Legitim interesse og afvejningstest (art. 6(1)(f))

Legitim interesse efter artikel 6, stk. 1, litra f, i databeskyttelsesforordningen er et gyldigt behandlingsgrundlag, når tre betingelser er opfyldt samtidig: du forfølger en legitim interesse, behandlingen er nødvendig for at forfølge den, og de registreredes interesser og grundlæggende rettigheder vejer ikke tungere end din interesse. Alle tre led er kumulative — falder ét, falder grundlaget. Afvejningen skal foretages, før behandlingen sættes i gang, og den skal dokumenteres, fordi ansvarlighedsprincippet i artikel 5, stk. 2, lægger bevisbyrden hos dig.

Denne guide er skrevet til den, der skal træffe det konkrete valg: DPO’en, den juridiske funktion eller den produktansvarlige, som skal afgøre, om videoovervågning, svindelforebyggelse, kundeanalyse eller e-mailmarkedsføring kan hvile på litra f. Du får den tredelte test, en skabelon til dokumentationen, EU-Domstolens seneste praksis og de situationer, hvor grundlaget ikke holder.

Nøglepunkter

• Tre kumulative betingelser: formål, nødvendighed og afvejning (art. 6, stk. 1, litra f).
• Offentlige myndigheder kan ikke bruge grundlaget for behandling, der sker som led i udførelsen af deres opgaver — det følger udtrykkeligt af sidste led i artikel 6, stk. 1.
• Den registreredes rimelige forventninger er det tungeste enkeltkriterium i afvejningen (præambelbetragtning 47).
• Du skal oplyse, hvilken legitim interesse du forfølger, i din information efter artikel 13, stk. 1, litra d, eller artikel 14, stk. 2, litra b.
• Den registrerede har indsigelsesret efter artikel 21 — og ved direkte markedsføring er den ubetinget.

Hvad kræver artikel 6, stk. 1, litra f?

Bestemmelsen tillader behandling, når den “er nødvendig for, at den dataansvarlige eller en tredjemand kan forfølge en legitim interesse, medmindre den registreredes interesser eller grundlæggende rettigheder og frihedsrettigheder, der kræver beskyttelse af personoplysninger, går forud herfor, navnlig hvis den registrerede er et barn”.

Tre ting er værd at hæfte sig ved. Interessen kan tilhøre en tredjemand — den behøver ikke være din egen. Der står nødvendig, ikke “nyttig”. Og børn nævnes udtrykkeligt som en gruppe, hvor afvejningen sjældnere falder ud til den dataansvarliges fordel.

Litra f er sidestillet med de øvrige fem grundlag i artikel 6 — der er intet hierarki. Men det er det eneste grundlag, hvor lovligheden afhænger af en vurdering, du selv foretager, og derfor det, tilsynsmyndighederne har mest at komme efter. Vælger du litra f, skal valget noteres på den enkelte behandling i din fortegnelse over behandlingsaktiviteter, præcis som du ville gøre med et samtykke eller en kontrakt.

Den tredelte test: formål, nødvendighed og afvejning

EU-Domstolen fastslog allerede i sagen Rīgas satiksme (C-13/16), at bestemmelsen — dengang i databeskyttelsesdirektivets artikel 7, litra f — indeholder tre kumulative betingelser. Strukturen er uændret under forordningen.

1. Formålstesten: er interessen legitim? Interessen skal være reel, aktuel og lovlig — ikke spekulativ eller fremtidig. Klassiske eksempler er netværks- og informationssikkerhed (præambelbetragtning 49), svindelforebyggelse (præambelbetragtning 47), intern administrativ udveksling i en koncern (præambelbetragtning 48) og retsforfølgning af krav. I sagen KNLTB (C-621/22) fastslog Domstolen, at også en rent kommerciel interesse kan være legitim, forudsat at den er lovlig, og at de to øvrige led er opfyldt. Sagen udsprang af, at det nederlandske tennisforbund havde videregivet medlemsoplysninger til sponsorer. Domstolen afviste altså ikke kommercielle formål principielt — men flyttede hele vægten over på nødvendigheds- og afvejningsleddet.

2. Nødvendighedstesten: findes der en mindre indgribende vej? Kan du nå samme resultat med færre oplysninger, med pseudonymiserede data, med en kortere opbevaringsperiode eller uden at profilere, er behandlingen ikke nødvendig i bestemmelsens forstand. Det er her de fleste vurderinger fejler: man beskriver et legitimt formål og springer direkte til afvejningen uden at teste alternativerne. Leddet hænger tæt sammen med dataminimering og med de slettefrister, du har fastsat efter opbevaringsbegrænsningen i artikel 5.

