När jag föreläser om GDPR är det många som ställer frågor kring samtycke. Anledningen till detta är att insamlingen av samtycken ofta är ganska omständig – man behöver formulera hur, vad och varför, hitta ett lämpligt tillvägagångssätt att inhämta samtycket och därtill hitta ett sätt att dokumentera exakt vad varje person har samtyckt till. Vill man vara på den säkra sidan är samtycke visserligen bra, men ibland glömmer man bort att det faktiskt finns andra rättsliga grunder att överväga.
Intresseavvägning framställs lite som GDPR:s slasktratt, och exakt hur den kommer att få användas är fortfarande oklart. Jag tycker emellertid inte att den bör avskrivas, utan rekommenderar faktiskt att man överväger den innan man överväger någon annan rättslig grund. Detta eftersom den är pragmatisk utan att för den skull innebära att personuppgifter behöver hanteras på ett otillfredsställande sätt. Ifall man tillämpar uppgiftsminimering och lagringsminimering, inte hanterar känsliga personuppgifter och tydligt kommunicerar sin integritetspolicy är min tolkning att intresseavvägning bör räcka tämligen långt.
Artikel 6 (f) säger följande om när intresseavvägning får användas:
Behandlingen är nödvändig för ändamål som rör den personuppgiftsansvariges eller tredje parts berättigade intressen, om inte den registrerades intressen eller grundläggande rättigheter och friheter väger tyngre och kräver skydd av personuppgifter, särskilt när den registrerade är ett barn
som ett tillägg anges sedan att intresseavvägning inte
…ska gälla för behandling som utförs av offentliga myndigheter när de fullgör sina uppgifter.
Relativt mycket bör kunna falla in under ovanstående skrivelse, exempelvis så finns det angivet i skäl 47 att ett berättigat intresse kan föreligga vid ett relevant och lämpligt förhållande mellan den registrerade och den personuppgiftsansvarige där registrerade är kund hos eller arbetar för den personuppgiftsansvarige. Som ett exempel anger man att direktmarknadsföring kan betraktas som ett berättigat intresse, och om direktmarknadsföring anses vara ok tolkar jag det som att även en rad andra behandlingar torde vara det.
Skrivelsen som säger att berättigat intresse inte får användas av myndigheter vid fullgörandet av myndighetens uppgifter är också väldigt intressant – då det bör kunna förekomma personuppgiftsbehandling som kanske inte är en del av myndighetens ordinarie uppgifter – men som man ändå anser sig ha ett behov av? Är ”myndighetens uppgifter” att betrakta som myndighetens kärnverksamhet, medan i så fall viss behandling rörande exempelvis anställda skulle kunna få hanteras som ett berättigat intresse? Borde man inte annars ha uttryckt sig kort och gott med: ”ska inte gälla för behandling hos offentliga myndigheter”?
Så innan din organisation påbörjar ett omfattande arbete med att samla in samtycken och kanske till och med köper in ett systemstöd för att administrera samtycken – överväg om inte intresseavvägning kan vara en gyllene medelväg!
