Er det lov å endre behandlingsgrunnlag underveis?

Er det lov å endre behandlingsgrunnlag underveis?

er det lov å endre behandlingsgrunnlag underveis berører viktige spørsmål om håndtering av personopplysninger og korrekt rettslig grunnlag. Feil forståelse av krav eller forutsetninger skaper usikkerhet om hva som gjelder. Les videre for å vurdere temaet ut fra dokumenterte opplysninger og relevant kontekst.

Er det lov å endre behandlingsgrunnlag underveis?

Å endre behandlingsgrunnlag underveis er i utgangspunktet ikke tillatt etter personvernforordningen. Behandlingen av personopplysninger må ha et gyldig rettslig grunnlag fra start til slutt, og du kan ikke bare bytte til et annet grunnlag dersom det opprinnelige grunnlaget faller bort.

Hvorfor er strenge krav til behandlingsgrunnlag viktig?

Hver behandling av opplysninger kan kun ha ett behandlingsgrunnlag. Før du samler inn eller bruker personopplysninger, må du ha identifisert det korrekte grunnlaget, som for eksempel samtykke, avtale eller en lovhjemmel. Hvis behandlingen mangler grunnlag, er den ulovlig. Mange virksomheter gjør den feilen at de tenker på behandlingsgrunnlag krav som noe som kan justeres underveis hvis behovene endres, men personvernforordningen setter en tydelig stopper for dette.

Her er det snakk om rettssikkerhet for den registrerte. Når en person gir samtykke til en spesifikk behandling, baserer de seg på at rammeverket er låst. Hvis virksomheter fritt kunne bytte behandlingsgrunnlag personvernforordningen, som for eksempel berettiget interesse, ville hele tillitsforholdet og personvernet blitt svekket.

Hva skjer når samtykke trekkes tilbake?

Dersom du baserer behandlingen på samtykke, har den registrerte rett til å trekke det tilbake når som helst. Hvis samtykket trekkes, må du som hovedregel stanse behandlingen og slette opplysningene. Du kan ikke bare endre grunnlaget til for eksempel berettiget interesse for å beholde dem. Dette er et punkt der mange går feil, og det kan føre til brudd på personvernforordningen dersom man forsøker å omgå sletteplikten.

Formålsbegrensning og endring av formål

Personopplysninger skal samles inn for spesifikke, uttrykkelig angitte og berettigede formål. De skal ikke brukes videre på en måte som er uforenelig med disse formålene. Hvis formålet endres, må du i teorien ha et nytt behandlingsgrunnlag. Dette krever ofte at det nye formålet er forenelig med det opprinnelige, eller at du har innhentet et nytt samtykke fra de berørte personene.

Det er en vanlig misoppfatning at man bare kan utvide bruken av data så lenge man er eier av dem. I realiteten fungerer behandlingsgrunnlaget som en streng kontrakt. Dersom du samlet inn data for markedsføring, kan du ikke automatisk bruke de samme dataene til produktutvikling uten en ny vurdering og et gyldig grunnlag for dette spesifikke formålet.

Unntak: Arkivformål, forskning og statistikk

Det finnes ett viktig unntak fra formålsbegrensning personopplysninger. Dette gjelder dersom opplysningene skal brukes til arkivformål i allmennhetens interesse, vitenskapelige eller historiske forskningsformål, eller statistiske formål. I disse spesifikke tilfellene kan videre behandling anses som forenelig med de opprinnelige formålene, noe som gir virksomheter mer fleksibilitet.

Dette er ikke en åpen billett for hvem som helst. For at unntaket skal gjelde, må behandlingen ivareta den registrertes rettigheter og friheter gjennom egnede tekniske og organisatoriske tiltak, som for eksempel pseudonymisering. Mange forskningsmiljøer benytter seg av dette, men det krever en svært ryddig dokumentasjonsprosess i forkant.

Grunnlag for behandling: Samtykke vs. Berettiget interesse

Valg av behandlingsgrunnlag har stor betydning for din fleksibilitet underveis i prosessen.

Samtykke

Må være frivillig, spesifikt, informert og utvetydig.

Den registrerte har full kontroll og kan trekke det tilbake når som helst.

Svært lav - du kan ikke bytte til et annet grunnlag hvis samtykket trekkes.

Berettiget interesse

Krever en dokumentert vurdering av at virksomhetens behov veier tyngre enn personvernet.

Virksomheten har mer kontroll, men må foreta en streng interesseavveining.

Moderat - men forutsetter at formålet er definert og ikke endres.

Erfaring fra markedsavdelingen i et IT-selskap

En markedssjef i Oslo ønsket å bruke kundelister, samlet inn for nyhetsbrev, til en målrettet kampanje i sosiale medier uten nytt samtykke. Det var en stressende situasjon med korte tidsfrister.

De antok først at listen var deres eiendom og kunne brukes fritt. Men etter en intern gjennomgang innså de at samtykket kun gjaldt e-post, ikke profilering på eksterne plattformer.

Selskapet måtte derfor kontakte alle kundene på nytt for å be om et oppdatert samtykke som inkluderte målrettet annonsering. Det tok tre uker å få nok svar.

Resultatet ble at de mistet 40% av listen, men de som ble igjen var mer engasjerte. De lærte at å bygge rettslig grunnlag riktig fra starten er mye billigere enn å rette opp feil i etterkant.