En rättslig grund enligt artikel 6 GDPR är ett villkor för att få behandla personuppgifter. Valet måste följa den faktiska behandlingen och kunna förklaras innan den börjar. Det räcker inte att skriva “avtal” för alla kunduppgifter eller “samtycke” för allt som står i en integritetspolicy. Samma verksamhet kan behöva olika grunder för olika ändamål, och varje grund har egna förutsättningar.
Den här guiden hjälper dig att utforma ett motiverat beslut om rättslig grund. Börja med vad behandlingen ska åstadkomma, vilka uppgifter som behövs och vilken relation verksamheten har till personen. Pröva därefter den grund som passar situationen och dokumentera villkoren. Beslutet ska gå att använda i verksamheten: medarbetarna behöver förstå vilken behandling som är tillåten, vilka begränsningar som gäller och när frågan måste tas upp igen.
Beskriv behandlingen innan du väljer grund
Ett systemnamn är inte ett ändamål. Ett kundsystem kan stödja leverans, fakturering, klagomålshantering och marknadsföring. Dela upp dessa användningar tillräckligt tydligt för att bedöma varje behandling. Uppgifter som behövs för bokföring behöver inte samtidigt få användas för en ny reklamkampanj. När allt placeras under en enda rubrik blir det lätt att en grund används som generell motivering utan att dess villkor faktiskt är uppfyllda.
Beskriv också vem uppgifterna gäller. Ett avtal med ett aktiebolag innebär inte automatiskt att behandlingen av en kontaktpersons uppgifter omfattas av avtalsgrunden: den registrerade måste vara part i avtalet för artikel 6.1 b. En annan grund kan vara relevant för kontakten med företagskunden, men den måste bedömas. Små skillnader i partsrelationen kan alltså ändra svaret även när den praktiska tjänsten ser likadan ut.
Kontrollera slutligen vilka uppgifter som verkligen behövs. Att en grund är möjlig betyder inte att alla tänkbara uppgifter får samlas in. Ändamålsbegränsning, uppgiftsminimering, riktighet, lagring och säkerhet gäller parallellt. Använd gärna en fältmatris för uppgiftsminimering när du behöver skilja nödvändiga uppgifter från sådant som bara är bekvämt. Bedömningen av grunden blir mer träffsäker när datamängden och användningen är avgränsade.
De sex grunderna har olika användningsområden
Artikel 6.1 anger samtycke, avtal, rättslig förpliktelse, grundläggande intressen, uppgift av allmänt intresse eller myndighetsutövning samt berättigade intressen. Grunderna är inte en rangordning där samtycke alltid är bäst eller alltid sista utvägen. Det avgörande är vilken grund som faktiskt är tillämplig och om villkoren är uppfyllda. För GDPR:s rättsliga lydelse bör du läsa artikel 6 tillsammans med de övriga relevanta bestämmelserna.
Flera grunder kan vara relevanta i en verksamhet, men en osorterad uppräkning skapar oklarhet. Bestäm och förklara vad varje grund stöder. Kunden ska exempelvis kunna se skillnaden mellan uppgifter som behövs för ett köp och uppgifter som bevaras för en lagstadgad skyldighet efter köpet. En lista med alla sex grunder för samma odelade process visar inte att någon av dem har prövats ordentligt.
Samtycke: ett verkligt och avgränsat val
Samtycke kan fungera när personen har ett fritt val och förstår vad valet omfattar. Det ska vara frivilligt, specifikt, informerat och otvetydigt. Du måste kunna visa att samtycke har lämnats, och det ska vara lika lätt att återkalla som att ge det. Kontrollera därför inte bara formuleringen utan också vad som händer om personen säger nej. En obligatorisk ruta kan inte göra en behandling frivillig.
Beroendeförhållanden behöver särskild uppmärksamhet. En anställd kan uppleva att ett nej påverkar relationen till arbetsgivaren även om formuläret kallas frivilligt. Det innebär att samtycke ofta är problematiskt i sådana sammanhang, inte att en viss teknisk knapp löser frågan. Bedöm de verkliga konsekvenserna och om personen har ett meningsfullt alternativ. De närmare kraven på giltigt samtycke hjälper dig att granska hela förfarandet.
Skilj samtycket från information och avtalsvillkor. Att personen har fått integritetsinformationen betyder inte att hen har samtyckt till behandlingen. Att acceptera ett avtal är inte heller automatiskt ett dataskyddssamtycke. Om olika frivilliga ändamål ska omfattas behöver valen vara tillräckligt specifika. Dokumentera vad personen såg och valde, inte bara att en ruta någon gång varit markerad i ett system.