3. Afvejningen: vejer den registreredes interesser tungere? Her holder du din interesse op mod den konkrete påvirkning af den registrerede. Faktorerne er:

Faktor	Trækker mod dig	Trækker mod den registrerede
Oplysningernes karakter	Kontaktdata i erhvervsmæssig sammenhæng	Følsomme oplysninger (art. 9), strafbare forhold (art. 10), lokationsdata
De registrerede	Kunder, egne medarbejdere	Børn, patienter, sårbare grupper
Relationen	Eksisterende kundeforhold	Ingen relation, data indsamlet hos tredjemand
Påvirkning	Ingen mærkbar konsekvens	Profilering, automatiserede afgørelser, udelukkelse
Forventning	Behandlingen er indlysende i konteksten	Overraskende brug af data
Afbødning	Pseudonymisering, korte frister, nem framelding	Ubegrænset opbevaring, videregivelse

Afbødende foranstaltninger tæller med i afvejningen. Det er derfor, databeskyttelse gennem design og en litra f-vurdering hører sammen: de tekniske valg, du træffer i designfasen, er ofte præcis det, der får afvejningen til at falde ud til din fordel.

Kriteriet om rimelige forventninger

Præambelbetragtning 47 gør de rimelige forventninger til det centrale spørgsmål: “Der bør under alle omstændigheder tages omhyggeligt hensyn til, hvorvidt den registrerede på indsamlingstidspunktet og i forbindelse med indsamlingen med rimelighed kan forvente, at der vil ske behandling til dette formål.”

Testen er objektiv. Det afgørende er ikke, om du har skrevet behandlingen ind i din privatlivspolitik — det er en oplysningspligt, ikke et lovlighedsgrundlag. Det afgørende er, om en almindeligt oplyst person i den pågældende relation ville regne med behandlingen. En webshopkunde forventer, at ordredata bruges til at forhindre svindel. Den samme kunde forventer ikke, at købsdata beriges med oplysninger fra en datamægler og bruges til at målrette annoncer på tredjepartsplatforme.

To situationer bør altid udløse et rødt flag: når oplysningerne ikke er indsamlet hos den registrerede selv (art. 14-situationer), og når behandlingen sker på tværs af formål, som ikke var kendt ved indsamlingen.

Sådan dokumenterer du afvejningen

En afvejningstest, der ikke er skrevet ned, eksisterer ikke i tilsynsmæssig forstand. Dokumentet — ofte kaldt en LIA, legitimate interests assessment — bør være kort, dateret og genbesøges, når behandlingen ændrer sig. Et brugbart format har seks felter:

1. Behandlingen — hvad sker der konkret, med hvilke oplysninger, om hvem.
2. Interessen — hvis interesse, hvorfor den er reel og lovlig, hvad der tabes uden behandlingen.
3. Nødvendigheden — hvilke mindre indgribende alternativer der er overvejet og hvorfor de er fravalgt.
4. Påvirkningen — konsekvens for den registrerede, herunder forventninger og eventuel profilering.
5. Afbødning — pseudonymisering, adgangsbegrænsning, slettefrister, frameldingsmekanisme.
6. Konklusion — hvem har besluttet, hvornår, og hvornår skal vurderingen genbesøges.

Vurderingen kobles til den relevante række i fortegnelsen. Kræver behandlingen desuden en konsekvensanalyse efter artikel 35, indgår afvejningen direkte i DPIA’en: artikel 35, stk. 7, litra b, kræver udtrykkeligt en vurdering af nødvendighed og proportionalitet. Skal vurderingerne holdes ajour på tværs af hundredvis af behandlinger, egner arbejdet sig til en compliance-platform — se sammenligningen af GDPR-software til danske virksomheder.

Hvornår holder legitim interesse ikke?

• Offentlige myndigheder i deres myndighedsudøvelse. Artikel 6, stk. 1, sidste led, udelukker grundlaget. En kommune eller styrelse skal bruge litra c eller litra e.
• Følsomme oplysninger alene på litra f. Artikel 9 kræver sit eget undtagelsesgrundlag oveni artikel 6. Litra f dækker aldrig helbredsoplysninger, fagforeningsmedlemskab eller biometri i sig selv.
• Cookies og lignende teknologier. Adgang til oplysninger på brugerens terminaludstyr kræver som hovedregel samtykke, uanset hvilket artikel 6-grundlag den efterfølgende behandling har.
• Væsentlig påvirkning uden reel afbødning. Omfattende profilering af privatpersoner til annoncering er det tydeligste eksempel, hvor afvejningen konsekvent svigter i tilsyns- og domstolspraksis.
• Behandling, du allerede har bedt om samtykke til. Du kan ikke skifte til litra f, når samtykket trækkes tilbage. Grundlaget vælges én gang pr. formål.

