Gyldig samtykke etter GDPR er frivillig, spesifikt, informert og utvetydig. Personen må foreta en aktiv handling, virksomheten må kunne dokumentere samtykket, og det skal være like enkelt å trekke det tilbake som å gi det. En tom avkrysningsboks er bare ett mulig virkemiddel. Om samtykket er gyldig avhenger også av informasjonen, valgfriheten og hva systemene faktisk gjør.
Denne guiden viser hvordan vilkårene i artikkel 4 nr. 11 og artikkel 7 brukes på konkrete situasjoner. Eksemplene er hypotetiske forslag til vurdering og tekst, ikke ferdige løsninger som automatisk er lovlige. GDPR gjelder i Norge gjennom personopplysningsloven. Begynn alltid med å avklare om samtykke er et egnet grunnlag for akkurat den behandlingen dere planlegger.
De fire vilkårene for gyldig samtykke
Frivillighet krever et reelt valg. Personen må kunne si nei eller trekke samtykket tilbake uten urimelig press eller negative konsekvenser. Hvis en tjeneste gjøres avhengig av samtykke til behandling som ikke er nødvendig for tjenesten, må dette vurderes særlig kritisk etter artikkel 7 nr. 4. Skjeve maktforhold kan gjøre det vanskelig å sannsynliggjøre frivillighet.
Spesifisitet betyr at formålet må være avgrenset og forståelig. «Forbedre tjenester og samarbeide med partnere» kan dekke svært forskjellige aktiviteter. Skill uavhengige formål og gi valg som svarer til dem. Det er ikke antall avkrysningsbokser som er avgjørende, men om personen faktisk kan forstå og velge mellom behandlingene virksomheten ønsker å gjennomføre.
Informasjon må gis før valget. Personen trenger blant annet å vite hvem som behandler opplysningene, hvilke opplysninger samtykket gjelder, hva de skal brukes til og hvordan samtykket kan trekkes tilbake. Relevant informasjon om særlige behandlingsmåter må også gis. En lenke til en lang personvernerklæring erstatter ikke en tydelig forklaring ved selve valget.
Utvetydighet krever en klar bekreftende handling. Stillhet, passivitet og forhåndsavkryssede bokser viser ikke et slikt valg. Samtykke kan likevel gis på flere måter enn skriftlig, forutsatt at handlingen er tydelig i sammenhengen og kan dokumenteres. Et klikk på «neste» er ikke automatisk samtykke dersom knappen samtidig brukes til å fortsette en bestilling.
Datatilsynets veiledning om samtykke beskriver disse vilkårene og peker på behovet for dokumentasjon og enkel tilbaketrekking. Personvernrådets retningslinjer 05/2020 gir ytterligere fortolkning. Lovteksten og den konkrete situasjonen er utgangspunktet; veiledning er ikke en godkjenning av et bestemt skjema.
Når er samtykke feil grunnlag?
Samtykke er ett av flere behandlingsgrunnlag etter artikkel 6. En nettbutikk kan for eksempel behandle nødvendige leveringsopplysninger for å oppfylle en avtale, mens frivillig markedsføring må vurderes separat. Det blir misvisende å spørre kunden om lov til en behandling virksomheten faktisk må gjennomføre for å oppfylle en rettslig plikt.
Velg grunnlaget før opplysningene samles inn. Hvis virksomheten vil fortsette den samme behandlingen uansett om personen sier nei, er et samtykkespørsmål sannsynligvis feil løsning. En annen hjemmel må vurderes på egne vilkår, ikke brukes som en skjult reserve dersom personen trekker samtykket tilbake. Berettiget interesse krever blant annet nødvendighetsvurdering og interesseavveining.
Det er samtidig mulig at de samme opplysningene behandles for flere tydelig adskilte formål med forskjellige grunnlag. En e-postadresse kan brukes til å bekrefte en ordre og, med gyldig samtykke der dette er valgt, til et nyhetsbrev. Tilbaketrekking for nyhetsbrevet stanser ikke nødvendigvis nødvendig ordrekommunikasjon. Forskjellen må fremgå av både informasjonen og systemenes behandling.
Eksempler på riktig og feil samtykke
Nyhetsbrev: skill bestillingen fra markedsføringen
Et dårlig eksempel er en forhåndsavkrysset boks ved betaling med teksten «Jeg godtar vilkår og nyheter». Kunden må aktivt reservere seg, og aksept av kontrakten blandes med markedsføring. At informasjonen om nyhetsbrevet står nederst i vilkårene, løser ikke mangelen på et selvstendig og aktivt valg.