Avtal: objektiv nödvändighet och rätt person
Artikel 6.1 b gäller behandling som är nödvändig för att fullgöra ett avtal med den registrerade eller för åtgärder på dennes begäran innan ett avtal ingås. Ett leveransföretag kan behöva mottagaruppgifter för att utföra det avtal det har med personen. Däremot omfattas inte all analys eller reklam som företaget vill bedriva runt tjänsten. Nödvändigheten måste bedömas för den aktuella behandlingen och avtalets verkliga innehåll.
IMY:s vägledning om onlinetjänster betonar att det inte räcker att behandlingen nämns i avtalsvillkoren. Före ett avtal måste åtgärden dessutom ske på personens begäran. Ett begärt kostnadsförslag kan därför bedömas annorlunda än en försäljningskontakt som företaget själv tar initiativ till. Kontrollera vilka uppgifter som behövs för just den begärda åtgärden.
När avtalet upphör måste fortsatt behandling bedömas för sitt eget ändamål. Viss information kan behövas för en rättslig förpliktelse eller för rättsliga anspråk, men det förlänger inte alla tidigare användningar. Bestäm sådana grunder och ändamål i tid och informera korrekt. En avslutad kundrelation ska inte automatiskt bli ett permanent aktivt konto med oförändrad profilering bara för att vissa underlag måste sparas.
Rättslig förpliktelse: identifiera den bindande skyldigheten
Artikel 6.1 c förutsätter att behandlingen är nödvändig för en rättslig förpliktelse som den personuppgiftsansvarige omfattas av. Identifiera därför vem skyldigheten gäller och vilket arbete den kräver. En allmän önskan att “följa lagen” är för oprecis. Ange den relevanta bestämmelsen och vilka uppgifter som behövs för att uppfylla den. Om skyldigheten bara omfattar vissa handlingar kan du inte använda den för att behålla hela kundprofilen.
I Sverige preciserar 2 kap. 1 § lagen med kompletterande bestämmelser till GDPR att skyldigheten kan följa av lag eller annan författning, kollektivavtal eller beslut som meddelats med stöd av lag eller annan författning. En egen företagspolicy är inte en sådan källa bara för att ledningen beslutat om den. Kontrollera också om en branschregel verkligen är bindande och tillämplig på den aktuella verksamheten.
Personen kan inte alltid välja bort denna behandling genom att återkalla ett samtycke, eftersom samtycke inte är grunden. Informera ändå tydligt om skyldigheten, lagringstiden eller kriterierna och rättigheterna. Undvik formuleringar som påstår att en rättslig förpliktelse gör alla rättigheter betydelselösa. Tillgång, rättelse och andra tillämpliga rättigheter behöver fortfarande hanteras, med de begränsningar som faktiskt följer av regelverket.
Grundläggande intressen: skydd för människor i allvarliga situationer
Artikel 6.1 d gäller behandling som är nödvändig för att skydda intressen av grundläggande betydelse för den registrerade eller en annan fysisk person. Det är inte ett allmänt stöd för sådant som verksamheten anser viktigt. Ett akut hot mot liv kan vara relevant, men en vanlig ekonomisk fördel eller bekvämlighet passar inte in. Pröva vad situationen kräver och vilka uppgifter som behövs för att hjälpa personen.
Var särskilt noggrann när hälsouppgifter ingår. Artikel 6 är då inte hela prövningen. Om du vill använda undantaget i artikel 9.2 c för grundläggande intressen måste dess villkor vara uppfyllda, inklusive att personen är fysiskt eller rättsligt förhindrad att ge samtycke. Det villkoret hör till den bestämmelsen; det ska inte felaktigt skrivas in som ett identiskt uttryckligt villkor för all behandling enligt artikel 6.1 d.
Allmänt intresse och myndighetsutövning: uppgiften behöver rättsligt stöd
Artikel 6.1 e gäller nödvändig behandling för en uppgift av allmänt intresse eller som ett led i myndighetsutövning som den ansvarige har fått. Det räcker inte att verksamheten själv beskriver projektet som samhällsnyttigt. Stödet måste följa av unionsrätt eller nationell rätt enligt artikel 6.3. Identifiera uppgiften, vem som har den och hur behandlingen bidrar till att genomföra den.
