Enhver behandling af personoplysninger skal have et grundlag i databeskyttelsesforordningens art. 6. Uden grundlag er behandlingen ulovlig, uanset hvor god sikkerheden er. Valget hører til den dataansvarlige, og det skal træffes, før behandlingen begynder, for grundlaget skal oplyses til personen, når oplysningerne indsamles. I praksis bliver det ofte til et felt, der udfyldes bagefter. Her gennemgår vi de seks grundlag, reglerne for følsomme oplysninger og interesseafvejningen i tre spørgsmål. Konkrete vurderinger er et spørgsmål til advokat, når sagen er tvivlsom.
De seks grundlag
Art. 6, stk. 1, har seks muligheder. Fire er relevante for en privat virksomhed i hverdagen.
- Kontrakt (litra b). Behandlingen er nødvendig for at opfylde en kontrakt med personen eller for at gennemføre skridt før en kontrakt på personens anmodning. Fx levering af en ordre.
- Retlig forpligtelse (litra c). Behandlingen er nødvendig for at overholde en pligt, I har efter lov. Fx bogføring.
- Legitim interesse (litra f). Behandlingen er nødvendig for en interesse hos jer eller en tredjemand, og personens interesser går ikke forud.
- Samtykke (litra a). Personen har givet samtykke til et bestemt formål. Det er et selvstændigt grundlag med egne krav, se samtykke.
De to sidste, vitale interesser (litra d) og opgaver i samfundets interesse (litra e), er sjældent relevante hos private. Grundlagene er ligestillede, så der findes ingen rangorden. Det rigtige valg er det, der passer til behandlingen.
“Nødvendig” er det ord, der skærer igennem. Behandlingen skal være nødvendig for formålet, og ønsket om at gøre arbejdet lettere er ikke det samme. Kan formålet nås med færre oplysninger, falder en del af grundlaget væk.
Følsomme oplysninger og andre særregler
Art. 6 er kun det første lag. Følsomme oplysninger efter art. 9, fx helbred eller fagforeningsforhold, er som udgangspunkt forbudt og kræver desuden en af undtagelserne i art. 9, stk. 2. Databeskyttelsesloven supplerer med danske regler:
- § 7 om følsomme oplysninger,
- § 8 om strafbare forhold,
- § 11 om personnummer, hvor private kun må behandle numrene på de betingelser, loven nævner,
- § 12 om ansættelsesforhold, når behandlingen er nødvendig for arbejdsretlige forpligtelser eller rettigheder.
Personnummeret er ikke en følsom oplysning efter art. 9, men det har sin egen regel. Se CPR-numre i virksomheden.
Hvorfor valget skal træffes før behandlingen
Der er tre gode grunde. Art. 13, stk. 1, litra c, kræver, at personen får grundlaget at vide ved indsamlingen, så det skal være kendt på det tidspunkt. Rettighederne afhænger af valget: personen kan trække et samtykke tilbage, gøre indsigelse mod en legitim interesse og kræve dataportabilitet ved samtykke og kontrakt. Og grundlaget er vanskeligt at skifte bagefter, hvilket er særligt tydeligt ved samtykke.
Art. 30 kræver ikke, at grundlaget står i fortegnelsen. Vi anbefaler alligevel at tilføje feltet. Datatilsynet oplyser, at I gerne må dokumentere mere end minimum, og efter art. 5, stk. 2, skal I kunne påvise, at behandlingen er lovlig. Et felt i fortegnelsen er den letteste måde.
Legitim interesse i tre spørgsmål
Legitim interesse er det grundlag, der kræver mest vurdering. EU-Domstolen fastslog i C-621/22 af 4. oktober 2024, at også en kommerciel interesse kan være legitim, når den er lovlig, behandlingen er strengt nødvendig, og personens interesser ikke går forud. EDPB’s retningslinjer 1/2024 samler vurderingen i tre betingelser, der alle skal være opfyldt. Vi har læst høringsudgaven, vedtaget 8. oktober 2024, og har ikke set en endelig udgave den 5. november 2026.
