Behandlingsgrundlag

Al behandling af personoplysninger skal hvile på et lovligt grundlag. Artikel 6 opregner seks grundlag, og du skal vælge ét, før behandlingen begynder. Vælger du forkert, er behandlingen ulovlig, uanset hvor godt du i øvrigt beskytter oplysningerne.

GDPR Article 6 Explained: Lawfulness of Processing | Legal Bases Made Simple

De seks grundlag i Artikel 6

Forordningen giver seks muligheder. Samtykke, hvor den registrerede aktivt har sagt ja til et bestemt formål. Kontrakt, hvor behandlingen er nødvendig for at opfylde en aftale med den registrerede eller for at træffe foranstaltninger før aftaleindgåelse. Retlig forpligtelse, hvor anden lovgivning pålægger dig at behandle oplysningerne. Vitale interesser, hvor behandlingen er nødvendig for at beskytte liv og helbred. Samfundsinteresse eller offentlig myndighedsudøvelse, som primært bruges af offentlige myndigheder. Og legitim interesse, hvor din eller en tredjeparts interesse vejer tungere end den registreredes rettigheder. De seks grundlag er sidestillede. Der er ingen rangorden, hvor samtykke er finere end de øvrige.

Sådan vælger du det rigtige grundlag

Grundlaget skal afspejle den faktiske relation til personen. Sender du en pakke til en kunde, er grundlaget kontrakt, ikke samtykke. Kunden har bestilt varen, og du kan ikke levere uden adressen. Gemmer du fakturaen i fem år, er grundlaget retlig forpligtelse efter bogføringsloven. Sender du et nyhedsbrev, kræver markedsføringslovens § 10 samtykke, og så er samtykke også dit behandlingsgrundlag. Screener du en jobansøger, er grundlaget typisk foranstaltninger før aftaleindgåelse. Overvåger du din butik med kamera, er grundlaget som regel legitim interesse. Én behandlingsaktivitet skal have ét grundlag. Har du flere formål, skal hvert formål vurderes for sig.

Legitim interesse og interesseafvejningen

Legitim interesse er det mest fleksible grundlag, men det kræver mest dokumentation. Du skal gennemføre en interesseafvejning i tre trin. Først formålstesten: har du en reel, aktuel og lovlig interesse? Dernæst nødvendighedstesten: kan formålet nås med mindre indgribende midler? Til sidst afvejningstesten: vejer din interesse tungere end den registreredes rettigheder og forventninger? I afvejningen tæller det, om personen med rimelighed kunne forvente behandlingen. Direkte markedsføring til eksisterende kunder er ofte forventelig. Videresalg af de samme data til tredjepart er det ikke. Skriv afvejningen ned, før du starter. Datatilsynet spørger til den, og en mundtlig vurdering er ingen dokumentation. Offentlige myndigheder kan ikke bruge legitim interesse som grundlag for deres myndighedsudøvelse.

Samtykke er sjældent det rigtige valg

Mange virksomheder griber ud efter samtykke som standardløsning, fordi det føles sikrest. Det er det ofte ikke. Samtykke er det mest skrøbelige grundlag, fordi det kan trækkes tilbage når som helst, og så skal behandlingen stoppe. Bruger du samtykke til noget, du reelt ikke kan undvære, står du med et problem den dag nogen siger fra. Samtykke kræver desuden reel frivillighed, og det er svært, hvor der er ubalance mellem parterne. En arbejdsgiver kan sjældent indhente gyldigt samtykke fra en medarbejder, fordi medarbejderen ikke frit kan sige nej. Brug samtykke, hvor loven kræver det, og hvor personen reelt har et valg. Brug kontrakt eller legitim interesse, hvor behandlingen er nødvendig for driften.

Dokumentation og oplysningspligt

Grundlaget skal fremgå to steder. I din fortegnelse over behandlingsaktiviteter efter Artikel 30 skal hver behandling have sit grundlag noteret. Og i din privatlivspolitik skal du efter Artikel 13 og 14 oplyse den registrerede om grundlaget for hver behandling. Bruger du legitim interesse, skal du desuden beskrive hvilken interesse der er tale om. Det er ikke nok at skrive 'vi behandler dine data i henhold til GDPR'. Den registrerede skal kunne se, hvad du bygger behandlingen på, fordi grundlaget bestemmer hvilke rettigheder personen har. Ved samtykke og legitim interesse kan personen protestere. Ved retlig forpligtelse kan personen ikke kræve sletning.

Markedsføring: samtykke eller legitim interesse?

Markedsføring er det sted, hvor GDPR og dansk særlovgivning griber mest ind i hinanden. Markedsføringslovens § 10 kræver forudgående samtykke til elektronisk markedsføring, og det gælder uanset hvad GDPR ellers ville tillade. Der findes én undtagelse, den såkaldte bløde opt-in: har kunden købt hos dig og i den forbindelse afgivet sin mailadresse, må du markedsføre tilsvarende produkter, hvis kunden fik mulighed for at frabede sig det ved købet og i hver efterfølgende henvendelse. Postomdelt reklame og telefonopkald til erhvervskunder følger andre regler og kan ofte hvile på legitim interesse. Præambelbetragtning 47 anerkender direkte markedsføring som en mulig legitim interesse, men den anerkendelse ophæver ikke markedsføringslovens krav. Tjek altid begge regelsæt, før du sender.

Behandlingsgrundlag i ansættelsesforhold

Ansættelsesforhold er det område, hvor flest virksomheder vælger forkert. Løn, ferieregnskab og indberetning til eIndkomst hviler på retlig forpligtelse, fordi skattelovgivningen og ferieloven kræver det. Selve ansættelseskontrakten og administrationen af den hviler på kontrakt. Adgangskort, arbejdsmail og itsystemer hviler typisk på legitim interesse, fordi de er nødvendige for driften. Tv-overvågning af arbejdspladsen kræver både legitim interesse og overholdelse af tv-overvågningsloven med skiltning. Kontrolforanstaltninger som logning af medarbejdernes internetbrug kræver desuden varsling efter aftale mellem arbejdsmarkedets parter. Fælles for det hele er, at samtykke sjældent holder. Datatilsynet har flere gange fastslået, at medarbejderes samtykke ikke er frivilligt i forordningens forstand, netop fordi medarbejderen frygter konsekvenserne af at sige nej.

Du kan ikke skifte grundlag undervejs

Grundlaget skal vælges før behandlingen, og det kan ikke udskiftes bagefter, fordi det første viste sig at være besværligt. Det klassiske eksempel er en virksomhed, der indhenter samtykke til nyhedsbrev, og som ved tilbagetrækning forsøger at fortsætte på legitim interesse. Det er ikke lovligt. Vurderer du undervejs, at grundlaget var forkert fra start, skal du stoppe behandlingen, rette grundlaget og oplyse de registrerede om ændringen. Derfor er de ti minutters overvejelse, du bruger på at vælge grundlaget rigtigt fra begyndelsen, den bedst brugte tid i hele forløbet.

Vigtigste punkter

01Artikel 6 rummer seks sidestillede grundlag uden indbyrdes rangorden
02Grundlaget skal vælges før behandlingen og kan ikke skiftes bagefter
03Legitim interesse kræver en skriftlig interesseafvejning i tre trin
04Samtykke er det mest skrøbelige grundlag og passer sjældent til driftsnødvendig behandling
05Grundlaget skal stå i både fortegnelsen og privatlivspolitikken

Tilbage til alle regler