Riktlinjer 05/2020 om samtycke enligt förordning (EU) 2016/679

Europeiska dataskyddsstyrelsen har

med beaktande av artikel 70.1 e i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning), med beaktande av EES-avtalet, särskilt bilaga XI och protokoll 37, ändrat genom gemensamma EESkommitténs beslut nr 154/2018 av den 6 juli 2018 , med beaktande av artiklarna 12 och 22 i arbetsordningen och med beaktande av artikel 29-gruppens riktlinjer om samtycke enligt förordning (EU) 2016/679, WP259 rev.01,

ANTAGIT FÖLJANDE RIKTLINJER:

0 FÖRORD

Den 10 april 2018 antog artikel 29-gruppen sina riktlinjer om samtycke enligt förordning (EU) 2016/679 (WP259.01), som godkändes av Europeiska dataskyddsstyrelsen (nedan kallad styrelsen)vid dess första plenarmöte. Detta dokument är en något uppdaterad version av dessa riktlinjer. Alla hänvisningar till artikel 29-arbetsgruppens riktlinjer om samtycke (WP259 rev.01) bör hädanefter tolkas som hänvisningar till dessa riktlinjer. Europeiska dataskyddsstyrelsen har konstaterat att det finns ett behov av ytterligare klargöranden, särskilt i fråga om följande två frågor: 1 Giltigheten av samtycke från den registrerade vid interaktion med så kallade kakväggar (cookie walls). 2 Exempel 16 om bläddring och samtycke. Styckena om dessa två frågor har reviderats och uppdaterats men resten av dokumentet är oförändrat utöver redaktionella ändringar. Närmare bestämt har följande reviderats:  Avsnitt om Villkor (stycke 38–41).  Avsnitt om Otvetydig viljeyttring (stycke 86).

1 INLEDNING

1. I dessa riktlinjer görs en grundlig analys av begreppet samtycke i förordning (EU) 2016/679, den allmänna dataskyddsförordningen. Begreppet samtycke såsom det används i dataskyddsdirektivet (nedan kallat direktiv 95/46/EG) och direktivet om integritet och elektronisk kommunikation har förändrats. I allmänna dataskyddsförordningen görs ett ytterligare förtydligande och en specificering av kraven för erhållande och uppvisande av giltigt samtycke. I dessa riktlinjer läggs fokus på dessa förändringar genom praktisk vägledning för att säkerställa förenlighet med allmänna dataskyddsförordningen och med utgångspunkt i artikel 29-arbetsgruppens yttrande 15/2011 om definitionen av begreppet ”samtycke”. De personuppgiftsansvariga är skyldiga att finna nya vägar för att hitta nya lösningar inom lagens råmärken och bättre stödja skyddet av registrerades personuppgifter och intressen.

2. Samtycke förblir en av de sex lagliga grunderna för behandling av personuppgifter, såsom anges i artikel 6 i allmänna dataskyddsförordningen. Vid inledandet av verksamhet som medför behandling av personuppgifter måste en personuppgiftsansvarig alltid ta sig tid och fundera över vilken som är den lämpliga rättsliga grunden för den avsedda behandlingen.

3. Generellt sett kan samtycke enbart vara den lämpliga rättsliga grunden om den registrerade erbjuds kontroll och får en genuin valmöjlighet att godta eller vägra godta de villkor som ges eller att vägra godta dem utan problem. När den personuppgiftsansvarige ber om samtycke måste han eller hon bedöma huruvida samtliga villkor kommer att uppfyllas för erhållandet av giltigt samtycke. Om samtycke erhålls helt i linje med den allmänna dataskyddsförordningen är samtycke ett verktyg som ger de registrerade kontroll över huruvida deras personuppgifter kommer att behandlas. I annat fall blir de registrerades kontroll skenbar och samtycke kommer då att vara en ogiltig grund för behandling, vilket innebär att behandlingen blir olaglig.

4. Artikel 29-gruppens befintliga yttranden om samtycke är fortsatt relevanta, i de fall där de är förenliga med den nya rättsliga ramen, eftersom den allmänna dataskyddsförordningen är en kodifiering av artikel 29-gruppens befintliga riktlinjer och allmänna goda praxis och eftersom de viktigaste delarna av samtycke är desamma i allmänna dataskyddsförordningen. I detta dokument ersätter inte styrelsen tidigare yttranden från artikel 29-gruppen om särskilda frågor som rör bland annat hänvisning till samtycke enligt direktiv 95/46/EG. I stället vidareutvecklar och kompletterar styrelsen dessa.

5. Såsom artikel 29-gruppen angav i yttrande 15/2011 om definitionen av begreppet ”samtycke” bör uppmaningar till personer om att acceptera uppgiftsbehandling omfattas av strikta krav, eftersom det handlar om de registrerades grundläggande rättigheter och den personuppgiftsansvarige vill inleda en uppgiftsbehandling som skulle vara olaglig utan den registrerades samtycke. Samtyckets avgörande roll betonas i artiklarna 7 och 8 i Europeiska unionens stadga om de grundläggande rättigheterna (nedan kallad stadgan). Ett erhållet samtycke innebär inte heller att man kan kringgå eller på något sätt förminska den personuppgiftsansvariges skyldigheter att iaktta behandlingsprinciperna i den allmänna dataskyddsförordningen, särskilt artikel 5 i den allmänna dataskyddsförordningen, i fråga om korrekthet, nödvändighet och proportionalitet samt datakvalitet. Behandlingen av personuppgifter grundar sig på den registrerades samtycke, men detta innebär inte att uppgifter som inte är nödvändiga för ett särskilt ändamål får behandlas, vilket i grund och botten skulle vara oskäligt.

6. Styrelsen är samtidigt medveten om den översyn som görs av direktivet om integritet och elektronisk kommunikation (2002/58/EG). Begreppet samtycke i förslaget till förordning om integritet och elektronisk kommunikation hänger fortfarande samman med begreppet samtycke i den allmänna dataskyddsförordningen. Organisationer behöver sannolikt samtycke enligt instrumentet för integritet och elektronisk kommunikation för merparten marknadsföringsmeddelanden på nätet eller marknadsföringssamtal och webbaserade spårningsverktyg, inklusive genom användning av kakor eller appar eller annan programvara. Styrelsen har redan utfärdat rekommendationer och gett vägledning till EU-lagstiftaren när det gäller förslaget till förordning om integritet och elektronisk kommunikation.

7. När det gäller det nuvarande direktivet om integritet och elektronisk kommunikation noterar styrelsen att hänvisningar till det upphävda direktivet 95/46/EG ska anses vara hänvisningar till allmänna dataskyddsförordningen. Detta gäller även hänvisningar till samtycke i det nuvarande direktivet 2002/58/EG, eftersom förordningen om integritet och elektronisk kommunikation inte hade trätt i kraft den 25 maj 2018. Enligt artikel 95 i allmänna dataskyddsförordningen ska inga ytterligare förpliktelser föreläggas när det gäller behandling inom ramen för tillhandahållande av allmänt tillgängliga elektroniska kommunikationstjänster i allmänna kommunikationsnät, i den mån som särskilda skyldigheter för samma ändamål införs genom direktivet om integritet och elektronisk kommunikation. Styrelsen noterar att kraven om samtycke enligt allmänna dataskyddsförordningen inte ska betraktas som någon ”ytterligare förpliktelse” utan snarare som förhandsvillkor för laglig behandling. Därför är allmänna dataskyddsförordningens villkor för erhållande av giltigt samtycke tillämpliga i situationer som omfattas av direktivet om integritet och elektronisk kommunikation.

2 SAMTYCKE ENLIGT ARTIKEL 4.11 I ALLMÄNNA DATASKYDDSFÖRORDNINGEN

8. I artikel 4.11 i allmänna dataskyddsförordningen definieras samtycke på följande sätt: ”varje slag av frivillig, specifik, informerad och otvetydig viljeyttring, genom vilken den registrerade, antingen genom ett uttalande eller genom en entydig bekräftande handling, godtar behandling av personuppgifter som rör honom eller henne.”

9. Grundbegreppet samtycke är detsamma som i direktiv 95/46/EG och samtycke är en av de rättsliga grunder som behandling av personuppgifter måste grundas på, enligt artikel 6 i allmänna dataskyddsförordningen. Förutom den ändrade definitionen i artikel 4.11 innehåller allmänna dataskyddsförordningen ytterligare vägledning i artikel 7 samt i skälen 32, 33, 42 och 43 när det gäller hur den personuppgiftsansvarige måste agera för att iaktta samtyckeskravets viktigaste delar.

10. Det faktum att särskilda bestämmelser och skäl om återkallande av samtycke har tagits med bekräftar att samtycke bör vara ett återkalleligt beslut och att den registrerade fortsätter att ha en viss kontroll.

3 DELAR AV GILTIGT SAMTYCKE

11. Enligt artikel 4.11 i allmänna dataskyddsförordningen innebär samtycke av den registrerade varje slag av  frivillig,  specifik,  informerad och  otvetydig viljeyttring, genom vilken den registrerade, antingen genom ett uttalande eller genom en entydig bekräftande handling, godtar behandling av personuppgifter som rör honom eller henne.

12. I nedanstående avsnitt görs en analys av i vilken utsträckning ordalydelsen i artikel 4.11 innebär att de personuppgiftsansvariga måste ändra sina begäranden/formulär avseende samtycke, för att säkerställa förenlighet med allmänna dataskyddsförordningen.

3.1 Fritt/frivilligt samtycke

I direktiv 95/46/EG definierades samtycke som ”varje slag av frivillig, särskild och informerad viljeyttring genom vilken den registrerade godtar behandling av personuppgifter som rör honom”, vilket måste ges på ett otvetydigt sätt för att personuppgifterna ska få behandlas (artikel 7 a i direktiv 95/46/EG). Se artikel 29-gruppens yttrande 15/2011 om definitionen av begreppet ”samtycke” (WP 187) för exempel på lämpligheten av samtycke som rättslig grund. I detta yttrande gav artikel 29-gruppen vägledning för att särskilja fall där samtycke är en lämplig rättslig grund från de där grunden legitimt intresse (eventuellt med en opt out-lösning) är tillräcklig eller ett avtalsförhållande är att rekommendera. Se även artikel 29-gruppens yttrande 6/2014, punkt III.1.2, sidan 14 och följande sidor. Uttryckligt samtycke är också ett av undantagen till förbudet mot behandling av särskilda kategorier av uppgifter: se artikel 9 i allmänna dataskyddsförordningen.

13. Delen ”fritt” innebär att de registrerade har kontroll och möjlighet att välja fritt. I allmänna dataskyddsförordningen anges den allmänna regeln att om de registrerade saknar möjlighet att välja fritt, känner sig tvingade att ge sitt samtycke eller kommer att få utstå negativa konsekvenser om de inte samtycker, kommer samtycket att vara ogiltigt . Om samtycke ingår som en ej förhandlingsbar del av villkoren antas samtycket inte vara frivilligt. På samma sätt kommer samtycke inte anses vara frivilligt om de registrerade inte kan vägra eller ta tillbaka sitt samtycke utan problem. Begreppet ojämlikhet mellan den personuppgiftsansvarige och den registrerade beaktas också i allmänna dataskyddsförordningen.

14. Vid bedömning av huruvida samtycke är frivilligt bör hänsyn även tas till den särskilda situation då samtycke förenas med ett avtal eller tillhandahållande av en tjänst såsom anges i artikel 7.4. Artikel 7.4 har avfattats på ett icke uttömmande sätt genom orden ”bland annat”, som innebär att det kan finnas en rad andra situationer som omfattas av bestämmelsen. Varje slags otillbörligt tryck eller påverkan på den registrerade (vilket kan te sig på flera olika sätt) som hindrar honom eller henne från att utöva sin fria vilja ska generellt sett innebära att samtycket blir ogiltigt.

