Intresseavvägning enligt artikel 6.1 f får bara användas som rättslig grund om tre villkor är uppfyllda samtidigt: organisationen har ett legitimt ändamål, behandlingen är nödvändig för det ändamålet, och organisationens intresse väger tyngre än den registrerades rättigheter och förväntningar. Alla tre stegen måste dokumenteras skriftligt innan behandlingen påbörjas, inte i efterhand när tillsynsmyndigheten redan frågar.
Så här ser prövningen ut i praktiken:
- Ändamålstest – syftet ska vara konkret, lagligt och verkligt, inte en vag formulering som “affärsutveckling”.
- Nödvändighetstest – ingen mindre integritetskränkande metod får uppnå samma resultat.
- Balanstest – organisationens intresse vägs mot den registrerades rimliga förväntningar, ålder och känsligheten i uppgifterna.
Dokumentationen ska enligt IMY:s vägledning kunna visas upp vid tillsyn och bör länkas direkt till registerförteckningen enligt artikel 30.
Viktiga insikter
En korrekt intresseavvägning kräver att ändamål, nödvändighet och balans prövas i tur och ordning, dokumenteras skriftligt före behandlingen och kan visas upp vid tillsyn.
| Punkt | Detaljer |
|---|---|
| Tre villkor måste uppfyllas | Ändamål, nödvändighet och balans ska alla prövas och godkännas innan behandling påbörjas. |
| Dokumentera alternativ | Visa konkret varför mindre integritetskränkande metoder inte uppnår samma syfte. |
| Undvik LIA vid känslig data | Artikel 9-uppgifter, barns data och myndighetsutövning kräver ofta annan rättslig grund. |
| Länka till registerförteckningen | Varje LIA bör kopplas till rätt post i artikel 30-registret med versionshistorik. |
| Automatisera dokumentationen | TrustView samlar mallar, versionshantering och registerkoppling för att göra LIA revisionsbar. |
Innehållsförteckning
- Vad intresseavvägning enligt GDPR faktiskt innebär
- Trestegsprövningen: så testar du ändamål, nödvändighet och balans
- När intresseavvägning inte får eller bör användas
- Så dokumenterar du en LIA som håller vid tillsyn
- Kopplingen mellan intresseavvägning och konsekvensbedömning
- Checklista: genomför och dokumentera en intresseavvägning steg för steg
- Författarperspektiv: vad som faktiskt fäller organisationer vid tillsyn
- TrustView hjälper dig hålla intresseavvägningen dokumenterad och redo för tillsyn
- Källor
Vad intresseavvägning enligt GDPR faktiskt innebär
Artikel 6.1 f tillåter behandling av personuppgifter när den är nödvändig för ett berättigat intresse hos den personuppgiftsansvariga eller en tredje part, förutsatt att intresset inte överskuggas av den registrerades rättigheter. Till skillnad från samtycke kräver grunden inte aktiv medverkan från den registrerade, men den ställer i gengäld högre krav på att du själv kan bevisa att avvägningen är korrekt gjord.
Vanliga användningsområden är bland annat:
- Bedrägeriförebyggande åtgärder och intern säkerhetsövervakning.
- Direktmarknadsföring till befintliga kunder inom ramen för en tidigare affärsrelation.
- Nätverkssäkerhet och loggning för att upptäcka intrångsförsök.
- Koncerninterna administrativa ändamål, exempelvis konsolidering av kunddata.
Om ändamålet i stället kräver aktivt medgivande, till exempel marknadsföring till personer utan tidigare kundrelation, är samtycke rätt grund. Ett avtal med tydliga leveransvillkor bör vila på avtalsgrunden, och lagstadgad rapportering hör hemma under rättslig förpliktelse. Att välja fel grund bara för att intresseavvägningen känns enklare att administrera är ett vanligt fel, och ett som EDPB uttryckligen varnar för.
Trestegsprövningen: så testar du ändamål, nödvändighet och balans
Varje LIA (Legitimate Interest Assessment) ska svara på tre frågor i tur och ordning, och du bör aldrig gå vidare till nästa steg om det föregående faller.
