Samtyckeshantering enligt GDPR: krav, rutiner och bevis

Samtyckeshantering enligt GDPR handlar om att samla in, dokumentera, följa upp och respektera de samtycken ni bygger behandling av personuppgifter på. Ett samtycke gäller bara om det är frivilligt, specifikt, informerat och otvetydigt. Ni ska kunna visa vem som samtyckte, när, hur och till vad, och det ska vara lika lätt att återkalla samtycket som att lämna det. Lika viktigt är att samtycke ofta är fel rättslig grund. Därför börjar en bra samtyckeshantering med frågan om ni alls ska fråga om samtycke.

Kort sagt

• Samtycke passar när personen har ett verkligt val, till exempel ett nyhetsbrev. Vid maktobalans, som mellan arbetsgivare och anställd, är det oftast olämpligt.
• Kraven är fyra: frivilligt, specifikt för varje ändamål, informerat och otvetydigt genom en aktiv handling. Förifyllda rutor och tystnad räknas inte.
• Bevisbördan ligger på er. Spara vem, när, hur och vilken samtyckestext personen såg.
• Återkallelse ska vara lika enkel som samtycket. Den gör tidigare behandling inte olaglig, men behandlingen ska upphöra framåt.
• Samtycken har inget fast bäst före-datum, men de ska ses över med jämna mellanrum och när ändamålen ändras.

Innehållsförteckning

• Vad samtyckeshantering faktiskt omfattar
• När samtycke passar och när ni ska välja något annat
• De fyra kraven på ett giltigt samtycke
• Så bygger ni ett samtyckesflöde som håller
• Dokumentation och bevisbörda
• Återkallelse: lika enkelt som att samtycka
• Cookies och webbanalys
• Vanliga misstag som gör samtycket ogiltigt
• Rutiner för löpande översyn
• Så ser vi på samtyckeshantering
• Stöd för er samtyckeshantering
• Vanliga frågor om samtycke och GDPR
• Källor

Vad samtyckeshantering faktiskt omfattar

Många organisationer tänker på samtycke som en kryssruta. I praktiken är det en process med flera led som måste hänga ihop, och den spänner över juridik, systemstöd och verksamhet:

1. Beslut om rättslig grund. Ska behandlingen bygga på samtycke eller på något annat, till exempel avtal, rättslig förpliktelse eller intresseavvägning?
2. Inhämtning. Hur, var och med vilken text frågar ni?
3. Dokumentation. Hur sparar ni beviset för att samtycket lämnades?
4. Användning. Hur ser ni till att uppgifterna bara används för det ändamål personen sa ja till?
5. Återkallelse. Hur tar personen tillbaka sitt samtycke, och hur når den signalen alla system som behandlar uppgifterna?
6. Översyn. När frågar ni på nytt, och vem ansvarar för att texter och flöden stämmer med hur ni faktiskt behandlar uppgifterna?

Som IMY beskriver samtycke som rättslig grund betyder det att den registrerade har sagt ja till behandlingen. Det låter enkelt, men ett ja som inte går att belägga, som har gömts i allmänna villkor eller som inte går att dra tillbaka ger er ingen rättslig grund alls. Om samtycket är ogiltigt saknar behandlingen stöd, även om personen faktiskt klickade i något.

För en CISO eller CIO är det här lika mycket en fråga om dataflöden som om juridik. Samtyckesstatus är en attribut som måste följa med uppgiften genom CRM, marknadsföringsverktyg, analysplattformar och leverantörers system. Brister i den kedjan är den vanligaste orsaken till att en i övrigt korrekt samtyckestext ändå inte håller.

När samtycke passar och när ni ska välja något annat

Samtycke är bara en av flera rättsliga grunder, och ingen är finare än någon annan. IMY nämner insamling av adresser för nyhetsbrev som ett typexempel där samtycke fungerar, men påpekar också att samtycke ofta är olämpligt när den registrerade inte har ett verkligt val.

Tumregeln: om ni skulle behandla uppgifterna även om personen säger nej, ska ni inte fråga om samtycke. Att be om ett ja som inte går att avböja är vilseledande, och om personen sedan återkallar står ni utan grund för något ni ändå behöver göra.

