{"id":8630,"date":"2026-10-31T01:30:42","date_gmt":"2026-10-31T00:30:42","guid":{"rendered":"https:\/\/evertrust.se\/samtyckeshantering-gdpr\/"},"modified":"2026-10-31T01:30:43","modified_gmt":"2026-10-31T00:30:43","slug":"samtyckeshantering-gdpr","status":"publish","type":"post","link":"https:\/\/evertrust.se\/en\/samtyckeshantering-gdpr\/","title":{"rendered":"Samtyckeshantering enligt GDPR: krav, rutiner och bevis"},"content":{"rendered":"<\/p>\n<p>Samtyckeshantering enligt GDPR handlar om att samla in, dokumentera, f\u00f6lja upp och respektera de samtycken ni bygger behandling av personuppgifter p\u00e5. Ett samtycke g\u00e4ller bara om det \u00e4r frivilligt, specifikt, informerat och otvetydigt. Ni ska kunna visa vem som samtyckte, n\u00e4r, hur och till vad, och det ska vara lika l\u00e4tt att \u00e5terkalla samtycket som att l\u00e4mna det. Lika viktigt \u00e4r att samtycke ofta \u00e4r fel r\u00e4ttslig grund. D\u00e4rf\u00f6r b\u00f6rjar en bra samtyckeshantering med fr\u00e5gan om ni alls ska fr\u00e5ga om samtycke.<\/p>\n<div data-blg-cta=\"after_tldr\" data-blg-cta-layout=\"split\" style=\"margin:28px 0;font-family:-apple-system, BlinkMacSystemFont, &apos;Segoe UI&apos;, Roboto, Helvetica, Arial, sans-serif\">\n<div style=\"border-radius:26px;padding:min(22px,3.2vw);background:radial-gradient(circle at 100% 0%,#d9ebd8 0 150px,rgba(255,255,255,0) 151px),radial-gradient(circle at 0% 100%,#d9ebd8 0 130px,rgba(255,255,255,0) 131px),linear-gradient(180deg,#e6f2e5 0%,#f2f8f2 100%)\">\n<div style=\"background:#ffffff;border-radius:18px;overflow:hidden\">\n<div style=\"display:flex;flex-wrap:wrap\">\n<div style=\"flex:1 0 36%;min-width:220px;padding:30px 76px 30px 26px;color:#ffffff;background:linear-gradient(104deg,#164613 0%,#0d2a0b 82%,rgba(0,0,0,0) 82.15%)\">\n<div style=\"margin:0 0 14px\"><span style=\"display:inline-block;max-width:100%;border-radius:999px;padding:6px 13px;font-size:12px;font-weight:800;letter-spacing:0.1em;text-transform:uppercase;line-height:1.3;background:#ffffff;color:#1b5718\">Evertrust<\/span><\/div>\n<div style=\"font-size:12px;opacity:0.75\">evertrust.se<\/div>\n<\/div>\n<div style=\"flex:999 1 300px;min-width:0;padding:30px 28px\">\n<div style=\"font-size:23px;font-weight:800;line-height:1.2;letter-spacing:-0.01em;color:#1f2937;margin:0\">F\u00e5 samtyckeshanteringen att h\u00e5lla<\/div>\n<div style=\"width:56px;height:6px;border-radius:3px;background:#2D8F27;margin:12px 0 14px\"><\/div>\n<div style=\"font-size:15px;line-height:1.55;color:#64748b;margin:0 0 22px\">Evertrust hj\u00e4lper organisationer med GDPR-bed\u00f6mningar, dokumentation och praktisk implementering av dataskydd.<\/div>\n<p><a href=\"https:\/\/evertrust.se\/en\/\" style=\"display:inline-flex;align-items:center;gap:9px;border-radius:10px;font-weight:700;font-size:15px;text-decoration:none;padding:13px 22px 13px 26px;background:#2D8F27;color:#ffffff\">Utforska Evertrusts st\u00f6d<\/a><\/div>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n<h2 id=\"kort-sagt\" tabindex=\"-1\">Kort sagt<\/h2>\n<ul>\n<li>Samtycke passar n\u00e4r personen har ett verkligt val, till exempel ett nyhetsbrev. Vid maktobalans, som mellan arbetsgivare och anst\u00e4lld, \u00e4r det oftast ol\u00e4mpligt.<\/li>\n<li>Kraven \u00e4r fyra: frivilligt, specifikt f\u00f6r varje \u00e4ndam\u00e5l, informerat och otvetydigt genom en aktiv handling. F\u00f6rifyllda rutor och tystnad r\u00e4knas inte.<\/li>\n<li>Bevisb\u00f6rdan ligger p\u00e5 er. Spara vem, n\u00e4r, hur och vilken samtyckestext personen s\u00e5g.<\/li>\n<li>\u00c5terkallelse ska vara lika enkel som samtycket. Den g\u00f6r tidigare behandling inte olaglig, men behandlingen ska upph\u00f6ra fram\u00e5t.<\/li>\n<li>Samtycken har inget fast b\u00e4st f\u00f6re-datum, men de ska ses \u00f6ver med j\u00e4mna mellanrum och n\u00e4r \u00e4ndam\u00e5len \u00e4ndras.