Riktlinjer om samtycke enligt förordning (EU) 2016/679

ARBETSGRUPPEN FÖR SKYDD AV ENSKILDA MED AVSEENDE PÅ

BEHANDLINGEN AV PERSONUPPGIFTER

som inrättats genom Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995, med beaktande av artiklarna 29 och 30 i det direktivet, och med beaktande av dess arbetsordning,

HAR ANTAGIT FÖLJANDE RIKTLINJER:

I dessa riktlinjer görs en grundlig analys av begreppet samtycke i förordning (EU) 2016/679, den allmänna dataskyddsförordningen (nedan kallad GDPR). Begreppet samtycke såsom det används i dataskyddsdirektivet (nedan kallat direktiv 95/46/EG) och direktivet om integritet och elektronisk kommunikation har förändrats. I GDPR görs ett ytterligare förtydligande och en specificering av kraven för erhållande och uppvisande av giltigt samtycke. I dessa riktlinjer läggs fokus på dessa förändringar genom praktisk vägledning för att säkerställa förenlighet med GDPR och med utgångspunkt i yttrande 15/2011 om definitionen av begreppet ”samtycke”. De personuppgiftsansvariga är skyldiga att finna nya vägar för att hitta nya lösningar inom lagens råmärken och bättre stödja skyddet av registrerades personuppgifter och intressen.

Samtycke förblir en av de sex lagliga grunderna för behandling av personuppgifter, såsom anges i artikel 6 i GDPR . Vid inledandet av verksamhet som medför behandling av personuppgifter måste en personuppgiftsansvarig alltid ta sig tid och fundera över vilken som är den lämpliga rättsliga grunden för den avsedda behandlingen.

Generellt sett kan samtycke enbart vara den lämpliga rättsliga grunden om den registrerade erbjuds kontroll och får en genuin valmöjlighet att godta eller vägra godta de villkor som ges eller att vägra godta dem utan problem. När den personuppgiftsansvarige ber om samtycke måste han eller hon bedöma huruvida samtliga villkor kommer att uppfyllas för erhållandet av giltigt samtycke. Om samtycke erhålls helt i linje med GDPR är samtycke ett verktyg som ger de registrerade kontroll över huruvida deras personuppgifter kommer att behandlas. I annat fall blir de registrerades kontroll skenbar och samtycke kommer då att vara en ogiltig grund för behandling, vilket innebär att behandlingen blir olaglig .

Artikel 29-gruppens befintliga yttranden om samtycke är fortsatt relevanta, i de fall där de är förenliga med den nya rättsliga ramen, eftersom GDPR är en kodifiering av artikel 29-gruppens nuvarande riktlinjer och allmänna goda praxis och eftersom de viktigaste delarna av samtycke är desamma i GDPR. I detta dokument ersätter inte artikel 29-gruppen tidigare yttranden om särskilda frågor som rör bland annat hänvisning till samtycke enligt direktiv 95/46/EG. I stället vidareutvecklar och kompletterar artikel 29-gruppen dessa.

Såsom anges i yttrande 15/2011 om definitionen av begreppet ”samtycke” bör uppmaningar till personer om att acceptera uppgiftsbehandling omfattas av strikta krav, eftersom det handlar om de registrerades grundläggande rättigheter och om att den personuppgiftsansvarige vill inleda en uppgiftsbehandling som skulle vara olaglig utan den registrerades samtycke . Samtyckets avgörande roll betonas i artiklarna 7 och 8 i Europeiska unionens stadga om de grundläggande rättigheterna (nedan kallad EU-stadgan om de grundläggande rättigheterna). Ett erhållet samtycke

innebär inte heller att man kan kringgå eller på något sätt förminska den personuppgiftsansvariges skyldigheter att iaktta behandlingsprinciperna i GDPR, särskilt artikel 5 i GDPR i fråga om korrekthet, nödvändighet och proportionalitet samt datakvalitet. Behandlingen av personuppgifter grundar sig på den registrerades samtycke, men detta innebär inte att uppgifter som inte är nödvändiga för ett särskilt ändamål får behandlas, vilket i grund och botten skulle vara oskäligt .

Artikel 29-gruppen är samtidigt medveten om den översyn som görs av direktivet om integritet och elektronisk kommunikation (2002/58/EG). Begreppet samtycke i förslaget till förordning om integritet och elektronisk kommunikation hänger fortfarande samman med begreppet samtycke i GDPR . Organisationer behöver sannolikt samtycke enligt instrumentet för integritet och elektronisk kommunikation för merparten marknadsföringsmeddelanden på nätet eller marknadsföringssamtal och webbaserade spårningsverktyg, inklusive genom användning av kakor eller appar eller annan programvara. Artikel 29-gruppen har redan utfärdat rekommendationer och gett vägledning till EU-lagstiftaren när det gäller förslaget till förordning om integritet och elektronisk kommunikation .

När det gäller det nuvarande direktivet om integritet och elektronisk kommunikation noterar artikel 29-gruppen att hänvisningar till det upphävda direktivet ska anses vara hänvisningar till GDPR . Detta gäller även hänvisningar till samtycke i det nuvarande direktivet 2002/58/EG, eftersom förordningen om integritet och elektronisk kommunikation inte kommer att ha trätt i kraft den 25 maj 2018. Enligt artikel 95 i GDPR ska inga ytterligare förpliktelser föreläggas när det gäller behandling inom ramen för tillhandahållande av allmänt tillgängliga elektroniska kommunikationstjänster i allmänna kommunikationsnät, i den mån som särskilda skyldigheter för samma ändamål införs genom direktivet om integritet och elektronisk kommunikation. Artikel 29arbetsgruppen noterar att kraven om samtycke enligt GDPR inte ska betraktas som någon ”ytterligare förpliktelse” utan snarare som förhandsvillkor för laglig behandling. Därför är GDPR:s villkor för erhållande av giltigt samtycke tillämpliga i situationer som omfattas av direktivet om integritet och elektronisk kommunikation.

I artikel 4.11 i GDPR definieras samtycke på följande sätt: ”varje slag av frivillig, specifik, informerad och otvetydig viljeyttring, genom vilken den registrerade, antingen genom ett uttalande eller genom en entydig bekräftande handling, godtar behandling av personuppgifter som rör honom

eller henne.”

Grundbegreppet samtycke är detsamma som i direktiv 95/46/EG och samtycke är en av de rättsliga grunder som behandling av personuppgifter måste grundas på, enligt artikel 6 i GDPR . Förutom den ändrade definitionen i artikel 4.11 innehåller GDPR ytterligare vägledning i artikel 7 samt i skälen 32, 33, 42 och 43 när det gäller hur den personuppgiftsansvarige måste agera för att iaktta samtyckeskravets viktigaste delar.

Det faktum att särskilda bestämmelser och skäl om återkallande av samtycke har tagits med bekräftar att samtycke bör vara ett återkalleligt beslut och att den registrerade fortsätter att ha en viss kontroll.

Enligt artikel 4.11 i GDPR innebär samtycke av den registrerade varje slag av

- frivillig, - specifik, - informerad och - otvetydig viljeyttring, genom vilken den registrerade, antingen genom ett uttalande eller genom en entydig bekräftande handling, godtar behandling av personuppgifter som rör honom eller henne.

I nedanstående avsnitt görs en analys av i vilken utsträckning ordalydelsen i artikel 4.11 innebär att de personuppgiftsansvariga måste ändra sina begäranden/formulär avseende samtycke, för att säkerställa förenlighet med GDPR .

Delen ”fritt” innebär att de registrerade har kontroll och möjlighet att välja fritt. I GDPR anges den allmänna regeln att om de registrerade saknar möjlighet att välja fritt, känner sig tvingade att ge sitt samtycke eller kommer att få utstå negativa konsekvenser om de inte samtycker, kommer samtycket

att vara ogiltigt . Om samtycke ingår som en ej förhandlingsbar del av villkoren antas samtycket inte vara frivilligt. På samma sätt kommer samtycke inte anses vara frivilligt om de registrerade inte kan vägra eller ta tillbaka sitt samtycke utan problem . Begreppet ojämlikhet mellan den personuppgiftsansvarige och den registrerade beaktas också i GDPR.

Vid bedömning av huruvida samtycke är frivilligt bör hänsyn även tas till den särskilda situation då samtycke förenas med ett avtal eller tillhandahållande av en tjänst såsom anges i artikel 7.4. Artikel

7.4 har avfattats på ett icke uttömmande sätt genom orden ”bland annat”, som innebär att det kan finnas en rad andra situationer som omfattas av bestämmelsen. Varje slags otillbörligt tryck eller påverkan på den registrerade (vilket kan te sig på flera olika sätt) som hindrar honom eller henne från att utöva sin fria vilja ska generellt sett innebära att samtycket blir ogiltigt.

