Hvad er legitim interesse? Art. 6(1)(f) GDPR for B2B-markedsføring

Legitim interesse — Art. 6(1)(f) GDPR — er det mest nyttige og samtidig det mest misforståede retsgrundlag i forordningen. Marketingfolk tyr til det, fordi det ikke kræver et samtykkebanner; tilsynsmyndigheder gransker det, fordi det ikke må blive en fribillet til hvad som helst. Denne artikel guider dig igennem, hvad artiklen faktisk siger, den tre-trins test som myndighederne forventer du udfører, et konkret eksempel på identifikation af virksomhedsbesøg, og hvor grænserne går.

Hvad Art. 6(1)(f) rent faktisk siger

Artiklen tillader behandling af personoplysninger, når det er "nødvendigt for, at den dataansvarlige eller en tredjemand kan forfølge en legitim interesse, medmindre den registreredes interesser eller grundlæggende rettigheder og frihedsrettigheder [...] går forud herfor". To ord bærer det meste af vægten — "nødvendigt" og "går forud" — og den tredje søjle er uskreven, men forventet: Din legitime interesse skal i sig selv være lovlig. Hvis et af de tre punkter fejler, bortfalder retsgrundlaget.

Tilsynsmyndigheden beslutter det ikke for dig. Du udfører analysen, du dokumenterer analysen, og hvis du bliver udfordret, fremviser du analysen. Der er ingen anmeldelse, registrering eller godkendelse — men der er heller intet forsvar, hvis afvejningen ikke rent faktisk er blevet foretaget.

Den tre-trins afvejningstest

De europæiske databeskyttelsesmyndigheder er enige om den samme tre-trins ramme, ofte kaldet en LIA (Legitimate Interests Assessment). Hvert trin skal bestås.

1. Formålstest — er interessen lovlig, specifik og reel? En generisk "vi vil gerne sælge mere" duer ikke. "Identificering af virksomheder, der besøger vores B2B-website, for at kunne kontakte den rette beslutningstager med relevant information" gør derimod.
2. Nødvendighedstest — er behandlingen den mindst indgribende måde at opnå formålet på? Hvis en mindre indgribende metode virker (aggregeret analyse, opt-in nyhedsbrev, en formular), bør denne foretrækkes. Nødvendighed betyder, at du ikke med rimelighed kan gøre det på en anden måde.
3. Afvejningstest — går den registreredes interesser, rettigheder og frihedsrettigheder forud for dine? Overvej deres rimelige forventninger, dataens karakter, følsomhed, konteksten de blev indsamlet i, og hvilke sikkerhedsforanstaltninger du anvender.

Konkret eksempel: identifikation af besøgende på virksomhedsniveau

Antag, at en B2B SaaS-virksomhed, der opererer i EU, ønsker at identificere organisationerne bag besøgene på sit website — identifikation på virksomhedsniveau, ingen cookies, ingen personhenførbare identifikatorer. Her er hvordan en forsvarlig LIA ser ud, trin for trin.

Trin 1 — Formål

Formålet er at identificere virksomheder, der aktivt undersøger en B2B-service, for at kunne sende dem relevant, målrettet information (en personlig e-mail, en case-story eller en invitation til et kort møde). Formålet er lovligt, specifikt og reelt. Det er ikke dataindsamling "for en sikkerheds skyld".

Trin 2 — Nødvendighed

Kan formålet opnås mindre indgribende? Aggregeret analyse svarer på "hvor mange?", men ikke "hvem?" — det kan ikke opfylde formålet. Et generisk nyhedsbrev når selvvalgte abonnenter, men ikke de virksomheder, der researcher lige nu. En formular fanger kun den lille brøkdel af besøgende, der frivilligt giver deres oplysninger. Virksomhedsidentifikation, som slår IP'en op mod en organisation uden at røre en personlig identifikator, er et proportionalt og nødvendigt middel til det angivne formål.

Trin 3 — Afvejning

Rimelige forventninger: Erhvervsdrivende, der besøger en B2B-tjenestes hjemmeside i arbejdstiden, forventer generelt, at operatøren ved, at en virksomhed (ikke nødvendigvis et individ) har besøgt dem. Dataens karakter: Den identificerede enhed er en juridisk person (en organisation), ikke en fysisk person. Følsomhed: Ingen særlige kategorier af data er involveret. Kontekst: Data blev indsamlet på den dataansvarliges eget website som led i almindelig forretningsdrift. Sikkerhedsforanstaltninger: Ingen cookies, ingen fingerprinting, ingen tracking på tværs af sites, ingen profilering af den enkelte besøgende; en tilgængelig opt-out for den identificerede virksomhed; en offentlig privatlivspolitik, der forklarer præcis, hvad der sker.

I denne afvejning vil den dataansvarliges interesse i at nå en beslutningstager med relevant information normalt ikke blive tilsidesat af den registreredes interesser, rettigheder og frihedsrettigheder i et typisk B2B-tilfælde. En anden type behandling (f.eks. sporing på individniveau eller videresalg af data til tredjemand) ville vende balancen — analysen er specifik for det, du faktisk gør.

Hvordan dokumentationen faktisk ser ud

En forsvarlig LIA er et kort, dateret dokument — ofte to til fire sider — underskrevet af en ansvarlig person. Nedenfor er den struktur, som de fleste europæiske tilsynsmyndigheder accepterer.

Hvornår samtykke — ikke legitim interesse — er det rette grundlag

Legitim interesse er ikke en universel erstatning for samtykke. Det rette grundlag skifter til samtykke (Art. 6(1)(a)) i mindst tre almindelige B2B-situationer.

1. Når information gemmes på eller læses fra den besøgendes enhed ud over det strengt nødvendige — en tracking-cookie, en localStorage-identifikator, fingerprinting — kræver ePrivacy-reglerne samtykke uanset dit Art. 6-grundlag.
2. Behandling af personoplysninger om fysiske personer til adfærdsbaseret annoncering, profilering på tværs af websites eller videresalg til tredjemand. Disse falder langt uden for en rimelig B2B-kontaktinteresse.
3. Følsomme kategorier af data (Art. 9) — helbred, politisk overbevisning, biometri — dækkes aldrig af almindelig legitim interesse; her kræves et specifikt Art. 9-grundlag ud over Art. 6.

Operationel tjekliste

• Du har en skriftlig, dateret LIA, der dækker den specifikke behandling.
• Din privatlivspolitik forklarer på almindeligt dansk, at du identificerer virksomheder (ikke individer) og hvorfor.
• Du har en tilgængelig opt-out, som du overholder — virksomheder fjernes inden for et defineret vindue og bliver ikke genidentificeret.
• Du har en underskrevet DPA med enhver databehandler, der rører dataene.
• Du gennemgår din LIA årligt, eller når behandlingen ændrer sig væsentligt.

Denne artikel er skrevet til uddannelsesformål, ikke som juridisk rådgivning. For en bindende vurdering af din egen databehandling bør du kontakte en kvalificeret rådgiver i din jurisdiktion.

Udgivet af

lead.box Team

← Noter om GDPR B2B lead intelligence