<\/li>\n<\/ul>\n<h2 id=\"innehallsforteckning\" tabindex=\"-1\">Inneh\u00e5llsf\u00f6rteckning<\/h2>\n<ul>\n<li><a href=\"#vad-samtyckeshantering-faktiskt-omfattar\">Vad samtyckeshantering faktiskt omfattar<\/a><\/li>\n<li><a href=\"#nar-samtycke-passar-och-nar-ni-ska-valja-nagot-annat\">N\u00e4r samtycke passar och n\u00e4r ni ska v\u00e4lja n\u00e5got annat<\/a><\/li>\n<li><a href=\"#de-fyra-kraven-pa-ett-giltigt-samtycke\">De fyra kraven p\u00e5 ett giltigt samtycke<\/a><\/li>\n<li><a href=\"#sa-bygger-ni-ett-samtyckesflode-som-haller\">S\u00e5 bygger ni ett samtyckesfl\u00f6de som h\u00e5ller<\/a><\/li>\n<li><a href=\"#dokumentation-och-bevisborda\">Dokumentation och bevisb\u00f6rda<\/a><\/li>\n<li><a href=\"#aterkallelse-lika-enkelt-som-att-samtycka\">\u00c5terkallelse: lika enkelt som att samtycka<\/a><\/li>\n<li><a href=\"#cookies-och-webbanalys\">Cookies och webbanalys<\/a><\/li>\n<li><a href=\"#vanliga-misstag-som-gor-samtycket-ogiltigt\">Vanliga misstag som g\u00f6r samtycket ogiltigt<\/a><\/li>\n<li><a href=\"#rutiner-for-lopande-oversyn\">Rutiner f\u00f6r l\u00f6pande \u00f6versyn<\/a><\/li>\n<li><a href=\"#sa-ser-vi-pa-samtyckeshantering\">S\u00e5 ser vi p\u00e5 samtyckeshantering<\/a><\/li>\n<li><a href=\"#stod-for-er-samtyckeshantering\">St\u00f6d f\u00f6r er samtyckeshantering<\/a><\/li>\n<li><a href=\"#vanliga-fragor-om-samtycke-och-gdpr\">Vanliga fr\u00e5gor om samtycke och GDPR<\/a><\/li>\n<li><a href=\"#kallor\">K\u00e4llor<\/a><\/li>\n<\/ul>\n<h2 id=\"vad-samtyckeshantering-faktiskt-omfattar\" tabindex=\"-1\">Vad samtyckeshantering faktiskt omfattar<\/h2>\n<p>M\u00e5nga organisationer t\u00e4nker p\u00e5 samtycke som en kryssruta. I praktiken \u00e4r det en process med flera led som m\u00e5ste h\u00e4nga ihop, och den sp\u00e4nner \u00f6ver juridik, systemst\u00f6d och verksamhet:<\/p>\n<ol>\n<li><strong>Beslut om r\u00e4ttslig grund.<\/strong> Ska behandlingen bygga p\u00e5 samtycke eller p\u00e5 n\u00e5got annat, till exempel avtal, r\u00e4ttslig f\u00f6rpliktelse eller intresseavv\u00e4gning?<\/li>\n<li><strong>Inh\u00e4mtning.<\/strong> Hur, var och med vilken text fr\u00e5gar ni?<\/li>\n<li><strong>Dokumentation.<\/strong> Hur sparar ni beviset f\u00f6r att samtycket l\u00e4mnades?<\/li>\n<li><strong>Anv\u00e4ndning.<\/strong> Hur ser ni till att uppgifterna bara anv\u00e4nds f\u00f6r det \u00e4ndam\u00e5l personen sa ja till?<\/li>\n<li><strong>\u00c5terkallelse.<\/strong> Hur tar personen tillbaka sitt samtycke, och hur n\u00e5r den signalen alla system som behandlar uppgifterna?<\/li>\n<li><strong>\u00d6versyn.<\/strong> N\u00e4r fr\u00e5gar ni p\u00e5 nytt, och vem ansvarar f\u00f6r att texter och fl\u00f6den st\u00e4mmer med hur ni faktiskt behandlar uppgifterna?<\/li>\n<\/ol>\n<p>Som <a href=\"https:\/\/www.imy.se\/verksamhet\/dataskydd\/det-har-galler-enligt-gdpr\/rattslig-grund\/samtycke\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">IMY beskriver samtycke som r\u00e4ttslig grund<\/a> betyder det att den registrerade har sagt ja till behandlingen. Det l\u00e5ter enkelt, men ett ja som inte g\u00e5r att bel\u00e4gga, som har g\u00f6mts i allm\u00e4nna villkor eller som inte g\u00e5r att dra tillbaka ger er ingen r\u00e4ttslig grund alls. Om samtycket \u00e4r ogiltigt saknar behandlingen st\u00f6d, \u00e4ven om personen faktiskt klickade i n\u00e5got.<\/p>\n<p>F\u00f6r en CISO eller CIO \u00e4r det h\u00e4r lika mycket en fr\u00e5ga om datafl\u00f6den som om juridik. Samtyckesstatus \u00e4r en attribut som m\u00e5ste f\u00f6lja med uppgiften genom CRM, marknadsf\u00f6ringsverktyg, analysplattformar och leverant\u00f6rers system. Brister i den kedjan \u00e4r den vanligaste orsaken till att en i \u00f6vrigt korrekt samtyckestext \u00e4nd\u00e5 inte h\u00e5ller.<\/p>\n<h2 id=\"nar-samtycke-passar-och-nar-ni-ska-valja-nagot-annat\" tabindex=\"-1\">N\u00e4r samtycke passar och n\u00e4r ni ska v\u00e4lja n\u00e5got annat<\/h2>\n<p>Samtycke \u00e4r bara en av flera r\u00e4ttsliga grunder, och ingen \u00e4r finare \u00e4n n\u00e5gon annan. IMY n\u00e4mner insamling av adresser f\u00f6r nyhetsbrev som ett typexempel d\u00e4r samtycke fungerar, men p\u00e5pekar ocks\u00e5 att samtycke ofta \u00e4r ol\u00e4mpligt n\u00e4r den registrerade inte har ett verkligt val.<\/p>\n<p>Tumregeln: om ni skulle behandla uppgifterna \u00e4ven om personen s\u00e4ger nej, ska ni inte fr\u00e5ga om samtycke. Att be om ett ja som inte g\u00e5r att avb\u00f6ja \u00e4r vilseledande, och om personen sedan \u00e5terkallar st\u00e5r ni utan grund f\u00f6r n\u00e5got ni \u00e4nd\u00e5 beh\u00f6ver g\u00f6ra.