Hvornår må jeg behandle personoplysninger?

Seks grunde, og samtykke er kun én af dem

At behandle personoplysninger er tilladt, når en af de seks grunde i artikel 6 i GDPR'en gælder. Samtykke er den mest kendt grund, men ikke den eneste og ofte ikke den mest indlysende i praksis: en behandling kan også være lovlig, fordi den er nødvendig for at opfylde en kontrakt, fordi der er en juridisk forpligtelse bag det, for at beskytte en vital interesse, for at opfylde en opgave af almindelig interesse, eller fordi en berettiget interesse for organisationen vejer tungere end interessesen hos den registrerede i ikke at blive behandlet.

I en webshop eller tjenesteudbyder optræder normalt tre af disse grunde: kontrakten (en kunde bestiller noget, og oplysningerne er nødvendige for at kunne levere), den juridiske forpligtelse (en faktura, der skal opbevares på grund af skattemæssige regler), og den berettigede interesse (f.eks. sikkerhed på websiden eller et nyhedsbrev til eksisterende kunder). Samtykke kommer i fokus, når ingen af de andre grunde gælder, såsom ved markedsføring til personer, der endnu ikke er kunder — hvor det for samtykket gælder, at det skal være specifikt, frivilligt givet og påvisligt.

Dette står i artikel 6 i GDPR'en

Artikel 6, stk. 1, i GDPR'en opregner de seks grunde under bogstaverne a til og med f; hvilken grund der passer til en konkret behandling, følger af arten af behandlingen selv og ikke af et valg, der allerede er fastsat før. Tilsynsmyndigheden for Databeskyttelse giver på sit websted yderligere vejledning om anvendelsen af disse grunde i praksis.