I skäl 43 anges det tydligt att det är osannolikt att offentliga myndigheter kan hänvisa till samtycke till behandling, eftersom det ofta föreligger en tydlig maktobalans mellan den personuppgiftsansvarige och den registrerade när den personuppgiftsansvarige är en offentlig myndighet. Det är också tydligt i de flesta fall att den registrerade faktiskt inte kommer att ha något annat val än att godta den personuppgiftsansvariges behandling (behandlingsvillkor). Artikel 29arbetsgruppen anser att det finns andra lagliga grunder som i princip är mer lämpliga för offentliga myndigheters verksamhet .

Utan att det påverkar dessa allmänna överväganden är det inte helt uteslutet för offentliga myndigheter att använda sig av samtycke som en laglig grund för behandling av uppgifter enligt GDPR:s rättsliga ram. Följande exempel visar att samtycke kan vara lämpligt i vissa situationer:

En maktobalans uppstår även på sysselsättningsområdet . Med tanke på den beroendeställning som följer av ett anställningsförhållande är det osannolikt att den registrerade kan vägra ge sin arbetsgivare samtycke till behandling av personuppgifter utan att vara rädd för eller löpa verklig risk för negativa konsekvenser till följd av sin vägran. Det är osannolikt att en arbetstagare fritt skulle kunna svara på en begäran om samtycke från sin arbetsgivare för att denne till exempel ska få aktivera övervakningssystem som kameraövervakning på arbetsplatsen eller fylla i bedömningsformulär, utan att arbetstagaren känner sig tvingad att ge sitt samtycke . Artikel 29gruppen anser därför att det är problematiskt att arbetsgivare behandlar befintliga eller framtida anställdas personuppgifter baserat på samtycke, eftersom det är osannolikt att samtycket ges frivilligt. Vid sådan databehandling på arbetsplatsen kan och bör den lagliga grunden i de allra flesta fall inte utgöras av arbetstagarens samtycke (artikel 6.1 a) på grund av hur förhållandet mellan arbetsgivare och arbetstagare är beskaffat .

Detta innebär dock inte att arbetsgivare aldrig får använda samtycke som en laglig grund för behandling av personuppgifter. Det kan finnas situationer där arbetsgivaren kan visa att samtycket faktiskt har getts frivilligt. Med tanke på maktobalansen mellan en arbetsgivare och personalen, kan arbetstagarna endast ge sitt fria samtycke i undantagsfall, när inga negativa konsekvenser kommer att uppstå oavsett om de ger sitt samtycke eller inte .

Maktobalans kan inte bara uppstå mellan myndigheter och arbetsgivare utan även i andra situationer. Såsom artikel 29-gruppen betonat i flera yttranden kan samtycke endast vara giltigt om den registrerade får möjlighet att välja fritt och om det inte finns någon risk för bedrägeri, trakasserier, tvång eller betydande negativa konsekvenser (t.ex. betydande tilläggskostnader) om inget samtycke ges. Samtycket anses inte ges fritt i fall där det finns något inslag av tvång, påtryckningar eller oförmåga att utöva fri vilja.

Artikel 7.4 i GDPR har en avgörande betydelse när man ska bedöma huruvida samtycke lämnas frivilligt. I artikel 7.4 i GDPR anges det bland annat att sådan paketering anses vara högst icke önskvärd då samtycke ges mot godtagande av vissa villkor eller då bestämmelserna i ett avtal eller en tjänst binds till en begäran om samtycke för behandling av personuppgifter som inte är nödvändig för genomförandet av avtalet eller tjänsten. Om samtycke lämnas i en sådan situation anses det inte ha lämnats frivilligt (skäl 43). Syftet med artikel 7.4 är att säkerställa att syftet med behandlingen av personuppgifterna inte är dolt eller har förenats med avtalsbestämmelserna för en tjänst för vilken personuppgifterna inte är nödvändiga. På så sätt säkerställer man genom GDPR att behandling av personuppgifter för vilken samtycke begärs inte direkt eller indirekt får ställas som krav för genomförandet av ett avtal. De båda lagliga grunderna för laglig behandling av personuppgifter, det vill säga samtycke och avtal, får inte slås ihop eller suddas ut.

Ett tvång om att samtycka till användning av personuppgifter utöver vad som är strikt nödvändigt begränsar de registrerades valmöjligheter och hindrar frivilligt samtycke. Eftersom dataskyddslagstiftningen syftar till att skydda de grundläggande rättigheterna är det viktigt att en individ har kontroll över sina personuppgifter, och det finns en stark presumtion att samtycke till behandling av personuppgifter som inte är nödvändig inte kan anses vara tvingande hänsyn i utbyte mot genomförandet av ett avtal eller tillhandahållandet av en tjänst.

Närhelst de personuppgiftsansvariga binder en begäran om samtycke till genomförandet av ett avtal riskerar de registrerade därför att bli nekade tjänster som de begärt om de inte vill ställa sina personuppgifter till förfogande för behandling.

För att bedöma huruvida sådan paketering eller bindning föreligger är det viktigt att fastställa själva syftet med avtalet och vilka uppgifter som är nödvändiga för genomförandet av detta. Enligt artikel 29-gruppens yttrande 6/2014 måste en strikt tolkning göras av begreppet ”nödvändig för att fullgöra ett avtal”. Behandlingen måste vara nödvändig för fullgörandet av avtalet med varje enskild registrerad person. Detta kan exempelvis inbegripa behandling av den registrerades adress, så att varor som köpts på nätet kan levereras, eller behandling av kontokortsuppgifter för att underlätta betalning. När det gäller anställningar kan denna grund till exempel möjliggöra behandling av löne- och bankkontouppgifter, så att löner kan utbetalas . Det måste finnas en direkt och objektiv koppling mellan behandlingen av uppgifterna och syftet med genomförandet av avtalet.

Om en registeransvarig försöker behandla personuppgifter som i själva verket inte är nödvändiga för genomförandet av ett avtal, är samtycke inte den lämpliga lagliga grunden .

Artikel 7.4 är endast relevant om de begärda uppgifterna inte är nödvändiga för genomförandet av avtalet (inklusive tillhandahållandet av en tjänst) och om genomförandet av avtalet har gjorts beroende av samtycke till erhållandet av sådana uppgifter. Omvänt gäller att artikel 7.4 inte är tillämplig om behandlingen är nödvändig för genomförandet av avtalet (inklusive tillhandahållandet av en tjänst).

Lagstiftarens val att betona bland annat villkorlighet som en anledning att misstänka att frivilligt samtycke saknas visar att förekomsten av villkorlighet måste granskas noggrant. Begreppet ”största hänsyn” i artikel 7.4 vittnar om att den personuppgiftsansvarige måste iaktta särskild försiktighet när ett avtal (som skulle kunna inbegripa tillhandahållande av en tjänst) innehåller en begäran om samtycke till behandling av personuppgifter.

Eftersom ordalydelsen i artikel 7.4 är allmänt hållen kan det finnas ett mycket begränsat utrymme för fall där sådan villkorlighet inte skulle göra samtycket ogiltigt. Ordet ”antas” i skäl 43 visar dock tydligt att det är mycket sällsynt med sådana fall.

Bevisbördan i artikel 7.4 ligger hur som helst på den personuppgiftsansvarige . Denna särskilda bestämmelse återspeglar den allmänna ansvarsprincip som genomsyrar hela GDPR. När artikel 7.4

är tillämplig kommer det dock att vara svårare för den personuppgiftsansvarige att bevisa att samtycke lämnats frivilligt av den registrerade .

Den personuppgiftsansvarige skulle kunna hävda att organisationen erbjuder de registrerade en genuin valmöjlighet om de kan välja mellan en tjänst som inkluderar samtycke till användning av personuppgifter för andra ändamål och en likvärdig tjänst från samma personuppgiftsansvarige som inte inkluderar samtycke till användning av uppgifter för andra ändamål. Så länge som det finns en möjlighet att få avtalet genomfört eller den avtalade tjänsten tillhandahållen av den personuppgiftsansvarige utan att samtycka till att uppgifterna används för andra ändamål innebär detta att tjänsten inte längre är villkorlig. Båda tjänsterna måste dock vara helt likvärdiga.

Artikel 29-gruppen anser att samtycke inte kan anses ha lämnats frivilligt om en personuppgiftsansvarig hävdar att den registrerade kan välja mellan den personuppgiftsansvariges tjänst som inkluderar samtycke till användning av personuppgifter för andra ändamål och en likvärdig tjänst från en annan personuppgiftsansvarig. I ett sådant fall skulle valfriheten styras av vad andra marknadsaktörer gör och huruvida en viss registrerad person anser att den andra personuppgiftsansvariges tjänst är helt likvärdig. Dessutom skulle de personuppgiftsansvariga bli skyldiga att övervaka marknadsutvecklingen för att säkerställa samtyckets fortsatta giltighet för uppgiftsbehandlingen i fråga, eftersom en konkurrent kan ändra sina tjänster i ett senare skede. Detta argument innebär således att samtycket inte är förenligt med GDPR.

