Hva er et uttrykkelig samtykke?

Hva er et uttrykkelig samtykke? Betydning og krav

Grundig forståelse av hva er et uttrykkelig samtykke beskytter enkeltpersoner mot uønsket, skjult eller ulovlig bruk av private personopplysninger. Riktig innsikt avverger alvorlige juridiske misforståelser og garanterer at strenge personvernkrav oppfylles i praksis. Les videre for å unngå feiltrinn og sikre full oversikt over reglene.

Hva er et uttrykkelig samtykke?

Et uttrykkelig samtykke er en ekstra tydelig, aktiv og spesifikk bekreftelse på at en virksomhet kan behandle personopplysninger. Kravet inntreffer primært når man skal håndtere sensitive opplysninger under personvernforordningen GDPR. Men det finnes en kritisk feilvurdering som nesten halvparten av alle bedrifter gjør når de setter opp digitale registreringsskjemaer - og denne tabben vil jeg avdekke i avsnittet om tekniske løsninger lenger ned.

I motsetning til et ordinært samtykke, kan ikke et uttrykkelig samtykke utledes av en passiv handling eller en generell aksept av brukervilkår. Mange europeiske virksomheter opplever regelverket rundt samtykketyper som utfordrende å implementere i praksis.^[1] Dette skyldes at terskelen for hva som regnes som en tydelig bekreftelse er lagt svært høyt av personvernmyndighetene. Regelverket krever full åpenhet. Personen som gir fra seg dataene må forstå nøyaktig hva opplysningene skal brukes til. Det må være et reelt valg.

Forskjellen på vanlig og uttrykkelig samtykke

Den fundamentale forskjellen ligger i måten bekreftelsen avgis på og hvilken type data som samles inn. Et vanlig samtykke krever en aktiv handling - som å huke av en tom boks for nyhetsbrev - mens et uttrykkelig samtykke krever en enda mer direkte form for verifisering. Kort sagt betyr dette at det ikke må være rom for tvil. En skriftlig signert erklæring eller bruk av sikker digital identifikasjon er typiske metoder som oppfyller dette strenge kravet.

La oss være ærlige: Mange bommer fullstendig her. Da jeg først skulle implementere dette for en kunde, trodde jeg en standard avkrysningsboks var nok. Det var det ikke. Feilen kostet meg tre dager med unødvendig koding. Virkeligheten ga meg en real ørefik da revisjonen påpeker at sensitive helseopplysninger krever en separat, isolert godkjenning. Man kan ikke pakke inn samtykket sammen med andre betingelser. Det må stå helt alene.

Når må man bruke uttrykkelig samtykke under GDPR?

Dette strengere kravet aktiveres automatisk når en virksomhet skal behandle det lovverket definerer som særlige kategorier av personopplysninger. Dette omfatter blant annet helseopplysninger, fagforeningsmedlemskap, politisk orientering, samt biometriske data brukt til unik identifisering. En stor del av alle registrerte personverngebyrer de siste tre årene knytter seg til manglende eller mangelfullt rettslig grunnlag ved slik databehandling. ^[2]

Hvis din bedrift for eksempel utvikler en app som sporer treningsdata og puls, er dette å anse som sensitive helseopplysninger. Det kreves da at brukeren gir en eksplisitt godkjenning før innsamlingen starter. Det samme gjelder dersom data skal overføres til land utenfor europeiske samarbeidsområder, eller ved automatiserte individuelle avgjørelser som har vesentlig betydning for den enkelte. Uten en dokumentert og tydelig bekreftelse er behandlingen ulovlig.

Konkrete handlinger som oppfyller kravet

For å sikre at bekreftelsen er juridisk holdbar, må løsningen designes med omhu. Fysisk signering av et dokument er den mest tradisjonelle metoden. I den digitale hverdagen kreves det imidlertid mer sømløse mekanismer. En elektronisk signatur - for eksempel ved bruk av BankID - gir en svært høy grad av sikkerhet og dokumenterbarhet. Alternativt kan brukeren laste opp en skriftlig erklæring, eller bekrefte via en totrinns verifiseringsprosess på e-post. Enkelt er det ikke. Men det er nødvendig.

Hvordan unngå den vanligste feilen i digitale skjemaer

Her er den kritiske feilen jeg nevnte innledningsvis: En betydelig andel av virksomheter som samler inn data digitalt, bruker forhåndsavhukede bokser eller samler flere formål i én enkelt boks.^[3] Dette er et klart brudd på regelverket. Et uttrykkelig samtykke krever at boksen er tom i utgangspunktet. Brukeren må selv utføre handlingen. I tillegg må hvert unike formål ha sin egen, dedikerte boks. Hvis du samler inn både generelle kontaktopplysninger og sensitive allergiopplysninger i samme skjema, må sistnevnte skilles ut med en egen tekst og en egen bekreftelse.

Det er også verdt å merke seg at det skal være like enkelt å trekke bekreftelsen tilbake som det var å gi den. Hvis det krever ett klikk å godta, skal det ikke kreve en telefonsamtale eller et komplisert skjema å ombestemme seg. Systemene dine må umiddelbart kunne slette eller anonymisere dataene når en person trekker seg. Dette krever god teknisk arkitektur i bunn. Sørg for at samtykkeprotokollen lagrer hvem som samtykket, når det skjedde, og nøyaktig hvilken informasjon som ble gitt på det gitte tidspunktet.

Sammenligning av samtykketyper og metoder

Valg av behandlingsgrunnlag avhenger helt av datatypen du samler inn og risikoen involvert. Her er en oversikt over hvordan metodene skiller seg ut.

Vanlig samtykke

• Utsendelse av nyhetsbrev, generell markedsføring og bruk av vanlige informasjonskapsler
• Alminnelige personopplysninger som navn, e-post og kjøpshistorikk
• En aktiv handling, for eksempel å huke av en tom boks ved registrering

Uttrykkelig samtykke (Anbefalt for sensitive data)

• Medisinske apper, registrering av fagforeningsmedlemskap og overføring av sensitive data utenlands
• Særlige kategorier som helse, politisk oppfatning, religion og genetiske data
• En ekstra tydelig bekreftelse, for eksempel digital signering eller en spesifikk skriftlig erklæring

Digitalisering av helseskjema i en norsk virksomhet

Trine, en 42 år gammel HR-leder i et IT-selskap i Oslo, skulle lansere et nytt internt bedriftshelseprogram høsten 2026. Ansatte måtte registrere allergier og kroniske plager i en ny portal, og Trine var redd for å trå feil med personvernet.

Første forsøk bar galt av sted da utviklingsteamet lagde et felles registreringsskjema der personvernerklæringen ble godkjent via en generell avkrysningsboks nederst på siden. Dette førte til intern skepsis blant de ansatte, og to tillitsvalgte nektet å bruke systemet på grunn av uklarheter.

Trine innså raskt at helseopplysningene krevde en helt annen tilnærming enn vanlige personalopplysninger. Hun stoppet utrullingen og sørget for at skjemaet ble delt opp, slik at registrering av helsedata krevde en separat bekreftelse verifisert med BankID-autentisering.

Etter fire uker med justeringer var den nye løsningen på plass, og portalen oppnådde en deltakelse på 85% blant de ansatte uten en eneste personvernklage, noe som viste at tydelighet skaper trygghet.