For å oppfylle hovedregelen om samtykke til behandling av personopplysninger, må samtykket oppfylle strenge krav som sikrer at det er gyldig. Dette inkluderer at samtykket må være frivillig, spesifikt, informert, og gitt gjennom en aktiv og utvetydig handling. I tillegg må det være lett å trekke tilbake samtykket, og virksomheten må kunne dokumentere hvordan og når samtykke ble gitt.

Grunnkrav for gyldig samtykke

1. Frivillighet

• Samtykket må gis uten press eller negative konsekvenser dersom det ikke gis.
• Det kan ikke være et krav for tilgang til tjenester, med mindre det er helt nødvendig for tjenestens funksjon.

2. Spesifisitet

• Brukeren må vite nøyaktig hva de gir samtykke til, og velge spesifikke formål. Ett samtykke kan ikke dekke flere formål uten klart valg.

3. Informert samtykke

• Informasjonen må være tydelig og forståelig, og dekke ting som behandlingsformål, hvilke opplysninger som brukes, hvem som behandler dem, hvor lenge de lagres, og mer.

4. Aktiv handling

• Samtykke kan ikke være passivt, som forhåndsavkryssede bokser. Det må kreve en klar handling som å krysse av eller trykke på en knapp.

5. Dokumenterbarhet

• Virksomheter må kunne bevise hvordan og når samtykket ble gitt, samt hva beløpet omfattet. Eksempler inkluderer elektroniske logger eller signerte skjemaer.

6. Tilbaketrekking

• Å trekke tilbake samtykke må være like enkelt som å gi det, med en tydelig tilgjengelig prosess for brukeren.

Praktiske tips og eksempler

• Dersom samtykke gjelder sensitive opplysninger, anbefales skriftlige bekreftelser.
• For barn under 13 år kreves samtykke fra foresatte innen visse digitale tjenester.
• Bruk påminnelser og oppdatering av samtykker for å sikre overholdelse av reglene.
• Ved bruk av informasjonskapsler må samtykket følge de samme strenge kravene for å være gyldig.

Nøkkelting å huske

Et gyldig samtykke må alltid være:

• Frivillig,
• Spesifikt,
• Informert,
• Utvetydig,
• Dokumenterbart,
• Lett å trekke tilbake.

Når disse kravene oppfylles, anses samtykket for å være i tråd med personvernregelverket.