En tjänst kan inbegripa flera olika behandlingar för mer än ett ändamål. I sådana fall bör de registrerade fritt kunna välja vilket ändamål de godtar i stället för att tvingas samtycka till ett paket med flera ändamål med behandlingen. I vissa fall kan flera samtycken vara motiverade för att en tjänst ska få börja erbjudas enligt GDPR.

I skäl 43 klargörs det att samtycke inte anses vara frivilligt om processen/förfarandet för erhållandet av samtycke inte medger att separata samtycken lämnas för olika behandlingar av personuppgifter (t.ex. endast för viss behandling och inte för annan), trots att detta är lämpligt i det enskilda fallet. I skäl 32 anges följande: ”Samtycket bör gälla all behandling som utförs för samma ändamål. Om behandlingen tjänar flera olika syften, bör samtycke ges för samtliga syften.”

Valfrihet saknas om den personuppgiftsansvarige har bakat ihop flera olika syften med behandlingen och inte har försökt få separat samtycke för vart och ett av dessa. En sådan granularitet har ett nära samband med det faktum att samtycket måste vara specifikt, vilket behandlas i avsnitt 3.2 nedan. När uppgifter behandlas för flera olika ändamål kan villkoren för

giltigt samtycke uppfyllas genom granularitet, det vill säga särskiljande av syftena och erhållande av samtycke för vart och ett av dessa.

Den personuppgiftsansvarige måste visa att den registrerade kan vägra eller ta tillbaka sitt samtycke utan problem (skäl 42). Den personuppgiftsansvarige måste till exempel bevisa att ett återkallande av samtycket inte medför några kostnader för den registrerade och därmed ingen tydlig nackdel för de som återkallar sitt samtycke.

Andra exempel på problem är bedrägeri, trakasserier, tvång eller betydande negativa konsekvenser om den registrerade inte samtycker. Den personuppgiftsansvarige bör kunna bevisa att den registrerade har haft en fri eller genuin valmöjlighet att samtycka eller inte samtycka och att den registrerade utan problem har kunnat återkalla samtycket.

Om en personuppgiftsansvarig kan visa att en tjänst inbegriper en möjlighet att återkalla samtycket utan negativa konsekvenser, till exempel utan att genomförandet av tjänsten försämras till användarens nackdel, kan detta tjäna som bevis för att samtycket lämnats frivilligt. GDPR innebär inte att alla incitament utesluts, men det är den personuppgiftsansvariges skyldighet att visa att samtycket lämnades frivilligt under alla omständigheter.

I artikel 6.1 a bekräftas att den registrerade måste ha lämnat sitt samtycke för ”ett eller flera specifika” ändamål och att han eller hon har en valmöjlighet med avseende på vart och ett av dessa . Kravet att samtycket måste vara ”specifikt” syftar till att säkerställa en viss användarkontroll och insyn för den registrerade. Detta krav har inte förändrats genom GDPR och är fortfarande nära kopplat till kravet om ”informerat” samtycke. Samtidigt måste kravet tolkas i linje med kravet om ”granularitet” för att ”frivilligt” samtycke ska erhållas . Sammanfattningsvis måste den personuppgiftsansvarige tillämpa följande för att respektera delen om ”specifikt” samtycke: (i) Specificering av ändamål som ett skydd mot funktionsglidning. (ii) Granularitet vid begäranden om samtycke. (iii) Ett tydligt särskiljande av uppgifter som rör erhållet samtycke för uppgiftsbehandling från andra slags uppgifter.

Ad. (i): Enligt artikel 5.1 b i GDPR ska ett särskilt, uttryckligen angett och berättigat ändamål för den avsedda behandlingen alltid fastställas innan ett giltigt samtycke erhålls. Kravet om ett specifikt samtycke i kombination med begreppet ändamålsbegränsningar i artikel 5.1 b fungerar som ett skydd mot att de ändamål för vilka uppgifterna behandlas gradvis utökas eller suddas ut, efter att den registrerade har samtyckt till den inledande insamlingen av uppgifterna. Denna företeelse, som även kallas för funktionsglidning, utgör en risk för de registrerade, eftersom det kan leda till att den personuppgiftsansvarige eller tredje part använder uppgifterna på ett oväntat sätt och att den registrerade förlorar sin kontroll över uppgifterna.

Om den personuppgiftsansvarige hänvisar till artikel 6.1 a måste de registrerade alltid ge sitt samtycke till ett specifikt behandlingssyfte . I linje med begreppet ändamålsbegränsning (se artikel 5.1 b och skäl 32) får samtycket avse flera olika behandlingar, så länge som dessa tjänar samma syfte. Särskilt samtycke kan givetvis endast erhållas när de registrerade har informerats om just de avsedda syftena med behandlingen av deras personuppgifter.

Utan hinder av bestämmelserna om syftenas förenlighet måste samtycket ges specifikt för ändamålet. De registrerade ska ge sitt samtycke i vetskap om att de har kontrollen och att deras uppgifter endast kommer att behandlas för de specifika ändamålen. Om en personuppgiftsansvarig behandlar uppgifter på grundval av samtycke och vill behandla uppgifterna även för ett annat ändamål, måste den personuppgiftsansvarige erhålla ytterligare samtycke för detta ändamål om det inte finns någon annan rättslig grund som bättre återspeglar situationen.

Ad. (ii): Samtyckesmekanismerna får inte vara granulära enbart för att uppfylla frivillighetskravet utan även för att uppfylla kravet om ”särskilt” samtycke. Detta innebär att en personuppgiftsansvarig som begär samtycke för flera olika ändamål bör ge möjlighet till opt-in för respektive ändamål, så att användarna kan ge särskilt samtycke till specifika ändamål.

Ad. (iii): Avslutningsvis bör de personuppgiftsansvariga tillhandahålla särskild information tillsammans med varje separat samtyckesbegäran om de uppgifter som behandlas för respektive ändamål, för att göra de registrerade medvetna om vad de olika möjligheterna innebär. De registrerade får därför möjlighet att ge särskilt samtycke. Denna fråga överlappar kravet om att de personuppgiftsansvariga måste ge tydlig information, såsom beskrivs i punkt 3.3 nedan.

Genom GDPR förstärks kravet att samtycke måste vara informerat. På grundval av artikel 5 i GDPR är öppenhetskravet en av de grundläggande principerna och har nära anknytning till principerna om korrekthet och laglighet. Det är nödvändigt att de registrerade får information innan de ger sitt samtycke för att de ska kunna fatta informerade beslut, förstå vad de går med på och bland annat utöva sin rätt att återkalla sitt samtycke. Om den personuppgiftsansvarige inte ger lättillgänglig information blir användarkontrollen skenbar och samtycke en ogiltig grund för behandling.

Konsekvensen av att inte uppfylla kraven om informerat samtycke är att samtycket blir ogiltigt och att den personuppgiftsansvarige kanske bryter mot artikel 6 i GDPR.

För att samtycke ska vara informerat måste den registrerade informeras om vissa delar som är nödvändiga som beslutsunderlag. Artikel 29-gruppen anser därför att åtminstone följande uppgifter krävs för erhållande av ett giltigt samtycke: (i) Den personuppgiftsansvariges identitet. (ii) Syftet med var och en av de behandlingar för vilka samtycke begärs .

(iii) Vilken (typ av) information som kommer att samlas in och användas. (iv) Förekomsten av rätten att återkalla samtycket . (v) Information om användningen av uppgifterna för automatiserat beslutsfattande i enlighet med artikel 22.2 c i förekommande fall. (vi) De eventuella riskerna med överföring av personuppgifter i avsaknad av ett lämpligt beslut och lämpliga skyddsåtgärder, såsom anges i artikel 46 . När det gäller punkterna (i) och (iii) noterar artikel 29-gruppen att i ett fall där det erhållna samtycket ska åberopas av flera (gemensamt) personuppgiftsansvariga eller om uppgifterna ska överföras till eller behandlas av andra personuppgiftsansvariga som vill hänvisa till det ursprungliga samtycket, ska namnen på alla dessa organisationer anges. De personuppgiftsansvarigas namn måste inte anges för uppfyllandet av samtyckeskraven, men för att respektera artiklarna 13 och 14 i GDPR måste de personuppgiftsansvariga lämna en fullständig förteckning över mottagare eller kategorier av mottagare inklusive personuppgiftsbiträden. Avslutningsvis noterar artikel 29-gruppen att det, beroende på omständigheterna och sammanhanget i ett visst fall, kan behövas mer uppgifter för att den registrerade ska få fullständig inblick i den behandling som avses.

I GDPR fastställs det inte i vilken form uppgifterna ska lämnas för att kraven om informerat samtycke ska vara uppfyllda. Detta innebär att giltiga uppgifter får lämnas på olika sätt, till exempel skriftligen eller muntligen eller via röst- eller videosamtal. Genom GDPR införs dock flera krav om informerat samtycke, framför allt i artikel 7.2 och skäl 32. Detta leder till en högre standard när det gäller uppgifternas tydlighet och tillgänglighet.