15. Exempel 1: I en fotoredigeringsapp uppmanas användarna att ha GPS-lokaliseringen aktiverad för tjänsten. I appen informeras användarna även om att de insamlade uppgifterna kommer att användas för beteendestyrd nätannonsering. Vare sig geolokalisering eller beteendestyrd nätannonsering är nödvändigt för tillhandahållandet av fotoredigeringstjänsten och går utöver tillhandahållandet av huvudtjänsten i fråga. Eftersom användarna inte kan använda appen utan att ge sitt samtycke till dessa ändamål, kan samtycket inte anses ha getts frivilligt.

3.1.1 Maktobalans

16. I skäl 43 anges det tydligt att det är osannolikt att offentliga myndigheter kan hänvisa till samtycke till behandling, eftersom det ofta föreligger en tydlig maktobalans mellan den personuppgiftsansvarige och den registrerade när den personuppgiftsansvarige är en offentlig myndighet. Det är också tydligt i de flesta fall att den registrerade faktiskt inte kommer att ha något annat val än att godta den personuppgiftsansvariges behandling (behandlingsvillkor). Styrelsen anser att det finns andra lagliga grunder som i princip är mer lämpliga för offentliga myndigheters verksamhet .

17. Utan att det påverkar dessa allmänna överväganden är det inte helt uteslutet för offentliga myndigheter att använda sig av samtycke som en laglig grund för behandling av uppgifter enligt allmänna dataskyddsförordningens rättsliga ram. Följande exempel visar att samtycke kan vara lämpligt i vissa situationer:

18. Exempel 2: En kommun planerar vägunderhållsarbeten. Eftersom vägarbetena kan störa trafiken under en lång tid ger kommunen medborgarna möjlighet att via en e-postlista få uppdateringar om arbetenas fortskridande och om förväntade förseningar. Kommunen klargör att medborgarna inte är skyldiga att delta och begär deras samtycke för att få använda e-postadresserna (enbart) för detta syfte. De medborgare som inte ger sitt samtycke kommer inte att gå miste om några av kommunens huvudtjänster eller möjligheten att utöva någon viss rättighet, så de kan fritt ge eller vägra ge sitt samtycke till att uppgifterna används på detta sätt. All information om vägarbetena kommer också att finnas på kommunens webbplats.

19. Exempel 3: En privatperson som äger mark behöver vissa tillstånd dels från kommunen, dels från den provins som kommunen tillhör. Båda dessa offentliga organ kräver samma uppgifter för att utfärda sina tillstånd men de har inte åtkomst till varandras databaser. Därför begär de samma uppgifter och markägaren skickar sina personuppgifter till båda organen. Kommunen och provinsmyndigheten begär markägarens samtycke till att ärendena slås ihop, för att undvika dubbla förfaranden och dubbel korrespondens. Båda organen försäkrar att detta är frivilligt och att man kommer att fortsätta behandla tillståndsansökningarna separat, om markägaren beslutar att inte ge sitt samtycke till att uppgifterna slås ihop. Markägaren får fritt samtycka till att myndigheterna slår ihop ärendena.

20. Exempel 4: En offentlig skola begär elevernas samtycke för att få använda bilder på dem i en tryckt elevtidning. Samtycke i sådana situationer skulle vara en genuin valmöjlighet så länge som eleverna inte nekas utbildning eller tjänster. Eleverna kan utan problem vägra ge samtycke till att bilderna används.

21. En maktobalans uppstår även på sysselsättningsområdet. Med tanke på den beroendeställning som följer av ett anställningsförhållande är det osannolikt att den registrerade kan vägra ge sin arbetsgivare samtycke till behandling av personuppgifter utan att vara rädd för eller löpa verklig risk för negativa konsekvenser till följd av sin vägran. Det är osannolikt att en arbetstagare fritt skulle kunna svara på en begäran om samtycke från sin arbetsgivare för att denne till exempel ska få aktivera övervakningssystem som kameraövervakning på arbetsplatsen eller fylla i bedömningsformulär, utan att arbetstagaren känner sig tvingad att ge sitt samtycke. Styrelsen anser därför att det är problematiskt att arbetsgivare behandlar befintliga eller framtida anställdas personuppgifter baserat på samtycke, eftersom det är osannolikt att samtycket ges frivilligt. Vid sådan databehandling på arbetsplatsen kan och bör den lagliga grunden i de allra flesta fall inte utgöras av arbetstagarens samtycke (artikel 6.1 a) på grund av hur förhållandet mellan arbetsgivare och arbetstagare är beskaffat.

22. Detta innebär dock inte att arbetsgivare aldrig får använda samtycke som en laglig grund för behandling av personuppgifter. Det kan finnas situationer där arbetsgivaren kan visa att samtycket faktiskt har getts frivilligt. Med tanke på maktobalansen mellan en arbetsgivare och personalen, kan arbetstagarna endast ge sitt fria samtycke i undantagsfall, när inga negativa konsekvenser kommer att uppstå oavsett om de ger sitt samtycke eller inte.

23. Exempel 5: En filmbesättning ska filma i en viss del av ett kontor. Arbetsgivaren ber alla de anställda som har sin plats i denna del att ge samtycke till att bli filmade, eftersom de kan komma med i bakgrunden i filmen. De som inte vill bli filmade straffas inte på något sätt för det men får i stället likvärdiga platser någon annanstans i byggnaden under det att filminspelningen pågår.

24. Maktobalans kan inte bara uppstå vad gäller myndigheter och arbetsgivare utan även i andra situationer. Såsom artikel 29-gruppen betonat i flera yttranden kan samtycke endast vara giltigt om den registrerade får möjlighet att välja fritt och om det inte finns någon risk för bedrägeri, trakasserier, tvång eller betydande negativa konsekvenser (t.ex. betydande tilläggskostnader) om inget samtycke ges. Samtycket anses inte ges fritt i fall där det finns något inslag av tvång, påtryckningar eller oförmåga att utöva fri vilja.

3.1.2 Villkor

25. Artikel 7.4 i allmänna dataskyddsförordningen har en avgörande betydelse när man ska bedöma huruvida samtycke lämnas frivilligt .

26. I artikel 7.4 i allmänna dataskyddsförordningen anges det bland annat att sådan paketering anses vara högst icke önskvärd då samtycke ges mot godtagande av vissa villkor eller då bestämmelserna i ett avtal eller en tjänst binds till en begäran om samtycke för behandling av personuppgifter som inte är nödvändig för genomförandet av avtalet eller tjänsten. Om samtycke lämnas i en sådan situation anses det inte ha lämnats frivilligt (skäl 43). Syftet med artikel 7.4 är att säkerställa att syftet med behandlingen av personuppgifterna inte är dolt eller har förenats med avtalsbestämmelserna för en tjänst för vilken personuppgifterna inte är nödvändiga. På så sätt säkerställer man genom allmänna dataskyddsförordningen att behandling av personuppgifter för vilken samtycke begärs inte direkt eller indirekt får ställas som krav för genomförandet av ett avtal. De båda lagliga grunderna för laglig behandling av personuppgifter, det vill säga samtycke och avtal, får inte slås ihop eller suddas ut.

27. Ett tvång om att samtycka till användning av personuppgifter utöver vad som är strikt nödvändigt begränsar de registrerades valmöjligheter och hindrar frivilligt samtycke. Eftersom dataskyddslagstiftningen syftar till att skydda de grundläggande rättigheterna är det viktigt att en individ har kontroll över sina personuppgifter, och det finns en stark presumtion att samtycke till behandling av personuppgifter som inte är nödvändig inte kan anses vara tvingande hänsyn i utbyte mot genomförandet av ett avtal eller tillhandahållandet av en tjänst.

28. Närhelst de personuppgiftsansvariga binder en begäran om samtycke till genomförandet av ett avtal riskerar de registrerade därför att bli nekade tjänster som de begärt om de inte vill ställa sina personuppgifter till förfogande för behandling.

29. För att bedöma huruvida sådan paketering eller bindning föreligger är det viktigt att fastställa själva syftet med avtalet och vilka uppgifter som är nödvändiga för genomförandet av detta.

30. Enligt artikel 29-gruppens yttrande 6/2014 måste en strikt tolkning göras av begreppet ”nödvändig för att fullgöra ett avtal”. Behandlingen måste vara nödvändig för fullgörandet av avtalet med varje enskild registrerad person. Detta kan exempelvis inbegripa behandling av den registrerades adress, så att varor som köpts på nätet kan levereras, eller behandling av kontokortsuppgifter för att underlätta betalning. När det gäller anställningar kan denna grund till exempel möjliggöra behandling av löne- och bankkontouppgifter, så att löner kan utbetalas . Det måste finnas en direkt och objektiv koppling mellan behandlingen av uppgifterna och syftet med genomförandet av avtalet.

31. Om en registeransvarig försöker behandla personuppgifter som i själva verket inte är nödvändiga för genomförandet av ett avtal, är samtycke inte den lämpliga lagliga grunden.

32. Artikel 7.4 är endast relevant om de begärda uppgifterna inte är nödvändiga för genomförandet av avtalet (inklusive tillhandahållandet av en tjänst) och om genomförandet av avtalet har gjorts beroende av samtycke till erhållandet av sådana uppgifter. Omvänt gäller att artikel 7.4 inte är tillämplig om behandlingen är nödvändig för genomförandet av avtalet (inklusive tillhandahållandet av en tjänst).

33. Exempel 6: En bank ber om kundernas samtycke till att tredje part använder deras betalningsuppgifter för direkt marknadsföring. Sådan behandling är inte nödvändig för att genomföra avtalet med kunden och tillhandahålla ordinarie bankkontotjänster. Samtycket kan inte lämnas frivilligt om kundens vägran att ge sitt samtycke till sådan behandling skulle leda till att kunden nekas banktjänster, får sitt bankkonto stängt eller, beroende på fallet i fråga, får en förhöjd avgift.

34. Lagstiftarens val att betona bland annat villkorlighet som en anledning att misstänka att frivilligt samtycke saknas visar att förekomsten av villkorlighet måste granskas noggrant. Begreppet ”största hänsyn” i artikel 7.4 vittnar om att den personuppgiftsansvarige måste iaktta särskild försiktighet när ett avtal (som skulle kunna inbegripa tillhandahållande av en tjänst) innehåller en begäran om samtycke till behandling av personuppgifter.

35. Eftersom ordalydelsen i artikel 7.4 är allmänt hållen kan det finnas ett mycket begränsat utrymme för fall där sådan villkorlighet inte skulle göra samtycket ogiltigt. Ordet ”antas” i skäl 43 visar dock tydligt att det är mycket sällsynt med sådana fall.

36. Bevisbördan i artikel 7.4 ligger hur som helst på den personuppgiftsansvarige. Denna särskilda bestämmelse återspeglar den allmänna ansvarsprincip som genomsyrar hela allmänna dataskyddsförordningen. När artikel 7.4 är tillämplig kommer det dock att vara svårare för den personuppgiftsansvarige att bevisa att samtycke lämnats frivilligt av den registrerade.

37. Den personuppgiftsansvarige skulle kunna hävda att organisationen erbjuder de registrerade en genuin valmöjlighet om de kan välja mellan en tjänst som inkluderar samtycke till användning av personuppgifter för andra ändamål och en likvärdig tjänst från samma personuppgiftsansvarige som inte inkluderar samtycke till användning av uppgifter för andra ändamål. Så länge som det finns en möjlighet att få avtalet genomfört eller den avtalade tjänsten tillhandahållen av den personuppgiftsansvarige utan att samtycka till att uppgifterna används för andra ändamål innebär detta att tjänsten inte längre är villkorlig. Båda tjänsterna måste dock vara helt likvärdiga.

