De 6 behandlingsgrunnlagene i GDPR art. 6, forklart med eksempler

Før dere kan behandle en eneste personopplysning, må dere kunne peke på hvorfor dere har lov til det. Det kalles et behandlingsgrunnlag, og det finnes seks av dem i personvernforordningen (GDPR) artikkel 6. De fleste virksomheter bruker flere av dem samtidig, ett for hver type behandling dere gjør, ikke ett felles grunnlag for hele virksomheten.

Her er de seks, med eksempler på når hvert av dem passer.

Samtykke

Den registrerte har aktivt sagt ja til at dere kan behandle opplysningene deres, til et konkret formål. Samtykke skal være frivillig, spesifikt og like lett å trekke tilbake som å gi. Eksempel: en nyhetsbrevpåmelding, eller at en forelder samtykker til at bilder av barnet publiseres på skolens nettside. Samtykke er ofte det første folk tenker på, men det er også det mest sårbare grunnlaget, fordi det når som helst kan trekkes tilbake.

Avtale med den registrerte

Behandlingen er nødvendig for å oppfylle en avtale den registrerte selv er part i, eller for å inngå en avtale på deres forespørsel. Eksempel: dere må registrere navn og adresse til en kunde for å kunne levere en vare de har bestilt, eller føre en ansattes lønnsopplysninger for å oppfylle arbeidsavtalen.

Rettslig forpliktelse

Dere behandler opplysningene fordi loven pålegger dere det, uavhengig av om den registrerte ønsker det eller ikke. Eksempel: bokføringsloven krever at dere oppbevarer regnskapsbilag i flere år, eller arbeidsmiljøloven krever at dere fører visse opplysninger om ansatte.

Liv og helse

Behandlingen er nødvendig for å beskytte grunnleggende interesser til en person, typisk i en nødssituasjon der personen ikke selv kan samtykke. Eksempel: å dele helseopplysninger med et sykehus fordi noen har fått akutt illebefinnende. Dette grunnlaget er ment for unntakstilfeller, ikke for ordinær drift.

Myndighetsutøvelse

Behandlingen er nødvendig for å utføre en oppgave i allmennhetens interesse, eller som ledd i offentlig myndighetsutøvelse. Dette grunnlaget er mest aktuelt for kommuner, fylkeskommuner og andre offentlige virksomheter. Eksempel: en kommune behandler opplysninger om innbyggere for å saksbehandle en søknad om barnehageplass eller sosialhjelp, fordi det er en lovpålagt offentlig oppgave.

Interesseavveining (berettiget interesse)

Dere har en berettiget interesse i å behandle opplysningene, og denne interessen veier tyngre enn den registrertes personverninteresser. Eksempel: å bruke besøksstatistikk på egen nettside for å forbedre tjenesten, eller å behandle kontaktopplysninger til en tidligere kunde for å sende relevant informasjon om et lignende produkt. Dette grunnlaget kan ikke brukes av offentlige myndigheter når behandlingen skjer som ledd i myndighetsutøvelse, og det krever en egen, dokumentert vurdering av om interessen deres faktisk veier tyngst. Det er tema for et eget innlegg.

Hvordan velger dere riktig grunnlag?

Still dere selv ett spørsmål for hver behandling: hvorfor har vi egentlig lov til å gjøre dette? Svaret peker som regel mot ett av de seks. Er dere fortsatt usikre, er det ofte et tegn på at behandlingen bør kartlegges nærmere, ikke at dere bør velge samtykke fordi det virker tryggest. Feil valgt grunnlag er en av de vanligste manglene ved en behandlingsoversikt, og det er nettopp derfor det er et eget, obligatorisk spørsmål der.

I Personvernkompasset må dere velge ett av disse seks for hver behandling dere registrerer i behandlingsoversikten. Er dere usikre på hvilket som passer, er det som regel et godt tegn på at det er verdt å bruke noen minutter ekstra på å tenke gjennom det, før dere går videre.