Berettiget interesse og interesseavveining

Berettiget interesse etter artikkel 6 nr. 1 bokstav f i personvernforordningen er et gyldig behandlingsgrunnlag når tre vilkår er oppfylt samtidig: virksomheten forfølger en berettiget interesse, behandlingen er nødvendig for å oppnå den, og den registrertes interesser og grunnleggende rettigheter går ikke foran. Vilkårene er kumulative — svikter ett, faller grunnlaget bort. Interesseavveiningen må gjøres før behandlingen starter, og den må dokumenteres, fordi ansvarlighetsprinsippet i artikkel 5 nr. 2 legger bevisbyrden på den behandlingsansvarlige.

Denne artikkelen er skrevet for den som skal ta det konkrete valget: personvernombudet, juristen eller produkteieren som må avgjøre om kameraovervåking, svindelkontroll, kundeanalyse eller e-postmarkedsføring kan bygge på bokstav f. Du får den tredelte testen, et format for dokumentasjonen, EU-domstolens nyeste praksis og situasjonene der grunnlaget ikke holder. Personvernforordningen gjelder i Norge gjennom personopplysningsloven og EØS-avtalen, slik at artikkel 6 har samme innhold her som i EU.

Hovedpunkter

• Tre kumulative vilkår: formål, nødvendighet og avveining (artikkel 6 nr. 1 bokstav f).
• Offentlige myndigheter kan ikke bruke grunnlaget for behandling som skjer som ledd i utøvelsen av deres oppgaver — det følger av siste ledd i artikkel 6 nr. 1.
• Den registrertes rimelige forventninger er det tyngste enkeltmomentet i avveiningen (fortalepunkt 47).
• Du må oppgi hvilken berettiget interesse som forfølges, etter artikkel 13 nr. 1 bokstav d eller artikkel 14 nr. 2 bokstav b.
• Den registrerte har rett til å protestere etter artikkel 21 — og ved direkte markedsføring er retten ubetinget.

Hva krever artikkel 6 nr. 1 bokstav f?

Bestemmelsen tillater behandling som «er nødvendig for formål knyttet til de berettigede interessene som forfølges av den behandlingsansvarlige eller en tredjepart, med mindre den registrertes interesser eller grunnleggende rettigheter og friheter går foran og krever vern av personopplysninger, særlig dersom den registrerte er et barn».

Tre forhold er verdt å merke seg. Interessen kan tilhøre en tredjepart — den trenger ikke være virksomhetens egen. Det står nødvendig, ikke «nyttig» eller «hensiktsmessig». Og barn nevnes uttrykkelig som en gruppe der avveiningen sjeldnere faller ut i den behandlingsansvarliges favør.

Bokstav f er likestilt med de fem øvrige grunnlagene i artikkel 6; det finnes ikke noe hierarki. Men det er det eneste grunnlaget der lovligheten avhenger av en vurdering virksomheten selv foretar, og derfor det Datatilsynet har mest å gripe fatt i. Velger du bokstav f, må valget føres på den enkelte behandlingen i behandlingsprotokollen, på samme måte som du ville gjort med samtykke eller avtale.

Den tredelte testen

EU-domstolen slo allerede fast i Rīgas satiksme (C-13/16) at bestemmelsen — den gang artikkel 7 bokstav f i personverndirektivet — inneholder tre kumulative vilkår. Strukturen er uendret under forordningen.

1. Formålstesten: er interessen berettiget? Interessen må være reell, aktuell og lovlig, ikke hypotetisk eller framtidig. Typiske eksempler er nettverks- og informasjonssikkerhet (fortalepunkt 49), svindelforebygging (fortalepunkt 47), intern administrativ utveksling i et konsern (fortalepunkt 48) og fastsettelse eller forsvar av rettskrav. I KNLTB (C-621/22) slo domstolen fast at også en rent kommersiell interesse kan være berettiget, forutsatt at den er lovlig og at de to øvrige vilkårene er oppfylt. Saken gjaldt det nederlandske tennisforbundets utlevering av medlemsopplysninger til sponsorer. Domstolen avviste altså ikke kommersielle formål prinsipielt — men flyttet dermed hele tyngden over på nødvendighets- og avveiningsleddet.

2. Nødvendighetstesten: finnes det en mindre inngripende vei? Kan samme resultat nås med færre opplysninger, med pseudonymiserte data, med kortere lagringstid eller uten profilering, er behandlingen ikke nødvendig i bestemmelsens forstand. Det er her de fleste vurderingene svikter: man beskriver et berettiget formål og hopper rett til avveiningen uten å prøve alternativene. Leddet henger tett sammen med dataminimering og med slettefristene du har fastsatt etter lagringsbegrensningen i artikkel 5.