Indsigelsesret og direkte markedsføring

Bygger behandlingen på litra f, får den registrerede en indsigelsesret efter artikel 21, stk. 1. Gør vedkommende indsigelse, skal behandlingen ophøre, medmindre du kan påvise vægtige legitime grunde, der går forud for den registreredes interesser, rettigheder og frihedsrettigheder, eller behandlingen er nødvendig for retskrav. Bevisbyrden er vendt om: her er det ikke nok at henvise til din oprindelige afvejning — du skal argumentere konkret over for den enkelte.

Ved direkte markedsføring er billedet et andet. Artikel 21, stk. 2 og 3, giver en ubetinget ret: gør den registrerede indsigelse, skal behandlingen ophøre. Ingen afvejning, ingen vægtige grunde, ingen skønsmargin. Præambelbetragtning 47 anerkender, at direkte markedsføring kan hvile på legitim interesse — men grundlaget er skrøbeligt, fordi enhver modtager kan lukke det ned med én besked. Hertil kommer markedsføringslovens eget krav om forudgående samtykke til elektronisk markedsføring, som gælder uafhængigt af GDPR.

Indsigelsesretten skal nævnes udtrykkeligt og adskilt i din information til den registrerede, jf. artikel 21, stk. 4. En imødekommet indsigelse udløser ofte en ret til sletning efter artikel 17, stk. 1, litra c. Klager den registrerede i stedet, er det Datatilsynet, der vurderer din afvejning — på grundlag af det, du har skrevet ned.

Endelig løser litra f ikke overførselsspørgsmålet: sender du oplysningerne til en modtager uden for EU/EØS, kræver det sit eget grundlag efter kapitel V, som er gennemgået i vores guide til overførsel til tredjelande. Samspillet med de danske særregler er samlet i vores guide til databeskyttelse i Danmark.

Ofte stillede spørgsmål

Skal jeg spørge den registrerede, før jeg bruger legitim interesse?

Nej. Grundlaget kræver ingen forhåndsgodkendelse — det ville gøre det til samtykke. Men du har oplysningspligt: efter artikel 13, stk. 1, litra d, og artikel 14, stk. 2, litra b, skal du oplyse, hvilken legitim interesse du forfølger. “Vores legitime interesse” er ikke en tilstrækkelig angivelse.

Kan jeg bruge legitim interesse til e-mailmarkedsføring?

Til selve behandlingen af kundedata kan litra f efter omstændighederne bruges over for eksisterende kunder. Men udsendelsen af elektronisk markedsføring er reguleret af markedsføringsloven, som stiller sit eget krav om forudgående samtykke med en snæver undtagelse for lignende produkter til egne kunder. De to regelsæt skal begge være opfyldt.

Hvor ofte skal afvejningen opdateres?

Der er ingen fast frist. Vurderingen skal genbesøges, når formålet, datamængden, modtagerne eller teknologien ændrer sig — og som minimum ved den årlige gennemgang af fortegnelsen. En LIA fra 2019 om en behandling, der siden har fået en profileringskomponent, er ikke længere dokumentation for noget.

Er legitim interesse et svagere grundlag end samtykke?

Nej, grundlagene er sidestillet. I praksis er litra f ofte det mere robuste valg, fordi det ikke kan trækkes tilbage med ét klik. Til gengæld flytter det ansvaret over på dig: du skal kunne forsvare afvejningen, og du skal kunne håndtere indsigelser løbende.

Konklusion

Legitim interesse er ikke en genvej. Det er det eneste behandlingsgrundlag, hvor du selv afgør lovligheden — og derfor det eneste, hvor dokumentationen er grundlaget. Gennemfør de tre led i rækkefølge, vær ærlig i nødvendighedsleddet, tag de rimelige forventninger alvorligt, og skriv resultatet ned med dato og ansvarlig. Retsgrundlaget findes i artikel 6 i databeskyttelsesforordningen, og Det Europæiske Databeskyttelsesråd har udsendt retningslinjer om litra f, som bør læses sammen med Domstolens praksis i C-13/16 og C-621/22. Er du i tvivl om afvejningen for en konkret behandling, er Datatilsynets vejledninger udgangspunktet.