Samtycke

Här går vi igenom vilka krav som gäller och ger exempel på när samtycke är en lämplig rättslig grund, exempelvis när företag samlar in adresser för att skicka ut nyhetsbrev. Samtycke är dock ofta en olämplig rättslig grund för myndigheter, eftersom det måste vara frivilligt.

Se även vår checklista som kan fungera som stöd i processen när ni vill inhämta samtycke och hänvisningar till hur kraven formuleras i dataskyddsförordningen.

Samtycke inte första valet

En vanlig missuppfattning är att det alltid krävs samtycke för att få behandla någons personuppgifter, men ofta är det varken lämpligt eller ens möjligt att stödja sig på den registrerades samtycke. Överväg därför alltid först om ni kan stödja personuppgiftsbehandlingen på någon av de andra rättsliga grunderna.

Fråga bara om ni kan respektera ett nej

Som personuppgiftsansvarig ansvarar ni för att bedöma om samtycke är en lämplig rättslig grund. För att det ska vara lämpligt måste det vara frivilligt: den registrerade ska kunna avgöra om personuppgifterna ska få behandlas, och hen ska alltid kunna säga nej. 

Jämlika maktförhållanden

För att ni ska kunna använda samtycke som rättslig grund måste maktförhållandet vara jämlikt. Tänk på att maktförhållandet ofta är ojämlikt i relationen mellan myndighet och medborgare, och mellan arbetsgivare och arbetstagare. Om det råder ett ojämlikt maktförhållande kan ni inte stödja er på samtycke.

Ställ inte krav i samband med samtycket

Ni får inte ställa krav på den registrerade i samband med samtycket. I dataskyddsförordningen kallas detta "paketering" och innebär att den registrerade direkt eller indirekt måste ge en motprestation för tjänsten eller varan, till exempel godta vissa användarvillkor eller affärsvillkor. Om dessa villkor inte är nödvändiga är samtycket inte frivilligt, och därmed inte giltigt.

Om ni bedömer att er organisation måste behandla vissa personuppgifter eftersom de är nödvändiga för att verksamheten eller tjänsten ska fungera, bör ni istället överväga en annan rättslig grund, som exempelvis avtal med den registrerade.

Den registrerade ska godkänna att personuppgifterna används

Det ska ske genom en otvetydig viljeyttring. Med otvetydig viljeyttring avses att samtycket alltid behöver ges aktivt eller genom en förklaring.

Det innebär att den som samtycker behöver ha utfört en medveten handling (det vill säga en entydig och bekräftande handling), till exempel kryssat i en kryssruta på en webbplats. Förifyllda kryssrutor är inte tillåtna, eftersom det inte ger uttryck för ett aktivt beteende och lika gärna kan vara något som den enskilda missat att reagera på.

Det är inte tillräckligt att den enskilda scrollar eller svajpar igenom en webbsida, då sådana handlingar kan vara svåra att skilja från andra handlingar eller interaktion, vilket inte gör det möjligt att avgöra om ett entydigt samtycke har lämnats. Tystnad, inaktivitet eller enbart utnyttjande av en tjänst är inte aktiva val. Samtycke kan inte heller anses ha lämnats av den enskilda genom att godta ett avtal eller allmänna villkor för en viss tjänst. Samtycke kan lämnas genom en skriftlig eller (inspelad) muntlig förklaring, inklusive på elektronisk väg. Sådana samtyckesförklaringar kan vara utformade på flera olika sätt och vara olika omfattande för att uppfylla kraven.

Exempel när samtycke kan användas

Exempel när samtycke inte kan användas

Var tydlig med varför ni behandlar personuppgifter

En av de grundläggande principerna i dataskyddsförordningen är så kallad ändamålsbegränsning. Det innebär att ni ska ha klart för er varför ni behandlar personuppgifter så att ni kan informera de registrerade om det.

Ändamålet, det vill säga syftet, sätter ramarna för vad ni får och inte får göra, till exempel vilka uppgifter ni får behandla och hur länge ni får spara dem.

För att skydda den registrerade mot ett gradvis vidgande av ändamålet, eller otydlig gränsdragning mellan olika ändamål, måste ändamålet vara tydligt specificerat när den registrerade lämnar samtycke.

Håll informationen ni lämnar för att kunna inhämta ett samtycke avskild från annan information, så att den som ska lämna samtycket klart och tydligt förstår vilka konsekvenser olika val kan ge.

Informera tydligt om vad som gäller

De registrerade har rätt att känna till varför ni behandlar deras personuppgifter och vad som gäller i övrigt. Informera därför tydligt om följande:

• vem som begär samtycke, alltså vilka ni är
• vilken typ av personuppgifter ni tänker behandla
• i vilket syfte ni vill använda personuppgifterna (är det fler än ett syfte, beskriv vart och ett)
• klargör att det är möjligt att återkalla sitt samtycke.

Dokumentera samtycket

Ni ansvarar för att ett giltigt samtycke har inhämtats och behöver kunna visa både att den registrerade har fått relevant information och att ert arbetssätt uppfyller kraven. Tänk därför på att dokumentera samtycket:

• hur samtycket inhämtades
• när samtycket inhämtades
• vilken information ni gav den registrerade.

Barn och samtycke

Eftersom barn enligt dataskyddsförordningen förtjänar särskilt skydd måste all information som riktar sig till barn vara skriven på ett tydligt och enkelt sätt som barn förstår.

Om ni behandlar barns personuppgifter bör ni fundera på hur ni ska kontrollera en persons ålder och hur ni ska inhämta samtycke i samband med behandling av barns personuppgifter online. Det är i dessa fall den som har föräldraansvar för barnet som ska lämna samtycke.

Föräldraansvar: I texten nedan skriver vi ibland "föräldrar" i betydelsen "den som har föräldraansvar".

Dataportabilitet – att kunna flytta sina personuppgifter

När personuppgifter behandlas med stöd av samtycke eller avtal gäller så kallad dataportabilitet. Det innebär att den registrerade har rätt att få ut sina personuppgifter eller få dem överförda till en annan personuppgiftsansvarig om det är tekniskt möjligt.