GDPR – Samtycke

Behandling av personuppgifter är i allmänhet förbjudet, om det inte uttryckligen tillåts enligt lag, eller om den registrerade har samtyckt till behandlingen. Även om samtycke är en av de mer välkända rättsliga grunderna för behandling av personuppgifter, är det bara en av sex grunder som nämns i den allmänna dataskyddsförordningen (GDPR). De andra är: avtal, rättsliga förpliktelser, den registrerades vitala intressen, allmänintresse och berättigat intresse som anges i artikel 6.1 GDPR.

De grundläggande kraven för effektiviteten av ett giltigt rättsligt samtycke definieras i artikel 7 och specificeras ytterligare i skäl 32 i GDPR. Samtycke måste vara frivilligt, specifikt, informerat och otvetydigt. För att erhålla frivilligt givet samtycke måste det ske på frivillig basis. Elementet ”fri” innebär ett verkligt val av den registrerade. Varje element av olämplig press eller påverkan som kan påverka resultatet av det valet gör samtycket ogiltigt. I detta hänseende tar den rättsliga texten hänsyn till en viss obalans mellan den personuppgiftsansvarige och den registrerade. Till exempel, i en arbetsgivare-arbetstagare-relation: Arbetstagaren kan oroa sig för att hans vägran att ge samtycke kan ha allvarliga negativa konsekvenser för hans anställningsrelation, och därmed kan samtycke endast vara en laglig grund för behandling i några få undantagsfall. Dessutom gäller ett så kallat ”kopplingsförbud” eller ”förbud mot koppling eller bundenhet”. Således får utförandet av ett avtal inte göras beroende av samtycket att behandla ytterligare personuppgifter, som inte behövs för utförandet av det avtalet.

För att samtycke ska vara informerat och specifikt måste den registrerade åtminstone informeras om den personuppgiftsansvariges identitet, vilken typ av data som kommer att behandlas, hur den kommer att användas och syftet med behandlingen som en skyddsåtgärd mot ’funktion glidning’. Den registrerade måste också informeras om sin rätt att när som helst dra tillbaka sitt samtycke. Återkallandet måste vara lika enkelt som att ge samtycke. Vid behov måste den personuppgiftsansvarige även informera om användningen av data för automatiserat beslutsfattande, de möjliga riskerna med datatransfer på grund av avsaknad av ett adekvat skyddsbeslut eller andra lämpliga skyddsåtgärder.

Samtycket måste vara knutet till ett eller flera specificerade ändamål som sedan måste förklaras tillräckligt. Om samtycket ska legitimera behandlingen av särskilda kategorier av personuppgifter, måste informationen till den registrerade uttryckligen hänvisa till detta.
Det måste alltid finnas en tydlig åtskillnad mellan den information som behövs för det informerade samtycket och information om andra avtalsfrågor.

Sist men inte minst, samtycke måste vara otvetydigt, vilket innebär att det kräver antingen ett uttalande eller en klar bekräftande handling. Samtycke kan inte vara underförstått och måste alltid ges genom en opt-in, en deklaration eller en aktiv handling, så att det inte finns någon missförståelse om att den registrerade har samtyckt till den specifika behandlingen. Det finns dock inget formellt krav för samtycke, även om skriftligt samtycke rekommenderas med tanke på den personuppgiftsansvariges ansvarighet. Det kan därför också ges i elektronisk form. I detta avseende är samtycke från barn och ungdomar i relation till informationssamhällets tjänster ett särskilt fall. För de som är under 16 år finns det ytterligare ett samtycke- eller godkännande från den som har föräldraansvar. Åldersgränsen är föremål för en flexibilitetsklausul. Medlemsstaterna kan föreskriva en lägre ålder enligt nationell lag, så länge den åldern inte är under 13 år. När ett tjänsteerbjudande uttryckligen inte riktas till barn, är det befriat från denna regel. Detta gäller dock inte erbjudanden som riktar sig till både barn och vuxna.

Som man kan se är samtycke inte en universallösning när det kommer till behandlingen av personuppgifter. Särskilt med tanke på att de europeiska dataskyddsmyndigheterna har klargjort ”att om en personuppgiftsansvarig väljer att förlita sig på samtycke för någon del av behandlingen, måste de vara beredda att respektera det valet och stoppa den delen av behandlingen om en individ återkallar sitt samtycke.” Strikt tolkat betyder detta att den personuppgiftsansvarige inte får byta från den rättsliga grunden samtycke till berättigat intresse när den registrerade återkallar sitt samtycke. Detta gäller även om ett giltigt berättigat intresse funnits från början. Därför bör samtycke alltid väljas som en sista utväg för att behandla personuppgifter.