<\/p>\n<table>\n<thead>\n<tr>\n<th>Situation<\/th>\n<th>Samtycke l\u00e4mpligt?<\/th>\n<th>Vanligare grund<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td>Nyhetsbrev till den som anm\u00e4ler sig<\/td>\n<td>Ja<\/td>\n<td>Samtycke<\/td>\n<\/tr>\n<tr>\n<td>Uppgifter som kr\u00e4vs f\u00f6r att leverera en best\u00e4lld tj\u00e4nst<\/td>\n<td>Nej<\/td>\n<td>Avtal<\/td>\n<\/tr>\n<tr>\n<td>L\u00f6nehantering och personalregister<\/td>\n<td>Nej<\/td>\n<td>Avtal eller r\u00e4ttslig f\u00f6rpliktelse<\/td>\n<\/tr>\n<tr>\n<td>Bokf\u00f6ringsunderlag<\/td>\n<td>Nej<\/td>\n<td>R\u00e4ttslig f\u00f6rpliktelse<\/td>\n<\/tr>\n<tr>\n<td>Bilder p\u00e5 anst\u00e4llda i extern marknadsf\u00f6ring<\/td>\n<td>Ibland, med verklig valfrihet<\/td>\n<td>Samtycke eller intresseavv\u00e4gning<\/td>\n<\/tr>\n<tr>\n<td>Frivilliga unders\u00f6kningar och paneler<\/td>\n<td>Ja<\/td>\n<td>Samtycke<\/td>\n<\/tr>\n<tr>\n<td>Analys- och sp\u00e5rningsverktyg p\u00e5 webbplatsen<\/td>\n<td>Ofta<\/td>\n<td>Samtycke<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p>Arbetsgivarsituationen \u00e4r den klassiska f\u00e4llan. Enligt <a href=\"https:\/\/www.edpb.europa.eu\/sme-data-protection-guide\/process-personal-data-lawfully_sv\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">EDPB:s v\u00e4gledning om laglig behandling<\/a> ska den registrerade kunna v\u00e4gra eller \u00e5terkalla utan negativa konsekvenser, och en maktobalans kan g\u00f6ra samtycke ol\u00e4mpligt. En anst\u00e4lld som f\u00e5r fr\u00e5gan av sin chef har s\u00e4llan ett helt fritt val. HR-processer b\u00f6r d\u00e4rf\u00f6r n\u00e4stan alltid bygga p\u00e5 andra grunder, och d\u00e4r samtycke \u00e4nd\u00e5 anv\u00e4nds, till exempel f\u00f6r bilder i extern kommunikation, m\u00e5ste ett nej vara helt utan f\u00f6ljder.<\/p>\n<p>Om ni landar i att intresseavv\u00e4gning \u00e4r r\u00e4tt grund beh\u00f6ver ni kunna visa hur ni kom fram till det. V\u00e5r genomg\u00e5ng av en <a href=\"https:\/\/evertrust.se\/en\/intresseavvagning-gdpr\/\" target=\"_blank\" rel=\"noopener\">revisionsbar intresseavv\u00e4gning enligt GDPR<\/a> visar hur ni dokumenterar bed\u00f6mningen.<\/p>\n<h2 id=\"de-fyra-kraven-pa-ett-giltigt-samtycke\" tabindex=\"-1\">De fyra kraven p\u00e5 ett giltigt samtycke<\/h2>\n<p>EDPB och IMY beskriver samma fyra krav. Alla m\u00e5ste vara uppfyllda samtidigt.<\/p>\n<h3 id=\"frivilligt\" tabindex=\"-1\">Frivilligt<\/h3>\n<p>Personen ska kunna s\u00e4ga nej utan att f\u00f6rlora n\u00e5got hon annars hade f\u00e5tt. Att g\u00f6ra samtycke till en f\u00f6ruts\u00e4ttning f\u00f6r en tj\u00e4nst som inte beh\u00f6ver uppgifterna \u00e4r inte frivilligt. Samma sak g\u00e4ller n\u00e4r samtycket buntas ihop med k\u00f6pvillkoren.<\/p>\n<h3 id=\"specifikt\" tabindex=\"-1\">Specifikt<\/h3>\n<p>Varje \u00e4ndam\u00e5l kr\u00e4ver sitt eget samtycke. \u201cVi anv\u00e4nder dina uppgifter f\u00f6r marknadsf\u00f6ring, analys och utveckling\u201d i en och samma ruta r\u00e4cker inte. Personen ska kunna s\u00e4ga ja till nyhetsbrevet men nej till profilering.<\/p>\n<h3 id=\"informerat\" tabindex=\"-1\">Informerat<\/h3>\n<p>Personen ska veta vem som \u00e4r personuppgiftsansvarig, vad uppgifterna ska anv\u00e4ndas till och att samtycket kan \u00e5terkallas. Texten ska vara begriplig f\u00f6r m\u00e5lgruppen, inte f\u00f6r juristen som skrev den.<\/p>\n<h3 id=\"otvetydigt\" tabindex=\"-1\">Otvetydigt<\/h3>\n<p>Det kr\u00e4vs en aktiv handling. <a href=\"https:\/\/www.imy.se\/verksamhet\/dataskydd\/det-har-galler-enligt-gdpr\/rattslig-grund\/samtycke\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">IMY sl\u00e5r fast<\/a> att tystnad, inaktivitet och f\u00f6rifyllda kryssrutor inte ger ett giltigt samtycke. Att forts\u00e4tta scrolla eller st\u00e4nga en ruta \u00e4r allts\u00e5 inte ett ja. F\u00f6r en j\u00e4mf\u00f6relse av hur passivitet och f\u00f6rifyllda rutor bed\u00f6ms i olika typer av formul\u00e4r, fr\u00e5n kontaktformul\u00e4r till kamerabevakning, g\u00e5r det att l\u00e4sa mer om en <a href=\"https:\/\/newbusinesswebsites.ie\/blog\/privacy-policy-for-small-business\" target=\"_blank\" rel=\"noopener\">integritetspolicy f\u00f6r sm\u00e5f\u00f6retag<\/a>.