Berättigat intresse och besöksidentifiering

Berättigat intresse tillåter behandling som en personuppgiftsansvarig behöver för ett genuint eget intresse, förutsatt att den registrerades intressen och rättigheter inte väger tyngre. Tillsynsmyndigheter läser det som ett trestegstest: finns det ett berättigat syfte, är behandlingen nödvändig för det, och faller avvägningen ut till den ansvariges fördel?

Testet är en dokumentationsövning, inte en formalitet. Ni förväntas ha skrivit ner ert resonemang innan behandlingen börjar, och kunna visa upp det om någon frågar. Den här sidan är en genomgång i klarspråk, inte juridisk rådgivning — ert eget dataskyddsombud gör den slutliga bedömningen.

Syftet här är vanlig B2B-försäljning och marknadsföring: att känna igen vilka företag som visar intresse för ert erbjudande så att ni kan följa upp de som betyder något och sluta gissa om resten. Det är ett erkänt kommersiellt intresse, och samma anledning till att mässor, kontobaserad marknadsföring och uppsökande försäljning existerar.

Vad som spelar roll för dokumentationen är specificitet. "Förbättra marknadsföringen" är för vagt för att testa; "identifiera företag som besöker våra pris- och produktsidor så att säljare kan prioritera uppföljning" är ett syfte ni faktiskt kan bedöma.

Nödvändighet frågar om behandlingen är ett rimligt sätt att nå syftet, och om ett mindre ingripande alternativ finns. Aggregerad webbanalys kan inte säga vilket företag som var intresserat; formulär fångar bara den lilla andel besökare som är villiga att fylla i dem. Identifiering på företagsnivå är det minst ingripande alternativet som ändå besvarar frågan, eftersom det stannar vid organisationen.

Nödvändighet begränsar också omfattningen. Att behandla mer än nödvändigt — till exempel att lösa upp individer, eller spara data långt längre än er säljcykel — försvagar nödvändighetsargumentet även när syftet är befogat.

Avvägningen väger besökarens rättigheter och rimliga förväntningar mot ert intresse. Tre egenskaper hos identifiering på företagsnivå väger avvägningen till er fördel: resultatet är en juridisk person snarare än en människa, datan kombineras inte till sajtöverskridande profiler, och behandlingen sker inom EU på infrastruktur ni kan granska innan ni bestämmer er.

Transparens och kontroll fyller ut bilden. lead.box ger er ett färdigt textstycke för integritetspolicyn för att redovisa behandlingen, och det finns en offentlig avanmälningssida där en besökare kan invända; företag kan dessutom begära en avanmälan på företagsnivå. Vi håller en dokumenterad intresseavvägning i beredskap och delar den på begäran, så att er egen bedömning inte behöver börja från noll.