När får jag behandla personuppgifter?

Sex grunder, och samtycke är bara en av dem

Behandling av personuppgifter är tillåten när en av de sex grunderna i artikel 6 i GDPR är tillämplig. Samtycke är den mest kända grunden, men inte den enda och ofta inte den mest praktiska i verkligheten: en behandling kan också vara rättslig eftersom den är nödvändig för genomförandet av ett avtal, eftersom det finns en laglig skyldighet bakom den, för att skydda ett vitalt intresse, för att fullgöra en uppgift av allmänt intresse, eller för att en berättigad interesse hos organisationen väger tyngre än den registrerades intresse av att inte bli behandlad.

För en webbutik eller tjänsteleverantör återkommer vanligtvis tre av dessa grunder: avtalet (en kund beställer något och uppgifterna är nödvändiga för att kunna leverera), den lagliga skyldigheten (en faktura som enligt skattereglerna måste sparas) och det berättigade intresset (till exempel webbplatssäkerhet eller ett nyhetsbrev till befintliga kunder). Samtycke blir aktuellt när ingen av de andra grunderna gäller, till exempel vid marknadsföring till personer som ännu inte är kunder — där gäller för det samtyckandet att det måste vara specifikt, fritt givet och verifierat.

Detta framgår av artikel 6 i GDPR

Artikel 6, första stycket, i GDPR listar de sex grunderna under bokstäverna a till f; vilken grund som är lämplig för en konkret behandling följer av behandlingens karaktär i sig själv och inte av ett val som är fixerat innan. Datainspektionen ger på sin webbplats ytterligare vägledning om tillämpningen av dessa grunder i praktiken.