1. Har I en legitim interesse? Interessen skal være lovlig, præcist formuleret og aktuel, skriver EDPB. “Forretningsudvikling” er for løst. “At kunne opdage svindel i vores webshop” kan bruges.
2. Er behandlingen nødvendig for interessen? Kan interessen med rimelighed nås lige så effektivt på en mindre indgribende måde, så falder grundlaget. Spørg om færre oplysninger, færre personer eller kortere tid kan gøre det samme.
3. Går personens interesser forud? Her afvejes. EDPB peger på behandlingens indvirkning på personen, hvad personen med rimelighed kan forvente, og hvilke beskyttelsesforanstaltninger I sætter ind. Forholdet mellem parterne indgår, og EDPB nævner forholdet mellem arbejdsgiver og ansat som et eksempel. At I har oplyst om behandlingen, er ikke i sig selv nok til, at personen kan forvente den.
Vurderingen skal laves, før behandlingen begynder, og den skal dokumenteres. EDPB skriver, at DPO’en bør inddrages, hvis der er udpeget en. Svarene kan stå på en halv side. Personen skal desuden have oplyst selve interessen (art. 13, stk. 1, litra d), og efter EDPB’s høringsudgave bør det fremgå, at oplysninger om afvejningen kan fås på anmodning.
Personen har ret til at gøre indsigelse mod en behandling på legitim interesse (art. 21). Det er derfor god praksis at skrive i notatet, hvordan I håndterer en indsigelse.
Sådan gør I det i praksis
Tag fortegnelsen formål for formål. Skriv grundlaget, og skriv en sætning om, hvorfor netop det passer. Tænkt eksempel for personaleadministration:
- løn og ansættelseskontrakt: art. 6, stk. 1, litra b og c,
- sygefravær: art. 9, stk. 2, og § 12, stk. 1, i det omfang det er nødvendigt for arbejdsretlige forpligtelser,
- medarbejderfotos på hjemmesiden: skal vurderes for sig, da de sjældent er nødvendige for kontrakten.
Grundlagene hænger sammen med teksterne til personerne. Når et grundlag er valgt, skal det passe med det, der står i privatlivspolitikken og i oplysningerne til de øvrige grupper.
Nye behandlinger skal gennem samme spørgsmål, inden de går i gang. En DPO skal inddrages rettidigt efter art. 38, stk. 1, så rådet kan bruges, før beslutningen er truffet. Se hvornår skal DPO’en inddrages?. Grundlaget for AI behandles for sig i behandlingsgrundlag for AI.
Det skal I lade være med
- At vælge samtykke af vane · andre grundlag passer ofte bedre.
- At skrive “legitim interesse” uden afvejning · de tre spørgsmål skal kunne vises.
- At vælge grundlag efter behandlingen er i gang · det skal oplyses ved indsamlingen.
- At glemme art. 9 og lovens §§ 7, 8, 11 og 12 · art. 6 er kun første lag.
Det skal I kræve af den eksterne
- ☐ Rådgivning om valg af grundlag for de enkelte formål i fortegnelsen.
- ☐ Kritisk gennemlæsning af jeres interesseafvejninger.
- ☐ Kontrol af, at grundlagene passer med teksterne til de registrerede.
- ☐ Klar besked, når en vurdering bør til advokat.
Kilder
- Forordning (EU) 2016/679, dansk tekst: art. 5, stk. 2, art. 6, art. 9, art. 13, art. 21 og art. 38, stk. 1.
- Databeskyttelsesloven, LBK nr. 289 af 8. marts 2024: §§ 7, 8, 11 og 12.
- EU-Domstolen, C-621/22 af 4. oktober 2024: kommerciel interesse som legitim interesse.
- EDPB: retningslinjer 1/2024 om art. 6, stk. 1, litra f: høringsudgave, version 1.0 af 8. oktober 2024, læst 5. november 2026.
- Datatilsynet: Vejledning om fortegnelse, august 2020: afsnit 2.1 om yderligere oplysninger.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Oplysningspligten · Fortegnelse over behandlingsaktiviteter
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