När de personuppgiftsansvariga begär samtycke bör de se till att alltid använda ett klart och tydligt språk. Detta innebär att budskapet ska vara lättbegripligt för gemene man och inte bara för jurister. De personuppgiftsansvariga får inte använda långa integritetspolicyer som är svåra att förstå eller meddelanden som är fulla med juridisk jargong. Begäran om samtycke måste läggas fram på ett sätt som klart och tydligt kan särskiljas från de andra frågorna i en begriplig och lättillgänglig form. Detta krav innebär i grund och botten att uppgifter som behövs för att fatta informerade beslut om huruvida samtycke ska lämnas inte får döljas i allmänna villkor .

En personuppgiftsansvarig måste se till att samtycke lämnas på grundval av information som gör att de registrerade lätt kan identifiera den personuppgiftsansvarige och förstå vad de går med på. Den personuppgiftsansvarige måste tydligt ange syftet med den uppgiftsbehandling för vilken samtycke krävs .

Annan specifik vägledning om tillgängligheten har getts i artikel 29-gruppens riktlinjer om öppenhet. Om samtycke ska ges elektroniskt måste begäran vara tydlig och koncis. Skiktad och granulär information kan vara ett lämpligt sätt att respektera det dubbla kravet om exakthet och fullständighet å ena sidan och begriplighet å andra sidan.

De personuppgiftsansvariga måste bedöma vilken typ av målgrupp som ger personuppgifter till deras organisation. Om målgruppen till exempel inkluderar registrerade som är minderåriga förväntas den personuppgiftsansvarige se till att informationen är begriplig för minderåriga . Efter att ha identifierat målgruppen måste de personuppgiftsansvariga avgöra vilken information som de bör ge och därefter hur de ska lämna informationen till de registrerade.

I artikel 7.2 behandlas på förhand utformade skriftliga samtyckesförklaringar som också avser andra frågor. När samtycke begärs i ett avtal (i pappersformat) bör begäran om samtycke tydligt kunna särskiljas från de andra frågorna. Om pappersavtalet innehåller flera aspekter som inte rör samtycket till användning av personuppgifter bör samtycket hanteras på ett mycket tydligt sätt eller i ett separat dokument. Om samtycke begärs elektroniskt måste begäran också göras separat och på ett tydligt sätt. Den får inte bara ingå som en punkt i villkoren, såsom anges i skäl 32 . När det gäller mobil utrustning med mindre skärmar eller fall där informationsutrymmet är begränsat kan informationen presenteras på ett skiktat sätt, där så är lämpligt, för att undvika onödiga störningar i användarupplevelse eller produktdesign.

En personuppgiftsansvarig som hänvisar till den registrerades samtycke måste också fullgöra de separata informationsskyldigheter som anges i artiklarna 13 och 14 för att respektera GDPR. Fullgörandet av informationsskyldigheterna och respekten för kravet om informerat samtycke kan i praktiken leda till ett integrerat synsätt i flera fall. Detta avsnitt har dock avfattats i vetskap om att ett giltigt ”informerat” samtycke kan föreligga, även om inte samtliga delar av artikel 13 och/eller artikel 14 nämns när samtycke begärs (detta bör dock självklart anges någon annanstans, exempelvis i ett företags integritetspolicy. Artikel 29-gruppen har utfärdat separata riktlinjer om öppenhetskravet.

Det framgår tydligt av GDPR att samtycke kräver ett utlåtande från den registrerade eller en tydlig bekräftelse, vilket innebär att samtycket alltid måste ges aktivt eller genom en förklaring. Det måste vara uppenbart att den registrerade har samtyckt till behandlingen i fråga.

Enligt artikel 2 h i direktiv 95/46/EG är samtycke en ”viljeyttring genom vilken den registrerade godtar behandling av personuppgifter som rör honom”. Artikel 4.11 i GDPR bygger på denna definition och klargör att giltigt samtycke kräver en otvetydig viljeyttring genom ett uttalande eller genom en entydig bekräftande handling, i linje med artikel 29-gruppens tidigare riktlinjer.

En ”entydig bekräftande handling” innebär att den registrerade måste ha utfört en medveten handling för att samtycka till behandlingen i fråga . I skäl 32 ges ytterligare vägledning i detta avseende. Samtycke kan inhämtas genom en skriftlig eller (inspelad) muntlig förklaring, inklusive på elektronisk väg.

Kriteriet ”skriftlig förklaring” uppfylls kanske bokstavligen bäst genom att se till att en registrerad person uttryckligen anger vad han eller hon går med på i ett brev eller e-postmeddelande till den personuppgiftsansvarige. Detta är dock sällan realistiskt. Skriftliga förklaringar kan vara utformade på flera olika sätt och vara olika omfattande för att uppfylla kraven i GDPR.

Utan att det påverkar befintlig (nationell) avtalsrätt kan samtycke erhållas genom en inspelad muntlig förklaring. Vederbörlig hänsyn måste dock tas till den information som den registrerade får innan han eller hon lämnar sitt samtycke. Enligt GDPR är det inte tillåtet med på förhand ikryssade rutor. Tysthet eller inaktivitet från den registrerades sida samt enbart ett utnyttjande av en tjänst får inte betraktas som ett aktivt val.

En personuppgiftsansvarig måste också vara medveten om att samtycke inte får erhållas genom att den registrerade godtar ett avtal eller allmänna villkor för en viss tjänst. Tyst godkännande av allmänna villkor får inte betraktas som en entydig bekräftande handling för samtycke till behandling av personuppgifter. Enligt GDPR får inte de personuppgiftsansvariga använda sig av på förhand ikryssade rutor eller opt out-alternativ som kräver en åtgärd från den registrerades sida för att ett avtal inte ska träda i kraft (t.ex. opt out-rutor) .

Om samtycke ska ges på elektronisk begäran, får inte begäran om samtycke onödigtvis störa användningen av den tjänst som den avser . En aktiv bekräftande åtgärd genom vilken den registrerade lämnar sitt samtycke kan vara nödvändig när ett mindre kränkande eller störande tillvägagångssätt skulle leda till tvetydighet. Det kan därför vara nödvändigt att en begäran om samtycke stör användarupplevelsen i viss mån för att begäran ska bli ändamålsenlig.

De personuppgiftsansvariga får dock utveckla ett samtyckesflöde som passar just deras organisation inom ramen för kraven i GDPR. Fysiska åtgärder kan i detta avseende uppfylla kraven för en entydig bekräftande handling i enlighet med GDPR.

De personuppgiftsansvariga bör utveckla samtyckesmekanismer som är entydiga för de registrerade. De personuppgiftsansvariga måste undvika tvetydighet och säkerställa att den åtgärd genom vilken samtycke ges kan särskiljas från andra åtgärder. Att en registrerad helt enkelt fortsätter att använda en webbplats som tidigare, är därför inget agerande som visar på hans eller hennes vilja att samtycka till en viss behandling av personuppgifter.

I digitala sammanhang kräver många tjänster personuppgifter för att de ska fungera, och därför får de registrerade multipla begäranden om samtycke som de dagligen måste svara på genom att klicka och svajpa. Detta kan resultera i en viss mån av ”klicktrötthet”; när en varning har dykt upp för många gånger minskar den faktiska varningseffekten för samtyckesmekanismen.

Detta leder till en situation där användarna inte längre läser förfrågningar om samtycke. Detta utgör en särskild risk för de registrerade, eftersom samtycke vanligtvis begärs för åtgärder som är i princip olagliga utan deras medgivande. I GDPR blir de personuppgiftsansvariga skyldiga att finna lösningar på detta problem.

En vanlig lösning inom internetvärlden är att internetanvändares samtycke erhålls via deras webbläsarinställningar. Sådana inställningar bör utvecklas i överensstämmelse med villkoren för giltigt samtycke i GDPR, så att samtycket blir granulärt för respektive ändamål och de personuppgiftsansvarigas namn anges i informationen och så vidare.

Samtycke måste hur som helst alltid erhållas innan den personuppgiftsansvarige påbörjar sin behandling av personuppgifter för vilket samtycke krävs. Artikel 29-gruppen har i tidigare yttranden konsekvent hävdat att samtycke bör ges innan personuppgifter behandlas . Det anges inte bokstavligen i artikel 4.11 i GDPR att samtycke måste ges före behandlingen, men detta är helt klart underförstått. Den inledande frasen i artikel 6.1 och ordalydelsen ”har lämnat” i artikel 6.1 a stöder denna tolkning. Den logiska följden av artikel 6 och skäl 40 är att en giltig laglig grund måste finnas innan personuppgifter börjar behandlas. Därför bör samtycke ges före detta. I princip kan det räcka att begära de registrerades samtycke en gång. De personuppgiftsansvariga måste dock erhålla nytt och specifikt samtycke om ändamålen med behandlingen av uppgifterna förändras efter att samtycket erhölls eller om ytterligare ändamål införs.

