklar förutsättning för varje begäran.
När samtycket återkallas ska fortsatt behandling som bygger på det upphöra. Tidigare laglig behandling blir inte retroaktivt olaglig. Redan distribuerat tryckt material och kopior hos andra kan skapa särskilda praktiska frågor, men en formulering om att återkallelse aldrig påverkar publicering är för bred. Bedöm de faktiska åtgärderna och eventuella raderingsskyldigheterna, stoppa fortsatt samtyckesbaserad användning och informera ärligt om hanteringen.
Barn och den svenska 13-årsgränsen
Den svenska 13-årsgränsen är inte en allmän regel för alla fotografier eller alla typer av samtycke. Läs även översikten över dataskyddslagens tillämpning. 2 kap. 4 § dataskyddslagen gäller när informationssamhällets tjänster erbjuds direkt till ett barn som bor i Sverige och behandlingen stöds på barnets samtycke. Under 13 år krävs då samtycke eller godkännande från den som har föräldraansvar. Artikel 8 kräver rimliga ansträngningar för att kontrollera detta med hänsyn till tillgänglig teknik.
Utanför den situationen behöver barnets förmåga att förstå valet och följderna bedömas utifrån sammanhanget. IMY:s information till vårdnadshavare betonar förståelsen och konsekvenserna. Att barnet har fyllt 13 innebär därför inte automatiskt att varje publiceringssamtycke är giltigt. Informationen ska vara begriplig för barnet och hanteringen anpassas efter barnets situation.
Det finns också en särskild förklaring i skäl 38 till GDPR: förälders godkännande krävs inte för förebyggande tjänster eller rådgivning som erbjuds direkt till ett barn. EDPB:s slutliga samtyckesriktlinjer, punkt 150, anger att detta även kan omfatta en stödchatt på nätet. Blanda inte ihop denna avgränsning med en allmän rätt för alla verksamheter att bortse från artikel 8.
För skolor och förskolor måste dessutom skolans uppdrag skiljas från frivillig extern publicering. En gemensam blankett för skoladministration, fotografering och reklam gör skillnaden otydlig. Vid skyddade personuppgifter i skolan kan även till synes oskyldiga bilder avslöja plats eller sammanhang. Samtycke ersätter inte den riskbedömningen.
Mall för nyhetsbrev
När ett nyhetsbrev innebär elektronisk marknadsföring till en fysisk person behöver svenska regler om obeställd reklam beaktas utöver GDPR. Enligt 19–20 §§ marknadsföringslagen är huvudregeln för e-postmarknadsföring förhandssamtycke. En giltig adress för att begära att marknadsföringen upphör ska finnas i meddelandet; det kravet gäller även vid marknadsföring till juridiska personer.
Undantaget för egna likartade produkter kräver bland annat att adressen erhållits i samband med försäljning, att mottagaren inte motsatt sig användningen och att ett tydligt, enkelt och kostnadsfritt nej erbjuds både vid insamlingen och i varje efterföljande meddelande. Att någon tidigare varit kund är alltså inte tillräckligt. En GDPR-intresseavvägning undanröjer inte kraven i marknadsföringslagen.
Val om nyhetsbrev
☐ Jag vill få [organisationens] nyhetsbrev om [avgränsat innehåll] via e-post till [adress]. Utskicken sker [beskriv planerad omfattning]. Det är frivilligt, och jag kan när som helst avsluta prenumerationen genom länken i varje utskick eller via [kontaktväg].
[Organisation] är personuppgiftsansvarig. Läs [informationen, version eller länk] om användningen av adressen, mottagare, lagring och rättigheter. Ett nej påverkar inte [den separata beställningen eller tjänsten].
Använd inte samma ruta för nyhetsbrev och för att acceptera köpvillkor. Om andra företag ska få adressen för egen marknadsföring är det en annan användning som behöver bedömas och förklaras. En allmän hänvisning till partners ger inte ett konkret val. Kontrollera också om systemet samlar in öppnings- eller klickuppgifter; en prenumeration betyder inte automatiskt samtycke till varje ytterligare spårningsfunktion.
