Berettiget interesse: Art. 6(1)(f) GDPR for B2B-markedsførere

Berettiget interesse — Art. 6(1)(f) GDPR — er det mest nyttige og det mest misforståtte rettslige grunnlaget i forordningen. Markedsførere tyr til det fordi det ikke krever et samtykkebanner; tilsynsmyndigheter gransker det fordi det ikke må bli en blankofullmakt. Denne artikkelen tar deg gjennom hva artikkelen faktisk sier, tre-trinnstesten tilsynsmyndighetene forventer at du gjennomfører, et forklart eksempel for besøksidentifikasjon på selskapsnivå, og hvor grensene går.

Hva Art. 6(1)(f) faktisk sier

Artikkelen tillater behandling av personopplysninger når det er «nødvendig for formål knyttet til de berettigede interessene som forfølges av den behandlingsansvarlige eller en tredjepart, med mindre den registrertes interesser eller grunnleggende rettigheter og friheter går foran og krever vern av personopplysninger.» To ord bærer det meste av vekten — «nødvendig» og «går foran» — og den tredje bærebjelken er uskreven, men forventet: din berettigede interesse må i seg selv være lovlig. Hvis noen av disse tre feiler, faller grunnlaget bort.

Tilsynsmyndigheten bestemmer ikke for deg. Du utfører analysen, du dokumenterer analysen, og hvis du blir utfordret, fremlegger du analysen. Det finnes ingen innmelding, ingen registrering og ingen godkjenning — men det finnes heller ingen sjanse for forsvar dersom balansetesten faktisk ikke ble gjort.

Den tre-trinns balansetesten

Europeiske datatilsyn samles om det samme rammeverket i tre trinn, ofte kalt en LIA (Legitimate Interests Assessment). Hvert trinn må bestås.

1. Formålstest — er interessen lovlig, spesifikk og reell? En generisk «vi ønsker å selge mer» kvalifiserer ikke. «Identifisere selskaper som besøker vårt B2B-nettsted for å nå riktig beslutningstaker med relevant informasjon» gjør det.
2. Nødvendighetstest — er behandlingen den minst inngripende måten å oppnå formålet på? Hvis en mindre inngripende metode ville fungert (aggregert analyse, opt-in nyhetsbrev, et skjema), bør den foretrekkes. Nødvendighet betyr at du rimeligvis ikke kan gjøre det på en annen måte.
3. Balansetest — går den registrertes interesser, rettigheter og friheter foran dine? Vurder deres rimelige forventninger, opplysningenes art, sensitivitet, konteksten de ble samlet inn i, og eventuelle sikkerhetstiltak du bruker.

Eksempel: besøksidentifikasjon på selskapsnivå

Anta at et B2B SaaS-selskap i EU ønsker å identifisere organisasjonene bak besøkene på nettstedet sitt — identifikasjon på selskapsnivå, ingen informasjonskapsler, ingen personlige identifikatorer. Slik ser en forsvarlig LIA ut, trinn for trinn.

Trinn 1 — Formål

Formålet er å identifisere selskaper som aktivt undersøker en B2B-tjeneste for å kunne sende dem relevant, målrettet informasjon (en personlig e-post, et casestudie, en invitasjon til en 15-minutters samtale). Formålet er lovlig, spesifikt og reelt. Det er ikke datainnsamling «for sikkerhets skyld».

Trinn 2 — Nødvendighet

Kan formålet oppnås mindre inngripende? Aggregert analyse svarer på «hvor mange?», men ikke «hvem?» — det kan ikke oppfylle formålet. Et generisk nyhetsbrev når abonnenter som har valgt det selv, men ikke selskapene som gjør undersøkelser akkurat nå. Et skjema fanger bare opp den lille brøkdelen av besøkende som gir detaljene sine frivillig. Identifikasjon på selskapsnivå, som knytter IP-adressen til en organisasjon uten å berøre en personlig identifikator, er et proporsjonalt og nødvendig middel for det oppgitte formålet.

Trinn 3 — Balansering

Rimelige forventninger: Forretningsbesøkende som surfer på et B2B-nettsted mens de er på jobb, forventer generelt at operatøren av nettstedet vet at en virksomhet (ikke nødvendigvis et individ) har vært på besøk. Opplysningenes art: den identifiserte enheten er en juridisk person (en organisasjon), ikke en fysisk person. Sensitivitet: ingen spesielle kategorier av data er involvert. Kontekst: dataene ble samlet inn på den behandlingsansvarliges eget nettsted i vanlig forretningsvirksomhet. Sikkerhetstiltak: ingen informasjonskapsler, ingen fingeravtrykk, ingen sporing på tvers av nettsteder, ingen profil av den enkelte besøkende; en tilgjengelig opt-out for det identifiserte selskapet; en offentlig personvernerklæring som forklarer nøyaktig hva som skjer.

I denne avveiningen vil ikke den behandlingsansvarliges interesse i å nå en beslutningstaker med relevant informasjon, i et vanlig B2B-tilfelle, bli overstyrt av den registrertes interesser, rettigheter og friheter. En annen behandling (for eksempel sporing på individnivå, eller gjenbruk av data for salg til tredjeparter) ville vippet balansen den andre veien — analysen er spesifikk for det du faktisk gjør.

Hvordan dokumentasjonen faktisk ser ut

En forsvarlig LIA er et kort, datert dokument — vanligvis to til fire sider — signert av en navngitt person. Nedenfor er strukturen de fleste europeiske datatilsyn godtar.

Når samtykke — ikke berettiget interesse — er riktig grunnlag

Berettiget interesse er ikke en universell erstatning for samtykke. Det riktige grunnlaget skifter til samtykke (Art. 6(1)(a)) i minst tre vanlige B2B-situasjoner.

1. Når informasjon lagres på eller leses fra besøkerens enhet utover det som er strengt nødvendig — en sporings-cookie, en localStorage-identifikator, et fingeravtrykk — krever ePrivacy samtykke uavhengig av ditt Art. 6-grunnlag.
2. Behandling av personopplysninger om fysiske personer for atferdsbasert annonsering, profilering på tvers av nettsteder, eller videresalg til tredjeparter. Dette faller langt utenfor en proporsjonal B2B-kontaktinteresse.
3. Særlige kategorier av data (Art. 9) — helse, politisk overbevisning, biometri — dekkes aldri av vanlig berettiget interesse; et spesifikt Art. 9-grunnlag kreves i tillegg til Art. 6.

En operasjonell sjekkliste

• Du har en skriftlig, datert LIA som dekker den spesifikke behandlingen.
• Personvernerklæringen din forklarer, på et enkelt språk, at du identifiserer selskaper (ikke enkeltpersoner) og hvorfor.
• Du har en tilgjengelig opt-out og du respekterer den — selskaper fjernes innen et definert tidsvindu og blir ikke re-identifisert.
• Du har en signert DPA med enhver databehandler som berører dataene.
• Du går gjennom LIA-en årlig eller når behandlingen endres vesentlig.

Denne artikkelen er skrevet for opplæring, ikke juridisk rådgivning. For en bindende vurdering av din egen behandling, bær du konsultere kvalifisert juridisk rådgiver i din jurisdiksjon.

Publisert av

lead.box Team

← Notater om GDPR B2B lead intelligence