38. Styrelsen anser att samtycke inte kan anses ha lämnats frivilligt om en personuppgiftsansvarig hävdar att den registrerade kan välja mellan den personuppgiftsansvariges tjänst som inkluderar samtycke till användning av personuppgifter för andra ändamål och en likvärdig tjänst från en annan personuppgiftsansvarig. I ett sådant fall skulle valfriheten styras av vad andra marknadsaktörer gör och huruvida en viss registrerad person anser att den andra personuppgiftsansvariges tjänst är helt likvärdig. Dessutom skulle de personuppgiftsansvariga bli skyldiga att övervaka marknadsutvecklingen för att säkerställa samtyckets fortsatta giltighet för uppgiftsbehandlingen i fråga, eftersom en konkurrent kan ändra sina tjänster i ett senare skede. Användning av detta argument innebär därför ett samtycke som bygger på att ett alternativ erbjudet av en tredje part inte överensstämmer med allmänna dataskyddsförordningen, vilket innebär att en tjänsteleverantör inte kan hindra registrerade personer från att få tillgång till en tjänst på grund av att de inte samtycker.

39. För att samtycke ska kunna ges frivilligt får tillgång till tjänster och funktioner inte göras beroende av användarens samtycke till att lagra information eller få tillgång till information som redan är lagrad i en användares terminalutrustning (så kallade kakväggar) .

40. Exempel 6 a: En webbplatsleverantör sätter in ett skript som kommer att blockera tillgången till innehåll, med undantag för en begäran om att användaren ska godta kakor och information om vilka kakor det handlar om och för vilka ändamål uppgifterna kommer att behandlas. Det finns ingen möjlighet att komma åt innehållet utan att klicka på ”Godkänn kakor”. Eftersom den registrerade inte har ett verkligt val har dennas samtycke inte getts frivilligt.

41. Detta utgör inte ett giltigt samtycke, eftersom tillhandahållandet av tjänsten bygger på att den registrerade klickar på ”Godkänn kakor”. Den registrerade får här inte ett verkligt val.

3.1.3 Granularitet

42. En tjänst kan inbegripa flera olika behandlingar för mer än ett ändamål. I sådana fall bör de registrerade fritt kunna välja vilket ändamål de godtar i stället för att tvingas samtycka till ett paket med flera ändamål med behandlingen. I vissa fall kan flera samtycken vara motiverade för att en tjänst ska få börja erbjudas enligt allmänna dataskyddsförordningen.

43. I skäl 43 klargörs det att samtycke inte anses vara frivilligt om processen/förfarandet för erhållandet av samtycke inte medger att separata samtycken lämnas för olika behandlingar av personuppgifter (t.ex. endast för viss behandling och inte för annan), trots att detta är lämpligt i det enskilda fallet. I skäl 32 anges följande: ”Samtycket bör gälla all behandling som utförs för samma ändamål. Om behandlingen tjänar flera olika syften, bör samtycke ges för samtliga syften.”

44. Valfrihet saknas om den personuppgiftsansvarige har bakat ihop flera olika syften med behandlingen och inte har försökt få separat samtycke för vart och ett av dessa. En sådan granularitet har ett nära samband med det faktum att samtycket måste vara specifikt, vilket behandlas i avsnitt 3.2 nedan. När uppgifter behandlas för flera olika ändamål kan villkoren för giltigt samtycke uppfyllas genom granularitet, det vill säga särskiljande av syftena och erhållande av samtycke för vart och ett av dessa.

45. Exempel 7: I en och samma begäran ber en återförsäljare om sina kunders samtycke till att få använda deras personuppgifter och skicka reklam till dem via e-post samt även ge deras personuppgifter till andra företag inom koncernen. Ett sådant samtycke är inte granulärt eftersom det inte finns några separata samtycken för de olika syftena, och därför kommer inte samtycket att vara giltigt. I detta fall bör ett särskilt samtycke erhållas för att kontaktuppgifterna ska få skickas till affärspartnerna. Ett sådant särskilt samtycke kommer att anses vara giltigt för varje partner (se även avsnitt 3.3.1), vars identitet har uppgetts för den registrerade när samtycket erhålls, i den mån som samtycket skickas till dem för samma ändamål (i detta exempel: i marknadsföringssyfte).

3.1.4 Problem

46. Den personuppgiftsansvarige måste visa att den registrerade kan vägra eller ta tillbaka sitt samtycke utan problem (skäl 42). Den personuppgiftsansvarige måste till exempel bevisa att ett återkallande av samtycket inte medför några kostnader för den registrerade och därmed ingen tydlig nackdel för de som återkallar sitt samtycke.

47. Andra exempel på problem är bedrägeri, trakasserier, tvång eller betydande negativa konsekvenser om den registrerade inte samtycker. Den personuppgiftsansvarige bör kunna bevisa att den registrerade har haft en fri eller genuin valmöjlighet att samtycka eller inte samtycka och att den registrerade utan problem har kunnat återkalla samtycket.

48. Om en personuppgiftsansvarig kan visa att en tjänst inbegriper en möjlighet att återkalla samtycket utan negativa konsekvenser, till exempel utan att genomförandet av tjänsten försämras till användarens nackdel, kan detta tjäna som bevis för att samtycket lämnats frivilligt. Allmänna dataskyddsförordningen innebär inte att alla incitament utesluts, men det är den personuppgiftsansvariges skyldighet att visa att samtycket lämnades frivilligt under alla omständigheter.

49. Exempel 8: När en användare laddar ner en livsstilsapp begärs användarens samtycke till att appen ska få åtkomst till mobilens accelerometer. Detta är inte nödvändigt för att appen ska fungera men är användbart för den personuppgiftsansvarige som vill veta mer om användarens rörelse och aktivitetsnivåer. När användaren senare återkallar samtycket informeras hon om att appen nu bara fungerar i begränsad utsträckning. Detta är ett exempel på problem enligt skäl 42, vilket innebär att samtycket aldrig erhållits på ett giltigt sätt (och att den personuppgiftsansvarige därmed måste radera alla de uppgifter som samlats in på detta sätt om användarens rörelse).

50. Exempel 9: En registrerad börjar prenumerera på ett nyhetsbrev från en klädåterförsäljare med allmänna rabatter. Återförsäljaren ber om den registrerades samtycke för att få mer information om den registrerades shoppingpreferenser och skräddarsy erbjudanden till honom eller henne baserat på tidigare shoppinghistorik eller ett frågeformulär som är frivilligt att fylla i. När den registrerade sedan återkallar sitt samtycke får han eller hon återigen bara icke-personliga moderabatter. Detta utgör inte ett problem, eftersom endast det tillåtliga incitamentet tagits bort.

51. Exempel 10: En modetidning ger sina läsare möjlighet att köpa nya make up-produkter innan de lanseras för allmänheten.

52. Produkterna kommer att släppas för försäljning inom kort, men läsarna erbjuds en exklusiv förhandsvisning av dem. För att kunna ta del av denna förmån måste läsarna ange sin postadress och anmäla sig till tidningens e-postlista. Postadressen är nödvändig för frakten och e-postlistan används för att skicka reklamerbjudanden om produkter som kosmetika eller t-shirtar året runt.

53. Företaget förklarar att uppgifterna i e-postlistan endast kommer att användas av tidningen själv för att skicka produkter och pappersreklam och att de inte kommer att delas med något annat företag.

54. Om läsarna inte vill ange sin adress av denna anledning föreligger inget problem, eftersom de kommer att kunna få tillgång till produkterna ändå.

3.2 Specifikt

55. I artikel 6.1 a bekräftas att den registrerade måste ha lämnat sitt samtycke för ”ett eller flera specifika” ändamål och att han eller hon har en valmöjlighet med avseende på vart och ett av dessa. Kravet att samtycket måste vara ”specifikt” syftar till att säkerställa en viss användarkontroll och insyn för den registrerade. Detta krav har inte förändrats genom allmänna dataskyddsförordningen och är fortfarande nära kopplat till kravet om ”informerat” samtycke. Samtidigt måste kravet tolkas i linje med kravet om ”granularitet” för att ”frivilligt” samtycke ska erhållas. Sammanfattningsvis måste den personuppgiftsansvarige tillämpa följande för att respektera delen om ”specifikt” samtycke: i Specificering av ändamål som ett skydd mot funktionsglidning. ii Granularitet vid begäranden om samtycke. iii Ett tydligt särskiljande av information som rör erhållet samtycke för uppgiftsbehandling från annan typ av information.

56. Ad. (i): Enligt artikel 5.1 b i allmänna dataskyddsförordningen ska ett särskilt, uttryckligen angett och berättigat ändamål för den avsedda behandlingen alltid fastställas innan ett giltigt samtycke erhålls. Kravet om ett specifikt samtycke i kombination med begreppet ändamålsbegränsningar i artikel 5.1 b fungerar som ett skydd mot att de ändamål för vilka uppgifterna behandlas gradvis utökas eller suddas ut, efter att den registrerade har samtyckt till den inledande insamlingen av uppgifterna. Denna företeelse, som även kallas för funktionsglidning, utgör en risk för de registrerade, eftersom det kan leda till att den personuppgiftsansvarige eller tredje part använder uppgifterna på ett oväntat sätt och att den registrerade förlorar sin kontroll över uppgifterna.

57. Om den personuppgiftsansvarige hänvisar till artikel 6.1 a måste de registrerade alltid ge sitt samtycke till ett specifikt behandlingssyfte. I linje med begreppet ändamålsbegränsning (se artikel 5.1 b och skäl 32) får samtycket avse flera olika behandlingar, så länge som dessa tjänar samma syfte. Särskilt samtycke kan givetvis endast erhållas när de registrerade har informerats om just de avsedda syftena med behandlingen av deras personuppgifter.

58. Utan hinder av bestämmelserna om syftenas förenlighet måste samtycket ges specifikt för ändamålet. De registrerade ska ge sitt samtycke i vetskap om att de har kontrollen och att deras uppgifter endast kommer att behandlas för de specifika ändamålen. Om en personuppgiftsansvarig behandlar uppgifter på grundval av samtycke och vill behandla uppgifterna även för ett annat ändamål, måste den personuppgiftsansvarige erhålla ytterligare samtycke för detta ändamål om det inte finns någon annan rättslig grund som bättre återspeglar situationen.

59. Exempel 11: Ett kabel-tv-nätverk samlar in abonnenternas personuppgifter, grundat på deras samtycke, för att ge dem personliga förslag på nya filmer som de kan vara intresserade av baserat på deras tittarhistorik. Efter en tid beslutar tv-nätverket att låta tredje part skicka (eller visa) riktad reklam baserat på abonnenternas tittarhistorik. Eftersom detta är ett nytt ändamål krävs ett nytt samtycke.

60. Ad. (ii): Samtyckesmekanismerna får inte vara granulära enbart för att uppfylla frivillighetskravet utan även för att uppfylla kravet om ”särskilt” samtycke. Detta innebär att en personuppgiftsansvarig som begär samtycke för flera olika ändamål bör ge möjlighet till opt-in för respektive ändamål, så att användarna kan ge särskilt samtycke till specifika ändamål.

61. Ad. (iii): Avslutningsvis bör de personuppgiftsansvariga tillhandahålla särskild information tillsammans med varje separat samtyckesbegäran om de uppgifter som behandlas för respektive ändamål, för att göra de registrerade medvetna om vad de olika möjligheterna innebär. De registrerade får därför möjlighet att ge särskilt samtycke. Denna fråga överlappar kravet om att de personuppgiftsansvariga måste ge tydlig information, såsom beskrivs i punkt 3.3 nedan.