Arbetsgivarsituationen är den klassiska fällan. Enligt EDPB:s vägledning om laglig behandling ska den registrerade kunna vägra eller återkalla utan negativa konsekvenser, och en maktobalans kan göra samtycke olämpligt. En anställd som får frågan av sin chef har sällan ett helt fritt val. HR-processer bör därför nästan alltid bygga på andra grunder, och där samtycke ändå används, till exempel för bilder i extern kommunikation, måste ett nej vara helt utan följder.

Om ni landar i att intresseavvägning är rätt grund behöver ni kunna visa hur ni kom fram till det. Vår genomgång av en revisionsbar intresseavvägning enligt GDPR visar hur ni dokumenterar bedömningen.

De fyra kraven på ett giltigt samtycke

EDPB och IMY beskriver samma fyra krav. Alla måste vara uppfyllda samtidigt.

Frivilligt

Personen ska kunna säga nej utan att förlora något hon annars hade fått. Att göra samtycke till en förutsättning för en tjänst som inte behöver uppgifterna är inte frivilligt. Samma sak gäller när samtycket buntas ihop med köpvillkoren.

Specifikt

Varje ändamål kräver sitt eget samtycke. “Vi använder dina uppgifter för marknadsföring, analys och utveckling” i en och samma ruta räcker inte. Personen ska kunna säga ja till nyhetsbrevet men nej till profilering.

Informerat

Personen ska veta vem som är personuppgiftsansvarig, vad uppgifterna ska användas till och att samtycket kan återkallas. Texten ska vara begriplig för målgruppen, inte för juristen som skrev den.

Otvetydigt

Det krävs en aktiv handling. IMY slår fast att tystnad, inaktivitet och förifyllda kryssrutor inte ger ett giltigt samtycke. Att fortsätta scrolla eller stänga en ruta är alltså inte ett ja. För en jämförelse av hur passivitet och förifyllda rutor bedöms i olika typer av formulär, från kontaktformulär till kamerabevakning, går det att läsa mer om en integritetspolicy för småföretag.

Särskilt om barn

När samtycke gäller informationssamhällets tjänster, till exempel appar och onlinetjänster, måste barnet enligt SKR:s vägledning om samtyckestexter ha fyllt 13 år för att samtycka själv. Annars krävs samtycke från vårdnadshavare. SKR råder också organisationer att rådfråga jurist när det är oklart om ett samtycke från en underårig håller. Skolor, idrottsföreningar och tjänster riktade till unga bör ha en uttalad rutin för ålderskontroll.

Så bygger ni ett samtyckesflöde som håller

Ett robust flöde ser ungefär likadant ut oavsett om det gäller ett webbformulär, en app eller ett pappersformulär vid ett event:

1. Kartlägg ändamålen. Lista varje ändamål som bygger på samtycke och koppla det till registret över behandlingar.
2. Skriv en text per ändamål. Kort, konkret och utan juridiska omskrivningar. Ange vem ni är och hur man återkallar.
3. Separera från villkoren. IMY betonar att samtyckesfrågan ska hållas åtskild från övriga avtalsvillkor, så att den inte blir en obligatorisk del av avtalet.
4. Kräv en aktiv handling. Tomma kryssrutor, tydliga knappar och lika framträdande ja- och nej-alternativ.
5. Versionera texten. Varje ändring av samtyckestexten får ett versionsnummer och ett datum.
6. Logga händelsen. Spara identitet, tidpunkt, kanal och textversion i samma ögonblick som personen agerar.
7. Synka nedströms. Samtyckesstatus ska följa med till alla system och biträden som behandlar uppgifterna.
8. Testa återkallelsen. Kontrollera att ett nej faktiskt stoppar utskick och behandling i alla led.

Punkt 7 är den som oftast fallerar i större organisationer. Om ett e-postverktyg eller en analysleverantör inte får signalen om återkallelse fortsätter behandlingen utan grund. Därför bör samtyckeshantering ingå när ni granskar biträden, se vår guide om leverantörsbedömning enligt GDPR.

Dokumentation och bevisbörda

Det är ni som ska kunna visa att samtycket är giltigt, inte den registrerade som ska visa motsatsen. Enligt IMY bör ni dokumentera vem som har samtyckt, när, hur och vilken information personen fick. SKR lyfter fram att ett internt system som lagrar samtyckestexter och tidpunkten för den aktiva handlingen gör det betydligt enklare att uppfylla bevisbördan.

