Samtyckesrutor som håller som bevis

Artikel 6(1) i GDPR räknar upp sex rättsliga grunder, och samtycke är bara en av dem. Vilken som passar beror på vad du gör med uppgifterna, inte på formuläret i sig.

• Svara på en förfrågan. Personen har ställt en fråga och väntar på svar. Detta hanteras ofta enligt artikel 6(1)(b), åtgärder på personens begäran före ett avtal, eller 6(1)(f), berättigade intressen. En samtyckesruta tillför lite här, och den har en kostnad: samtycke kan när som helst återkallas (artikel 7(3)), och då måste du sluta behandla uppgifterna på den grunden.
• Marknadsföring via e-post eller nyhetsbrev. Att lägga till någon på en utskickslista går längre än vad personen bad om. Detta är det klassiska fallet för en separat, valfri samtyckesruta. E-postmarknadsföring styrs dessutom av nationella regler som implementerar ePrivacy-direktivet, som i de flesta fall också kräver föregående samtycke.
• Att spara uppgifter för senare. Att behålla en jobbsökandes CV för framtida lediga tjänster, eller att dela uppgifter med en partner för dennes egen användning, är separata syften. Varje syfte behöver en egen grund, och samtycke är ofta den som passar.
• Särskilda kategorier av personuppgifter. Hälsouppgifter och de andra kategorierna i artikel 9 kräver ett villkor enligt artikel 9(2) utöver en rättslig grund; uttryckligt samtycke är ett av dem.

Artikel 4(11) definierar samtycke som frivilligt, specifikt, informerat och otvetydigt. Artikel 7 lägger till villkoren. I formulärtermer:

• Rutan börjar avbockad. Tystnad, förifyllda rutor och passivitet är inte samtycke (skäl 32).
• En ruta per syfte, separat från godkännande av dina villkor (artikel 7(2)).
• Tjänsten görs inte beroende av att rutan bockas i när uppgifterna inte behövs för tjänsten (artikel 7(4)).
• Personen kan återkalla samtycket lika enkelt som det gavs och får veta om det innan samtycket lämnas (artikel 7(3)).
• Du kan visa att personen samtyckte, och till vilken formulering (artikel 7(1)).

Europeiska dataskyddsstyrelsen går igenom varje villkor i detalj, med exempel, i sina riktlinjer 05/2020 om samtycke.

Bra samtyckestext anger vem du är, det specifika syftet och hur man återkallar. Den låter som en mening en person skulle gå med på, inte som en juridisk klausul. Till exempel:

Skicka mig Acme Studios månatliga nyhetsbrev om nya kurser. Jag kan avsluta prenumerationen när som helst med länken i varje e-post. Läs integritetspolicyn.

Formuleringar att undvika: “Jag godkänner villkoren och integritetspolicyn” (buntat, och inget specifikt syfte), “Jag samtycker till behandlingen av mina uppgifter” (vilken behandling, för vad?), eller allt som gör att förfrågan bara kan skickas om man går med i en utskickslista.

Varje formulär har en GDPR-samtyckesinställning under sina integritetsinställningar, tillgänglig på alla paket inklusive Free. Du slår på insamling av samtycke, skriver samtyckestexten (upp till 2 000 tecken) och väljer om samtycke krävs.

• Hostade formulär visar rutan automatiskt, avbockad, med din text bredvid.
• Obligatoriskt samtycke. När det krävs avvisas ett inskick utan ikryssad ruta med 422 consent_required innan det lagras eller räknas mot din kvot.
• Bevis. När personen bockar i rutan sparar Formward samtyckestexten som är konfigurerad för formuläret tillsammans med tidpunkten för inskicket. Båda visas i inskickets vy. Texten är en ögonblicksbild: om du ändrar formuleringen senare behåller tidigare inskick den formulering som avsändarna såg.
• Valfritt samtycke. Om samtycke inte krävs och rutan lämnas avbockad godkänns inskicket, och inget samtycke registreras för det.

Formward registrerar samtycke men hanterar inte återkallelse åt dig. Om någon återkallar sitt samtycke ska du sluta med den behandling som byggde på det (för ett nyhetsbrev, avregistrera personen i ditt utskicksverktyg) och, om personen begär det, radera personens inskick.

I ett formulär du hostar själv lägger du till en kryssruta med namnet _consent. Formward tolkar on, true, 1 och yes som lämnat samtycke. En webbläsare skickar on för en ikryssad ruta och inget för en avbockad.

Copy<form action="https://forms.formward.eu/f/<FORM_ID>" method="POST">
  <label>Email <input type="email" name="email" required /></label>
  <label>Message <textarea name="message" required></textarea></label>

  <!-- Optional and unticked. Same wording as the form's consent text. -->
  <label>
    <input type="checkbox" name="_consent" />
    Email me Acme Studio's monthly newsletter about new courses.
    I can unsubscribe at any time with the link in every email.
  </label>

  <input type="text" name="_gotcha" style="display:none" tabindex="-1" autocomplete="off" />
  <button type="submit">Send</button>
</form>

Håll etiketten identisk med samtyckestexten i formulärets inställningar. Formward lagrar den konfigurerade texten, aldrig text som skickats från webbläsaren, så de två måste stämma överens för att registret ska beskriva vad personen faktiskt såg. Värdet _consent sparas inte tillsammans med svaren.