-
Ändamålstest. Formulera intresset så konkret att en utomstående kan förstå exakt vad det handlar om. “Vi vill förbättra kundupplevelsen” är för vagt. “Vi vill upptäcka obehörig kontoåtkomst inom 24 timmar genom inloggningsloggar” är prövningsbart. EDPB:s Guidelines 1/2024 kräver att intresset är lagligt, aktuellt och tillräckligt precist formulerat, inte bara “affärsmässigt rimligt”.
-
Nödvändighetstest. Lista minst två eller tre alternativa metoder och förklara konkret varför de inte fungerar lika bra. Skulle anonymiserad eller aggregerad data räcka? Om svaret är ja, är individdata inte nödvändigt, och grunden faller redan här. Dokumentera de tekniska och organisatoriska skälen till varför alternativen är opraktiska eller otillräckliga, inte bara att de “skulle kosta mer”.
-
Balanstest. Väg organisationens intresse mot den registrerades perspektiv utifrån tre frågor: Skulle en genomsnittlig person bli överraskad av behandlingen? Hur känsliga är uppgifterna? Vilken konkret påverkan får behandlingen på individen, till exempel ekonomisk skada, profilering eller obehag? Ju mer oväntad behandlingen är, desto starkare måste organisationens intresse vara för att väga över.
Proffstips: Skriv balanstestet som om du redan sitter i ett möte med IMY och måste försvara slutsatsen muntligt. Om du inte kan formulera ett rakt svar på “varför är detta rimligt för den registrerade?”, är avvägningen sannolikt inte klar.
När intresseavvägning inte får eller bör användas
Vissa situationer utesluter i praktiken berättigat intresse som grund, oavsett hur välformulerad LIA:n är.
- Känsliga personuppgifter enligt artikel 9 (hälsa, etnicitet, sexuell läggning, politisk uppfattning) kräver som regel ett explicit undantag i artikel 9.2, inte en generell intresseavvägning.
- Barns uppgifter kräver extra försiktighet eftersom barn har svårare att förutse konsekvenserna av behandling. En rimlig förväntan hos en vuxen gäller sällan för ett barn, vilket Internetmedia_i_gdpr.html) lyfter som en central riskfaktor i balanstestet.
- Myndigheter i normal myndighetsutövning får enligt IMY inte använda intresseavvägning som rättslig grund alls.
- Privata aktörer som utför offentliga uppgifter hamnar i en gråzon. Om behandlingen är en del av myndighetsutövning som lagts ut på entreprenad kan en annan rättslig grund krävas, även om utföraren är ett privat bolag.
Så dokumenterar du en LIA som håller vid tillsyn
En intresseavvägning som bara finns i huvudet på en jurist är juridiskt värdelös. Dokumentationen är själva beviset, och den ska kunna visas upp utan att någon behöver rekonstruera resonemanget i efterhand.
En fullständig LIA bör minst innehålla:
- Ändamålsbeskrivning – konkret formulering av vad behandlingen ska uppnå.
- Alternativanalys – vilka mindre ingripande metoder som övervägts och varför de valts bort.
- Balansanalys – bedömning av rimliga förväntningar, känslighet och konsekvenser för den registrerade.
- Beslut och motivering – slutsats om huruvida behandlingen får ske, och på vilka villkor.
- Ansvarig och godkännare – vem som skrivit bedömningen och vem som fattat det formella beslutet.
- Datum för nästa omprövning – ett konkret intervall, inte “vid behov”.
Magnusson framhåller att det inte räcker att bara ange att ett berättigat intresse finns. Bedömningen måste vara strukturerad och sparad så att den kan kopplas till rätt post i registerförteckningen enligt artikel 30. I praktiken innebär det att varje behandlingsaktivitet i registret bör ha en referens eller länk till sin motsvarande LIA, med versionshistorik som visar när bedömningen gjordes och av vem.