En bekräftelse via e-post kan hjälpa till att visa att rätt person använder adressen. GDPR kräver inte generellt en viss metod med dubbel bekräftelse för alla samtycken. Välj metod efter riskerna, dokumentera vad som faktiskt bekräftas och håll bevisningen proportionerlig. Ett tekniskt bekräftelsemejl kan inte reparera ett otydligt eller ofrivilligt val.
Mall för uttryckligt samtycke till hälsouppgifter
Hälsouppgifter är känsliga personuppgifter enligt artikel 9. Om samtycke används som undantag enligt artikel 9.2 a ska det vara uttryckligt. Kontrollera först att samtycke kan användas i situationen och att ingen tillämplig lag hindrar att förbudet hävs på det sättet. Vårdverksamhet kan ha andra grunder och skyldigheter än en frivillig fritidsaktivitet.
Uttryckligt samtycke för ett angivet ändamål
Jag samtycker uttryckligen till att [organisation] behandlar [precisera hälsouppgifterna] för att [konkret och avgränsat ändamål]. Uppgifterna används av [ange funktioner och relevanta mottagare] och sparas [period eller tydliga kriterier].
Samtycket är frivilligt. Om jag avstår gäller [beskriv den faktiska följden och eventuella alternativ]. Jag kan återkalla samtycket via [enkel kontaktväg]. Återkallelsen påverkar inte lagligheten av tidigare behandling som skett med stöd av samtycket. Fullständig information finns i [bifogad information eller länk, version].
Mitt uttryckliga val: [aktiv bekräftelse]. Tillräcklig identifiering och datum: [fält].
Välj inte fler hälsouppgifter än ändamålet behöver. En arrangör som ska anpassa en måltid kan behöva en viss uppgift om allergi, men vanligen inte deltagarens diagnoshistorik. Pröva fälten med matrisen för uppgiftsminimering. När samtycke kombineras med en enkät bör också frågor och fritextfält granskas, så att blanketten inte ger sken av kontroll över en onödigt omfattande insamling.
Den uttryckliga viljeförklaringen kan vara digital. EDPB:s riktlinjer beskriver en lösning med tydlig samtyckestext och aktiva ja- och nejval. Det finns inget generellt förbud mot kryssrutor för uttryckligt samtycke. Däremot behöver texten uttrycka själva godkännandet av den känsliga behandlingen; en ruta som bara säger att personen är införstådd med informationen fyller inte samma funktion.
Bevisa valet och genomför återkallelsen
Spara tillräckliga uppgifter för att visa vem som samtyckte, när, till vilket ändamål och genom vilken aktiv handling. Bevara även den text och information som visades vid tillfället. En tidsstämpel utan koppling till en version av blanketten visar inte vad personen godkände. Samtidigt ger bevisbördan ingen rätt att samla onödiga identitetsuppgifter eller behålla all dokumentation utan tidsgräns.
Bestäm ansvar för pappersblanketter, digitala formulär och återkallelser. En organisation med flera avdelningar behöver kunna föra ett återkallat val vidare till berörda system och mottagare. Det ska vara lika enkelt att återkalla som att lämna samtycke. Om samtycket gavs genom ett enkelt digitalt val bör återkallelsen inte kräva ett rekommenderat brev eller ett personligt besök.
Knyt processen till registerförteckningen och gallringsrutinen. Den rättsliga grunden är värdefull dokumentation även om den inte uttryckligen räknas upp bland artikel 30:s registerfält. Begränsad bevisning eller en spärruppgift kan ibland behöva finnas kvar för en separat, dokumenterad grund. Det innebär inte att organisationen får fortsätta den marknadsföring som personen har stoppat.
Om ett samtycke återkallas får organisationen inte i efterhand använda berättigat intresse som en obemärkt reservgrund för samma behandling. Den rättsliga bedömningen ska göras från början och informationen vara korrekt. När ändamål eller väsentliga förutsättningar ändras behöver giltigheten bedömas på nytt; ett nytt ändamål kan kräva ett nytt specifikt samtycke.
Vid val av ett digitalt verktyg bör organisationen kontrollera hur textversioner, separata ändamål och återkallelser faktiskt hanteras. Genomgången av samtyckesplattformar är en ingång till verktygsfrågorna. Ett verktyg avgör inte om samtycket är frivilligt eller om ändamålet är lagligt. Det ansvaret ligger kvar hos den personuppgiftsansvariga.