3. Avveiningen: går den registrertes interesser foran? Her holder du interessen opp mot den konkrete virkningen for den registrerte:

Moment	Taler for behandlingen	Taler mot behandlingen
Opplysningenes art	Kontaktopplysninger i næringssammenheng	Særlige kategorier (art. 9), straffedommer (art. 10), lokasjon
De registrerte	Kunder, egne ansatte	Barn, pasienter, sårbare grupper
Relasjonen	Etablert kundeforhold	Ingen relasjon, opplysninger hentet fra tredjepart
Virkning	Ingen merkbar konsekvens	Profilering, automatiserte avgjørelser, utestengelse
Forventning	Behandlingen er opplagt i sammenhengen	Overraskende bruk av opplysningene
Risikoreduksjon	Pseudonymisering, korte frister, enkel reservasjon	Ubegrenset lagring, videre utlevering

Risikoreduserende tiltak teller med i avveiningen. Derfor henger innebygd personvern og en vurdering etter bokstav f sammen: de tekniske valgene som tas i designfasen, er ofte nettopp det som får avveiningen til å falle ut i din favør.

Kriteriet om rimelige forventninger

Fortalepunkt 47 gjør de rimelige forventningene til kjernespørsmålet: det skal tas nøye hensyn til om den registrerte på innsamlingstidspunktet med rimelighet kan forvente at opplysningene blir behandlet til det aktuelle formålet.

Testen er objektiv. Det avgjørende er ikke om behandlingen er nevnt i personvernerklæringen — det er en informasjonsplikt, ikke et lovlighetsgrunnlag. Det avgjørende er om en alminnelig opplyst person i den aktuelle relasjonen ville regne med behandlingen. En nettbutikkunde forventer at ordredata brukes til å avdekke svindel. Den samme kunden forventer ikke at kjøpshistorikken berikes med opplysninger fra en datamegler og brukes til å målrette annonser på tredjepartsplattformer.

To situasjoner bør alltid utløse et rødt flagg: når opplysningene ikke er samlet inn fra den registrerte selv (artikkel 14-tilfellene), og når behandlingen skjer til formål som ikke var kjent ved innsamlingen.

Slik dokumenterer du interesseavveiningen

En interesseavveining som ikke er skrevet ned, finnes ikke i tilsynssammenheng. Dokumentet — ofte kalt en LIA, legitimate interests assessment — bør være kort, datert og oppdateres når behandlingen endres. Et brukbart format har seks felter:

1. Behandlingen — hva som faktisk skjer, med hvilke opplysninger, om hvem.
2. Interessen — hvem sin interesse, hvorfor den er reell og lovlig, hva som går tapt uten behandlingen.
3. Nødvendigheten — hvilke mindre inngripende alternativer som er vurdert og hvorfor de er forkastet.
4. Virkningen — konsekvensen for den registrerte, herunder forventninger og eventuell profilering.
5. Tiltak — pseudonymisering, tilgangsstyring, slettefrister, reservasjonsmulighet.
6. Konklusjon — hvem som har besluttet, når, og når vurderingen skal gjennomgås på nytt.

Vurderingen knyttes til den aktuelle raden i protokollen. Krever behandlingen i tillegg en personvernkonsekvensvurdering etter artikkel 35, inngår avveiningen direkte i DPIA-en: artikkel 35 nr. 7 bokstav b krever uttrykkelig en vurdering av behandlingens nødvendighet og forholdsmessighet. Skal vurderingene holdes oppdatert på tvers av mange behandlinger, egner arbeidet seg for en samsvarsplattform — se gjennomgangen av GDPR-programvare for norske virksomheter.

Når holder ikke berettiget interesse?

• Offentlige myndigheter i myndighetsutøvelsen. Siste ledd i artikkel 6 nr. 1 stenger grunnlaget. En kommune eller et direktorat må bruke bokstav c eller bokstav e.
• Særlige kategorier alene på bokstav f. Artikkel 9 krever sitt eget unntaksgrunnlag i tillegg til artikkel 6. Bokstav f dekker aldri helseopplysninger, fagforeningsmedlemskap eller biometri i seg selv.
• Informasjonskapsler og liknende teknologi. Lagring av eller tilgang til opplysninger på brukerens terminalutstyr krever som hovedregel samtykke, uavhengig av hvilket artikkel 6-grunnlag den etterfølgende behandlingen har.
• Omfattende profilering uten reelle tiltak. Målrettet annonsering basert på bred profilering av privatpersoner er det tydeligste eksempelet der avveiningen konsekvent svikter.
• Behandling du allerede har innhentet samtykke til. Du kan ikke bytte til bokstav f når samtykket trekkes tilbake. Grunnlaget velges én gang per formål.

