Principen om ändamålsbegränsning

Företag måste ha ett ändamål med behandlingen. Dessutom ska ändamålet vara specifikt. Det måste också vara berättigat, vilket innebär att behandlingen ska vara rättsligt grundad och ske i enlighet med övrig tillämplig lag. Ett annat ord för principen är finalitetsprincipen.

Företag behöver också dokumentera ändamålen skriftligen. Enligt den sista principen ansvarsskyldighet, måste företag kunna visa att de följer GDPR. Därför behöver företag dokumentera ändamålen samt hur länge de ska bli behandlade.

Specifika ändamål innebär att ändamålen inte är för breda, otydliga eller luddiga. Exempelvis är det inte tillräcklig specifikt att ange att personuppgifter blir behandlade ”för framtida forskning”. Det är nämligen viktigt att re registrerade ska kunna bedöma vad en sådan behandling innebär.

Ändamålen fungerar som riktlinjer och ramar för vad företaget får och inte får göra med personuppgifterna och hur länge de får bli lagrade.