Pröva blanketten i ett verkligt arbetsflöde
Anta att en idrottsförening ordnar ett läger och vill använda en enda anmälningssida för deltagande, allergier, fotografier och framtida nyhetsbrev. Uppgifterna behövs för olika ändamål, och följderna av ett nej skiljer sig åt. Börja med att identifiera vilka uppgifter som är nödvändiga för administrationen och vilken grund som faktiskt gäller för dem. Ge sedan separata val för den publicering och marknadsföring som verkligen är frivillig.
För allergiuppgifterna behöver föreningen först bedöma om ett mindre omfattande alternativ fungerar och vilket artikel 9-undantag som kan användas. Informationen ska beskriva om uppgifterna lämnas till köket och vem som kan se dem i anmälningssystemet. En ledare som bara behöver en närvarolista ska inte automatiskt få tillgång till hela hälsobeskrivningen. Samtyckesblanketten och behörigheterna måste alltså utformas tillsammans.
Kontrollera därefter en återkallelse från början till slut. Om en deltagare säger nej till fortsatt bildpublicering behöver den ansvariga kunna skilja det från en avanmälan från lägret. Om personen bara avslutar nyhetsbrevet ska viktiga praktiska meddelanden om den bokade aktiviteten inte försvinna av misstag. Separata ändamål i dokumentationen gör det möjligt att verkställa personens verkliga val utan att stoppa orelaterad, rättsligt grundad behandling.
Gör slutligen en genomgång från deltagarens perspektiv. Syns alla val på en mobilskärm? Kan informationen läsas innan man markerar en ruta? Fungerar en skärmläsare, och går det att välja nej utan att formuläret visar ett fel? En underskrift längst ned hjälper inte om utformningen i praktiken tvingar fram ett ja. Dokumentera det val som faktiskt görs, inte en förinställd status som systemet sätter när anmälan sparas.
När någon annan samlar in samtycket
Om en extern arrangör, återförsäljare eller formulärleverantör samlar in samtycke för er räkning behöver ni fortfarande kunna visa att det täcker er behandling. Kontrollera vilken organisation som namnges, vilka ändamål som anges och hur beviset överförs. En uppgift i en inköpt kontaktlista om att personen har accepterat partners kommunikation visar inte i sig att ett giltigt samtycke finns för era utskick.
Kom också överens om hur återkallelser når er och vilka kopior som får finnas kvar. Om uppgifter kommer från någon annan kan informationsskyldigheten enligt artikel 14 aktualiseras. Att leverantören uppger att samtycke finns undanröjer inte den bedömningen. Avvisa underlag som inte går att koppla till den aktuella personen, textversionen och användningen, och utred orsaken innan behandlingen påbörjas.
Vanliga frågor
Måste blanketten vara skriftlig?
GDPR kräver inte alltid skriftligt samtycke eller en underskrift. Organisationen måste däremot kunna visa ett giltigt val. Skriftliga eller digitalt dokumenterade förklaringar kan underlätta bevisningen. Särskilda nationella regler för en viss situation kan ställa ytterligare krav.
Hur länge gäller samtycket?
Det finns ingen generell giltighetstid i GDPR. Giltigheten beror bland annat på ändamål, information och omständigheter. Kontrollera om förutsättningarna fortfarande motsvarar det ursprungliga valet, och respektera en återkallelse. En intern årlig kontroll är en möjlig rutin, inte en universell lagstadgad förnyelsefrist.
Måste alla under 13 år ha vårdnadshavares underskrift för fotografier?
13-årsgränsen avser den särskilda situationen med informationssamhällets tjänster direkt till barn och samtyckesbaserad behandling. Andra bildsituationer kräver en bedömning av bland annat förståelse, mognad och tillämpliga regler. Blanketten ska därför inte använda 13 år som en generell gräns för all fotografering eller publicering.
Kan återkallelse göras genom ett vanligt mejl?
Ja, en tydlig begäran behöver inte avvisas för att den kommit via en annan fungerande kontaktväg än organisationens formulär. Säkerställ vem och vilken behandling det gäller på ett proportionerligt sätt. Bekräfta hanteringen och se till att begäran når dem som faktiskt kan stoppa användningen.