Retten til å protestere og direkte markedsføring

Bygger behandlingen på bokstav f, får den registrerte rett til å protestere etter artikkel 21 nr. 1. Protesterer vedkommende, må behandlingen opphøre med mindre du kan påvise tvingende berettigede grunner som går foran den registrertes interesser, rettigheter og friheter, eller behandlingen er nødvendig for å fastsette, gjøre gjeldende eller forsvare rettskrav. Bevisbyrden snus: det holder ikke å vise til den opprinnelige avveiningen — du må argumentere konkret overfor den enkelte.

Ved direkte markedsføring er bildet et annet. Artikkel 21 nr. 2 og 3 gir en ubetinget rett: protesterer den registrerte, skal behandlingen opphøre. Ingen avveining, ingen tvingende grunner, ingen skjønnsmargin. Fortalepunkt 47 anerkjenner at direkte markedsføring kan bygge på berettiget interesse, men grunnlaget er skjørt, siden enhver mottaker kan avslutte det med én melding. I tillegg stiller markedsføringsloven § 15 krav om forhåndssamtykke til elektronisk markedsføring, med et snevert unntak for tilsvarende varer til eksisterende kunder. Begge regelsett må være oppfylt.

Retten til å protestere skal opplyses uttrykkelig og atskilt fra annen informasjon, jf. artikkel 21 nr. 4. En etterkommet protest utløser ofte rett til sletting etter artikkel 17 nr. 1 bokstav c. Klager den registrerte i stedet, er det Datatilsynet som prøver avveiningen din — på grunnlag av det du har skrevet ned.

Til slutt: bokstav f løser ikke overføringsspørsmålet. Sender du opplysningene til en mottaker utenfor EØS, kreves et eget grunnlag etter kapittel V, som er gjennomgått i vår guide til overføring til tredjeland. Det norske rammeverket for øvrig er samlet i vår guide til personvern i Norge.

Ofte stilte spørsmål

Må jeg spørre den registrerte før jeg bruker berettiget interesse?

Nei. Grunnlaget krever ingen forhåndsgodkjenning — da ville det vært samtykke. Men informasjonsplikten gjelder: etter artikkel 13 nr. 1 bokstav d og artikkel 14 nr. 2 bokstav b må du oppgi hvilken berettiget interesse som forfølges. «Våre berettigede interesser» er ikke en tilstrekkelig angivelse.

Kan berettiget interesse brukes til e-postmarkedsføring?

For selve behandlingen av kundeopplysninger kan bokstav f etter omstendighetene brukes overfor eksisterende kunder. Men utsendelsen av elektronisk markedsføring reguleres av markedsføringsloven § 15, som stiller sitt eget krav om forhåndssamtykke. Personvernforordningen og markedsføringsloven gjelder side om side.

Hvor ofte må interesseavveiningen oppdateres?

Det finnes ingen fast frist. Vurderingen må gjennomgås når formålet, datamengden, mottakerne eller teknologien endres, og som et minimum ved den årlige gjennomgangen av behandlingsprotokollen. En avveining fra 2019 om en behandling som senere har fått en profileringskomponent, dokumenterer ingenting.

Er berettiget interesse et svakere grunnlag enn samtykke?

Nei, grunnlagene er likestilte. I praksis er bokstav f ofte det mer robuste valget, fordi det ikke kan trekkes tilbake med ett klikk. Til gjengjeld flyttes ansvaret over på deg: du må kunne forsvare avveiningen og håndtere protester fortløpende.

Konklusjon

Berettiget interesse er ingen snarvei. Det er det eneste behandlingsgrunnlaget der virksomheten selv avgjør lovligheten — og dermed det eneste der dokumentasjonen er grunnlaget. Gå gjennom de tre leddene i rekkefølge, vær ærlig i nødvendighetsvurderingen, ta de rimelige forventningene på alvor, og skriv ned resultatet med dato og ansvarlig. Regelverket finnes i personopplysningsloven med personvernforordningen, Personvernrådet har utgitt retningslinjer om bokstav f, og domstolens praksis i C-13/16 og C-621/22 angir rammen. Er du i tvil om en konkret behandling, er Datatilsynets veiledere utgangspunktet.