Uttryckligt samtycke krävs i vissa situationer där allvarliga risker för dataskydd uppstår, det vill säga där det anses vara lämpligt att enskilda har omfattande kontroll över sina personuppgifter. Enligt GDPR är uttryckligt samtycke viktigt i artikel 9 om behandling av särskilda kategorier av personuppgifter, bestämmelserna om överföringar av personuppgifter till tredjeländer eller

internationella organisationer vid avsaknad av lämpliga skyddsåtgärder enligt artikel 49 och i artikel 22 om automatiserat individuellt beslutsfattande, inklusive profilering .

Enligt GDPR är ett ”uttalande” eller en ”entydig bekräftande handling” en förutsättning för ett regelrätt samtycke. Eftersom kravet om regelrätt samtycke i GDPR redan är striktare än samtyckeskravet i direktiv 95/46/EG måste det förtydligas vilka extra ansträngningar en personuppgiftsansvarig måste göra för att erhålla den registrerades uttryckliga samtycke i linje med GDPR.

Med begreppet uttryckligt avses hur den registrerade lämnar sitt samtycke. Det innebär att den registrerade måste avge en uttrycklig samtyckesförklaring. Ett självklart sätt att se till att samtycket är uttryckligt är att uttryckligen bekräfta sitt samtycke i en skriftlig förklaring. Där så är lämpligt skulle den personuppgiftsansvarige kunna säkerställa att den skriftliga förklaringen undertecknas av den registrerade, för att undanröja alla eventuella tvivel och risker för bristande bevisning i framtiden .

En sådan skriftlig förklaring är dock inte det enda sättet att erhålla uttryckligt samtycke, och det vore felaktigt att säga att skriftliga och undertecknade förklaringar föreskrivs i GDPR i alla de fall som kräver ett giltigt uttryckligt samtycke. I digitala eller internetrelaterade sammanhang kan de registrerade få avge den begärda förklaringen genom att fylla i ett elektroniskt formulär, skicka ett e-postmeddelande, ladda upp ett skannat dokument med deras underskrift eller använda sig av elektronisk underskrift. Teoretiskt sett kan även muntliga förklaringar vara tillräckligt uttryckliga för att ett giltigt uttryckligt samtycke ska erhållas. Det kan dock vara svårt att bevisa för den personuppgiftsansvarige att samtliga villkor för giltigt uttryckligt samtycke var uppfyllda när förklaringen spelades in. En organisation kan också erhålla uttryckligt samtycke genom en telefonkonversation, förutsatt att informationen om valmöjligheten är opartisk, begriplig och tydlig och att den registrerade ombeds ge en särskild bekräftelse (t.ex. genom att trycka på en knapp eller ge en muntlig bekräftelse).

Den dubbla kontrollen av samtycket kan också vara ett sätt att kontrollera det uttryckliga samtyckets giltighet. Den registrerade kan till exempel informeras via e-post om att den personuppgiftsansvarige avser att behandla en journal med medicinska uppgifter. Den personuppgiftsansvarige förklarar i e-postmeddelandet att han begär samtycke för att få använda en viss uppsättning uppgifter för ett specifikt ändamål. Om den registrerade samtycker till att uppgifterna används ska den personuppgiftsansvarige be honom eller henne att svara genom ett epostmeddelande som innehåller orden ”Jag samtycker”. När den registrerade har skickat sitt svar får han en verifieringslänk som han måste klicka på, eller ett sms-meddelande med en verifieringskod, för att bekräfta sitt samtycke.

Enligt artikel 9.2 betraktas inte ”nödvändig för att fullgöra ett avtal” som ett undantag till det allmänna förbudet mot att behandla särskilda kategorier av uppgifter. Personuppgiftsansvariga och medlemsstater som handskas med sådana situationer bör därför undersöka de särskilda undantagen i artikel 9.2 b–j. Om inget av undantagen i leden b–j är tillämpliga, är det enda lagliga undantaget för att behandla sådana uppgifter att erhålla uttryckligt samtycke i enlighet med villkoren för giltigt samtycke i GDPR.

Genom GDPR införs krav om att personuppgiftsansvariga ska vidta ytterligare åtgärder för att säkerställa att de erhåller, bibehåller och kan bevisa att de har erhållit giltigt samtycke. I artikel 7 i GDPR anges dessa ytterligare villkor för giltigt samtycke, tillsammans med särskilda bestämmelser om att samtyckesregister ska föras och att de registrerade ska ha rätt att återkalla samtycket utan problem. Artikel 7 är även tillämplig för sådant samtycke som avses i andra artiklar i GDPR, till exempel artiklarna 8 och 9. Nedan ges vägledning om det ytterligare kravet att visa att giltigt samtycke erhållits och om återkallande av samtycke.

Av artikel 7.1 i GDPR framgår det tydligt att den personuppgiftsansvarige har en uttrycklig skyldighet att styrka de registrerades samtycke. Enligt artikel 7.1 vilar bevisbördan på den personuppgiftsansvarige.

Skäl 42 har följande lydelse: ”När behandling sker efter samtycke från registrerade, bör personuppgiftsansvariga kunna visa att de registrerade har lämnat sitt samtycke till behandlingen.”

De personuppgiftsansvariga får ta fram metoder för att följa denna bestämmelse på ett sätt som passar deras dagliga verksamhet. Samtidigt bör den personuppgiftsansvariges skyldighet att styrka att giltigt samtycke har erhållits inte i sig leda till att behandlingen av personuppgifter ökar på ett överdrivet sätt. Detta innebär att de personuppgiftsansvariga bör ha tillräckliga uppgifter för att visa en koppling till behandlingen (visa att samtycke erhållits), men de bör inte samla in mer uppgifter än nödvändigt.

Det är upp till den personuppgiftsansvarige att bevisa att giltigt samtycke har erhållits från den registrerade. I GDPR anges det inte exakt hur detta ska ske. Den personuppgiftsansvarige måste dock kunna styrka samtycket från en registrerad i ett visst fall. Skyldigheten att styrka samtycke föreligger så länge som behandlingen av uppgifterna pågår. När behandlingen har avslutats bör samtyckesbeviset inte bevaras längre än vad som är strikt nödvändigt för att uppfylla en rättslig förpliktelse eller för att kunna fastställa, göra gällande eller försvara rättsliga anspråk, i enlighet med artikel 17.3 b och e.

Den personuppgiftsansvarige kan till exempel föra ett register över erhållna förklaringar, så att han eller hon kan visa hur samtycket erhållits, när samtycket erhölls och den information som då lämnades till den registrerade. Den personuppgiftsansvarige ska också kunna visa att den registrerade har informerats och att den personuppgiftsansvariges arbetsflöde har uppfyllt alla relevanta kriterier för ett giltigt samtycke. Den logiska grunden till denna skyldighet i GDPR är att de personuppgiftsansvariga måste vara ansvarsskyldiga när det gäller erhållandet av giltigt samtycke från de registrerade och för de samtyckesmekanismer som de har infört. I internetsammanhang skulle till exempel en personuppgiftsansvarig kunna bevara information om den session då samtycket lämnades, tillsammans med information om arbetsflödet vid tiden för

sessionen, och en kopia av den information som då gavs till den registrerade. Det skulle inte vara tillräckligt att enbart hänvisa till en korrekt konfigurering på webbplatsen i fråga.

Det finns ingen specifik tidsgräns i GDPR för hur länge ett samtycke gäller. Detta beror på sammanhanget, omfattningen av det ursprungliga samtycket och den registrerades förväntningar. Det ursprungliga samtycket är inte längre giltigt om behandlingen förändras eller utvecklas på ett betydande sätt. Om så är fallet måste ett nytt samtycke erhållas.

Artikel 29-gruppen rekommenderar en bästa praxis där samtycket bör uppdateras med lämpliga mellanrum. Genom att ge all information än en gång blir det lättare att se till att de registrerade fortfarande är välinformerade om hur deras personuppgifter används och hur de kan utöva sina rättigheter .

Återkallande av samtycke utgör en viktig del i GDPR. Bestämmelserna och skälen om återkallande av samtycke i GDPR kan betraktas som en kodifiering av den befintliga tolkningen av frågan i artikel 29-gruppens yttranden .

I artikel 7.3 i GDPR föreskrivs att den personuppgiftsansvarige måste se till att den registrerade kan återkalla samtycket när som helst och lika lätt som att lämna det. Enligt GDPR måste inte samtycke ges och återkallas genom en och samma handling.