Et bedre utgangspunkt er en tom boks: «Ja, jeg ønsker e-post fra Fjordbutikken AS om nye varer og tilbud. Jeg kan melde meg av via lenken i hver utsendelse.» Firmaet er hypotetisk. I den virkelige løsningen må formålet stemme med utsendelsene, relevant informasjon være tilgjengelig og bestillingen kunne fullføres uten samtykke. Teksten alene dokumenterer ikke at hele prosessen er riktig.
Elektronisk markedsføring må dessuten vurderes etter markedsføringslovens egne regler, inkludert eventuelle vilkår for eksisterende kundeforhold. Et GDPR-grunnlag er ikke automatisk tillatelse til enhver markedsføringskanal. Hvis virksomheten baserer seg på samtykke, bør den kunne vise hvilken kanal og hvilket formål personen valgte, slik at en e-posttillatelse ikke uten videre blir brukt til SMS.
Når kunden melder seg av, kontroller at avslaget når alle utsendelseslister og eventuelle leverandører. En ny import av gamle kundeopplysninger må ikke reaktivere valget. En begrenset sperreliste kan være nødvendig for å respektere et nei, men trenger en egen vurdering av formål, opplysninger og lagring. Se også protest mot direkte markedsføring.
Profilering og deling: egne bokser kan fortsatt være for vage
Teksten «Del med utvalgte partnere» blir ikke tilstrekkelig informert bare fordi den får en egen boks. Personen må forstå hvilke aktører og hvilke formål samtykket gjelder. Hvis andre behandlingsansvarlige skal basere seg på samtykket, er identiteten deres relevant. En åpen partnerkategori som stadig endres kan ikke uten videre brukes som tillatelse til alle fremtidige mottakere.
Et bedre design beskriver den konkrete analysen: hvilke opplysninger brukes, hvilket resultat lages og hvem bruker resultatet. Skill for eksempel mellom et enkelt nyhetsbrev og en analyse som kombinerer kjøpshistorikk med aktivitet på nettstedet for å velge tilbud. Hvis dere ikke kan forklare forskjellen kort og presist, bør formålsbeskrivelsen gjennomgås før teksten publiseres.
I et hypotetisk kundeklubbprosjekt ønsker markedsavdelingen både utsendelser og individuell profilering. Kunden får velge utsendelser uten profilering. Systemansvarlig kontrollerer deretter at det faktisk er mulig: profilen skal ikke opprettes før riktig valg foreligger, og tilbaketrekking må stoppe fremtidig profilering. To bokser som ender i samme tekniske «ja» oppfyller ikke dette målet.
Spørreundersøkelse og senere kontakt
En virksomhet sender en spørreundersøkelse og ønsker å invitere enkelte deltakere til et intervju. Formålet med intervjuinvitasjonen bør skilles fra behandlingen av svarene. Vurder om undersøkelsen kan være anonym, om kontaktinformasjon kan lagres separat, og hvilket grunnlag hver behandling krever. Ikke samle inn identitet bare for å kunne registrere et samtykke som ikke er nødvendig.
Et eksempel på en egen valgmulighet er «Dere kan kontakte meg på e-post for å spørre om jeg vil delta i et oppfølgingsintervju om denne undersøkelsen». Forklar hvem «dere» er, hva kontakten innebærer og når kontaktlisten slettes. Et slikt valg innebærer ikke automatisk samtykke til opptak av intervjuet, offentlig publisering eller kontakt om et annet prosjekt.
Særlige kategorier: uttrykkelig samtykke er ikke alltid påkrevd
For helseopplysninger og andre særlige kategorier etter artikkel 9 trengs både et behandlingsgrunnlag etter artikkel 6 og et relevant unntak fra forbudet i artikkel 9. Uttrykkelig samtykke er ett mulig unntak. Det er feil å si at helseopplysninger alltid krever slikt samtykke; nødvendig helsehjelp kan ha andre lovlige grunnlag og egne dokumentasjonsplikter.
Et generelt klinikkskjema med teksten «Jeg samtykker til behandling av alle helseopplysninger» er derfor et svakt eksempel. Det kan skape inntrykk av at lovpålagt journalføring stanser ved tilbaketrekking. Avklar først hvilken behandling som faktisk er frivillig og hvilken som følger av helserettslige plikter. Samtykke til helsehjelp og GDPR-samtykke er heller ikke nødvendigvis samme rettslige spørsmål.