Proffstips: Utse alltid en person som skriver förslaget och en annan som godkänner det, även i mindre organisationer. Vid tillsyn är separationen mellan förslagsställare och beslutsfattare ofta det första IMY frågar om.
Kopplingen mellan intresseavvägning och konsekvensbedömning
En LIA som visar hög risk, till exempel omfattande profilering eller övervakning av anställda, ska normalt trigga en konsekvensbedömning (DPIA) enligt artikel 35. Se LIA som ett första filter och DPIA som den fördjupade analysen när riskerna är svårbedömda eller potentiellt allvarliga.
- Om balanstestet visar tveksam eller svag balans till organisationens fördel, är det en stark signal att en DPIA behövs.
- DPIA:n kan i sin tur förändra utfallet av LIA:n genom att identifiera riskreducerande åtgärder som gör balansen mer hållbar.
- Resultatet av DPIA:n ska kopplas tillbaka till det formella beslutet om rättslig grund, inklusive eventuella tekniska skyddsåtgärder som införs som en konsekvens.
Den som vill fördjupa sig i själva DPIA-processen hittar en praktisk genomgång i guiden om konsekvensbedömning enligt GDPR, som går igenom stegen mer i detalj.
Checklista: genomför och dokumentera en intresseavvägning steg för steg
Använd följande ordning varje gång en ny behandling ska motiveras med berättigat intresse:
- Definiera ändamålet konkret och skriftligt, med en mening som en utomstående förstår.
- Identifiera alternativ och dokumentera varför de inte är lika effektiva eller praktiskt genomförbara.
- Bedöm påverkan på den registrerade utifrån känslighet, omfattning och sannolik reaktion.
- Fatta och motivera beslutet, inklusive vem som godkänt det.
- Länka bedömningen till rätt post i registerförteckningen.
- Planera omprövning, till exempel var tolfte månad eller vid ändrat syfte, ny teknik eller lagändring.
Triggers som alltid bör utlösa en ny bedömning är ändrad lagstiftning, nytt användningsområde för samma data eller en incident som visar att risken var högre än beräknat.
Författarperspektiv: vad som faktiskt fäller organisationer vid tillsyn
Det vanligaste misslyckandet ligger inte i balanstestet, utan i nödvändighetstestet. Organisationer nöjer sig med att skriva att en åtgärd är “effektiv” utan att seriöst pröva alternativ som anonymisering. Processstöd och färdiga mallar tvingar fram just den jämförelsen, och central lagring gör att ansvarsskyldigheten faktiskt går att bevisa, inte bara påstå.
TrustView hjälper dig hålla intresseavvägningen dokumenterad och redo för tillsyn
Att hålla en LIA levande, inte bara skriven en gång och sedan bortglömd, är där de flesta organisationer tappar kontrollen. TrustView samlar mallar för intresseavvägning, versionshistorik och direkt länkning till registerförteckningen på samma plats, så att du slipper leta efter rätt dokument i olika mappar och e-posttrådar när tillsynsmyndigheten hör av sig.
Plattformen stödjer hela flödet: du fyller i ändamål, alternativ och balansanalys i en strukturerad mall, kopplar bedömningen till rätt behandlingsaktivitet i registret enligt artikel 30, och får automatiska påminnelser när det är dags för omprövning. Varje ändring loggas, vilket ger ett revisionsspår som går att visa upp direkt vid en tillsyn utan att någon behöver rekonstruera vem som beslutade vad. Vill du se hur det fungerar för din organisations behandlingsaktiviteter, kan du läsa mer om hur TrustView stödjer compliancearbetet och boka en genomgång av plattformen.
Källor
- Intresseavvägning som rättslig grund | IMY
- Guidelines 1/2024 on processing of personal data based on Article 6(1)(f) GDPR | EDPB
- Intresseavvägning enligt GDPR – Magnusson Sverige
This article is general information, not a substitute for advice from a qualified lawyer. Consult a qualified legal professional about your own circumstances before acting on anything here.