När samtycke erhålls elektroniskt genom ett enda musklick, en svajp eller ett tangenttryck måste de registrerade i praktiken kunna återkalla samtycket lika lätt. Om samtycke erhålls genom ett tjänstspecifikt användargränssnitt (t.ex. via en webbplats, en app, ett inloggningskonto, gränssnittet till en sakernas internet-enhet eller e-post), måste den registrerade utan tvivel kunna återkalla samtycket via samma elektroniska gränssnitt, eftersom det skulle kräva en omotiverad ansträngning att byta till ett annat gränssnitt enbart för att återkalla samtycket. Dessutom bör den registrerade kunna återkalla samtycket utan problem. Detta innebär bland annat att en personuppgiftsansvarig måste se till att det inte kostar något att återkalla samtycket och att det hela inte innebär att tjänsten försämras .

Kravet att det ska vara lätt att återkalla samtycket anges i GDPR som en nödvändig del för att samtycket ska vara giltigt. Om rätten till återkallande inte uppfyller kraven i GDPR är den personuppgiftsansvariges samtyckesmekanism inte förenlig med förordningen. Såsom anges i avsnitt 3.1 om villkoret för informerat samtycke måste den personuppgiftsansvarige, innan samtycket lämnas, informera den registrerade om hans eller hennes rätt att återkalla samtycket, i enlighet med artikel 7.3 i GDPR. Dessutom måste den personuppgiftsansvarige som en del av öppenhetsskyldigheten informera de registrerade om hur de kan utöva sina rättigheter .

Den allmänna regeln är att om samtycke återkallas måste all behandling av personuppgifter som baseras på samtycke och som ägde rum innan samtycket återkallades och i enlighet med GDPR förbli laglig, men den personuppgiftsansvarige måste dock stoppa behandlingen i fråga. Om det inte finns någon annan laglig grund som motiverar behandlingen (t.ex. ytterligare lagring) av uppgifterna, bör uppgifterna raderas av den personuppgiftsansvarige .

Såsom tidigare nämnts i dessa riktlinjer är det mycket viktigt att de personuppgiftsansvariga bedömer de ändamål som uppgifterna faktiskt behandlas för och de lagliga grunderna för detta innan de samlar in uppgifter. Företag behöver ofta personuppgifter för flera olika syften, och behandlingen baseras inte sällan på mer än en laglig grund (t.ex. kan kunduppgifter baseras på avtal och samtycke). Ett återkallande av ett samtycke innebär därmed inte att en personuppgiftsansvarig måste radera de uppgifter som behandlas för ett ändamål som baseras på genomförandet av avtalet med den registrerade. Därför bör de personuppgiftsansvariga redan från början ha klart för sig vilka ändamål som är tillämpliga för respektive uppgiftskategori och vilken den lagliga grunden är.

De personuppgiftsansvariga är skyldiga att radera uppgifter som behandlats baserat på samtycke så snart som samtycket återkallats, eftersom man kan anta att det inte finns något annat ändamål som motiverar ytterligare lagring . Bortsett från denna situation, som omfattas av artikel 17.1 b, kan en enskild registrerad person begära radering av andra uppgifter om honom eller henne vilka behandlas utifrån en annan rättslig grund, till exempel artikel 6.1 b . De personuppgiftsansvariga är skyldiga att bedöma huruvida

fortsatt behandling av uppgifterna i fråga är lämpligt, även om de registrerade inte har begärt att de ska raderas .

I fall där den registrerade återkallar sitt samtycke och den personuppgiftsansvarige vill fortsätta behandla personuppgifterna utifrån en annan laglig grund, får de inte i tysthet övergå från samtycke (vilket har återkallats) till denna andra lagliga grund. En förändring i den lagliga grunden för behandlingen måste meddelas den registrerade i enlighet med upplysningskraven i artiklarna 13 och 14 och den allmänna öppenhetsprincipen.

I artikel 6 fastställs villkoren för laglig behandling av personuppgifter och vidare anges vilka sex lagliga grunder som en personuppgiftsansvarig kan åberopa. Det måste fastställas vilken av dessa sex grunder som kommer att tillämpas innan behandlingen inleds och med avseende på ett specifikt ändamål .

Det är viktigt att notera i detta avseende att om de personuppgiftsansvariga väljer att åberopa samtycke för någon del av behandlingen måste de vara beredda att respektera detta val och stoppa denna del av behandlingen om en enskild person återkallar sitt samtycke. Det vore i grund och botten orättvist gentemot de enskilda personerna att ge budskapet att uppgifterna kommer att behandlas baserat på samtycke samtidigt som man faktiskt hänvisar till en annan laglig grund.

Med andra ord får inte den personuppgiftsansvarige byta från samtycke till andra rättsliga grunder. Det är till exempel inte tillåtet att retroaktivt använda berättigat intresse som grund för att motivera behandlingen, om det har uppstått problem med att erhålla giltigt samtycke. På grund av kravet att de personuppgiftsansvariga måste ange laglig grund när personuppgifterna inhämtas, måste de ha bestämt vilken den lagliga grunden är innan de samlar in uppgifterna.

Jämfört med det nuvarande direktivet ger GDPR ytterligare en skyddsnivå vid behandling av personuppgifter rörande sårbara fysiska personer, framför allt barn. I artikel 8 införs ytterligare skyldigheter för att säkerställa en högre dataskyddsnivå för barn när det gäller informationssamhällets tjänster. Skälen till det ökade skyddet anges i skäl 38: ”[...] barn kan vara mindre medvetna om berörda risker, följder och skyddsåtgärder samt om sina rättigheter när det gäller behandling av personuppgifter. [...]” I skäl 38 anges även följande: ”Sådant särskilt skydd bör i synnerhet gälla användningen av barns personuppgifter i marknadsföringssyfte eller för att skapa personlighets- eller användarprofiler samt insamling av personuppgifter med avseende på barn när tjänster som erbjuds direkt till barn utnyttjas.” Orden ”i synnerhet” visar att det särskilda skyddet inte är begränsat till marknadsföring eller profilering utan att det innefattar ”insamling av personuppgifter med avseende på barn”.

Enligt artikel 8.1 ska behandling av personuppgifter som rör ett barn vara tillåten om barnet är minst 16 år, när informationssamhällets tjänster erbjuds direkt till ett barn. Om barnet är under 16 år ska sådan behandling vara tillåten endast om och i den mån som samtycke ges eller godkänns av den person som har föräldraansvar för barnet . När det gäller åldersgränsen för giltigt samtycke medger GDPR en viss flexibilitet, och medlemsstaterna får föreskriva en lägre ålder i sin nationella rätt i detta syfte, men denna får inte vara lägre än 13 år.

Såsom anges i avsnitt 3.1 om informerat samtycke ska informationen vara begriplig för den målgrupp som den personuppgiftsansvarige vänder sig till, med särskild hänsyn tagen till barns ställning. För att erhålla ”informerat samtycke” från ett barn måste den personuppgiftsansvarige förklara på ett språk som är klart och tydligt för barn hur man avser att behandla de personuppgifter som insamlas . Om det är föräldern som ska ge sitt samtycke kan vissa uppgifter krävas för att vuxna ska kunna fatta ett informerat beslut.

Av ovanstående framgår det att artikel 8 endast ska tillämpas när följande villkor är uppfyllda:

• Behandlingen rör erbjudande av informationssamhällets tjänster direkt till ett barn. • Behandling som grundar sig på samtycke.

För att fastställa tillämpningsområdet för begreppet ”informationssamhällets tjänster” i GDPR hänvisas det i artikel 4.25 i GDPR till direktiv (EU) 2015/1535.

Artikel 29-gruppen hänvisar även till EU-domstolens rättspraxis vid bedömningen av definitionens tillämpningsområde. EU-domstolen har framhållit att informationssamhällets tjänster omfattar avtal och andra tjänster som ingås eller sänds online. Om en tjänst har två ekonomiskt

oberoende delar, där den ena är en onlinedel, till exempel anbud och godtagande av anbud vid ingående av ett avtal eller information om produkter eller tjänster, inbegripet marknadsföring, definieras denna del som informationssamhällets tjänster. Den andra delen är då fysisk leverans eller distribution av varor som inte omfattas av begreppet informationssamhällets tjänster. Onlineleverans av en tjänst skulle omfattas av begreppet informationssamhällets tjänster i artikel 8 i GDPR.

Inbegripandet av ordalydelsen ”erbjuds direkt till barn” tyder på att artikel 8 endast ska tillämpas på vissa och inte samtliga informationssamhällestjänster. Om en leverantör av informationssamhällets tjänster klargör för potentiella användare att den endast erbjuder sina tjänster till personer över 18 år och detta inte undermineras av andra bevis (t.ex. innehållet på webbplatsen eller försäljningsplaner) kommer tjänsten inte att anses erbjudas ”direkt till barn” i detta avseende och således kommer artikel 8 inte att tillämpas.