Hvis en organisasjon faktisk velger uttrykkelig samtykke for en frivillig behandling, bør erklæringen tydelig angi opplysningene og formålet. Et mulig eksempel er et avgrenset, frivillig prosjekt der deltakeren uttrykkelig godkjenner bruk av bestemte selvrapporterte helseopplysninger til en beskrevet analyse. Prosjektet må fortsatt avklare frivillighet, artikkel 6, sikkerhet, lagring og eventuell lovgivning som begrenser samtykkeadgangen.
Arbeidsforhold og offentlige tjenester
Arbeidstakere kan oppleve at et nei får konsekvenser for forholdet til lederen, selv om skjemaet sier «frivillig». Behandling som er nødvendig for lønn, bemanning eller lovpålagte oppgaver bør vurderes på andre aktuelle grunnlag. Et samlet samtykke i arbeidsavtalen er ikke en løsning på alle senere personvernspørsmål.
Det finnes situasjoner der samtykke kan fungere i et arbeidsforhold, men virksomheten må kunne vise reell valgfrihet. Ved et frivillig portrett til en ekstern kampanje bør en ansatt kunne si nei uten å måtte forklare seg til hele teamet, og en alternativ løsning bør være mulig. Vurder også hva tilbaketrekking betyr når materiale allerede er publisert eller distribuert.
Offentlige myndigheter må på samme måte være oppmerksomme på avhengighetsforhold. En innbygger som søker en nødvendig tjeneste kan vanskelig oppfatte en obligatorisk samtykkeboks som et fritt valg. Forklar riktig behandlingsgrunnlag og rettigheter i stedet for å be personen godkjenne selve myndighetsutøvelsen. Et frivillig tillegg må vurderes separat fra den nødvendige tjenesten.
Hva krever dokumentasjon av samtykke?
Artikkel 7 nr. 1 pålegger den behandlingsansvarlige å kunne påvise samtykket. Det er nyttig å dokumentere hvilken identifikator som knytter valget til personen, tidspunktet, formålet, hvordan valget ble gitt og hvilken informasjonsversjon som var tilgjengelig. Oppbevar også versjoner av skjema og tekst, slik at en senere endring ikke overskriver beviset for det tidligere valget.
En databaseverdi med bare «consent=true» kan være utilstrekkelig hvis virksomheten ikke kan forklare hva verdien representerer. Var boksen forhåndsavkrysset? Ble valget importert fra et annet system? Gjelder det ett bestemt nyhetsbrev eller flere formål? Dokumentasjonen må kunne besvare slike spørsmål uten at dere må gjette ut fra dagens brukergrensesnitt.
Samle samtidig ikke inn unødvendige opplysninger for å bevise samtykket. En full kopi av legitimasjon er normalt ikke et naturlig standardkrav ved påmelding til et nyhetsbrev. Vurder risiko, identifikasjonsbehov og alternative bevis. Knytt dokumentasjonen til relevant behandling i behandlingsprotokollen, uten å gjøre protokollen til en kopi av hele samtykkeregisteret.
Et praktisk kontrollpunkt er å velge noen registreringer og forsøke å gjenskape situasjonen de oppstod i. Kan dere vise teksten, handlingen og tilbaketrekkingsmuligheten på det tidspunktet? Hvis en leverandør har dokumentasjonen, kontroller at dere kan hente den ut og bevare nødvendig bevis ved leverandørbytte. En kontrakt som lover dokumentasjon er ikke det samme som en tilgjengelig eksport.
Tilbaketrekking av samtykke
Tilbaketrekking skal være like enkel som avgivelsen og mulig når som helst. Dersom samtykket gis i en app, bør brukeren kunne finne en praktisk måte å trekke det tilbake i samme sammenheng. Det skal ikke kreves et brev eller en telefon i begrenset åpningstid bare fordi virksomheten foretrekker det. Informer om retten før samtykket gis.
Tilbaketrekking stanser fremtidig behandling som bygger på samtykket. Den endrer ikke lovligheten av tidligere behandling som faktisk var lovlig. Et ugyldig samtykke blir derimot ikke gyldig i ettertid. Dersom andre klart avgrensede formål har selvstendig grunnlag, må dere forklare hvilke opplysninger som fortsatt behandles for disse, uten å skifte grunnlag i det skjulte for samme samtykkebaserte aktivitet.