3.3 Informerat

62. Genom allmänna dataskyddsförordningen förstärks kravet att samtycke måste vara informerat. På grundval av artikel 5 i allmänna dataskyddsförordningen är öppenhetskravet en av de grundläggande principerna och har nära anknytning till principerna om korrekthet och laglighet. Det är nödvändigt att de registrerade får information innan de ger sitt samtycke för att de ska kunna fatta informerade beslut, förstå vad de går med på och bland annat utöva sin rätt att återkalla sitt samtycke. Om den personuppgiftsansvarige inte ger lättillgänglig information blir användarkontrollen skenbar och samtycke en ogiltig grund för behandling.

63. Konsekvensen av att inte uppfylla kraven om informerat samtycke är att samtycket blir ogiltigt och att den personuppgiftsansvarige kanske bryter mot artikel 6 i allmänna dataskyddsförordningen.

3.3.1 Minimikrav avseende innehåll för att samtycke ska vara ”informerat”

64. För att samtycke ska vara informerat måste den registrerade informeras om vissa delar som är nödvändiga som beslutsunderlag. Styrelsen anser därför att åtminstone följande information krävs för erhållande av ett giltigt samtycke: i. Den personuppgiftsansvariges identitet. ii. Syftet med var och en av de behandlingar för vilka samtycke begärs. iii. Vilken (typ av) information som kommer att samlas in och användas. iv. Förekomsten av rätten att återkalla samtycket. v. Information om användningen av uppgifterna för automatiserat beslutsfattande i enlighet med artikel 22.2 c i förekommande fall. vi. De eventuella riskerna med överföring av personuppgifter i avsaknad av ett lämpligt beslut och lämpliga skyddsåtgärder, såsom anges i artikel 46.

65. När det gäller punkterna (i) och (iii) noterar styrelsen att i ett fall där det erhållna samtycket ska åberopas av flera (gemensamt) personuppgiftsansvariga eller om uppgifterna ska överföras till eller behandlas av andra personuppgiftsansvariga som vill hänvisa till det ursprungliga samtycket, ska namnen på alla dessa organisationer anges. Personuppgiftsbiträden måste inte namnges för uppfyllandet av samtyckeskraven, men för att följa artiklarna 13 och 14 i allmänna dataskyddsförordningen måste de personuppgiftsansvariga lämna en fullständig förteckning över mottagare eller kategorier av mottagare inklusive personuppgiftsbiträden. Avslutningsvis noterar styrelsen att det, beroende på omständigheterna och sammanhanget i ett visst fall, kan behövas mer information för att den registrerade ska få fullständig inblick i den behandling som avses.

3.3.2 Informationsskyldighet

66. I allmänna dataskyddsförordningen fastställs det inte i vilken form informationen ska lämnas för att kraven om informerat samtycke ska vara uppfyllda. Detta innebär att giltig information får lämnas på olika sätt, till exempel skriftligen eller muntligen eller via röst- eller videosamtal. Genom allmänna dataskyddsförordningen införs dock flera krav om informerat samtycke, framför allt i artikel 7.2 och skäl 32. Detta leder till en högre standard när det gäller informationens tydlighet och tillgänglighet.

67. När de personuppgiftsansvariga begär samtycke bör de se till att alltid använda ett klart och tydligt språk. Detta innebär att budskapet ska vara lättbegripligt för gemene man och inte bara för jurister. De personuppgiftsansvariga får inte använda långa integritetspolicyer som är svåra att förstå eller meddelanden som är fulla med juridisk jargong. Begäran om samtycke måste läggas fram på ett sätt som klart och tydligt kan särskiljas från de andra frågorna i en begriplig och lättillgänglig form. Detta krav innebär i grund och botten att information som behövs för att fatta informerade beslut om huruvida samtycke ska lämnas inte får döljas i allmänna villkor.

68. En personuppgiftsansvarig måste se till att samtycke lämnas på grundval av information som gör att de registrerade lätt kan identifiera den personuppgiftsansvarige och förstå vad de går med på. Den personuppgiftsansvarige måste tydligt ange syftet med den uppgiftsbehandling för vilken samtycke krävs.

69. Annan specifik vägledning om tillgängligheten har getts i artikel 29-gruppens riktlinjer om öppenhet. Om samtycke ska ges elektroniskt måste begäran vara tydlig och koncis. Skiktad och granulär information kan vara ett lämpligt sätt att respektera det dubbla kravet om exakthet och fullständighet å ena sidan och begriplighet å andra sidan.

70. De personuppgiftsansvariga måste bedöma vilken typ av målgrupp som ger personuppgifter till deras organisation. Om målgruppen till exempel inkluderar registrerade som är minderåriga förväntas den personuppgiftsansvarige se till att informationen är begriplig för minderåriga. Efter att ha identifierat målgruppen måste de personuppgiftsansvariga avgöra vilken information som de bör ge och därefter hur de ska lämna informationen till de registrerade.

71. I artikel 7.2 behandlas på förhand utformade skriftliga samtyckesförklaringar som också avser andra frågor. När samtycke begärs i ett avtal (i pappersformat) bör begäran om samtycke tydligt kunna särskiljas från de andra frågorna. Om pappersavtalet innehåller flera aspekter som inte rör samtycket till användning av personuppgifter bör samtycket hanteras på ett mycket tydligt sätt eller i ett separat dokument. Om samtycke begärs elektroniskt måste begäran också göras separat och på ett tydligt sätt. Den får inte bara ingå som en punkt i villkoren, såsom anges i skäl 32. När det gäller mobil utrustning med mindre skärmar eller fall där informationsutrymmet är begränsat kan informationen presenteras på ett skiktat sätt, där så är lämpligt, för att undvika onödiga störningar i användarupplevelse eller produktdesign.

72. En personuppgiftsansvarig som hänvisar till den registrerades samtycke måste också fullgöra de separata informationsskyldigheter som anges i artiklarna 13 och 14 för att följa allmänna dataskyddsförordningen. Fullgörandet av informationsskyldigheterna och efterlevnad av kravet om informerat samtycke kan i praktiken leda till ett integrerat synsätt i flera fall. Detta avsnitt har dock avfattats i vetskap om att ett giltigt ”informerat” samtycke kan föreligga, även om inte samtliga delar av artikel 13 och/eller artikel 14 nämns när samtycke begärs (detta bör dock självklart anges någon annanstans, exempelvis i ett företags integritetspolicy. Artikel 29-gruppen har utfärdat separata riktlinjer om öppenhetskravet.

73. Exempel 12: Företag X är en personuppgiftsansvarig som mottagit klagomål om att det är oklart för de registrerade vilka ändamål de samtycker till när det gäller behandlingen av deras personuppgifter. Företaget ser ett behov av att kontrollera att informationen i samtyckesbegäran är begriplig för de registrerade. X anordnar frivilliga testpaneler bestående av olika kategorier av kunder och låter dem ta del av nya uppdateringar av samtyckesinformationen innan den sprids externt. Testpanelen väljs med respekt för principen om oberoende och utifrån standarder som säkerställer ett representativt, opartiskt utfall. Panelen får ett frågeformulär där de anger vad de har förstått av informationen och hur de skulle poängsätta den i fråga om informationens begriplighet och relevans. Den personuppgiftsansvarige fortsätter sina tester fram tills panelen anger att informationen är begriplig. X avfattar en rapport om testet och bevarar denna för framtida referens. Detta är ett exempel på hur X kan bevisa att de registrerade fått tydlig information innan de samtyckte till X behandling av deras personuppgifter.

74. Exempel 13: Ett företag behandlar personuppgifter baserat på samtycke. Företaget använder sig av en skiktad integritetspolicy som inbegriper en begäran om samtycke. Företaget avslöjar alla grundläggande uppgifter om den personuppgiftsansvarige och den planerade behandlingen av personuppgifter. Företaget anger dock inte några kontaktuppgifter till sitt dataskyddsombud i policyns första informationsskikt. För att ha en giltig laglig grund i enlighet med artikel 6 erhöll den personuppgiftsansvarige ett giltigt ”informerat” samtycke, även när dataskyddsombudets kontaktuppgifter inte lämnades till den registrerade (i det första informationsskiktet), i enlighet med artiklarna 13.1 b eller 14.1 b i allmänna dataskyddsförordningen.

3.4 Otvetydig viljeyttring

75. Det framgår tydligt av allmänna dataskyddsförordningen att samtycke kräver ett utlåtande från den registrerade eller en tydlig bekräftelse, vilket innebär att samtycket alltid måste ges aktivt eller genom en förklaring. Det måste vara uppenbart att den registrerade har samtyckt till behandlingen i fråga.

76. Enligt artikel 2 h i direktiv 95/46/EG är samtycke en ”viljeyttring genom vilken den registrerade godtar behandling av personuppgifter som rör honom”. Artikel 4.11 i allmänna dataskyddsförordningen bygger på denna definition och klargör att giltigt samtycke kräver en otvetydig viljeyttring genom ett uttalande eller genom en entydig bekräftande handling, i linje med artikel 29-gruppens tidigare riktlinjer.

77. En ”entydig bekräftande handling” innebär att den registrerade måste ha utfört en medveten handling för att samtycka till behandlingen i fråga. I skäl 32 ges ytterligare vägledning i detta avseende. Samtycke kan inhämtas genom en skriftlig eller (inspelad) muntlig förklaring, inklusive på elektronisk väg.

78. Kriteriet ”skriftlig förklaring” uppfylls kanske bokstavligen bäst genom att se till att en registrerad person uttryckligen anger vad han eller hon går med på i ett brev eller e-postmeddelande till den personuppgiftsansvarige. Detta är dock sällan realistiskt. Skriftliga förklaringar kan vara utformade på flera olika sätt och vara olika omfattande för att uppfylla kraven i allmänna dataskyddsförordningen.

79. Utan att det påverkar befintlig (nationell) avtalsrätt kan samtycke erhållas genom en inspelad muntlig förklaring. Vederbörlig hänsyn måste dock tas till den information som den registrerade får innan han eller hon lämnar sitt samtycke. Enligt allmänna dataskyddsförordningen är det inte tillåtet med på förhand ikryssade rutor. Tysthet eller inaktivitet från den registrerades sida samt enbart ett utnyttjande av en tjänst får inte betraktas som ett aktivt val.

80. Exempel 14: Vid installation av en programvara begär appen den registrerades samtycke för användning av icke-anonymiserade kraschrapporter för att förbättra programvaran. Begäran om samtycke åtföljs av en skiktad integritetspolicy med nödvändig information. Genom att bocka i den frivilliga rutan ”Jag samtycker” kan användaren göra en ”entydig bekräftande handling” för att samtycka till behandlingen.

81. En personuppgiftsansvarig måste också vara medveten om att samtycke inte får erhållas genom att den registrerade godtar ett avtal eller allmänna villkor för en viss tjänst. Tyst godkännande av allmänna villkor får inte betraktas som en entydig bekräftande handling för samtycke till behandling av personuppgifter. Enligt allmänna dataskyddsförordningen får inte de personuppgiftsansvariga använda sig av på förhand ikryssade rutor eller opt out-alternativ som kräver en åtgärd från den registrerades sida för att ett avtal inte ska träda i kraft (t.ex. opt out-rutor).

82. Om samtycke ska ges på elektronisk begäran, får inte begäran om samtycke onödigtvis störa användningen av den tjänst som den avser . En aktiv bekräftande åtgärd genom vilken den registrerade lämnar sitt samtycke kan vara nödvändig när ett mindre kränkande eller störande tillvägagångssätt skulle leda till tvetydighet. Det kan därför vara nödvändigt att en begäran om samtycke stör användarupplevelsen i viss mån för att begäran ska bli ändamålsenlig.

83. De personuppgiftsansvariga får dock utveckla ett samtyckesflöde som passar just deras organisation inom ramen för kraven i allmänna dataskyddsförordningen. Fysiska åtgärder kan i detta avseende uppfylla kraven för en entydig bekräftande handling i enlighet med allmänna dataskyddsförordningen.