I GDPR anges följande: ”Medlemsstaterna får i sin nationella rätt föreskriva en lägre ålder i detta syfte, under förutsättning att denna lägre ålder inte är under 13 år.” Den personuppgiftsansvarige måste känna till de olika nationella lagarna och beakta målgruppen för tjänsterna. Det bör framför allt noteras att en personuppgiftsansvarig som tillhandahåller en gränsöverskridande tjänst inte alltid kan hänvisa till att han eller hon enbart följer lagen i den medlemsstat där han eller hon har sitt huvudsakliga verksamhetsställe. Den personuppgiftsansvarige kan dock behöva följa de nationella lagarna i var och en av de medlemsstater som han eller hon erbjuder informationssamhällestjänsterna i. Detta beror på huruvida en medlemsstat väljer att använda den personuppgiftsansvariges huvudsakliga verksamhetsställe eller den registrerades hemvist som referenspunkt i sin nationella lagstiftning. Medlemsstaterna ska först och främst ta hänsyn till barnets bästa när de gör sitt val. Artikel 29-gruppen uppmuntrar medlemsstaterna att försöka finna en harmoniserad lösning på denna fråga.

När de personuppgiftsansvariga tillhandahåller informationssamhällets tjänster till barn grundat på samtycke förväntas de göra rimliga ansträngningar för att kontrollera att användaren innehar åldern för digitalt samtycke, och dessa åtgärder bör stå i proportion till behandlingens art och risker.

Om användarna uppger att de innehar åldern för digitalt samtycke kan den personuppgiftsansvarige göra lämpliga kontroller för att kontrollera att uttalandet är riktigt. Det finns inga uttryckliga krav i GDPR om att rimliga ansträngningar måste göras för att kontrollera åldern. Däremot är detta underförstått, eftersom behandlingen av personuppgifter kommer att vara olaglig om ett barn ger sitt samtycke trots att det inte innehar åldern för giltigt samtycke.

Om användaren uppger att han eller hon inte innehar åldern för digitalt samtycke kan den personuppgiftsansvarige godta uttalandet utan ytterligare kontroller men måste då gå vidare och få föräldrarnas godkännande samt kontrollera att den person som lämnar samtycke har föräldraansvar för barnet.

Ålderskontrollen bör inte leda till orimlig behandling av personuppgifter. Den mekanism som valts för att kontrollera den registrerades ålder bör inbegripa en bedömning av riskerna med den föreslagna behandlingen. I vissa situationer där risken är låg kan det vara lämpligt att begära att nya abonnenter till en tjänst ska ange sitt födelseår eller fylla i ett formulär där de intygar att de (inte) är barn . Om tvivel uppstår bör den personuppgiftsansvarige se över sina ålderskontrollmekanismer i det särskilda fallet och överväga huruvida andra kontroller behöver göras .

När det gäller godkännande av en person som har föräldraansvar för barnet anges det inte i GDPR hur förälderns samtycke ska inhämtas i praktiken eller hur det ska fastställas att någon har rätt att vidta denna åtgärd . Artikel 29-gruppen rekommenderar därför att man inför ett proportionerligt synsätt, i linje med artikel 8.2 och artikel 5.1 c i GDPR (uppgiftsminimering). Ett proportionerligt synsätt kan vara att inrikta sig på att erhålla en begränsad mängd uppgifter, såsom förälderns eller vårdnadshavarens kontaktuppgifter.

Vad som är rimligt, både när det gäller att kontrollera att användaren är gammal nog att lämna sitt eget samtycke och när det gäller att kontrollera att en person som lämnar samtycke på ett barns vägnar innehar föräldraansvar för barnet, kan bero på vilka risker behandlingen medför och vilken teknik som finns till förfogande. I situationer där risken är låg kan det vara tillräckligt att kontrollera föräldraansvaret via e-post. Omvänt kan det i situationer där risken är hög vara lämpligt att begära mer bevisning, så att den personuppgiftsansvarige kan kontrollera och behålla sådana uppgifter som avses i artikel 7.1 i GDPR . Kontrolltjänster som utförs av betrodd tredje part kan erbjuda lösningar som minimerar den mängd personuppgifter som den personuppgiftsansvarige själv måste behandla.

Exemplet visar att den personuppgiftsansvarige kan skapa sig förutsättningar för att visa att rimliga ansträngningar har gjorts för att säkerställa att giltigt samtycke har erhållits, med avseende på tjänster som tillhandahålls till barn. Dessutom innehåller artikel 8.2 följande särskilda bestämmelse: ”Den personuppgiftsansvarige ska göra rimliga ansträngningar för att i sådana fall kontrollera att samtycke ges eller godkänns av den person som har föräldraansvar för barnet, med hänsyn tagen till tillgänglig teknik.”

Det är upp till den personuppgiftsansvarige att avgöra vilka åtgärder som är lämpliga i ett visst fall. De personuppgiftsansvariga bör som en allmän regel undvika kontrollösningar som medför en orimlig insamling av personuppgifter.

Artikel 29-gruppen inser att det kan vara en utmaning att kontrollera detta i vissa fall (t.ex. där barn som lämnar eget samtycke ännu inte har något ”identitetsfotavtryck” eller där det är svårt att kontrollera vem som innehar föräldraansvar). Detta kan beaktas vid beslut om vilka ansträngningar som är rimliga, men de personuppgiftsansvariga förväntas även ha ständig uppsikt över sina processer och tillgänglig teknik.

När det gäller den registrerades frihet att samtycka till behandling av sina personuppgifter och ha fullständig kontroll över denna, kan samtycke till behandling av ett barns personuppgifter vilket lämnats eller godkänts av en person med föräldraansvar bekräftas, ändras eller återkallas så snart den registrerade uppnår åldern för digitalt samtycke. I praktiken innebär detta att om barnet inte vidtar någon åtgärd kommer den giltiga grunden för behandlingen att fortsätta vara det samtycke som lämnats eller godkänts av en person med föräldraansvar för behandlingen av personuppgifterna innan barnet uppnått åldern för digitalt samtycke. Efter att barnet uppnått åldern för digitalt samtycke kommer det att ha möjlighet att återkalla samtycket självt, i linje med artikel 7.3. Enligt principerna om korrekthet och laglighet måste den personuppgiftsansvarige informera barnet om denna möjlighet .

Det är viktigt att påpeka det som anges i skäl 38, nämligen att samtycke från en förälder eller vårdnadshavare inte krävs för förebyggande eller rådgivande tjänster som erbjuds direkt till barn. Barnskyddstjänster som erbjuds på internet till ett barn via en onlinechatt kräver till exempel inget föregående tillstånd från föräldrarna.

Avslutningsvis anges det i GDPR att bestämmelserna om krav på tillstånd från föräldrarna gentemot minderåriga inte får påverka ”tillämpningen av allmän avtalsrätt i medlemsstaterna, såsom bestämmelser om giltigheten, upprättandet eller effekten av ett avtal som gäller ett barn”. Kraven vad gäller giltigt samtycke till användning av barns personuppgifter utgör därför en del av en

rättslig ram som måste beaktas separat från nationell avtalsrätt. I dessa riktlinjer behandlas därför inte frågan om huruvida en minderårig får ingå avtal på internet enligt lag. Båda rättssystemen kan tillämpas samtidigt, och harmonisering av nationella avtalsrättsliga bestämmelser omfattas inte av GDPR:s tillämpningsområde.

Definitionen av vetenskapliga forskningsändamål har betydande förgreningar när det gäller de olika sätt på vilka en personuppgiftsansvarig kan behandla personuppgifter. I GDPR ges ingen definition av begreppet ”vetenskaplig forskning”. Skäl 159 har följande lydelse: ”[...] Behandling av personuppgifter för vetenskapliga forskningsändamål bör i denna förordning ges en vid tolkning [...].” Artikel 29-gruppen anser dock inte att begreppet får utökas till att omfatta mer än dess allmänna betydelse och är medveten om att ”vetenskaplig forskning” i detta sammanhang innebär ett forskningsprojekt som inrättats i överensstämmelse med relevanta metodologiska och etiska standarder inom sektorn, i enlighet med god praxis.

När samtycke utgör den rättsliga grunden för att bedriva forskning enligt GDPR bör sådant samtycke till användning av personuppgifter särskiljas från andra samtyckeskrav som fungerar som en etisk standard eller processuell skyldighet. Ett exempel på en sådan processuell skyldighet, där behandlingen inte baseras på samtycke utan på någon annan rättslig grund, ges i förordningen om kliniska prövningar. Inom ramen för dataskyddslagstiftningen skulle den sistnämnda formen av samtycke kunna betraktas som en ytterligare skyddsåtgärd . Samtidigt innebär inte GDPR att artikel 6 endast får tillämpas när det gäller samtycke, med avseende på behandling av personuppgifter för forskningsändamål. Så länge som lämpliga skyddsåtgärder finns, till exempel kraven i artikel 89.1, och behandlingen är rättvis, laglig, öppen och förenlig med uppgiftsminimeringsstandarder och individuella rättigheter kan andra lagliga grunder såsom artikel 6.1 e eller f vara tillgängliga . Detta gäller även särskilda kategorier av uppgifter, enligt undantaget i artikel 9.2 j .