<\/p>\n<h3 id=\"sarskilt-om-barn\" tabindex=\"-1\">S\u00e4rskilt om barn<\/h3>\n<p>N\u00e4r samtycke g\u00e4ller informationssamh\u00e4llets tj\u00e4nster, till exempel appar och onlinetj\u00e4nster, m\u00e5ste barnet enligt <a href=\"https:\/\/skr.se\/juridik\/dataskyddsforordningengdpr\/samtyckestextmodellavtal.8167.html\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">SKR:s v\u00e4gledning om samtyckestexter<\/a> ha fyllt 13 \u00e5r f\u00f6r att samtycka sj\u00e4lv. Annars kr\u00e4vs samtycke fr\u00e5n v\u00e5rdnadshavare. SKR r\u00e5der ocks\u00e5 organisationer att r\u00e5dfr\u00e5ga jurist n\u00e4r det \u00e4r oklart om ett samtycke fr\u00e5n en under\u00e5rig h\u00e5ller. Skolor, idrottsf\u00f6reningar och tj\u00e4nster riktade till unga b\u00f6r ha en uttalad rutin f\u00f6r \u00e5lderskontroll.<\/p>\n<p><img decoding=\"async\" src=\"https:\/\/evertrust.se\/wp-content\/uploads\/2026\/10\/1793270199910_Alderskontroll-vid-registrering-i-en-idrottsforening.jpeg\" alt=\"Kontroll av \u00e5lder vid registrering i en idrottsf\u00f6rening\"><\/p>\n<h2 id=\"sa-bygger-ni-ett-samtyckesflode-som-haller\" tabindex=\"-1\">S\u00e5 bygger ni ett samtyckesfl\u00f6de som h\u00e5ller<\/h2>\n<p>Ett robust fl\u00f6de ser ungef\u00e4r likadant ut oavsett om det g\u00e4ller ett webbformul\u00e4r, en app eller ett pappersformul\u00e4r vid ett event:<\/p>\n<ol>\n<li><strong>Kartl\u00e4gg \u00e4ndam\u00e5len.<\/strong> Lista varje \u00e4ndam\u00e5l som bygger p\u00e5 samtycke och koppla det till registret \u00f6ver behandlingar.<\/li>\n<li><strong>Skriv en text per \u00e4ndam\u00e5l.<\/strong> Kort, konkret och utan juridiska omskrivningar. Ange vem ni \u00e4r och hur man \u00e5terkallar.<\/li>\n<li><strong>Separera fr\u00e5n villkoren.<\/strong> IMY betonar att samtyckesfr\u00e5gan ska h\u00e5llas \u00e5tskild fr\u00e5n \u00f6vriga avtalsvillkor, s\u00e5 att den inte blir en obligatorisk del av avtalet.<\/li>\n<li><strong>Kr\u00e4v en aktiv handling.<\/strong> Tomma kryssrutor, tydliga knappar och lika framtr\u00e4dande ja- och nej-alternativ.<\/li>\n<li><strong>Versionera texten.<\/strong> Varje \u00e4ndring av samtyckestexten f\u00e5r ett versionsnummer och ett datum.<\/li>\n<li><strong>Logga h\u00e4ndelsen.<\/strong> Spara identitet, tidpunkt, kanal och textversion i samma \u00f6gonblick som personen agerar.<\/li>\n<li><strong>Synka nedstr\u00f6ms.<\/strong> Samtyckesstatus ska f\u00f6lja med till alla system och bitr\u00e4den som behandlar uppgifterna.<\/li>\n<li><strong>Testa \u00e5terkallelsen.<\/strong> Kontrollera att ett nej faktiskt stoppar utskick och behandling i alla led.<\/li>\n<\/ol>\n<p>Punkt 7 \u00e4r den som oftast fallerar i st\u00f6rre organisationer. Om ett e-postverktyg eller en analysleverant\u00f6r inte f\u00e5r signalen om \u00e5terkallelse forts\u00e4tter behandlingen utan grund. D\u00e4rf\u00f6r b\u00f6r samtyckeshantering ing\u00e5 n\u00e4r ni granskar bitr\u00e4den, se v\u00e5r guide om <a href=\"https:\/\/evertrust.se\/en\/leverantorsbedomning-gdpr\/\" target=\"_blank\" rel=\"noopener\">leverant\u00f6rsbed\u00f6mning enligt GDPR<\/a>.<\/p>\n<h2 id=\"dokumentation-och-bevisborda\" tabindex=\"-1\">Dokumentation och bevisb\u00f6rda<\/h2>\n<p>Det \u00e4r ni som ska kunna visa att samtycket \u00e4r giltigt, inte den registrerade som ska visa motsatsen. Enligt IMY b\u00f6r ni dokumentera vem som har samtyckt, n\u00e4r, hur och vilken information personen fick. SKR lyfter fram att ett internt system som lagrar samtyckestexter och tidpunkten f\u00f6r den aktiva handlingen g\u00f6r det betydligt enklare att uppfylla bevisb\u00f6rdan.