GDPR artikkel 6: slik velger du riktig behandlingsgrunnlag

De seks behandlingsgrunnlagene i artikkel 6

Artikkel 6 nr. 1 inneholder seks alternative vilkår, ofte kalt behandlingsgrunnlag eller rettslig grunnlag. De er samtykke (bokstav a), avtale med den registrerte (bokstav b), rettslig plikt (bokstav c), vitale interesser (bokstav d), oppgave i allmennhetens interesse eller offentlig myndighetsutøvelse (bokstav e) og berettiget interesse (bokstav f). Minst ett av dem må være oppfylt for at behandlingen skal være lovlig. Det er ikke nok å mene det, du må kunne begrunne det.

I en liten virksomhet dekker bokstav b og c det meste av det som skjer i det daglige. Du kan behandle navn, adresse og betalingsinformasjon for å levere en bestilling, fordi det er nødvendig for å oppfylle avtalen med kunden. Regnskaps- og bokføringsplikt gjør at du også kan lagre opplysningene etter at ordren er levert, fordi en rettslig plikt krever det. Bokstav a brukes når du vil noe mer enn avtalen dekker, for eksempel å sende nyhetsbrev til noen som ikke er kunde.

Bokstav d, vitale interesser, er forbeholdt situasjoner der det står om liv og helse og samtykke ikke kan innhentes. Bokstav e gjelder typisk offentlige virksomheter som utfører oppgaver de er pålagt, eller private som gjør det på vegne av det offentlige. Bokstav f brukes når du har en legitim interesse som veier tyngre enn personvernulempen, for eksempel å hindre misbruk av nettsiden.

Et viktig poeng: grunnlaget knytter seg til formålet, ikke til systemet. Én og samme kunde kan være omfattet av flere grunnlag samtidig, avhengig av hva du gjør med opplysningene. Begrepene «personopplysning» og «den registrerte» er definert i GDPR artikkel 4 om definisjoner og personopplysninger, og det er verdt å ha dem klare før du begynner å kartlegge.

Slik velger du grunnlag for hver behandling

Begynn med formålet, ikke med verktøyet. Skriv ned i klartekst hva du bruker opplysningene til: levere varen, svare på en henvendelse, sende tilbud, følge opp en reklamasjon, sende markedsføring. Hvert formål behandles for seg, og hvert formål skal ha sitt eget grunnlag.

Test deretter grunnlagene i en fast rekkefølge. Kan du oppfylle formålet fordi det er nødvendig for en avtale? Er det en lovpålagt plikt? Deretter vurderer du samtykke eller berettiget interesse. Å velge samtykke der avtale eller rettslig plikt allerede gjelder, gir deg mer arbeid enn nødvendig, fordi samtykke kan trekkes tilbake.

Et enkelt hjelpemiddel er en tabell med én rad per behandling: formål, grunnlag, hvilke opplysninger som inngår, hvor lenge de lagres (se GDPR og arkivering: hva du kan ta vare på, og hva du må slette), og hvem som mottar dem. Den tabellen er også det du trenger når personvernerklæringen skal oppdateres og når en kunde spør.

Berettiget interesse krever en reell avveining

Berettiget interesse etter bokstav f er det grunnlaget som oftest brukes feil. Vilkåret har tre ledd som alle må være oppfylt. Du må ha en interesse som er legitim og reell, behandlingen må være nødvendig for å ivareta den, og interessen må veie tyngre enn hensynet til den registrertes rettigheter.

Interesser som ofte godtas, er å hindre misbruk og svindel, å holde systemer sikre og å følge opp et kundeforhold. Interessen blir svakere jo mer inngripende behandlingen er, og jo mer uventet den er for den det gjelder. Å bruke bokstav f som standardsvar fordi det er lettvint, holder ikke i en kontroll.

Det finnes også en innebygget begrensning i artikkel 6 nr. 1: offentlige virksomheter kan ikke bruke berettiget interesse som grunnlag når de utøver offentlig myndighet. Begrensningen gjelder ikke når samme virksomhet opptrer som arbeidsgiver, ifølge Digdirs veiledning.

Skriv ned avveiningen mens du husker den. Hvilke opplysninger, hvilken interesse, hvilke alternativer du hadde, og hva du konkluderte med. Korte notater er nok, men de må finnes. Om noen måneder husker ingen hvorfor valget ble tatt.