84. De personuppgiftsansvariga bör utveckla samtyckesmekanismer som är entydiga för de registrerade. De personuppgiftsansvariga måste undvika tvetydighet och säkerställa att den åtgärd genom vilken samtycke ges kan särskiljas från andra åtgärder. Att en registrerad helt enkelt fortsätter att använda en webbplats som tidigare, är därför inget agerande som visar på hans eller hennes vilja att samtycka till en viss behandling av personuppgifter.

85. Exempel 15: Att svajpa en rad på en skärm, vinka framför en smartkamera och snurra en smarttelefon medurs eller i en åtta kan vara olika sätt för att ange samtycke, så länge som tydlig information ges och det är tydligt att åtgärden i fråga innebär att man samtycker till en specifik begäran (t.ex. om man svajpar raden till vänster samtycker man till att X använder personuppgifterna för ändamål Y, och upprepar åtgärden för att bekräfta). Den personuppgiftsansvarige måste kunna bevisa att samtycket har erhållits på detta sätt och de registrerade måste kunna återkalla sitt samtycke lika lätt som de lämnat det.

86. Exempel 16: På grundval av skäl 32 kommer åtgärder som att bläddra eller svajpa genom en webbsida eller liknande användarverksamhet inte under några omständigheter uppfylla kravet på en entydig bekräftande handling: Sådana åtgärder kan för en användare vara svåra att skilja från annan verksamhet eller interaktion och därför kommer det inte heller att vara möjligt att fastställa ett otvetydigt samtycke. I ett sådant fall kommer det dessutom att bli svårt att ge användaren en lika enkel möjlighet att återkalla sitt samtycke som det var för användaren att ge det.

87. I digitala sammanhang kräver många tjänster personuppgifter för att de ska fungera, och därför får de registrerade multipla begäranden om samtycke som de dagligen måste svara på genom att klicka och svajpa. Detta kan resultera i en viss mån av ”klicktrötthet”: när en varning har dykt upp för många gånger minskar den faktiska varningseffekten för samtyckesmekanismen.

88. Detta leder till en situation där användarna inte längre läser förfrågningar om samtycke. Detta utgör en särskild risk för de registrerade, eftersom samtycke vanligtvis begärs för åtgärder som är i princip olagliga utan deras medgivande. I allmänna dataskyddsförordningen blir de personuppgiftsansvariga skyldiga att finna lösningar på detta problem.

89. En vanlig lösning inom internetvärlden är att internetanvändares samtycke erhålls via deras webbläsarinställningar. Sådana inställningar bör utvecklas i överensstämmelse med villkoren för giltigt samtycke i allmänna dataskyddsförordningen, så att samtycket blir granulärt för respektive ändamål och de personuppgiftsansvarigas namn anges i informationen och så vidare.

90. Samtycke måste hur som helst alltid erhållas innan den personuppgiftsansvarige påbörjar sin behandling av personuppgifter för vilket samtycke krävs. Artikel 29-gruppen har i tidigare yttranden konsekvent hävdat att samtycke bör ges innan personuppgifter behandlas. Det anges inte bokstavligen i artikel 4.11 i allmänna dataskyddsförordningen att samtycke måste ges före behandlingen, men detta är helt klart underförstått. Den inledande frasen i artikel 6.1 och ordalydelsen ”har lämnat” i artikel 6.1 a stöder denna tolkning. Den logiska följden av artikel 6 och skäl 40 är att en giltig laglig grund måste finnas innan personuppgifter börjar behandlas. Därför bör samtycke ges före detta. I princip kan det räcka att begära den registrerades samtycke en gång. De personuppgiftsansvariga måste dock erhålla nytt och specifikt samtycke om ändamålen med behandlingen av uppgifterna förändras efter att samtycket erhölls eller om ytterligare ändamål införs.

4 ERHÅLLANDE AV UTTRYCKLIGT SAMTYCKE

91. Uttryckligt samtycke krävs i vissa situationer där allvarliga dataskyddsrisker uppstår, det vill säga där det anses vara lämpligt att enskilda har omfattande kontroll över sina personuppgifter. Enligt allmänna dataskyddsförordningen är uttryckligt samtycke viktigt i artikel 9 om behandling av särskilda kategorier av personuppgifter, bestämmelserna om överföringar av personuppgifter till tredjeländer eller internationella organisationer vid avsaknad av lämpliga skyddsåtgärder enligt artikel 49 och i artikel 22 om automatiserat individuellt beslutsfattande, inklusive profilering .

92. Enligt allmänna dataskyddsförordningen är ett ”uttalande” eller en ”entydig bekräftande handling” en förutsättning för ett regelrätt samtycke. Eftersom kravet om regelrätt samtycke i allmänna dataskyddsförordningen redan är striktare än samtyckeskravet i direktiv 95/46/EG måste det förtydligas vilka extra ansträngningar en personuppgiftsansvarig måste göra för att erhålla den registrerades uttryckliga samtycke i linje med allmänna dataskyddsförordningen.

93. Med begreppet uttryckligt avses hur den registrerade lämnar sitt samtycke. Det innebär att den registrerade måste avge en uttrycklig samtyckesförklaring. Ett självklart sätt att se till att samtycket är uttryckligt är att uttryckligen bekräfta sitt samtycke i en skriftlig förklaring. Där så är lämpligt skulle den personuppgiftsansvarige kunna säkerställa att den skriftliga förklaringen undertecknas av den registrerade, för att undanröja alla eventuella tvivel och risker för bristande bevisning i framtiden.

94. En sådan skriftlig förklaring är dock inte det enda sättet att erhålla uttryckligt samtycke, och det vore felaktigt att säga att skriftliga och undertecknade förklaringar föreskrivs i allmänna dataskyddsförordningen i alla de fall som kräver ett giltigt uttryckligt samtycke. I digitala eller internetrelaterade sammanhang kan den registrerade få avge den begärda förklaringen genom att fylla i ett elektroniskt formulär, skicka ett e-postmeddelande, ladda upp ett skannat dokument med sin underskrift eller använda sig av elektronisk underskrift. Teoretiskt sett kan även muntliga förklaringar vara tillräckligt uttryckliga för att ett giltigt uttryckligt samtycke ska erhållas. Det kan dock vara svårt för den personuppgiftsansvarige att bevisa att samtliga villkor för giltigt uttryckligt samtycke var uppfyllda när förklaringen spelades in.

95. En organisation kan också erhålla uttryckligt samtycke genom en telefonkonversation, förutsatt att informationen om valmöjligheten är opartisk, begriplig och tydlig och att den registrerade ombeds ge en särskild bekräftelse (t.ex. genom att trycka på en knapp eller ge en muntlig bekräftelse).

96. Exempel 17: En personuppgiftsansvarig får också erhålla uttryckligt samtycke från en besökare på sin webbplats via en skärm där uttryckligt samtycke ges i Ja- och Nej-rutor, förutsatt att samtycket tydligt framgår av texten, till exempel ”Jag samtycker härmed till behandling av mina personuppgifter” och inte ”Jag förstår att mina personuppgifter kommer att behandlas”. Givetvis bör villkoren för informerat samtycke liksom övriga villkor för erhållande av giltigt samtycke uppfyllas.

97. Exempel 18: En plastikkirurgiklinik vill ha en patients uttryckliga samtycke för att få överföra hans journal till en expert för ett andra utlåtande om patienten. Journalen är en digital fil. Med tanke på informationens särskilda karaktär begär kliniken en elektronisk underskrift av den registrerade för att erhålla ett giltigt uttryckligt samtycke och kunna visa att uttryckligt samtycke har erhållits.

98. Tvåstegsverifiering av samtycket kan också vara ett sätt att kontrollera det uttryckliga samtyckets giltighet. Den registrerade kan till exempel informeras via e-post om att den personuppgiftsansvarige avser att behandla en journal med medicinska uppgifter. Den personuppgiftsansvarige förklarar i epostmeddelandet att han begär samtycke för att få använda en viss uppsättning uppgifter för ett specifikt ändamål. Om den registrerade samtycker till att uppgifterna används ber den personuppgiftsansvarige honom eller henne att svara genom ett e-postmeddelande som innehåller orden ”Jag samtycker”. När den registrerade har skickat sitt svar får denna en verifieringslänk som han/hon måste klicka på, eller ett sms-meddelande med en verifieringskod, för att bekräfta sitt samtycke.

99. Enligt artikel 9.2 betraktas inte ”nödvändig för att fullgöra ett avtal” som ett undantag till det allmänna förbudet mot att behandla särskilda kategorier av uppgifter. Personuppgiftsansvariga och medlemsstater som handskas med sådana situationer bör därför undersöka de särskilda undantagen i artikel 9.2 b–j. Om inget av undantagen i leden b–j är tillämpliga, är det enda lagliga undantaget för att behandla sådana uppgifter att erhålla uttryckligt samtycke i enlighet med villkoren för giltigt samtycke i allmänna dataskyddsförordningen.

100. Exempel 19: Ett flygbolag, Holiday Airways, erbjuder flygtjänster med assistans för passagerare som inte kan resa utan assistans, till exempel på grund av funktionsnedsättning. En kund bokar ett flyg från Amsterdam till Budapest och begär reseassistans för att kunna gå ombord på planet. Holiday Airways begär information om hennes hälsotillstånd för att kunna ge henne rätt tjänster (härav finns många möjligheter, t.ex. rullstol vid ankomstgaten eller en assistent som reser tillsammans med henne från A till B). Holiday Airways begär uttryckligt samtycke för att behandla kundens hälsouppgifter i syfte att ordna den begärda reseassistansen. De uppgifter som behandlas utifrån samtycke bör vara nödvändiga för den begärda tjänsten. Dessutom finns flyg till Budapest utan reseassistans. Eftersom uppgifterna är nödvändiga för att tillhandahålla den begärda tjänsten är artikel 7.4 inte tillämplig.

101. Exempel 20: Ett framgångsrikt företag är specialiserat på att tillhandahålla specialtillverkade skid- och snowboardglasögon och andra typer av specialanpassade glasögon för utomhusaktiviteter. Tanken är att kunderna ska kunna bära dessa utan sina egna glasögon under. Företaget mottar beställningar centralt och levererar sina produkter från en enda plats till hela EU.

102. För att kunna tillhandahålla sina skräddarsydda produkter till närsynta kunder begär den personuppgiftsansvarige samtycke till att få använda uppgifter om kundernas ögontillstånd. Kunderna lämnar nödvändiga hälsouppgifter, till exempel sina receptuppgifter på nätet, när de gör sin beställning. I annat fall kan inte de skräddarsydda produkterna tillhandahållas. Företaget erbjuder också olika glasögon med standardiserade korrigeringsvärden. De kunder som inte vill lämna sina hälsouppgifter kan välja standardglasögonen. Följaktligen krävs uttryckligt samtycke enligt artikel 9, och samtycket kan anses ha lämnats frivilligt.

5 YTTERLIGARE VILLKOR FÖR ERHÅLLANDE AV GILTIGT SAMTYCKE

103. Genom allmänna dataskyddsförordningen införs krav om att personuppgiftsansvariga ska vidta ytterligare åtgärder för att säkerställa att de erhåller, bibehåller och kan bevisa att de har erhållit giltigt samtycke. I artikel 7 i allmänna dataskyddsförordningen anges dessa ytterligare villkor för giltigt samtycke, tillsammans med särskilda bestämmelser om dokumentering av samtycke och att de registrerade ska ha rätt att återkalla samtycket utan problem. Artikel 7 är även tillämplig för sådant samtycke som avses i andra artiklar i allmänna dataskyddsförordningen, till exempel artiklarna 8 och 9. Nedan ges vägledning om det ytterligare kravet att visa att giltigt samtycke erhållits och om återkallande av samtycke.