<\/p>\n<table>\n<thead>\n<tr>\n<th>Vad ni sparar<\/th>\n<th>Exempel<\/th>\n<th>Varf\u00f6r<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td>Vem<\/td>\n<td>Kund-ID, e-postadress eller annan identifierare<\/td>\n<td>Kopplar samtycket till r\u00e4tt person<\/td>\n<\/tr>\n<tr>\n<td>N\u00e4r<\/td>\n<td>Tidsst\u00e4mpel f\u00f6r klicket eller underskriften<\/td>\n<td>Visar att samtycket fanns f\u00f6re behandlingen<\/td>\n<\/tr>\n<tr>\n<td>Hur<\/td>\n<td>Webbformul\u00e4r, app, pappersblankett, telefon<\/td>\n<td>Visar att handlingen var aktiv<\/td>\n<\/tr>\n<tr>\n<td>Vad personen s\u00e5g<\/td>\n<td>Exakt textversion och vilka \u00e4ndam\u00e5l som valdes<\/td>\n<td>Visar att samtycket var informerat och specifikt<\/td>\n<\/tr>\n<tr>\n<td>\u00c5terkallelse<\/td>\n<td>Tidpunkt och kanal<\/td>\n<td>Visar n\u00e4r behandlingen skulle upph\u00f6ra<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p>Spara inte bara en flagga i databasen som s\u00e4ger \u201csamtycke: ja\u201d. Utan textversionen kan ni inte visa vad personen faktiskt sa ja till, och om texten har \u00e4ndrats sedan dess faller beviset. Best\u00e4m ocks\u00e5 hur l\u00e4nge loggen ska sparas. Bevis om ett samtycke beh\u00f6vs s\u00e5 l\u00e4nge behandlingen p\u00e5g\u00e5r och en tid d\u00e4refter, men loggen \u00e4r sj\u00e4lv personuppgifter och omfattas av samma principer om lagringsminimering. Hur en tydlig policy f\u00f6r bevarande och gallring av dokumentation kan se ut beskrivs i en guide om <a href=\"https:\/\/imageone.com.br\/2026\/08\/15\/politica-de-retencao-documental\" target=\"_blank\" rel=\"noopener\">policy f\u00f6r dokumentbevarande<\/a>.<\/p>\n<p>Begr\u00e4nsa dessutom vem som kan \u00e4ndra i samtyckesloggen. En logg som vem som helst kan redigera \u00e4r svag som bevis. V\u00e5r artikel om <a href=\"https:\/\/evertrust.se\/en\/accesshantering-gdpr\/\" target=\"_blank\" rel=\"noopener\">accesshantering och GDPR<\/a> g\u00e5r igenom hur ni styr beh\u00f6righeter.<\/p>\n<h2 id=\"aterkallelse-lika-enkelt-som-att-samtycka\" tabindex=\"-1\">\u00c5terkallelse: lika enkelt som att samtycka<\/h2>\n<p>EDPB \u00e4r tydlig med att det ska vara lika l\u00e4tt att \u00e5terkalla ett samtycke som att l\u00e4mna det, och att ni ska informera om m\u00f6jligheten. Om samtycket gavs med ett klick ska det g\u00e5 att ta tillbaka med ett klick, inte genom ett brev till kundtj\u00e4nst eller en inloggning som personen aldrig har skapat.<\/p>\n<p>\u00c5terkallelsen p\u00e5verkar inte lagligheten i den behandling som skedde innan. D\u00e4remot ska behandling som bygger p\u00e5 samtycket upph\u00f6ra fr\u00e5n och med \u00e5terkallelsen. Det betyder inte automatiskt att alla uppgifter ska raderas: uppgifter som ni har en annan grund f\u00f6r, till exempel bokf\u00f6ringskrav, kan ligga kvar. Uppgifter som bara behandlades med st\u00f6d av samtycket b\u00f6r d\u00e4remot raderas eller anonymiseras om ni inte har n\u00e5gon annan grund. Reglerna f\u00f6r n\u00e4r radering kr\u00e4vs g\u00e5r vi igenom i artikeln om <a href=\"https:\/\/evertrust.se\/en\/ratt-att-bli-glomd\/\" target=\"_blank\" rel=\"noopener\">r\u00e4tten att bli gl\u00f6md<\/a>.<\/p>\n<p>Praktiska tecken p\u00e5 en fungerande \u00e5terkallelse:<\/p>\n<ul>\n<li>en avregistreringsl\u00e4nk i varje utskick som fungerar utan inloggning<\/li>\n<li>ett inst\u00e4llningscenter d\u00e4r varje \u00e4ndam\u00e5l kan sl\u00e5s av separat<\/li>\n<li>en intern rutin f\u00f6r \u00e5terkallelser som kommer via telefon, mejl eller i butik<\/li>\n<li>en kontroll av att signalen n\u00e5r bitr\u00e4den och integrerade system<\/li>\n<\/ul>\n<h2 id=\"cookies-och-webbanalys\" tabindex=\"-1\">Cookies och webbanalys<\/h2>\n<p>F\u00f6r webbplatser \u00e4r samtycke vardag. Cookies och liknande tekniker f\u00f6r analys och marknadsf\u00f6ring kr\u00e4ver i regel ett samtycke fr\u00e5n bes\u00f6karen, och det samtycket bed\u00f6ms med samma krav som i GDPR: frivilligt, specifikt, informerat och otvetydigt. D\u00e4rf\u00f6r g\u00e4ller samma grundprinciper f\u00f6r en cookieruta som f\u00f6r ett formul\u00e4r:<\/p>\n<ul>\n<li>Inga icke n\u00f6dv\u00e4ndiga cookies ska s\u00e4ttas innan bes\u00f6karen har valt.<\/li>\n<li>Att avb\u00f6ja ska vara lika enkelt och lika synligt som att godk\u00e4nna.<\/li>\n<li>Analys, marknadsf\u00f6ring och personalisering ska kunna v\u00e4ljas var f\u00f6r sig.<\/li>\n<li>Det ska g\u00e5 att \u00e4ndra sitt val senare, till exempel via en l\u00e4nk i sidfoten.<\/li>\n<li>Valet ska loggas med tidpunkt och version av cookietexten.