Skäl 33 verkar ge en viss flexibilitet när det gäller graden av specificering och granularitet i ett samtycke som lämnas inom området för vetenskaplig forskning. Skäl 33 har följande lydelse: ”Det är ofta inte möjligt att fullt ut identifiera syftet med en behandling av personuppgifter för vetenskapliga forskningsändamål i samband med insamlingen av uppgifter. Därför bör registrerade kunna ge sitt samtycke till vissa områden för vetenskaplig forskning, när vedertagna etiska standarder för vetenskaplig forskning iakttas. Registrerade bör ha möjlighet att endast lämna sitt samtycke till vissa forskningsområden eller delar av forskningsprojekt i den utsträckning det avsedda syftet medger detta.”

För det första bör det noteras att skäl 33 inte medför någon felaktig tillämpning av skyldigheterna när det gäller kravet om specifikt samtycke. Detta innebär i princip att vetenskapliga forskningsprojekt endast får inbegripa personuppgifter på grundval av samtycke om ändamålet är noga angett. I fall där syftena med en behandling av personuppgifter inom ett vetenskapligt forskningsprojekt inte kan specificeras från start, medger skäl 33 ett undantag där mer allmänna syften får anges.

Med tanke på de strikta villkor som anges i artikel 9 i GDPR när det gäller behandling av särskilda kategorier av uppgifter, noterar artikel 29-gruppen att tillämpningen av det flexibla synsättet i skäl 33 kommer att bli föremål för en striktare tolkning och kräver omfattande granskning när särskilda kategorier av uppgifter behandlas grundat på uttryckligt samtycke.

GDPR som helhet får inte tolkas på ett sådant sätt att en personuppgiftsansvarig kan kringgå den viktiga principen om att de ändamål för vilka den registrerades samtycke begärs måste specificeras. När forskningsändamål inte kan specificeras fullt ut måste en personuppgiftsansvarig försöka finna andra sätt för att säkerställa att själva andemeningen i samtyckeskraven delges på bästa sätt, till exempel för att de registrerade ska kunna samtycka till ett mer allmänt forskningsändamål och till särskilda skeden av ett forskningsprojekt som man redan från början vet kommer att äga rum. I takt med att forskningen fortgår kan samtycke för efterföljande steg i projektet erhållas innan de inleds. Ett sådant samtycke bör dock fortfarande följa tillämpliga etiska standarder för vetenskaplig forskning.

Dessutom kan den personuppgiftsansvarige vidta ytterligare skyddsåtgärder i sådana fall. I artikel 89.1 betonas bland annat behovet av skyddsåtgärder vid behandling av personuppgifter för vetenskapliga, historiska eller statistiska ändamål. Sådana ändamål ska ”omfattas av lämpliga skyddsåtgärder i enlighet med denna förordning för den registrerades rättigheter och friheter”. Uppgiftsminimering, avidentifiering och datasäkerhet nämns som möjliga skyddsåtgärder. Avidentifiering är den bästa lösningen så snart ändamålet med forskningen kan uppfyllas utan behandling av personuppgifter.

Öppenhet är en ytterligare skyddsåtgärd när specifikt samtycke inte är tillåtet på grund av omständigheterna kring forskningen. Bristande specificering av syftet kan kompenseras genom att de personuppgiftsansvariga ger regelbunden information om hur syftet utvecklas i takt med att forskningsprojektet fortskrider, så att samtycket med tiden blir så specifikt som möjligt. På så sätt

får de registrerade åtminstone en grundkännedom om läget, vilket innebär att de kan bedöma huruvida de ska utnyttja rätten att återkalla samtycket enligt artikel 7.3 .

Bristande specificering av syftet kan också uppvägas genom en omfattande forskningsplan som de registrerade kan ta del av innan de lämnar sitt samtycke . Denna forskningsplan bör innehålla så tydlig information som möjligt om planerade forskningsfrågor och arbetsmetoder. Forskningsplanen skulle också kunna bidra till förenlighet med artikel 7.1, eftersom de personuppgiftsansvariga måste visa vilken information de registrerade hade tillgång till vid tiden för samtycket för att kunna påvisa att samtycket är giltigt.

Det är viktigt att komma ihåg att de registrerade måste ha möjlighet att återkalla sitt samtycke när samtycke används som laglig grund för behandling. Artikel 29-gruppen noterar att ett återkallande av samtycke skulle kunna underminera viss vetenskaplig forskning som kräver uppgifter som kan kopplas till enskilda personer. Det framgår dock tydligt av GDPR att samtycke kan återkallas och att de personuppgiftsansvariga måste tillmötesgå en sådan begäran – inget undantag finns till detta krav när det gäller vetenskaplig forskning. Om de personuppgiftsansvariga mottar en begäran om återkallande måste de i princip radera personuppgifterna omedelbart, om de vill fortsätta använda uppgifterna för forskningsändamålen .

Om en behandling av personuppgifter grundar sig på den registrerades samtycke kommer detta att påverka den enskildes rättigheter. De registrerade kan ha rätt till dataportabilitet (artikel 20) när behandlingen grundar sig på samtycke. Samtidigt gäller inte rätten att göra invändningar (artikel 21) när behandlingen grundar sig på samtycke, men rätten att när som helst återkalla sitt samtycke kan få ett liknande utfall.

I artiklarna 16–20 i GDPR anges att de registrerade (när behandlingen av uppgifterna grundar sig på samtycke) har rätt till radering när samtycket har återkallats samt rätt till begränsning, rättelse och tillgång .

Personuppgiftsansvariga som för närvarande behandlar personuppgifter grundat på samtycke i enlighet med nationell dataskyddslagstiftning måste inte per automatik göra en fullständig uppdatering av alla befintliga samtyckesförbindelser med registrerade som förberedelse för GDPR. Sådant samtycke som hittills har erhållits är fortfarande giltigt så länge som det överensstämmer med villkoren i GDPR.

Det är viktigt att de personuppgiftsansvariga noggrant ser över befintliga arbetsprocesser och register, före den 25 maj 2018, för att förvissa sig om att befintliga samtycken uppfyller kraven i GDPR (se skäl 171 i GDPR ). Genom GDPR höjs i praktiken ribban när det gäller införandet av samtyckesmekanismer och vidare införs flera nya krav om att personuppgiftsansvariga måste förändra sina samtyckesmekanismer i stället för att bara ta fram nya integritetspolicyer .

GDPR innehåller till exempel krav om att en personuppgiftsansvarig måste kunna visa att giltigt samtycke har erhållits, och därför kommer alla förmodade samtycken utan hänvisningar att automatiskt hamna under GDPR:s samtyckesstandard och behöva förnyas. På samma sätt kommer alla förmodade samtycken som grundas på en mer indirekt åtgärd från den registrerades sida (t.ex. en på förhand ikryssad opt in-ruta) inte heller att uppfylla kraven för GDPR:s samtyckesstandard, eftersom det enligt GDPR krävs ”ett uttalande” eller ”en entydig bekräftande handling”.

Dessutom kan de personuppgiftsansvariga behöva se över sina behandlingsprocesser och it-system för att kunna visa att samtycke erhållits eller möjliggöra en mer granulär viljeyttring. Vidare måste det finnas mekanismer för att de registrerade enkelt ska kunna återkalla sitt samtycke, och information måste ges om hur samtycket kan återkallas. Om befintliga förfaranden för erhållande och hantering av samtycke inte uppfyller GDPR:s standarder måste de personuppgiftsansvariga erhålla nya samtycken som är förenliga med GDPR.

Den utökade informationsskyldigheten i GDPR innebär däremot inte att sådant samtycke som lämnats innan GDPR träder i kraft blir ogiltigt, eftersom samtliga delar som anges i artiklarna 13 och 14 inte alltid måste finnas med som villkor för informerat samtycke (se s. 15 ovan). Enligt direktiv 95/46/EG var de personuppgiftsansvariga inte skyldiga att informera de registrerade om vilken grund behandlingen baserades på.

Om de personuppgiftsansvariga finner att ett samtycke som erhållits tidigare enligt den gamla lagstiftningen inte kommer att uppfylla standarden för samtycke enligt GDPR måste de vidta åtgärder för att följa denna standard, till exempel genom att förnya samtycket i överensstämmelse med GDPR. Enligt GDPR är det inte möjligt att byta från en laglig grund till en annan. Behandlingen måste stoppas om en personuppgiftsansvarig inte kan förnya samtycket i enlighet med kraven och dessutom – som en engångsåtgärd – inte kan övergå till kraven i GDPR genom att behandla personuppgifter baserat på en annan laglig grund och samtidigt se till att den fortsatta

behandlingen är rättvis och redogjord för. Den personuppgiftsansvarige måste under alla omständigheter iaktta principerna om laglig, rättvis och öppen behandling.