5.1 Bevis på samtycke

104. Av artikel 7.1 i allmänna dataskyddsförordningen framgår det tydligt att den personuppgiftsansvarige har en uttrycklig skyldighet att styrka de registrerades samtycke. Enligt artikel 7.1 vilar bevisbördan på den personuppgiftsansvarige.

105. Skäl 42 har följande lydelse: ”När behandling sker efter samtycke från registrerade, bör personuppgiftsansvariga kunna visa att de registrerade har lämnat sitt samtycke till behandlingen.”

106. De personuppgiftsansvariga får ta fram metoder för att följa denna bestämmelse på ett sätt som passar deras dagliga verksamhet. Samtidigt bör den personuppgiftsansvariges skyldighet att styrka att giltigt samtycke har erhållits inte i sig leda till att behandlingen av personuppgifter ökar på ett överdrivet sätt. Detta innebär att de personuppgiftsansvariga bör ha tillräckliga uppgifter för att visa en koppling till behandlingen (visa att samtycke erhållits), men de bör inte samla in mer uppgifter än nödvändigt.

107. Det är upp till den personuppgiftsansvarige att bevisa att giltigt samtycke har erhållits från den registrerade. I allmänna dataskyddsförordningen anges det inte exakt hur detta ska ske. Den personuppgiftsansvarige måste dock kunna styrka samtycket från en registrerad i ett visst fall. Skyldigheten att styrka samtycke föreligger så länge som behandlingen av uppgifterna pågår. När behandlingen har avslutats bör samtyckesbeviset inte bevaras längre än vad som är strikt nödvändigt för att uppfylla en rättslig förpliktelse eller för att kunna fastställa, göra gällande eller försvara rättsliga anspråk, i enlighet med artikel 17.3 b och e.

108. Den personuppgiftsansvarige kan till exempel föra ett register över erhållna förklaringar, så att han eller hon kan visa hur samtycket erhållits, när samtycket erhölls och den information som då lämnades till den registrerade. Den personuppgiftsansvarige ska också kunna visa att den registrerade har informerats och att den personuppgiftsansvariges arbetsflöde har uppfyllt alla relevanta kriterier för ett giltigt samtycke. Den logiska grunden till denna skyldighet i allmänna dataskyddsförordningen är att de personuppgiftsansvariga måste vara ansvarsskyldiga när det gäller erhållandet av giltigt samtycke från de registrerade och för de samtyckesmekanismer som de har infört. I internetsammanhang skulle till exempel en personuppgiftsansvarig kunna bevara information om den session då samtycket lämnades, tillsammans med information om arbetsflödet vid tiden för sessionen, och en kopia av den information som då gavs till den registrerade. Det skulle inte vara tillräckligt att enbart hänvisa till en korrekt konfigurering på webbplatsen i fråga.

109. Exempel 21: Ett sjukhus startar ett program för vetenskaplig forskning (kallat projekt X) för vilket man behöver riktiga patienters tandläkarjournaler. Deltagarna rekryteras via telefonsamtal till patienter som frivilligt har samtyckt till att finnas med på en lista över kandidater som kan kontaktas för ändamålet. Den personuppgiftsansvarige begär uttryckligt samtycke från de registrerade för att få använda deras tandläkarjournaler. Samtycket erhålls via telefon genom att man spelar in en muntlig förklaring från den registrerade om att han eller hon bekräftar sitt samtycke till att personuppgifterna används för projekt X.

110. Det finns ingen specifik tidsgräns i allmänna dataskyddsförordningen för hur länge ett samtycke gäller. Detta beror på sammanhanget, omfattningen av det ursprungliga samtycket och den registrerades förväntningar. Det ursprungliga samtycket är inte längre giltigt om behandlingen förändras eller utvecklas på ett betydande sätt. Om så är fallet måste ett nytt samtycke erhållas.

111. Styrelsen rekommenderar en bästa praxis där samtycket bör uppdateras med lämpliga mellanrum. Genom att ge all information än en gång blir det lättare att se till att de registrerade fortfarande är välinformerade om hur deras personuppgifter används och hur de kan utöva sina rättigheter .

5.2 Återkallande av samtycke

112. Återkallande av samtycke utgör en viktig del i allmänna dataskyddsförordningen. Bestämmelserna och skälen om återkallande av samtycke i allmänna dataskyddsförordningen kan betraktas som en kodifiering av den befintliga tolkningen av frågan i artikel 29-gruppens yttranden.

113. I artikel 7.3 i allmänna dataskyddsförordningen föreskrivs att den personuppgiftsansvarige måste se till att den registrerade kan återkalla samtycket när som helst och att det är lika lätt att återkalla sitt samtycke som att ge det. Enligt allmänna dataskyddsförordningen måste inte samtycke ges och återkallas genom en och samma handling.

114. När samtycke erhålls elektroniskt genom ett enda musklick, en svajp eller ett tangenttryck måste de registrerade i praktiken kunna återkalla samtycket lika lätt. Om samtycke erhålls genom ett tjänstspecifikt användargränssnitt (t.ex. via en webbplats, en app, ett inloggningskonto, gränssnittet till en sakernas internet-enhet eller e-post), måste den registrerade utan tvivel kunna återkalla samtycket via samma elektroniska gränssnitt, eftersom det skulle kräva en omotiverad ansträngning att byta till ett annat gränssnitt enbart för att återkalla samtycket. Dessutom bör den registrerade kunna återkalla samtycket utan problem. Detta innebär bland annat att en personuppgiftsansvarig måste se till att det inte kostar något att återkalla samtycket och att det hela inte innebär att tjänsten försämras.

115. Exempel 22: En musikfestival säljer biljetter genom ett biljettombud på nätet. För varje biljett som säljs på nätet krävs samtycke för att ombudet ska få använda kontaktuppgifterna i reklamsyfte. Kunderna kan svara ”Ja” eller ”Nej” på frågan om de samtycker eller ej. Den personuppgiftsansvarige informerar kunderna om att de har möjlighet att återkalla sitt samtycke. För att göra detta kan de kontakta en teletjänstcentral på arbetsdagar kl. 08.00–17.00 utan kostnad. Den personuppgiftsansvarige i detta exempel respekterar inte artikel 7.3 i allmänna dataskyddsförordningen. För att återkalla samtycket i detta fall måste ett telefonsamtal göras under arbetstid, vilket är mer mödosamt än det musklick som krävs för att lämna samtycket via biljettförsäljaren på nätet, som har öppet 24 timmar om dygnet, 7 dagar i veckan.

116. Kravet att det ska vara lätt att återkalla samtycket anges i allmänna dataskyddsförordningen som en nödvändig del för att samtycket ska vara giltigt. Om rätten till återkallande inte uppfyller kraven i allmänna dataskyddsförordningen är den personuppgiftsansvariges samtyckesmekanism inte förenlig med förordningen. Såsom anges i avsnitt 3.1 om villkoret för informerat samtycke måste den personuppgiftsansvarige, innan samtycket lämnas, informera den registrerade om hans eller hennes rätt att återkalla samtycket, i enlighet med artikel 7.3 i allmänna dataskyddsförordningen. Dessutom måste den personuppgiftsansvarige som en del av öppenhetsskyldigheten informera de registrerade om hur de kan utöva sina rättigheter.

117. Den allmänna regeln är att om samtycke återkallas förblir all behandling av personuppgifter som baseras på samtycke och som ägde rum innan samtycket återkallades och i enlighet med allmänna dataskyddsförordningen laglig, men den personuppgiftsansvarige måste dock stoppa behandlingen i fråga. Om det inte finns någon annan laglig grund som motiverar behandlingen (t.ex. ytterligare lagring) av uppgifterna, bör uppgifterna raderas av den personuppgiftsansvarige .

118. Såsom tidigare nämnts i dessa riktlinjer är det mycket viktigt att de personuppgiftsansvariga bedömer de ändamål som uppgifterna faktiskt behandlas för och de lagliga grunderna för dessa innan de samlar in uppgifter. Företag behöver ofta personuppgifter för flera olika syften, och behandlingen baseras inte sällan på mer än en laglig grund (t.ex. kan kunduppgifter baseras på avtal och samtycke). Ett återkallande av ett samtycke innebär därmed inte att en personuppgiftsansvarig måste radera de uppgifter som behandlas för ett ändamål som baseras på genomförandet av avtalet med den registrerade. Därför bör de personuppgiftsansvariga redan från början ha klart för sig vilka ändamål som är tillämpliga för respektive uppgiftskategori och vilken den lagliga grunden är.

119. De personuppgiftsansvariga är skyldiga att radera uppgifter som behandlats baserat på samtycke så snart som samtycket återkallats, under förutsättning att det inte finns något annat syfte som motiverar ytterligare lagring. Bortsett från denna situation, som omfattas av artikel 17.1 b, kan en enskild registrerad person begära radering av andra uppgifter om honom eller henne vilka behandlas utifrån en annan rättslig grund, till exempel artikel 6.1 b. De personuppgiftsansvariga är skyldiga att bedöma huruvida fortsatt behandling av uppgifterna i fråga är lämpligt, även om de registrerade inte har begärt att de ska raderas .

120. I fall där den registrerade återkallar sitt samtycke och den personuppgiftsansvarige vill fortsätta behandla personuppgifterna utifrån en annan laglig grund, får de inte i tysthet övergå från samtycke (vilket har återkallats) till denna andra lagliga grund. En förändring i den lagliga grunden för behandlingen måste meddelas den registrerade i enlighet med upplysningskraven i artiklarna 13 och 14 och den allmänna öppenhetsprincipen.

6 INTERAKTION MELLAN SAMTYCKE OCH ANDRA LAGLIGA GRUNDER I ARTIKEL 6 I ALLMÄNNA DATASKYDDSFÖRORDNINGEN

121. I artikel 6 fastställs villkoren för laglig behandling av personuppgifter och vidare anges vilka sex lagliga grunder som en personuppgiftsansvarig kan åberopa. Det måste fastställas vilken av dessa sex grunder som kommer att tillämpas innan behandlingen inleds och med avseende på ett specifikt ändamål.

122. Det är viktigt att notera i detta avseende att om de personuppgiftsansvariga väljer att åberopa samtycke för någon del av behandlingen måste de vara beredda att respektera detta val och stoppa denna del av behandlingen om en enskild person återkallar sitt samtycke. Det vore i grunden orättvist gentemot de enskilda personerna att ge budskapet att uppgifterna kommer att behandlas baserat på samtycke samtidigt som man faktiskt hänvisar till en annan laglig grund.

123. Med andra ord får inte den personuppgiftsansvarige byta från samtycke till andra rättsliga grunder. Det är till exempel inte tillåtet att retroaktivt använda berättigat intresse som grund för att motivera behandlingen, om det har uppstått problem med att erhålla giltigt samtycke. På grund av kravet att de personuppgiftsansvariga måste ange laglig grund när personuppgifterna inhämtas, måste de ha bestämt vilken den lagliga grunden är innan de samlar in uppgifterna.

7 SÄRSKILDA PROBLEMOMRÅDEN I ALLMÄNNA DATASKYDDSFÖRORDNINGEN

7.1 Barn (artikel 8)

124. Jämfört med det nuvarande direktivet ger allmänna dataskyddsförordningen ytterligare en skyddsnivå vid behandling av personuppgifter rörande sårbara fysiska personer, framför allt barn. I artikel 8 införs ytterligare skyldigheter för att säkerställa en högre dataskyddsnivå för barn när det gäller informationssamhällets tjänster. Skälen till det ökade skyddet anges i skäl 38: ”[...] barn kan vara mindre medvetna om berörda risker, följder och skyddsåtgärder samt om sina rättigheter när det gäller behandling av personuppgifter. [...]” I skäl 38 anges även följande: ”Sådant särskilt skydd bör i synnerhet gälla användningen av barns personuppgifter i marknadsföringssyfte eller för att skapa personlighets- eller användarprofiler samt insamling av personuppgifter med avseende på barn när tjänster som erbjuds direkt till barn utnyttjas.” Orden ”i synnerhet” visar att det särskilda skyddet inte är begränsat till marknadsföring eller profilering utan att det innefattar ”insamling av personuppgifter med avseende på barn”.