<\/li>\n<\/ul>\n<p>Vanliga brister \u00e4r knappar d\u00e4r \u201cGodk\u00e4nn alla\u201d \u00e4r stor och f\u00e4rgad medan \u201cAvb\u00f6j\u201d \u00e4r en gr\u00e5 textl\u00e4nk, eller att taggar laddas innan bannern ens har visats. Analysverktyg fr\u00e5n tredje part kr\u00e4ver ocks\u00e5 att ni har koll p\u00e5 vart uppgifterna \u00f6verf\u00f6rs och vilken roll leverant\u00f6ren har. Hur reglerna sl\u00e5r igenom i olika kanaler, fr\u00e5n e-post till annonser, beskriver vi i <a href=\"https:\/\/evertrust.se\/en\/marknadsforing-gdpr\/\" target=\"_blank\" rel=\"noopener\">marknadsf\u00f6ring och GDPR<\/a>. En \u00f6versikt \u00f6ver hur GDPR till\u00e4mpas i webbmilj\u00f6n, med fokus p\u00e5 formul\u00e4r och kryssrutor, finns ocks\u00e5 i en guide om <a href=\"https:\/\/moxy-web.com\/news\/gdpr-v-spletnem-okolju-vodnik-za-podjetja-2026\" target=\"_blank\" rel=\"noopener\">GDPR i webbmilj\u00f6n<\/a>.<\/p>\n<h2 id=\"vanliga-misstag-som-gor-samtycket-ogiltigt\" tabindex=\"-1\">Vanliga misstag som g\u00f6r samtycket ogiltigt<\/h2>\n<p>IMY pekar ut tre \u00e5terkommande fel: f\u00f6rifyllda rutor, paketering av samtycket i allm\u00e4nna villkor och kr\u00e5ngliga s\u00e4tt att \u00e5terkalla. I v\u00e5ra uppdrag ser vi dessutom ofta:<\/p>\n<ul>\n<li><strong>Samtycke som reservgrund.<\/strong> Organisationen fr\u00e5gar om samtycke \u201cf\u00f6r s\u00e4kerhets skull\u201d trots att behandlingen bygger p\u00e5 avtal. N\u00e4r personen \u00e5terkallar blir det oklart vad som g\u00e4ller.<\/li>\n<li><strong>Ett samtycke f\u00f6r m\u00e5nga \u00e4ndam\u00e5l.<\/strong> En ruta som t\u00e4cker b\u00e5de nyhetsbrev, profilering och delning med partner.<\/li>\n<li><strong>Ingen textversion sparad.<\/strong> Det finns en tidsst\u00e4mpel men ingen kopia av vad personen s\u00e5g.<\/li>\n<li><strong>\u00c4ndam\u00e5lsglidning.<\/strong> Uppgifter som samlades in f\u00f6r ett nyhetsbrev b\u00f6rjar anv\u00e4ndas f\u00f6r riktad annonsering.<\/li>\n<li><strong>\u00c5terkallelsen stannar i ett system.<\/strong> Kunden avregistreras i CRM men finns kvar i en annonsplattform.<\/li>\n<\/ul>\n<p>F\u00f6ljden \u00e4r densamma i alla fall: behandlingen saknar r\u00e4ttslig grund. Det kan inneb\u00e4ra att ni m\u00e5ste stoppa en kampanj, radera en databas som byggts upp under flera \u00e5r och hantera klagom\u00e5l till tillsynsmyndigheten.<\/p>\n<h2 id=\"rutiner-for-lopande-oversyn\" tabindex=\"-1\">Rutiner f\u00f6r l\u00f6pande \u00f6versyn<\/h2>\n<p>GDPR anger ingen tidsgr\u00e4ns f\u00f6r hur l\u00e4nge ett samtycke g\u00e4ller. IMY rekommenderar \u00e4nd\u00e5 att samtycken f\u00f6rnyas med l\u00e4mpliga mellanrum beroende p\u00e5 sammanhanget, och att metoderna granskas l\u00f6pande och uppdateras vid f\u00f6r\u00e4ndringar. En rimlig rutin:<\/p>\n<ul>\n<li><strong>Vid varje ny behandling:<\/strong> pr\u00f6va r\u00e4ttslig grund innan ni bygger formul\u00e4ret.<\/li>\n<li><strong>Vid \u00e4ndrade \u00e4ndam\u00e5l:<\/strong> fr\u00e5ga om nytt samtycke, det gamla t\u00e4cker inte det nya.<\/li>\n<li><strong>\u00c5rligen:<\/strong> stickprov i loggen, test av \u00e5terkallelse i alla kanaler och genomg\u00e5ng av cookieinst\u00e4llningar.<\/li>\n<li><strong>Vid systembyte:<\/strong> s\u00e4kerst\u00e4ll att samtyckeshistoriken flyttas med, inklusive textversioner.<\/li>\n<\/ul>\n<p>Om behandlingen g\u00e4ller k\u00e4nsliga uppgifter, barn eller storskalig profilering kan en konsekvensbed\u00f6mning beh\u00f6vas. V\u00e5r <a href=\"https:\/\/evertrust.se\/wp-content\/uploads\/2024\/09\/DPIA-rapportmall-2024-Svenska.pdf\" target=\"_blank\" rel=\"noopener\">DPIA-rapportmall<\/a> ger en struktur att utg\u00e5 fr\u00e5n.<\/p>\n<h2 id=\"sa-ser-vi-pa-samtyckeshantering\" tabindex=\"-1\">S\u00e5 ser vi p\u00e5 samtyckeshantering<\/h2>\n<p>Den vanligaste fr\u00e5gan vi f\u00e5r \u00e4r inte hur en samtyckestext ska formuleras, utan varf\u00f6r ett samtycke som n\u00e5gon faktiskt har l\u00e4mnat inte h\u00e5ller vid en granskning. Svaret ligger n\u00e4stan alltid i kedjan efter klicket: textversionen sparades inte, \u00e5terkallelsen n\u00e5dde inte alla system eller uppgifterna anv\u00e4ndes till mer \u00e4n det personen sa ja till.<\/p>\n<p>V\u00e5r erfarenhet \u00e4r att de organisationer som lyckas behandlar samtycke som en datapunkt med livscykel, inte som en ruta i ett formul\u00e4r. De har ett st\u00e4lle d\u00e4r samtyckesstatus lever, de vet vilka system som l\u00e4ser den och de har en \u00e4gare som ansvarar f\u00f6r att texterna st\u00e4mmer med verkligheten.