Så bevisar du samtycke vid en GDPR-granskning: loggar, metadata och bästa praxis

Enligt dataskyddsförordningen (GDPR) räcker det inte att bara inhämta samtycke, du måste också kunna bevisa det. Om din organisation granskas eller utreds av en dataskyddsmyndighet förväntas du visa hur, när och till vad användarna har samtyckt.

I den här guiden går vi igenom hur GDPR-kompatibla samtyckesbevis ser ut, vilka loggar och vilken metadata du behöver spara, och hur en plattform för samtyckeshantering (CMP) kan effektivisera arbetet.

---

Vad säger GDPR om bevis för samtycke?

Artikel 7.1 i GDPR anger:

”Om behandlingen grundar sig på samtycke ska den personuppgiftsansvarige kunna visa att den registrerade har samtyckt till behandlingen av sina personuppgifter.”

Det innebär att du behöver:

• Tydliga bevis för samtycket
• Loggar som är redo för granskning
• Mekanismer för att enkelt hämta eller återkalla samtycke

---

Det här behöver du för att bevisa samtycke

För att uppfylla GDPR-kraven måste följande loggas och vara tillgängligt:

1. Tidsstämpel för samtycket

Registrera exakt datum och tid då samtycket gavs. Det visar att du hade tillstånd innan någon databehandling ägde rum.

2. Användaridentifiering (anonymiserad eller pseudonymiserad)

Spara en användaridentifierare, till exempel en hashad IP-adress, ett sessions-ID eller ett användarkonto-ID, som kopplar samtycket till en individ samtidigt som exponeringen av data minimeras.

3. Samtyckets sammanhang

Spara vilken version av integritetspolicyn eller cookiebannern som användaren godkände. Det bör omfatta:

• Cookiekategorier

• Specifika leverantörer (om TCF används)

• Beskrivningar av ändamål (till exempel analys och marknadsföring)

4. Vidtagen åtgärd

Notera hur samtycket gavs (till exempel klickade på ”Godkänn alla”, valde inställningar eller stängde bannern utan att samtycka). Passivt samtycke är inte giltigt enligt GDPR.

5. Återkallat samtycke

Logga om och när en användare återkallade sitt samtycke, inklusive vilken metod som användes (till exempel via inställningscentret).

---

Vad bör samtyckesloggar innehålla?

• Användar-ID
• Givet samtycke
• Godkända cookiekategorier
• Tidsstämpel
• Version av integritetspolicyn
• Källa
• Återkallat samtycke

Ditt system bör lagra och hämta dessa data på ett säkert sätt och se till att de kan exporteras eller göras tillgängliga för tillsynsmyndigheter vid behov.

---

Så hjälper en CMP dig att bevisa samtycke

En modern plattform för samtyckeshantering automatiserar mycket av detta:

• Registrerar alla interaktioner med cookiebannern

• Hanterar samtyckestillstånd över sessioner och enheter

• Tillhandahåller exporterbara loggar för GDPR-granskningar

• Hanterar versionskontroll av policydokument

Utan en CMP är det tidskrävande och felbenäget att hålla koll på dessa detaljer manuellt, särskilt om din webbplats har hundratals eller tusentals användare per dag.

---

Bästa praxis för granskningsklar samtyckeshantering

1. Inför en CMP med automatisk loggning och granskningsexporter
2. Testa regelbundet hur din banner beter sig (Blockerar den cookies tills samtycke ges? Loggar den korrekt?)
3. Spara versionshistorik för alla samtyckespolicyer och inställningar
4. Lagra loggar säkert och begränsa åtkomsten till behörig personal
5. Utbilda ditt team i att hantera begäranden från registrerade (DSR) och frågor vid granskningar
6. För dokumentation över dina samtyckesprocesser och din CMP-konfiguration

---

Det här ska du inte göra

• Spara inte samtycke utan användaridentifierare
• Använd inte förikryssade rutor eller underförstått samtycke
• Radera eller skriv inte över loggar utan säkerhetskopior
• Skjut inte upp samtyckesloggningen, registrera den i realtid

---

Sammanfattning

Vid en GDPR-granskning vill tillsynsmyndigheterna inte bara se att du har en samtyckesprocess, utan att den fungerar och går att verifiera.

Med korrekt loggning, tidsstämplad metadata och en pålitlig CMP på plats kan du visa att du följer reglerna med trygghet och transparens.

Samtycke är inte bara en formalitet, det är juridiskt bevismaterial. Behandla det som vilket annat revisionsspår som helst, så blir din organisation säkrare, smartare och mer betrodd.

---

Källor

GDPR Article 7 - Conditions for Consent - https://gdpr-info.eu/art-7-gdpr/

European Data Protection Board - Riktlinjer om samtycke

CNIL - Att spara bevis för samtycke