Spara inte bara en flagga i databasen som säger “samtycke: ja”. Utan textversionen kan ni inte visa vad personen faktiskt sa ja till, och om texten har ändrats sedan dess faller beviset. Bestäm också hur länge loggen ska sparas. Bevis om ett samtycke behövs så länge behandlingen pågår och en tid därefter, men loggen är själv personuppgifter och omfattas av samma principer om lagringsminimering. Hur en tydlig policy för bevarande och gallring av dokumentation kan se ut beskrivs i en guide om policy för dokumentbevarande.

Begränsa dessutom vem som kan ändra i samtyckesloggen. En logg som vem som helst kan redigera är svag som bevis. Vår artikel om accesshantering och GDPR går igenom hur ni styr behörigheter.

Återkallelse: lika enkelt som att samtycka

EDPB är tydlig med att det ska vara lika lätt att återkalla ett samtycke som att lämna det, och att ni ska informera om möjligheten. Om samtycket gavs med ett klick ska det gå att ta tillbaka med ett klick, inte genom ett brev till kundtjänst eller en inloggning som personen aldrig har skapat.

Återkallelsen påverkar inte lagligheten i den behandling som skedde innan. Däremot ska behandling som bygger på samtycket upphöra från och med återkallelsen. Det betyder inte automatiskt att alla uppgifter ska raderas: uppgifter som ni har en annan grund för, till exempel bokföringskrav, kan ligga kvar. Uppgifter som bara behandlades med stöd av samtycket bör däremot raderas eller anonymiseras om ni inte har någon annan grund. Reglerna för när radering krävs går vi igenom i artikeln om rätten att bli glömd.

Praktiska tecken på en fungerande återkallelse:

• en avregistreringslänk i varje utskick som fungerar utan inloggning
• ett inställningscenter där varje ändamål kan slås av separat
• en intern rutin för återkallelser som kommer via telefon, mejl eller i butik
• en kontroll av att signalen når biträden och integrerade system

Cookies och webbanalys

För webbplatser är samtycke vardag. Cookies och liknande tekniker för analys och marknadsföring kräver i regel ett samtycke från besökaren, och det samtycket bedöms med samma krav som i GDPR: frivilligt, specifikt, informerat och otvetydigt. Därför gäller samma grundprinciper för en cookieruta som för ett formulär:

• Inga icke nödvändiga cookies ska sättas innan besökaren har valt.
• Att avböja ska vara lika enkelt och lika synligt som att godkänna.
• Analys, marknadsföring och personalisering ska kunna väljas var för sig.
• Det ska gå att ändra sitt val senare, till exempel via en länk i sidfoten.
• Valet ska loggas med tidpunkt och version av cookietexten.

Vanliga brister är knappar där “Godkänn alla” är stor och färgad medan “Avböj” är en grå textlänk, eller att taggar laddas innan bannern ens har visats. Analysverktyg från tredje part kräver också att ni har koll på vart uppgifterna överförs och vilken roll leverantören har. Hur reglerna slår igenom i olika kanaler, från e-post till annonser, beskriver vi i marknadsföring och GDPR. En översikt över hur GDPR tillämpas i webbmiljön, med fokus på formulär och kryssrutor, finns också i en guide om GDPR i webbmiljön.

Vanliga misstag som gör samtycket ogiltigt

IMY pekar ut tre återkommande fel: förifyllda rutor, paketering av samtycket i allmänna villkor och krångliga sätt att återkalla. I våra uppdrag ser vi dessutom ofta:

• Samtycke som reservgrund. Organisationen frågar om samtycke “för säkerhets skull” trots att behandlingen bygger på avtal. När personen återkallar blir det oklart vad som gäller.
• Ett samtycke för många ändamål. En ruta som täcker både nyhetsbrev, profilering och delning med partner.
• Ingen textversion sparad. Det finns en tidsstämpel men ingen kopia av vad personen såg.
• Ändamålsglidning. Uppgifter som samlades in för ett nyhetsbrev börjar användas för riktad annonsering.
• Återkallelsen stannar i ett system. Kunden avregistreras i CRM men finns kvar i en annonsplattform.

Följden är densamma i alla fall: behandlingen saknar rättslig grund. Det kan innebära att ni måste stoppa en kampanj, radera en databas som byggts upp under flera år och hantera klagomål till tillsynsmyndigheten.

