Bedömning av berättigat intresse (LIA)
I vissa fall behöver ett företag genomföra en bedömning av berättigat intresse (LIA) innan de utför en behandling av personuppgifter.
LIA
Intresseavvägning är en av sex (6) rättsliga grunder enligt GDPR som en behandling av personuppgifter kan bli baserad på. Företag måste alltid ha en rättslig grund för varje enskild behandling av personuppgifter. Utan rättslig grund för en behandling, är behandlingen i fråga otillåten.
Intresseavvägning som rättslig grund handlar om att ställa företagets intresse till att genomföra behandlingen, gentemot de registrerades intressen till sin rätt till integritet och privatliv. De intressen som företaget motiverar till behandlingen får inte vara vaga, spekulativa eller inte tillräckliga för att motivera behandlingen. Därför är det viktigt att vara tydlig med varför personuppgifterna blir insamlade och säkerställa att de inte blir använda för något annat ändamål.
För att få behandla personuppgifter efter en intresseavvägning, är det ett krav att behandlingen ska vara nödvändig för ett ändamål som rör ett berättigat intresse. Dessutom får den registrerades intresse av skydd för sina personuppgifter inte väga tyngre.
Det är viktigt att företaget i sin bedömning av det berättigade intresset också väger in vad den registrerade personen rimligen kan förvänta sig av företaget.
Om det är möjligt att uppnå samma resultat med behandlingen på ett annat sätt som är mindre integritetskänsligt, är det dock inte tillåtet att stödja behandlingen på en intresseavvägning.
Något som kan vara bra att känna till är att myndigheter inte får basera en behandling av personuppgifter på den rättsliga grunden intresseavvägning. Detta beror på att myndigheter enbart får behandla personuppgifter med stöd av lag.
Utlämning av personuppgifter till tredje man med stöd i intresseavvägning som rättslig grund
Om företaget anser att företaget eller annan tredje part har ett berättigat intresse till behandlingen, kan personuppgifter få bli behandlade med stöd i intresseavvägning som rättslig grund. Detta gäller dock under förutsättning att den registrerades intresse av skydd för sina personuppgifter inte väger tyngre.
Det är möjligt för ett företag att lämna personuppgifter till tredje man, om den tredje mannen har ett berättigat intressen. Det är dock viktigt att företaget tar reda på viss information innan personuppgifterna blir utlämnade till en tredje man, exempelvis följande information:
– varför den tredje mannen vill ha personuppgifterna
– om den tredje mannen verkligen behöver personuppgifterna
– vad den tredje mannen ska använda personuppgifterna till.
Företaget som utlämnar personuppgifterna till tredje man måste kunna visa att utlämnandet är motiverat. Däremot är det den tredje mannen som är ansvarig för att i sin tur bestämma vilken rättslig grund de stödjer sin egen behandling på.
Exempel på berättigat intresse
Enligt GDPR kan behandling av personuppgifter för direktmarknadsföring vara att betrakta som ett berättigat intresse.
Behandling av personuppgifter som är absolut nödvändig för att ett företag ska förhindra bedrägerier, är betraktat som ett berättigat intresse.
En koncern som består av flera personuppgiftsansvariga enheter kan ha ett berättigat intresse av att överföra personuppgifter inom koncernen för interna administrativa ändamål, exempelvis avseende handling av medarbetares eller kunders personuppgifter. Det skulle kunna vara för att effektivisera personaladministrationen eller kundtjänsten.
Dokumentera bedömningen av det berättigade intresset
Företaget ska dokumentera hur bedömningen av det berättigade intresset har gått till och sina beslut kring ärendet. Detta är viktigt för att företaget ska kunna visa efterlevnad av principen om ansvarsskyldighet.