Sletting etter artikkel 17 kan bli aktuelt når samtykket trekkes tilbake og det ikke finnes annet grunnlag for behandlingen. Vurder også om en begrenset dokumentasjon av det tidligere samtykket fortsatt må beholdes for ansvarlighet eller konkrete rettskrav. Dette trenger en egen nødvendighetsvurdering og lagringsfrist, ikke fortsatt bruk av hele datasettet.
Test tilbaketrekkingen gjennom hele kjeden. Går beskjed til e-postleverandør, analyseverktøy og eventuelle mottakere? Stopper en planlagt utsendelse som allerede ligger i kø? Hvem håndterer en telefonhenvendelse fra en person som ikke kommer inn på kontoen sin? Disse spørsmålene avdekker om retten virker i praksis, fremfor bare å finnes som en lenke.
Gjelder egne regler for barns samtykke?
For informasjonssamfunnstjenester som tilbys direkte til barn, når behandlingen bygger på samtykke, er den norske aldersgrensen 13 år etter personopplysningsloven § 5 og GDPR artikkel 8. Under grensen kreves samtykke eller godkjenning fra den som har foreldreansvar, og rimelige anstrengelser for å kontrollere dette. Regelen er avgrenset til denne situasjonen.
13 år er derfor ikke en generell myndighetsalder for alle personvernvalg. Behandling av skolebilder, deltakelse i forskning og tilgang til helsetjenester kan reise andre spørsmål. Ved bilder av barn i skole og barnehage må formål, publiseringskanal, barnets syn og relevante regler vurderes særskilt. Unngå at én aldersregel brukes som standardsvar på alle slike saker.
Barn trenger forståelig informasjon og valg som passer situasjonen. En lang juridisk tekst rettet mot voksne gir ikke nødvendigvis informert samtykke fra en trettenåring. Vurder også om alderskontrollen samler inn mer identitetsinformasjon enn nødvendig. Innebygd personvern bør redusere risikoen gjennom standardinnstillinger og begrensede data, også der et samtykke kan være gyldig.
Cookies og teknisk gjennomføring
Tilgang til og lagring av informasjon på brukerens utstyr må vurderes etter ekomlovens egne regler. Se cookies i Norge og ekomloven § 3-15. Ikke anta at en GDPR-vurdering alene avgjør hvilke skript som kan aktiveres før brukeren velger. Kartlegg hva som faktisk lastes inn, og hvilke funksjoner som bygger på et unntak.
En samtykkeplattform kan støtte innhenting og videreføring av valg, men et installert banner viser ikke alene at samtykket er gyldig. Undersøk om avslag og tilbaketrekking faktisk blokkerer de aktuelle behandlingene, også etter oppdatering av nettstedet. Kontroller versjon av informasjonen og hvordan valgene sendes til andre tjenester.
Ofte stilte spørsmål
Er en forhåndsavkrysset boks gyldig samtykke?
Nei, en forhåndsavkrysset boks dokumenterer ikke personens aktive bekreftelse. En tom boks er et mulig utgangspunkt, men resten av prosessen må også oppfylle kravene til frivillighet, informasjon og spesifisitet.
Kan man behandle ansattes opplysninger basert på samtykke?
Det kan være mulig i avgrensede situasjoner med reell valgfrihet, men maktforholdet gjør samtykke problematisk. Nødvendig personalbehandling skal vurderes ut fra riktig grunnlag. Et frivillig tilbud må ikke skjule konsekvenser for den som sier nei.
Hvordan trekker man tilbake et samtykke?
Virksomheten skal tilby en enkel og tilgjengelig fremgangsmåte og sørge for at tilbaketrekkingen får virkning i systemene. Den samtykkebaserte behandlingen skal stanse, mens eventuell videre behandling for andre formål må begrunnes og forklares separat.
Må samtykke fornyes med jevne mellomrom?
GDPR angir ingen felles utløpsdato. Vurder varighet opp mot formålet, informasjonen og personens rimelige forventninger. Et vesentlig nytt formål eller en endret behandling kan kreve nytt samtykke. Jevnlige påminnelser og gjennomganger kan støtte dette, men erstatter ikke en konkret vurdering.
Konklusjon
Et gyldig samtykke begynner med et valg virksomheten faktisk kan respektere. Beskriv formålet, gi forståelig informasjon, dokumenter handlingen og prøv tilbaketrekkingen gjennom hele dataflyten. Når valget ikke er reelt, må behandlingen eller grunnlaget vurderes på nytt før opplysninger samles inn.
Sist faglig gjennomgått: 27. september 2026. Formuleringene i eksemplene må tilpasses de faktiske formålene, systemene og relevante særreglene.