125. Enligt artikel 8.1 ska behandling av personuppgifter som rör ett barn vara tillåten om barnet är minst 16 år, när informationssamhällets tjänster erbjuds direkt till ett barn. Om barnet är under 16 år ska sådan behandling vara tillåten endast om och i den mån samtycke ges eller godkänns av den person som har föräldraansvar för barnet. När det gäller åldersgränsen för giltigt samtycke medger allmänna dataskyddsförordningen en viss flexibilitet, och medlemsstaterna får föreskriva en lägre ålder i sin nationella rätt i detta syfte, men denna får inte vara lägre än 13 år.

126. Såsom anges i avsnitt 3.1 om informerat samtycke ska informationen vara begriplig för den målgrupp som den personuppgiftsansvarige vänder sig till, med särskild hänsyn tagen till barns ställning. För att erhålla ”informerat samtycke” från ett barn måste den personuppgiftsansvarige förklara på ett språk som är klart och tydligt för barn hur man avser att behandla de personuppgifter som insamlas . Om det är föräldern som ska ge sitt samtycke kan vissa uppgifter krävas för att vuxna ska kunna fatta ett informerat beslut.

127. Av ovanstående framgår det att artikel 8 endast ska tillämpas när följande villkor är uppfyllda:  Behandling som grundar sig på samtycke.

7.1.1 Informationssamhällets tjänster

128. För att fastställa tillämpningsområdet för begreppet ”informationssamhällets tjänster” i allmänna dataskyddsförordningen hänvisas det i artikel 4.25 i allmänna dataskyddsförordningen till direktiv (EU) 2015/1535.

129. Styrelsen hänvisar även till EU-domstolens rättspraxis vid bedömningen av definitionens tillämpningsområde. EU-domstolen har framhållit att informationssamhällets tjänster omfattar avtal och andra tjänster som ingås eller sänds online. Om en tjänst har två ekonomiskt oberoende delar, där den ena är en onlinedel, till exempel anbud och godtagande av anbud vid ingående av ett avtal eller information om produkter eller tjänster, inbegripet marknadsföring, definieras denna del som informationssamhällets tjänster. Den andra delen är då fysisk leverans eller distribution av varor som inte omfattas av begreppet informationssamhällets tjänster. Onlineleverans av en tjänst skulle omfattas av begreppet informationssamhällets tjänster i artikel 8 i allmänna dataskyddsförordningen.

7.1.2 Erbjuds direkt till barn

130. Inbegripandet av ordalydelsen ”erbjuds direkt till barn” tyder på att artikel 8 endast ska tillämpas på vissa och inte samtliga informationssamhällestjänster. Om en leverantör av informationssamhällets tjänster klargör för potentiella användare att den endast erbjuder sina tjänster till personer över 18 år och detta inte undermineras av andra bevis (t.ex. innehållet på webbplatsen eller försäljningsplaner) kommer tjänsten inte att anses erbjudas ”direkt till barn” i detta avseende och således kommer artikel 8 inte att tillämpas.

7.1.3 Ålder

131. I allmänna dataskyddsförordningen anges följande: ”Medlemsstaterna får i sin nationella rätt föreskriva en lägre ålder i detta syfte, under förutsättning att denna lägre ålder inte är under 13 år.” Den personuppgiftsansvarige måste känna till de olika nationella lagarna och beakta målgruppen för tjänsterna. Det bör framför allt noteras att en personuppgiftsansvarig som tillhandahåller en gränsöverskridande tjänst inte alltid kan hänvisa till att han eller hon följer lagen i den medlemsstat där han eller hon har sitt huvudsakliga verksamhetsställe. Den personuppgiftsansvarige kan behöva följa de nationella lagarna i var och en av de medlemsstater som han eller hon erbjuder informationssamhällestjänsterna i. Detta beror på huruvida en medlemsstat väljer att använda den personuppgiftsansvariges huvudsakliga verksamhetsställe eller den registrerades hemvist som referenspunkt i sin nationella lagstiftning. Medlemsstaterna ska först och främst ta hänsyn till barnets bästa när de gör sitt val. Artikel 29-gruppen uppmuntrar medlemsstaterna att försöka finna en harmoniserad lösning på denna fråga.

132. När de personuppgiftsansvariga tillhandahåller informationssamhällets tjänster till barn grundat på samtycke förväntas de göra rimliga ansträngningar för att kontrollera att användaren innehar åldern för digitalt samtycke, och dessa åtgärder bör stå i proportion till behandlingens art och risker.

133. Om användarna uppger att de innehar åldern för digitalt samtycke kan den personuppgiftsansvarige göra lämpliga kontroller för att kontrollera att uttalandet är riktigt. Det finns inga uttryckliga krav i allmänna dataskyddsförordningen om att rimliga ansträngningar måste göras för att kontrollera åldern. Däremot är detta underförstått, eftersom behandlingen av personuppgifter kommer att vara olaglig om ett barn ger sitt samtycke trots att det inte innehar åldern för giltigt samtycke.

134. Om användaren uppger att han eller hon inte innehar åldern för digitalt samtycke kan den personuppgiftsansvarige godta uttalandet utan ytterligare kontroller men måste då gå vidare och få föräldrarnas godkännande samt kontrollera att den person som lämnar samtycke har föräldraansvar för barnet.

135. Ålderskontrollen bör inte leda till orimlig behandling av personuppgifter. Den mekanism som valts för att kontrollera den registrerades ålder bör inbegripa en bedömning av riskerna med den föreslagna behandlingen. I vissa situationer där risken är låg kan det vara lämpligt att begära att nya abonnenter till en tjänst ska ange sitt födelseår eller fylla i ett formulär där de intygar att de (inte) är barn. Om tvivel uppstår bör den personuppgiftsansvarige se över sina ålderskontrollmekanismer i det särskilda fallet och överväga huruvida andra kontroller behöver göras.

7.1.4 Barns samtycke och föräldraansvar

136. När det gäller godkännande av en person som har föräldraansvar för barnet anges det inte i allmänna dataskyddsförordningen hur förälderns samtycke ska inhämtas i praktiken eller hur det ska fastställas att någon har rätt att vidta denna åtgärd. Styrelsen rekommenderar därför att man inför ett proportionerligt synsätt, i linje med artikel 8.2 och artikel 5.1 c i allmänna dataskyddsförordningen (uppgiftsminimering). Ett proportionerligt synsätt kan vara att inrikta sig på att erhålla en begränsad mängd uppgifter, såsom förälderns eller vårdnadshavarens kontaktuppgifter.

137. Vad som är rimligt, både när det gäller att kontrollera att användaren är gammal nog att lämna sitt eget samtycke och när det gäller att kontrollera att en person som lämnar samtycke på ett barns vägnar innehar föräldraansvar för barnet, kan bero på vilka risker behandlingen medför och vilken teknik som finns till förfogande. I situationer där risken är låg kan det vara tillräckligt att kontrollera föräldraansvaret via e-post. Omvänt kan det i situationer där risken är hög vara lämpligt att begära mer bevisning, så att den personuppgiftsansvarige kan kontrollera och behålla sådana uppgifter som avses i artikel 7.1 i allmänna dataskyddsförordningen. Kontrolltjänster som utförs av betrodd tredje part kan erbjuda lösningar som minimerar den mängd personuppgifter som den personuppgiftsansvarige själv måste behandla.

138. Exempel 23: En spelplattform på internet vill säkerställa att minderåriga kunder endast kan abonnera på dess tjänster med föräldrarnas eller vårdnadshavarnas samtycke. Den personuppgiftsansvarige vidtar följande åtgärder:

139. Steg 1: Den personuppgiftsansvarige begär att användaren uppger om han eller hon är under eller över 16 år (eller annan ålder för digitalt samtycke). Om användaren uppger att han eller hon inte innehar åldern för digitalt samtycke sker följande:

140. Steg 2: Tjänsten informerar barnet om att en förälder eller vårdnadshavare måste lämna samtycke till eller godkänna behandlingen innan tjänsten tillhandahålls till barnet. Användaren ombeds uppge epostadressen till en förälder eller vårdnadshavare.

141. Steg 3: Tjänsten kontaktar föräldern eller vårdnadshavaren och får deras samtycke till behandlingen via e-post och vidtar rimliga åtgärder för att bekräfta att den vuxna personen har föräldraansvar.

142. Steg 4: Om invändningar görs vidtar plattformen ytterligare åtgärder för att kontrollera abonnentens ålder.

143. Om plattformen har uppfyllt övriga samtyckeskrav kan plattformen följa de ytterligare kriterier som anges i artikel 8 i allmänna dataskyddsförordningen genom att vidta nämnda åtgärder.

144. Exemplet visar att den personuppgiftsansvarige kan skapa förutsättningar för att visa att rimliga ansträngningar har gjorts för att säkerställa att giltigt samtycke har erhållits, med avseende på tjänster som tillhandahålls till barn. Dessutom innehåller artikel 8.2 följande särskilda bestämmelse: ”Den personuppgiftsansvarige ska göra rimliga ansträngningar för att i sådana fall kontrollera att samtycke ges eller godkänns av den person som har föräldraansvar för barnet, med hänsyn tagen till tillgänglig teknik.”

145. Det är upp till den personuppgiftsansvarige att avgöra vilka åtgärder som är lämpliga i ett visst fall. De personuppgiftsansvariga bör som en allmän regel undvika kontrollösningar som medför en orimlig insamling av personuppgifter.

146. Styrelsen inser att det kan vara en utmaning att kontrollera detta i vissa fall (t.ex. där barn som lämnar eget samtycke ännu inte har något ”identitetsfotavtryck” eller där det är svårt att kontrollera vem som innehar föräldraansvar). Detta kan beaktas vid beslut om vilka ansträngningar som är rimliga, men de personuppgiftsansvariga förväntas även ha ständig uppsikt över sina processer och tillgänglig teknik.

147. När det gäller den registrerades frihet att samtycka till behandling av sina personuppgifter och ha fullständig kontroll över denna, kan samtycke till behandling av ett barns personuppgifter vilket lämnats eller godkänts av en person med föräldraansvar bekräftas, ändras eller återkallas så snart den registrerade uppnår åldern för digitalt samtycke.

148. I praktiken innebär detta att om barnet inte vidtar någon åtgärd kommer den giltiga grunden för behandlingen att fortsätta vara det samtycke som lämnats eller godkänts av en person med föräldraansvar för behandlingen av personuppgifterna innan barnet uppnått åldern för digitalt samtycke.

149. Efter att barnet uppnått åldern för digitalt samtycke kommer det att ha möjlighet att återkalla samtycket självt, i linje med artikel 7.3. Enligt principerna om korrekthet och laglighet måste den personuppgiftsansvarige informera barnet om denna möjlighet.

150. Det är viktigt att påpeka att i enlighet med skäl 38 krävs inte samtycke från en förälder eller vårdnadshavare för förebyggande eller rådgivande tjänster som erbjuds direkt till barn. Barnskyddstjänster som erbjuds på internet till ett barn via en onlinechatt kräver till exempel inget föregående tillstånd från föräldrarna.

151. Avslutningsvis anges det i allmänna dataskyddsförordningen att bestämmelserna om krav på tillstånd från föräldrarna gentemot minderåriga inte får påverka ”tillämpningen av allmän avtalsrätt i medlemsstaterna, såsom bestämmelser om giltigheten, upprättandet eller effekten av ett avtal som gäller ett barn”. Kraven vad gäller giltigt samtycke till användning av barns personuppgifter utgör därför en del av en rättslig ram som måste beaktas separat från nationell avtalsrätt. I dessa riktlinjer behandlas därför inte frågan om huruvida en minderårig får ingå avtal på internet enligt lag. Båda rättssystemen kan tillämpas samtidigt, och harmonisering av nationella avtalsrättsliga bestämmelser omfattas inte av allmänna dataskyddsförordningens tillämpningsområde.

