Intresseavvägning enligt GDPR – så dokumenterar du berättigat intresse

Kort svar: Intresseavvägning enligt GDPR artikel 6.1 f kan användas när det finns ett berättigat intresse, behandlingen är nödvändig för att uppnå intresset och den registrerades intressen eller grundläggande rättigheter inte väger tyngre. Bedömningen bör dokumenteras innan behandlingen startar.

Vad är en intresseavvägning?

Intresseavvägning är en av GDPR:s rättsliga grunder. Den används ofta i privata verksamheter när behandling inte lämpligen bygger på avtal, rättslig förpliktelse eller samtycke. Det är däremot inte en generell reservgrund. Verksamheten måste kunna visa varför just denna behandling klarar testet.

Trestegstestet i en LIA

1. Finns ett berättigat intresse?

Beskriv det konkreta intresset och vem som har det. Det kan exempelvis handla om att förebygga bedrägerier, upprätthålla nätverks- och informationssäkerhet eller bedriva viss direktmarknadsföring.

2. Är behandlingen nödvändig?

Fråga om ändamålet kan uppnås på ett mindre integritetsingripande sätt. Om samma resultat kan nås med mindre data, kortare lagring eller anonymiserade uppgifter bör det vägas in.

3. Vems intressen väger tyngst?

Bedöm uppgifternas karaktär, relationen till den registrerade, rimliga förväntningar, omfattning, skyddsåtgärder och möjliga konsekvenser. Barn och andra sårbara grupper kräver särskild försiktighet.

Vad bör dokumentationen innehålla?

• ändamål och beskrivet berättigat intresse
• vilka personuppgifter och registrerade som berörs
• nödvändighetsbedömning och möjliga alternativ
• balansering av verksamhetens och den registrerades intressen
• skyddsåtgärder, lagringstid och åtkomstbegränsningar
• information om invändningsrätt och hur invändningar hanteras
• beslut, ansvarig och datum för omprövning

Direktmarknadsföring och invändning

Direktmarknadsföring nämns ofta i sammanhanget berättigat intresse, men det innebär inte att all marknadsföring automatiskt är tillåten. Även andra regler kan vara relevanta, och om en person invänder mot behandling för direktmarknadsföring ska den behandlingen upphöra.

När räcker inte en LIA?

En intresseavvägning ersätter inte en DPIA när behandlingen sannolikt leder till hög risk. Den ersätter inte heller kraven på information, dataminimering, lagringsbegränsning, säkerhet och övriga GDPR-principer.

Vanliga misstag

• att beskriva intresset för abstrakt, exempelvis bara ”affärsnytta”
• att hoppa över nödvändighetsbedömningen
• att anta att kundrelation automatiskt betyder att den registrerade ska förvänta sig behandlingen
• att inte dokumentera skyddsåtgärder
• att aldrig ompröva en gammal bedömning när behandlingen förändras

Se Mallbutikens mallpaket för intresseavvägning / LIA.

FAQ

Är samtycke alltid bättre än intresseavvägning?

Nej. Rättslig grund ska väljas utifrån den faktiska behandlingen. Samtycke har särskilda krav och ska bland annat vara frivilligt och kunna återkallas.

Kan myndigheter använda artikel 6.1 f?

Inte när myndigheten behandlar personuppgifter som ett led i fullgörandet av sina uppgifter. För privata aktörer kan artikel 6.1 f däremot vara relevant om villkoren är uppfyllda.

Hur ofta bör en LIA ses över?

Det finns ingen enkel universell tidsperiod. Om ändamål, datamängd, teknik, mottagare eller riskbild förändras bör bedömningen omprövas.

Officiell vägledning: IMY och Europeiska dataskyddsstyrelsen har vägledning om artikel 6.1 f och de tre kriterierna i intresseavvägningen.

Artikeln är generell information och ersätter inte juridisk rådgivning.