Rättsliga grunder

Rättsliga grunder vid behandling av personuppgifter

När företag behandlar personuppgifter, måste behandlingen ha stöd i en rättslig grund. Det finns totalt sex (6) rättsliga grunder enligt GDPR och företag ska stödja varje behandling på en rättslig grund. Det är inte möjligt att stödja samma behandling på två rättsliga grunder. Dessutom är det viktigt att följa övriga delar av GDPR, såsom dataskyddsprinciperna. De rättsliga grunderna är samtycke, avtal, rättslig förpliktelse, intresseavvägning, uppgift av allmänt intresse och myndighetsutövning samt skyddande av grundläggande intresse.

Samtycke var vanligt att använda vid behandling av personuppgifter innan GDPR började gälla. Däremot är det fortfarande relativt vanligt att använda samtycke. Några andra vanliga rättsliga grunder som företag brukar stödja sin behandling på är avtal, rättslig förpliktelse och intresseavvägning. Företag behöver veta vilken rättslig grund de ska grunda behandlingen på innan de påbörjar behandlingen. Dessutom är det viktigt att informera de registrerade om vilken rättslig grund företag använder vid behandlingen.

Samtycke innebär att den registrerade personen säger ja till behandlingen. Avtal innebär att företaget och den registrerade ingår ett avtal och företaget behöver behandla personuppgifter för att fullfölja det. Till exempel behandla en hemadress om företaget driver en restaurang där de kör hem maten. Rättslig förpliktelse är när företaget behöver behandla personuppgifter på grund av någon annan lag eller regel, såsom bokföringslagen. Skyddande av grundläggande intresse är inte en vanlig rättslig grund att använda, eftersom det enbart är ett fåtal tillfällen när det är lämpligt. Denna grund ska bli använd för att rädda liv. Exempelvis kan den bli aktuell när den registrerade inte kan lämna ett samtycke, såsom när en medvetslös person inkommer till akuten.

Myndighetsutövning och uppgift av allmänt intresse är en vanlig rättslig grund för myndigheter att använda. Däremot kan vissa företag såsom skolor också använda den. Det handlar kort sagt om när företaget behöver behandla personuppgifterna för att kunna utföra sina myndighetsuppgifter eller uppgift av allmänt intresse. Den rättsliga grunden intresseavvägning innebär att företagets intressen väger tyngre än de registrerades. Dessutom måste behandlingen vara nödvändig i förhållande till ändamålet.