Samtyckesförfall: när går ditt cookiesamtycke ut enligt GDPR?

Du fick samtycke från en användare för sex månader sedan, men är det samtycket fortfarande giltigt i dag? Inom GDPR gäller inte samtycke ”för evigt”. Det är ett dynamiskt val som kan gå ut eller ”förfalla” med tiden.

GDPR anger inget specifikt utgångsdatum för cookiesamtycke, men dataskyddsmyndigheterna är tydliga: om sammanhanget ändras eller för lång tid går måste du fråga igen.

Det här blogginlägget går igenom de juridiska riktlinjerna för samtyckets livslängd, förklarar begreppet ”förfall” och visar hur en automatiserad plattform för samtyckeshantering (CMP) är avgörande för att hantera risken och hålla din datainsamling i linje med reglerna.

---

1. Vad är ”samtyckesförfall” och varför uppstår det?

Samtyckesförfall är den juridiska risken att det ursprungliga samtycket en användare gav inte längre anses giltigt på grund av förändringar i din verksamhet eller i användarens förväntningar.

Det uppstår av två huvudsakliga skäl:

• Ändrat ändamål: Om du börjar samla in data av ett nytt skäl (t.ex. genom att använda en ny spårningsleverantör eller starta en remarketingkampanj som du inte hade tidigare) är det ursprungliga samtycket inte längre specifikt eller informerat, två grundpelare för att GDPR-samtycke ska vara giltigt.
• Ändrade förväntningar (tid): Användarens relation till din webbplats försämras med tiden. Efter ett år eller mer utan aktivitet speglar det ursprungliga valet kanske inte längre användarens nuvarande önskemål. Därför rekommenderar dataskyddsmyndigheterna regelbunden översyn.

---

2. Den juridiska regeln: GDPR:s ospecificerade hållbarhetstid

GDPR är tydlig med vad som gör samtycke giltigt (frivilligt, specifikt, informerat, otvetydigt), men anger medvetet ingen tidsgräns för hur länge ett samtycke gäller.

• Problemet: Den här otydligheten lägger hela bevisbördan på dig (den personuppgiftsansvarige). Du måste kunna visa vid en granskning att samtycket fortfarande är ”informerat” och ”specifikt” utifrån användarens nuvarande relation till ditt varumärke.
• Bästa praxis enligt dataskyddsmyndigheterna: Europeiska tillsynsmyndigheter, däribland Frankrikes CNIL och Storbritanniens ICO, rekommenderar att du granskar och förnyar samtycket med lämpliga intervall (ofta nämns 6 till 24 månader, beroende på hur ofta användaren interagerar). Det är det bästa skyddet mot böter.
• Det centrala kravet: Om din behandling eller dina ändamål utvecklas måste du be om nytt samtycke.

---

3. Efterlevnadsrisk: när ogiltigt samtycke leder till böter

Påföljden för att samla in data på grundval av förfallet samtycke är densamma som för att samla in data utan någon banner alls, en GDPR-överträdelse.

• Underkänd granskning: Om en granskare ser att du använder ett samtycke som gavs för tre år sedan för en användare som inte har besökt dig på två år kan hen hävda att samtycket inte är tillräckligt informerat eller specifikt.
• Saknad möjlighet att återkalla: Om den ursprungliga bannern inte följde reglerna (t.ex. ingen enkel ”Avvisa alla”) och du inte rättade till det, vilar all efterföljande behandling på en bristfällig grund.
• Missvisande data: Att förlita sig på urgammalt samtycke snedvrider din data. Du kan spåra användare som för länge sedan glömt att de sa ja, vilket leder till ineffektiva marknadsföringskampanjer byggda på felaktiga, gamla intentioner.

---

4. Bästa praxis: så automatiserar du förnyelse av samtycke på ett ansvarsfullt sätt

Nyckeln till att hantera förfall är att använda din CMP för att ställa in logiska, korrekta tidsgränser och fråga användaren igen vid rätt tillfälle.

1. Ställ in en fast förnyelseperiod: Utifrån dataskyddsmyndigheternas rekommendationer och din egen affärslogik kan du ställa in CMP:n så att den frågar igen. 12 månader är ett vanligt, ansvarsfullt riktmärke för aktiva användare.
2. Utlös vid inaktivitet: För användare som inte har återvänt till din webbplats under en viss period (t.ex. 6 månader) är det mer sannolikt att samtycket har förfallit. CMP:n bör visa bannern igen vid deras nästa besök.
3. Uppdatera vid policyändring: Om du uppdaterar din integritetspolicy eller lägger till en ny spårningsleverantör måste CMP:n automatiskt ogiltigförklara allt befintligt samtycke och visa en ny banner för alla användare, där de ombeds godkänna de nya villkoren.
4. Använd CMP:ns granskningsloggar: Din CMP bör registrera datum och tid för den senaste samtyckeshandlingen. Det beviset är avgörande om du någon gång behöver visa vid en granskning att du förnyade samtycket på rätt sätt.

---

Slutsats

GDPR sätter visserligen inget utgångsdatum på samtycke, men att inte hantera samtyckesförfall är ett brott mot efterlevnaden. Samtycke måste hanteras aktivt för att förbli ”informerat” och ”specifikt”.

En robust CMP är det enda pålitliga verktyget för att automatisera den processen och se till att din datainsamling är juridiskt hållbar.

---

Källor:

• GDPR (General Data Protection Regulation) - Key Articles
• ICO (UK Information Commissioner's Office) - Consent Guidance
• CNIL (French Data Protection Authority) - Cookie Guidelines