<\/p>\n<p>Vi ser ocks\u00e5 att m\u00e5nga skulle m\u00e5 bra av att anv\u00e4nda samtycke mer s\u00e4llan. N\u00e4r vi g\u00e5r igenom en verksamhets behandlingar visar det sig ofta att en stor del av samtyckena borde ha byggt p\u00e5 avtal eller intresseavv\u00e4gning. Att byta grund d\u00e4r det \u00e4r motiverat g\u00f6r samtyckeshanteringen mindre, tydligare och l\u00e4ttare att f\u00f6rsvara, och de samtycken som finns kvar blir \u00e4kta val f\u00f6r den registrerade.<\/p>\n<blockquote>\n<p><em>\u2014 Jesper<\/em><\/p>\n<\/blockquote>\n<h2 id=\"stod-for-er-samtyckeshantering\" tabindex=\"-1\">St\u00f6d f\u00f6r er samtyckeshantering<\/h2>\n<p>Vi hj\u00e4lper organisationer att g\u00e5 fr\u00e5n spridda kryssrutor till en samtyckeshantering som g\u00e5r att visa upp. I en <a href=\"https:\/\/evertrust.se\/en\/tjanster-gap-analyser\/\" target=\"_blank\" rel=\"noopener\">GDPR-granskning<\/a> g\u00e5r vi igenom era r\u00e4ttsliga grunder, samtyckesfl\u00f6den, dokumentation och \u00e5terkallelserutiner och ger en prioriterad \u00e5tg\u00e4rdslista. Beh\u00f6ver ni l\u00f6pande st\u00f6d kan vi ta rollen som externt dataskyddsombud eller privacy counsel genom v\u00e5ra <a href=\"https:\/\/evertrust.se\/en\/radgivning-och-konsulttjanster\/\" target=\"_blank\" rel=\"noopener\">r\u00e5dgivnings- och konsulttj\u00e4nster<\/a>.<\/p>\n<p><img decoding=\"async\" src=\"https:\/\/evertrust.se\/wp-content\/uploads\/2026\/08\/1786093780170_evertrust.jpg\" alt=\"Evertrust\"><\/p>\n<p>F\u00f6r att h\u00e5lla ordning p\u00e5 behandlingar, r\u00e4ttsliga grunder och dokumentation \u00f6ver tid har vi utvecklat <a href=\"https:\/\/evertrust.se\/en\/plattform\/\" target=\"_blank\" rel=\"noopener\">GRC-plattformen Trustview<\/a>, byggd av jurister och experter. Vill ni att medarbetarna f\u00f6rst\u00e5r varf\u00f6r samtycket m\u00e5ste vara r\u00e4tt fr\u00e5n b\u00f6rjan har vi \u00e4ven <a href=\"https:\/\/evertrust.se\/en\/tjanster-utbildningar\/\" target=\"_blank\" rel=\"noopener\">utbildningar i GDPR<\/a> f\u00f6r b\u00e5de anst\u00e4llda och HR.<\/p>\n<h2 id=\"vanliga-fragor-om-samtycke-och-gdpr\" tabindex=\"-1\">Vanliga fr\u00e5gor om samtycke och GDPR<\/h2>\n<h3 id=\"hur-lange-galler-ett-samtycke-enligt-gdpr\" tabindex=\"-1\">Hur l\u00e4nge g\u00e4ller ett samtycke enligt GDPR?<\/h3>\n<p>Det finns ingen fast tidsgr\u00e4ns i GDPR. IMY rekommenderar att samtycket f\u00f6rnyas med l\u00e4mpliga mellanrum beroende p\u00e5 sammanhanget. \u00c4ndras \u00e4ndam\u00e5let kr\u00e4vs ett nytt samtycke direkt.<\/p>\n<h3 id=\"racker-det-med-en-kryssruta-i-anvandarvillkoren\" tabindex=\"-1\">R\u00e4cker det med en kryssruta i anv\u00e4ndarvillkoren?<\/h3>\n<p>Nej. Samtycket ska h\u00e5llas \u00e5tskilt fr\u00e5n \u00f6vriga villkor och kr\u00e4va en egen aktiv handling. Om det paketeras i villkoren \u00e4r det inte frivilligt och d\u00e4rmed inte giltigt.<\/p>\n<h3 id=\"kan-vi-anvanda-samtycke-for-personaluppgifter\" tabindex=\"-1\">Kan vi anv\u00e4nda samtycke f\u00f6r personaluppgifter?<\/h3>\n<p>S\u00e4llan. Maktobalansen mellan arbetsgivare och anst\u00e4lld g\u00f6r att samtycket ofta inte anses frivilligt. L\u00f6n, personalregister och liknande bygger normalt p\u00e5 avtal eller r\u00e4ttslig f\u00f6rpliktelse.<\/p>\n<h3 id=\"maste-vi-radera-uppgifterna-nar-nagon-aterkallar-sitt-samtycke\" tabindex=\"-1\">M\u00e5ste vi radera uppgifterna n\u00e4r n\u00e5gon \u00e5terkallar sitt samtycke?<\/h3>\n<p>Behandling som bygger p\u00e5 samtycket ska upph\u00f6ra, och uppgifter som bara fanns med st\u00f6d av det b\u00f6r raderas om ni saknar annan grund. Uppgifter som ni m\u00e5ste spara av andra sk\u00e4l, till exempel bokf\u00f6ring, f\u00e5r ligga kvar f\u00f6r just det \u00e4ndam\u00e5let.<\/p>\n<h3 id=\"vad-behover-vi-spara-for-att-kunna-bevisa-ett-samtycke\" tabindex=\"-1\">Vad beh\u00f6ver vi spara f\u00f6r att kunna bevisa ett samtycke?<\/h3>\n<p>Vem som samtyckte, n\u00e4r, hur det gick till och exakt vilken text och vilka \u00e4ndam\u00e5l personen s\u00e5g. Spara \u00e4ven \u00e5terkallelser med tidpunkt, och se till att loggen inte kan \u00e4ndras i efterhand.