7.2 Vetenskaplig forskning

152. Definitionen av vetenskapliga forskningsändamål har betydande förgreningar när det gäller de olika sätt på vilka en personuppgiftsansvarig kan behandla personuppgifter. I allmänna dataskyddsförordningen ges ingen definition av begreppet ”vetenskaplig forskning”. Skäl 159 har följande lydelse: ”[...] Behandling av personuppgifter för vetenskapliga forskningsändamål bör i denna förordning ges en vid tolkning. [...].” Styrelsen anser dock inte att begreppet får utökas till att omfatta mer än dess allmänna betydelse och är medveten om att ”vetenskaplig forskning” i detta sammanhang innebär ett forskningsprojekt som inrättats i överensstämmelse med relevanta metodologiska och etiska standarder inom sektorn, i enlighet med god praxis.

153. När samtycke utgör den rättsliga grunden för att bedriva forskning enligt allmänna dataskyddsförordningen bör sådant samtycke till användning av personuppgifter särskiljas från andra samtyckeskrav som fungerar som en etisk standard eller processuell skyldighet. Ett exempel på en sådan processuell skyldighet, där behandlingen inte baseras på samtycke utan på någon annan rättslig grund, ges i förordningen om kliniska prövningar. Inom ramen för dataskyddslagstiftningen skulle den sistnämnda formen av samtycke kunna betraktas som en ytterligare skyddsåtgärd. Samtidigt innebär inte allmänna dataskyddsförordningen att artikel 6 endast får tillämpas när det gäller samtycke, med avseende på behandling av personuppgifter för forskningsändamål. Så länge som lämpliga skyddsåtgärder finns, till exempel kraven i artikel 89.1, och behandlingen är rättvis, laglig, öppen och förenlig med uppgiftsminimeringsstandarder och individuella rättigheter kan andra lagliga grunder såsom artikel 6.1 e eller f vara tillgängliga. Detta gäller även särskilda kategorier av uppgifter, enligt undantaget i artikel 9.2 j.

154. Skäl 33 verkar ge en viss flexibilitet när det gäller graden av specificering och granularitet i ett samtycke som lämnas inom området för vetenskaplig forskning. Skäl 33 har följande lydelse: ”Det är ofta inte möjligt att fullt ut identifiera syftet med en behandling av personuppgifter för vetenskapliga forskningsändamål i samband med insamlingen av uppgifter. Därför bör registrerade kunna ge sitt samtycke till vissa områden för vetenskaplig forskning, när vedertagna etiska standarder för vetenskaplig forskning iakttas. Registrerade bör ha möjlighet att endast lämna sitt samtycke till vissa forskningsområden eller delar av forskningsprojekt i den utsträckning det avsedda syftet medger detta.”

155. För det första bör det noteras att skäl 33 inte medför något avsteg från tillämpningen av skyldigheterna när det gäller kravet om specifikt samtycke. Detta innebär i princip att vetenskapliga forskningsprojekt endast får inbegripa personuppgifter på grundval av samtycke om ändamålet är noga angett. I fall där syftena med en behandling av personuppgifter inom ett vetenskapligt forskningsprojekt inte kan specificeras från start, medger skäl 33 ett undantag där mer allmänna syften får anges.

156. Med tanke på de strikta villkor som anges i artikel 9 i allmänna dataskyddsförordningen när det gäller behandling av särskilda kategorier av uppgifter, noterar styrelsen att tillämpningen av det flexibla synsättet i skäl 33 kommer att bli föremål för en striktare tolkning och kräver omfattande granskning när särskilda kategorier av uppgifter behandlas grundat på uttryckligt samtycke.

157. Allmänna dataskyddsförordningen som helhet får inte tolkas på ett sådant sätt att en personuppgiftsansvarig kan kringgå den viktiga principen om att de ändamål för vilka den registrerades samtycke begärs måste specificeras.

158. När forskningsändamål inte kan specificeras fullt ut måste en personuppgiftsansvarig försöka finna andra sätt för att säkerställa att själva andemeningen i samtyckeskraven tillhandahålls på bästa sätt, till exempel för att de registrerade ska kunna samtycka till ett mer allmänt forskningsändamål och till särskilda skeden av ett forskningsprojekt som man redan från början vet kommer att äga rum. I takt med att forskningen fortgår kan samtycke för efterföljande steg i projektet erhållas innan de inleds. Ett sådant samtycke bör dock fortfarande följa tillämpliga etiska standarder för vetenskaplig forskning.

159. Dessutom kan den personuppgiftsansvarige vidta ytterligare skyddsåtgärder i sådana fall. I artikel 89.1 betonas bland annat behovet av skyddsåtgärder vid behandling av personuppgifter för vetenskapliga, historiska eller statistiska ändamål. Sådana ändamål ska ”omfattas av lämpliga skyddsåtgärder i enlighet med denna förordning för den registrerades rättigheter och friheter”. Uppgiftsminimering, avidentifiering och datasäkerhet nämns som möjliga skyddsåtgärder. Avidentifiering är den bästa lösningen så snart ändamålet med forskningen kan uppfyllas utan behandling av personuppgifter.

160. Öppenhet är en ytterligare skyddsåtgärd när specifikt samtycke inte är tillåtet på grund av omständigheterna kring forskningen. Bristande specificering av syftet kan kompenseras genom att de personuppgiftsansvariga ger regelbunden information om hur syftet utvecklas i takt med att forskningsprojektet fortskrider, så att samtycket med tiden blir så specifikt som möjligt. På så sätt får de registrerade åtminstone en grundkännedom om läget, vilket innebär att de kan bedöma huruvida de t.ex. ska utnyttja rätten att återkalla samtycket enligt artikel 7.3.

161. Bristande specificering av syftet kunde också uppvägas genom en omfattande forskningsplan som de registrerade kan ta del av innan de lämnar sitt samtycke. Denna forskningsplan bör innehålla så tydlig information som möjligt om planerade forskningsfrågor och arbetsmetoder. Forskningsplanen skulle också kunna bidra till förenlighet med artikel 7.1, eftersom de personuppgiftsansvariga måste visa vilken information de registrerade hade tillgång till vid tiden för samtycket för att kunna påvisa att samtycket är giltigt.

162. Det är viktigt att komma ihåg att de registrerade måste ha möjlighet att återkalla sitt samtycke när samtycke används som laglig grund för behandling. Styrelsen noterar att ett återkallande av samtycke skulle kunna underminera viss vetenskaplig forskning som kräver uppgifter som kan kopplas till enskilda personer. Det framgår dock tydligt av allmänna dataskyddsförordningen att samtycke kan återkallas och att de personuppgiftsansvariga måste tillmötesgå en sådan begäran – inget undantag finns till detta krav när det gäller vetenskaplig forskning. Om de personuppgiftsansvariga mottar en begäran om återkallande måste de i princip radera personuppgifterna omedelbart, om de vill fortsätta använda uppgifterna för forskningsändamålen.

7.3 De registrerades rättigheter

163. Om en behandling av personuppgifter grundar sig på den registrerades samtycke kommer detta att påverka den enskildes rättigheter. De registrerade kan ha rätt till dataportabilitet (artikel 20) när behandlingen grundar sig på samtycke. Samtidigt gäller inte rätten att göra invändningar (artikel 21) när behandlingen grundar sig på samtycke, men rätten att när som helst återkalla sitt samtycke kan få ett liknande utfall.

164. I artiklarna 16–20 i allmänna dataskyddsförordningen anges att de registrerade (när behandlingen av uppgifterna grundar sig på samtycke) har rätt till radering när samtycket har återkallats samt rätt till begränsning, rättelse och tillgång.

8 ERHÅLLET SAMTYCKE ENLIGT DIREKTIV 95/46/EG

165. Personuppgiftsansvariga som för närvarande behandlar personuppgifter grundat på samtycke i enlighet med nationell dataskyddslagstiftning måste inte per automatik göra en fullständig uppdatering av alla befintliga samtyckesförbindelser med registrerade som förberedelse för allmänna dataskyddsförordningen. Sådant samtycke som hittills har erhållits är fortfarande giltigt så länge som det överensstämmer med villkoren i allmänna dataskyddsförordningen.

166. Det är viktigt att de personuppgiftsansvariga noggrant ser över befintliga arbetsprocesser och register, före den 25 maj 2018, för att förvissa sig om att befintliga samtycken uppfyller kraven i allmänna dataskyddsförordningen (se skäl 171 i allmänna dataskyddsförordningen ). Genom allmänna dataskyddsförordningen höjs i praktiken ribban när det gäller införandet av samtyckesmekanismer och vidare införs flera nya krav om att personuppgiftsansvariga måste förändra sina samtyckesmekanismer i stället för att bara ta fram nya integritetspolicyer.

167. Allmänna dataskyddsförordningen innehåller till exempel krav om att en personuppgiftsansvarig måste kunna visa att giltigt samtycke har erhållits, och därför kommer alla förmodade samtycken utan hänvisningar att automatiskt hamna under allmänna dataskyddsförordningens samtyckesstandard och behöva förnyas. På samma sätt kommer alla förmodade samtycken som grundas på en mer indirekt åtgärd från den registrerades sida (t.ex. en på förhand ikryssad opt in-ruta) inte heller att uppfylla kraven för allmänna dataskyddsförordningens samtyckesstandard, eftersom det enligt allmänna dataskyddsförordningen krävs ”ett uttalande” eller ”en entydig bekräftande handling”.

168. Dessutom kan de personuppgiftsansvariga behöva se över sina behandlingsprocesser och it-system för att kunna visa att samtycke erhållits eller möjliggöra en mer granulär viljeyttring. Vidare måste det finnas mekanismer för att de registrerade enkelt ska kunna återkalla sitt samtycke, och information måste ges om hur samtycket kan återkallas. Om befintliga förfaranden för erhållande och hantering av samtycke inte uppfyller allmänna dataskyddsförordningens standarder måste de personuppgiftsansvariga erhålla nya samtycken som är förenliga med allmänna dataskyddsförordningen.

169. Den utökade informationsskyldigheten i allmänna dataskyddsförordningen innebär däremot inte nödvändigtvis att sådant samtycke som lämnats innan allmänna dataskyddsförordningen träder i kraft blir ogiltigt, eftersom samtliga delar som anges i artiklarna 13 och 14 inte alltid måste finnas med som villkor för informerat samtycke (se s. 15 ovan). Enligt direktiv 95/46/EG var de personuppgiftsansvariga inte skyldiga att informera de registrerade om vilken grund behandlingen baserades på.

170. Om de personuppgiftsansvariga finner att ett samtycke som erhållits tidigare enligt den gamla lagstiftningen inte kommer att uppfylla standarden för samtycke enligt allmänna dataskyddsförordningen måste de vidta åtgärder för att följa denna standard, till exempel genom att förnya samtycket i överensstämmelse med allmänna dataskyddsförordningen. Enligt allmänna dataskyddsförordningen är det inte möjligt att byta från en laglig grund till en annan. Behandlingen måste stoppas om en personuppgiftsansvarig inte kan förnya samtycket i enlighet med kraven och dessutom – som en engångsåtgärd – inte kan övergå till kraven i allmänna dataskyddsförordningen genom att behandla personuppgifter baserat på en annan laglig grund och samtidigt se till att den fortsatta behandlingen är rättvis och redogjord för. Den personuppgiftsansvarige måste under alla omständigheter iaktta principerna om laglig, rättvis och öppen behandling.