I Sverige anger 2 kap. 2 § dataskyddslagen att uppgiften av allmänt intresse kan följa av lag eller annan författning, kollektivavtal eller beslut med stöd av lag eller annan författning. Myndighetsutövning anges särskilt med krav på stöd i lag eller annan författning. Även en privat aktör kan utföra en rättsligt förankrad uppgift av allmänt intresse. Organisationsformen ensam avgör alltså inte vilken grund som gäller.
Skilj den nödvändiga behandlingen från förbättringsprojekt som ligger utanför uppgiften. Att en organisation utför en offentlig uppgift ger inte automatiskt stöd för varje framtida datakoppling. Beskriv ändamålet och kontrollera både rättsligt stöd och nödvändighet för det nya användningsområdet. Personen ska kunna förstå varför verksamheten behandlar uppgifterna, även när behandlingen inte förutsätter ett frivilligt val.
Berättigat intresse: visa intresse, nödvändighet och avvägning
Artikel 6.1 f kräver ett berättigat intresse, nödvändig behandling för detta intresse och en avvägning mot personens intressen och grundläggande rättigheter och friheter. Särskild hänsyn ska tas när den registrerade är ett barn. Beskriv det konkreta intresset, undersök mindre ingripande alternativ och bedöm bland annat rimliga förväntningar och konsekvenser. Ett affärsintresse kan vara relevant, men är inte ett färdigt godkännande.
En dokumenterad intresseavvägning bör visa vilka skydd som faktiskt begränsar intrånget. Det kan handla om begränsad åtkomst, kortare lagring eller en mindre detaljerad dataset. Skriv också vad som skulle ändra slutsatsen. Om behandlingen senare blir mer omfattande eller uppgifterna används för andra beslut måste avvägningen kunna tas upp igen. En gammal generell motivering följer inte automatiskt med till varje nytt projekt.
Myndigheter får inte använda denna grund när de fullgör sina uppgifter. Dessutom kan särskilda regler för exempelvis kommunikationskanaler kräva samtycke även om en intresseavvägning enligt GDPR skulle vara möjlig. Att direktmarknadsföring nämns i förordningens skäl innebär inte att varje kampanj tillåts. Bedöm kanalregler, datakälla och invändningsrätt separat, så att en allmän motivering inte ersätter konkreta villkor.
Känsliga uppgifter, brottsuppgifter och personnummer
För känsliga personuppgifter enligt artikel 9 behöver du både en grund enligt artikel 6 och ett tillämpligt undantag från förbudet i artikel 9. Dessa frågor ska dokumenteras var för sig. Uppgifter om brott omfattas av artikel 10 och dess särskilda krav. Varken en intresseavvägning eller en avtalsklausul ger ensam rätt att bortse från dessa ytterligare begränsningar.
Sverige har dessutom särskilda regler för personnummer och samordningsnummer. Enligt 3 kap. 10 § dataskyddslagen får de behandlas utan samtycke endast när det är klart motiverat med hänsyn till ändamålet, vikten av säker identifiering eller något annat beaktansvärt skäl. Det är en ytterligare nationell prövning, inte en ersättning för artikel 6. Ett personnummer bör alltså inte bli standardfält enbart därför att programvaran erbjuder det.
Dokumentera ett beslut som går att använda
Spara en begriplig beskrivning av ändamålet, behandlingen, den valda grunden och de avgörande omständigheterna. Vid rättslig förpliktelse behöver källan identifieras; vid avtal behöver nödvändigheten förklaras; vid berättigat intresse behöver avvägningen framgå. Dokumentera även begränsningar och vem som ansvarar för att de genomförs. Ett ord i en rullista ger sällan tillräckligt stöd för medarbetaren som senare måste svara på en fråga.
Koppla gärna underlaget till registerförteckningen. Rättslig grund är inte uttryckligen ett obligatoriskt fält i artikel 30, men en sådan koppling kan hjälpa verksamheten att uppfylla ansvarsskyldigheten. Skilj alltså lagens registerinnehåll från praktiskt användbara kompletteringar. Om behandlingen förändras ska både registerbeskrivningen och bedömningen ses över i den omfattning ändringen kräver.