<\/p>\n<h2 id=\"kallor\" tabindex=\"-1\">K\u00e4llor<\/h2>\n<ul>\n<li><a href=\"https:\/\/www.imy.se\/verksamhet\/dataskydd\/det-har-galler-enligt-gdpr\/rattslig-grund\/samtycke\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">IMY: Samtycke som r\u00e4ttslig grund<\/a><\/li>\n<li><a href=\"https:\/\/www.edpb.europa.eu\/sme-data-protection-guide\/process-personal-data-lawfully_sv\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">EDPB: Behandla personuppgifter p\u00e5 ett lagligt s\u00e4tt<\/a><\/li>\n<li><a href=\"https:\/\/skr.se\/juridik\/dataskyddsforordningengdpr\/samtyckestextmodellavtal.8167.html\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">SKR: Samtyckestext, modellavtal<\/a><\/li>\n<\/ul>\n<h2 id=\"rekommendationer\" tabindex=\"-1\">Rekommendationer<\/h2>\n<ul>\n<li><a href=\"https:\/\/evertrust.se\/en\/accesshantering-gdpr\/\" target=\"_blank\" rel=\"noopener\">Accesshantering och GDPR: s\u00e5 styr du vem som n\u00e5r personuppgifter<\/a><\/li>\n<li><a href=\"https:\/\/evertrust.se\/en\/gdpr-krav-foretag\/\" target=\"_blank\" rel=\"noopener\">Vilka GDPR-krav m\u00e5ste ditt f\u00f6retag uppfylla?<\/a><\/li>\n<li><a href=\"https:\/\/evertrust.se\/en\/behandlingsregister-gdpr\/\" target=\"_blank\" rel=\"noopener\">Behandlingsregister enligt GDPR: krav och praktisk uppbyggnad<\/a><\/li>\n<li><a href=\"https:\/\/evertrust.se\/en\/leverantorsbedomning-gdpr\/\" target=\"_blank\" rel=\"noopener\">Leverant\u00f6rsbed\u00f6mning enligt GDPR: s\u00e5 granskar ni bitr\u00e4den<\/a><\/li>\n<\/ul>","protected":false},"excerpt":{"rendered":"<p>S\u00e5 hanterar ni samtycke enligt GDPR: n\u00e4r samtycke passar, de fyra kraven, hur ni dokumenterar och hanterar \u00e5terkallelser och vilka misstag som g\u00f6r det ogiltigt.<\/p>","protected":false},"author":2,"featured_media":8631,"comment_status":"closed","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"content-type":"","site-sidebar-layout":"default","site-content-layout":"","ast-site-content-layout":"","site-content-style":"default","site-sidebar-style":"default","ast-global-header-display":"","ast-banner-title-visibility":"","ast-main-header-display":"","ast-hfb-above-header-display":"","ast-hfb-below-header-display":"","ast-hfb-mobile-header-display":"","site-post-title":"","ast-breadcrumbs-content":"","ast-featured-img":"","footer-sml-layout":"","theme-transparent-header-meta":"","adv-header-id-meta":"","stick-header-meta":"","header-above-stick-meta":"","header-main-stick-meta":"","header-below-stick-meta":"","astra-migrate-meta-layouts":"default","ast-page-background-enabled":"default","ast-page-background-meta":{"desktop":{"background-color":"","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"tablet":{"background-color":"","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"mobile":{"background-color":"","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""}},"ast-content-background-meta":{"desktop":{"background-color":"var(--ast-global-color-5)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"tablet":{"background-color":"var(--ast-global-color-5)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"mobile":{"background-color":"var(--ast-global-color-5)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""}},"footnotes":""},"categories":[107],"tags":[9],"class_list":["post-8630","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-sverige","tag-gdpr-specialist"],"acf":[],"aioseo_notices":[],"_links":{"self":[{"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/posts\/8630","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/comments?post=8630"}],"version-history":[{"count":1,"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/posts\/8630\/revisions"}],"predecessor-version":[{"id":8633,"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/posts\/8630\/revisions\/8633"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/media\/8631"}],"wp:attachment":[{"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/media?parent=8630"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/categories?post=8630"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/tags?post=8630"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}