Skillnaden mellan samtycke, berättigat intresse och avtalsnödvändighet

Skillnaden mellan samtycke, berättigat intresse och avtalsnödvändighet

GDPR handlar inte bara om att be användare acceptera cookies. Innan ett företag samlar in eller använder personuppgifter behöver det en rättslig grund för behandlingen. Tre grunder är särskilt lätta att blanda ihop: samtycke, berättigat intresse och avtalsnödvändighet.

Var och en kan vara giltig i rätt sammanhang, men de är inte utbytbara. Om du väljer fel grund kan det påverka den information du ger människor, deras rättigheter och hur din cookiebanner eller plattform för samtyckeshantering beter sig.

---

Vad är en rättslig grund?

GDPR kräver att organisationer har en rättslig grund innan de behandlar personuppgifter. Europeiska dataskyddsstyrelsens översikt listar sex grunder: samtycke, avtal, rättslig förpliktelse, grundläggande intressen, allmänt intresse och berättigade intressen. Välj grunden utifrån syftet med behandlingen, inte efter att uppgifterna redan har samlats in.

---

Samtycke förklarat

Samtycke är ett frivilligt, specifikt, informerat och otvetydigt medgivande till behandling av personuppgifter. ICO:s vägledning om giltigt samtycke förklarar att det kräver en tydlig bekräftande handling.

Samtycke passar ofta där människor har ett verkligt val och verklig kontroll: opt-in för e-postmarknadsföring, valfria analyscookies, marknadsföringscookies, retargetingpixlar, beteendespårning, nyhetsbrev och valfri delning med tredjepartsverktyg för marknadsföring.

Det får inte tvingas fram, döljas i orelaterade villkor, buntas ihop eller antas utifrån tystnad. Förkryssade rutor, vaga formuleringar och ”genom att fortsätta surfa” är inga starka samtyckesmodeller. Det ska också vara lika enkelt att återkalla samtycket som att ge det. CookiePal kan stödja samtyckesbanners, skanning och automatisk cookieblockering när icke-nödvändiga cookies måste vänta på samtycke.

---

Berättigat intresse förklarat

Berättigat intresse kan vara tillämpligt när en organisation har ett genuint legitimt intresse, behandlingen är nödvändig för det ändamålet och den registrerades rättigheter och friheter inte väger tyngre. ICO beskriver en bedömning av berättigade intressen i tre delar: ett ändamålstest, ett nödvändighetstest och ett balanstest.

Beroende på sammanhanget kan det passa för lågriskaktiviteter som bedrägeriförebyggande, webbplatssäkerhet, intern administration, vissa B2B-kommunikationer, begränsad analys eller förebyggande av missbruk. Det är ingen genväg förbi samtycke. Spårningscookies, annonspixlar, retargeting och liknande enhetstekniker kan fortfarande kräva cookiesamtycke även om du anser att du har ett berättigat intresse enligt GDPR. Människor har dessutom rätt att invända.

---

Avtalsnödvändighet förklarat

Avtalsnödvändighet gäller när behandlingen behövs för att fullgöra ett avtal med individen, eller för att vidta specifika åtgärder före ett avtal på individens begäran. ICO:s vägledning om avtal förklarar att behandlingen måste vara genuint nödvändig för att fullgöra avtalet eller den begärda åtgärden.

Exempel är att behandla en leveransadress för att skicka en beställning, betalningsuppgifter för att slutföra ett köp, kontouppgifter som användaren har begärt, servicemeddelanden, bokningsuppgifter eller kontaktuppgifter för att besvara en begärd offert. Grunden ska inte tänjas till att omfatta allmänna affärsmål: ett orderbekräftelsemejl gör inte reklamnyhetsbrev avtalsmässigt nödvändiga, och analyscookies är inte nödvändiga för att någon ska kunna läsa en webbplats.

---

Jämförelse av de tre grunderna

| Rättslig grund | Passar bäst för | Användarens kontroll | | --- | --- | --- | | Samtycke | Frivillig behandling med ett verkligt val | Kan återkalla samtycket | | Berättigat intresse | Nödvändiga, rimliga och balanserade affärsintressen | Kan invända | | Avtalsnödvändighet | Behandling som behövs för ett avtal eller en begärd åtgärd | Knuten till tillhandahållandet av tjänsten |

Om behandlingen är frivillig kan samtycke vara rätt grund. Om den behövs för ett balanserat affärsintresse kan berättigat intresse passa. Om den genuint behövs för att tillhandahålla den begärda tjänsten kan avtalsnödvändighet vara tillämplig.

---

Så påverkar det cookiebanners

Cookiebanners handlar om cookies och liknande tekniker, inte om varje typ av behandling av personuppgifter. Ändå spelar grunden bakom din spårning roll. Strikt nödvändiga cookies kräver kanske inte samtycke, men bör förklaras. Analys-, marknadsförings-, retargeting- och målgruppscookies kräver vanligtvis samtycke innan de körs. Funktionella verktyg som livechatt eller inbäddad video kan också kräva det, beroende på hur de fungerar.

ICO:s vägledning om cookies förklarar att samtycke kan krävas för att lagra eller få åtkomst till information på en enhet om inget undantag gäller.

---

Vanliga misstag att undvika

Att använda berättigat intresse för att samtyckesgraden är låg

Låga acceptansnivåer ändrar inte den rättsliga grunden. Grunden beror på syfte och sammanhang, inte på det resultat ett företag önskar.

Att kalla marknadsföring avtalsmässig

En kund kan behöva ett konto eller ett kvitto, men behöver normalt inte reklammejl eller retargeting för att få tjänsten.

Att be om samtycke när det inte finns något verkligt val

När behandlingen är genuint nödvändig för att tillhandahålla tjänsten kanske samtycke inte är rätt grund.

Att blanda ihop ändamål

Säkerhet, tjänsteleverans, analys, marknadsföring och personalisering är olika ändamål. Slå inte ihop dem i ett vagt påstående.

---

Praktisk checklista

Innan du väljer rättslig grund bör du fråga dig vilka uppgifter du behandlar, det exakta ändamålet, om behandlingen är frivillig eller nödvändig, om cookies är inblandade, om individen har ett verkligt val och rimligen förväntar sig behandlingen, om du kan använda mindre data, vilka rättigheter som gäller och om din integritetspolicy och cookiebanner stämmer med den faktiska lösningen.

---

Slutsats

Samtycke, berättigat intresse och avtalsnödvändighet löser olika problem. Samtycke är till för genuint val, berättigat intresse kräver nödvändighet och en rimlig balans, och avtalsnödvändighet gäller behandling som genuint behövs för att fullgöra ett avtal eller en begärd åtgärd. För cookies, annonsering, analys och marknadsföringsverktyg bör du skilja ändamålen tydligt åt och se till att förklaring, val och webbplatsens beteende stämmer överens.