Samtykke er et grunnlag med vilkår

Samtykke skal være frivillig, spesifikt, informert og utvetydig. Det betyr at det må knyttes til et bestemt formål, at den det gjelder må vite hva de samtykker til, og at det ikke kan gjemmes bort i vilkår ingen leser.

Det skal være like enkelt å trekke samtykket tilbake som å gi det. I praksis betyr det en synlig måte å melde fra på, og at du faktisk slutter å behandle opplysningene når det skjer.

For informasjonskapsler og sporing på nettsiden gjelder i tillegg egne regler om samtykke. Informasjonskapsler på nettsiden: dette sier reglene går gjennom hva som må være på plass før du setter i gang.

Når artikkel 6 ikke er nok

Noen ganger er artikkel 6 bare første hinder. Behandler du særlige kategorier av opplysninger, som helseopplysninger, må du i tillegg ha et unntak etter artikkel 9 nr. 2. GDPR artikkel 9: særlige kategorier av personopplysninger viser hvilke unntak som finnes. Opplysninger om straffedommer og lovovertredelser reguleres etter artikkel 10.

Bruker du leverandører som behandler opplysninger på dine vegne, kreves en databehandleravtale etter artikkel 28. Se GDPR artikkel 28 og databehandleravtale: hva kreves?. En slik avtale erstatter ikke behandlingsgrunnlaget ditt, den kommer i tillegg.

Skal opplysningene brukes til et annet formål enn de ble samlet inn for, må du vurdere om det nye formålet er forenlig med det opprinnelige, jf. artikkel 6 nr. 4 og formålsbegrensningen i artikkel 5. Behandlinger med høy risiko krever i tillegg en konsekvensvurdering, se GDPR artikkel 35: når trenger du konsekvensvurdering?.

Dokumentasjon og vanlige feil

Du bør til enhver tid kunne vise skriftlig hvilket grunnlag hver behandling bygger på. Det er dette tilsynsmyndigheten spør om først, og det er også det som gjør at du kan svare raskt når en kunde spør.

De vanligste feilene vi ser: ett behandlingsgrunnlag valgt for hele virksomheten, samtykke brukt der avtale allerede gjelder, berettiget interesse uten dokumentert avveining, og grunnlag som aldri er oppdatert etter at et nytt system ble tatt i bruk.

Personvernerklæringen bør henge sammen med det du faktisk gjør på nettsiden. Nettsaga bygger nettsider der struktur, skjemaer og personverninformasjon henger sammen fra start, se nettside. Vil du se hvordan det ser ut i praksis, kan du book en demo.

Vanlige spørsmål

Hva er behandlingsgrunnlag etter GDPR artikkel 6?

Det er det rettslige vilkåret som gjør at du har lov til å behandle personopplysninger. Artikkel 6 nr. 1 lister seks alternativer: samtykke, avtale, rettslig plikt, vitale interesser, allmennhetens interesse eller offentlig myndighetsutøvelse, og berettiget interesse. Minst ett må være oppfylt for hvert formål.

Kan vi bruke berettiget interesse til alt?

Nei. Du må ha en reell og legitim interesse, behandlingen må være nødvendig, og interessen må veie tyngre enn personvernet til den det gjelder. Offentlige virksomheter kan ikke bruke grunnlaget når de utøver offentlig myndighet.

Kan vi ha flere behandlingsgrunnlag samtidig?

Ja. Ulike formål kan ha ulike grunnlag, og det er grunnlaget per formål som teller. Du bør likevel kunne si hvilket grunnlag som gjelder for hva, og dokumentere det.

Må vi ha samtykke for å lagre kundeopplysninger?

Som regel ikke. Trenger du opplysningene for å levere det kunden har bestilt, er avtale grunnlaget. Samtykke er først og fremst aktuelt når du vil bruke opplysningene til noe kunden ikke kan forvente ut fra avtalen.

Hva skjer hvis vi mangler behandlingsgrunnlag?

Da er behandlingen ulovlig, og du må enten stanse den eller finne et grunnlag som faktisk passer for formålet. Du kan ikke uten videre reparere i ettertid med et grunnlag som ikke var oppfylt da behandlingen startet.