Involvera dataskyddsombudet när ett sådant finns och frågan berör dess uppgifter, men låt inte rådgivningen dölja vem som fattar verksamhetens beslut. Ett personuppgiftsbiträdesavtal eller annan bindande rättsakt enligt artikel 28 reglerar biträdets behandling; det ger inte i sig den ansvarige en rättslig grund för att samla in uppgifterna. Rollfördelning, rättsligt stöd och skyddsåtgärder måste stämma tillsammans.
Programvara kan underlätta dokumentation och påminnelser, men ger inte en universell juridisk slutsats från några frågor. Vid jämförelse av kostnader för dataskyddsverktyg bör du kontrollera vilket arbete som faktiskt stöds och vem som granskar innehållet. Undvik att blanda ihop en automatiskt föreslagen grund med en godkänd bedömning av er behandling. Det går också att dokumentera beslut på andra lämpliga sätt.
Informera tydligt och hantera rättigheter utifrån rätt villkor
Artiklarna 13 och 14 kräver information om ändamål och rättslig grund. När uppgifter samlas in från personen ska den lämnas vid insamlingen. Vid indirekt insamling gäller en rimlig tid, högst en månad, men information kan behöva lämnas tidigare vid första kommunikation eller första utlämnande. Använd en anpassad integritetspolicy och kontrollera hur informationen når personen. En korrekt intern bedömning ersätter inte informationsplikten.
Grunden påverkar vissa rättigheter, men rättigheterna bör inte beskrivas som en enkel skala från svaga till starka. Dataportabilitet förutsätter bland annat automatiserad behandling på grund av samtycke eller avtal. Invändning enligt artikel 21.1 gäller behandling enligt artikel 6.1 e eller f och personens särskilda situation; direktmarknadsföring har en särskild invändningsregel som kräver att sådan användning upphör. Radering har egna förutsättningar och undantag och är inte begränsad till en enda grund.
Om en begäran inte leder till åtgärd ska personen utan dröjsmål och senast inom en månad få veta varför, samt informeras om möjligheten att klaga hos en tillsynsmyndighet och begära rättslig prövning. Undvik därför automatiska avslag bara för att en viss rättslig grund står i registret. Bedöm begäran, uppgifterna och den tillämpliga rätten. Den interna dokumentationen ska hjälpa till att förklara svaret, inte ersätta den individuella prövningen.
Ändrade omständigheter och byte av grund
Rättslig grund ska inte väljas i efterhand för att rädda en redan otillåten behandling. Om någon återkallar sitt samtycke kan du inte bara märka om samma behandling till berättigat intresse och fortsätta som förut. Samtidigt är påståendet att en grund aldrig kan ändras i någon situation för kategoriskt. Verksamhet, lagstiftning och ändamål kan förändras, vilket kräver en ny bedömning av framtida behandling och korrekt information.
Skilj mellan att ändra grunden för samma behandling och att uppgifter används för flera självständiga ändamål. Ett kundköp kan upphöra samtidigt som vissa bokföringsuppgifter måste sparas med stöd av en rättslig förpliktelse. Det innebär inte att alla kunduppgifter får fortsätta användas. Dokumentera vad som återstår, varför och med vilka begränsningar. Vid ett nytt ändamål behöver även ändamålsbegränsningen bedömas; en ny grund är inte en allmän genväg runt den.
Vanliga frågor
Är samtycke alltid säkrast?
Nej. En grund är lämplig när dess villkor är uppfyllda. Om verksamheten måste behandla uppgifter för en rättslig skyldighet kan ett skenbart frivilligt samtycke bli missvisande. Om en behandling däremot bygger på ett verkligt frivilligt val kan samtycke passa. Bedöm situationen och skapa ett arbetsflöde som kan hantera det val du faktiskt erbjuder personen.
Kan samma kund ha flera rättsliga grunder?
Ja, olika behandlingar av samma persons uppgifter kan ha olika ändamål och grunder. Det ska framgå vilken grund som stöder vilken användning. Skriv inte flera möjliga grunder som reservlösningar utan att bedöma dem. Om personen avslutar en tjänst eller återkallar ett samtycke behöver ni kunna avgränsa just den behandling som påverkas.
Måste vi köpa ett verktyg för att dokumentera valet?
Nej. GDPR föreskriver inte ett visst program för denna bedömning. Välj ett arbetssätt där underlaget är tillgängligt, uppdateras vid relevanta ändringar och går att koppla till verksamhetens faktiska behandling. Tekniken kan stödja ansvarsfördelning och spårbarhet, men bedömningens kvalitet beror på korrekta fakta, rättslig analys och genomförda begränsningar.