Rutiner för löpande översyn

GDPR anger ingen tidsgräns för hur länge ett samtycke gäller. IMY rekommenderar ändå att samtycken förnyas med lämpliga mellanrum beroende på sammanhanget, och att metoderna granskas löpande och uppdateras vid förändringar. En rimlig rutin:

• Vid varje ny behandling: pröva rättslig grund innan ni bygger formuläret.
• Vid ändrade ändamål: fråga om nytt samtycke, det gamla täcker inte det nya.
• Årligen: stickprov i loggen, test av återkallelse i alla kanaler och genomgång av cookieinställningar.
• Vid systembyte: säkerställ att samtyckeshistoriken flyttas med, inklusive textversioner.

Om behandlingen gäller känsliga uppgifter, barn eller storskalig profilering kan en konsekvensbedömning behövas. Vår DPIA-rapportmall ger en struktur att utgå från.

Så ser vi på samtyckeshantering

Den vanligaste frågan vi får är inte hur en samtyckestext ska formuleras, utan varför ett samtycke som någon faktiskt har lämnat inte håller vid en granskning. Svaret ligger nästan alltid i kedjan efter klicket: textversionen sparades inte, återkallelsen nådde inte alla system eller uppgifterna användes till mer än det personen sa ja till.

Vår erfarenhet är att de organisationer som lyckas behandlar samtycke som en datapunkt med livscykel, inte som en ruta i ett formulär. De har ett ställe där samtyckesstatus lever, de vet vilka system som läser den och de har en ägare som ansvarar för att texterna stämmer med verkligheten.

Vi ser också att många skulle må bra av att använda samtycke mer sällan. När vi går igenom en verksamhets behandlingar visar det sig ofta att en stor del av samtyckena borde ha byggt på avtal eller intresseavvägning. Att byta grund där det är motiverat gör samtyckeshanteringen mindre, tydligare och lättare att försvara, och de samtycken som finns kvar blir äkta val för den registrerade.

— Jesper

Stöd för er samtyckeshantering

Vi hjälper organisationer att gå från spridda kryssrutor till en samtyckeshantering som går att visa upp. I en GDPR-granskning går vi igenom era rättsliga grunder, samtyckesflöden, dokumentation och återkallelserutiner och ger en prioriterad åtgärdslista. Behöver ni löpande stöd kan vi ta rollen som externt dataskyddsombud eller privacy counsel genom våra rådgivnings- och konsulttjänster.

För att hålla ordning på behandlingar, rättsliga grunder och dokumentation över tid har vi utvecklat GRC-plattformen Trustview, byggd av jurister och experter. Vill ni att medarbetarna förstår varför samtycket måste vara rätt från början har vi även utbildningar i GDPR för både anställda och HR.

Vanliga frågor om samtycke och GDPR

Hur länge gäller ett samtycke enligt GDPR?

Det finns ingen fast tidsgräns i GDPR. IMY rekommenderar att samtycket förnyas med lämpliga mellanrum beroende på sammanhanget. Ändras ändamålet krävs ett nytt samtycke direkt.

Räcker det med en kryssruta i användarvillkoren?

Nej. Samtycket ska hållas åtskilt från övriga villkor och kräva en egen aktiv handling. Om det paketeras i villkoren är det inte frivilligt och därmed inte giltigt.

Kan vi använda samtycke för personaluppgifter?

Sällan. Maktobalansen mellan arbetsgivare och anställd gör att samtycket ofta inte anses frivilligt. Lön, personalregister och liknande bygger normalt på avtal eller rättslig förpliktelse.

Måste vi radera uppgifterna när någon återkallar sitt samtycke?

Behandling som bygger på samtycket ska upphöra, och uppgifter som bara fanns med stöd av det bör raderas om ni saknar annan grund. Uppgifter som ni måste spara av andra skäl, till exempel bokföring, får ligga kvar för just det ändamålet.

Vad behöver vi spara för att kunna bevisa ett samtycke?

Vem som samtyckte, när, hur det gick till och exakt vilken text och vilka ändamål personen såg. Spara även återkallelser med tidpunkt, och se till att loggen inte kan ändras i efterhand.

Källor

• IMY: Samtycke som rättslig grund
• EDPB: Behandla personuppgifter på ett lagligt sätt
• SKR: Samtyckestext, modellavtal

Rekommendationer

• Accesshantering och GDPR: så styr du vem som når personuppgifter
• Vilka GDPR-krav måste ditt företag uppfylla?
• Behandlingsregister enligt GDPR: krav och praktisk uppbyggnad
• Leverantörsbedömning enligt GDPR: så granskar ni biträden