Legitim interesse, som også kaldes berettiget interesse, er grundlaget i litra f i art. 6, stk. 1, og det kræver hverken samtykke eller kontrakt. Til gengæld skal virksomheden selv vurdere, at behandlingen er nødvendig, og at personens interesser ikke går forud. Vurderingen hører til før første behandling, og I skal kunne fremvise den. Her folder vi spørgsmålene fra artiklen om behandlingsgrundlag ud til et notat på én side. Konkrete tvivlsspørgsmål hører til hos en advokat.
Vi bruger EDPB’s retningslinjer 1/2024 om emnet. EDPB er de europæiske tilsynsmyndigheders samarbejdsorgan. Den 6. november 2026 viste EDPB’s høringsside stadig version 1.0 fra oktober 2024, som er en høringsudgave.
Hvornår grundlaget er relevant
EDPB skriver, at litra f hverken er en sidste udvej eller et valg, der skal træffes automatisk, fordi det virker mindre krævende. Forordningens betragtninger nævner selv tre eksempler. Behandling, der er strengt nødvendig for at forebygge svig, er en legitim interesse (betragtning 47), og det samme gælder det, der er strengt nødvendigt og forholdsmæssigt for net- og informationssikkerhed (betragtning 49). Direkte markedsføring kan anses for at ske i en legitim interesse (betragtning 47), men her gælder også andre regler end GDPR.
EU-Domstolen tog i oktober 2024 stilling til en kommerciel interesse i sag C-621/22. Behandlingen skal være strengt nødvendig, og personernes interesser må ikke gå forud, når alle omstændigheder er vejet.
Oplysninger efter art. 9 kræver desuden en undtagelse i art. 9, stk. 2, så litra f kan ikke stå alene dér. Et tænkt eksempel gennem artiklen: en grossist logger, hvem der slår kunder op i CRM-systemet, for at kunne opdage misbrug.
Notatet på én side
Ingen myndighed har fastlagt en form, og felterne herunder er vores forslag. De følger de tre betingelser, som EDPB beskriver.
- Behandling · Det skal stå: System, oplysninger og personer · Tænkt eksempel: Opslagslog i CRM, medarbejdere og kunder
- Interesse · Det skal stå: Præcis, lovlig og aktuel · Tænkt eksempel: At opdage uberettigede opslag i kundedata
- Nødvendighed · Det skal stå: Hvorfor mindre ikke kan gøre det · Tænkt eksempel: Stikprøver alene fanger ikke enkeltopslag
- Personens side · Det skal stå: Indvirkning og rimelige forventninger · Tænkt eksempel: Ansatte kender logningen, indholdet af kundesager logges ikke
- Ekstra beskyttelse · Det skal stå: Det, I gør ud over lovens krav · Tænkt eksempel: Kun to personer må læse loggen, og begrundelse noteres
- Resultat · Det skal stå: Konklusion, dato og navn · Tænkt eksempel: Grundlaget holder, ses igen om et år
Tre felter kræver lidt mere end en sætning.
Nødvendighed. Skriv, hvad I fravalgte. Kan færre felter, færre personer eller kortere opbevaring nå samme mål, er det dem, I skal bruge. I eksemplet er spørgsmålet, hvor længe loggen skal leve, og om alle systemer skal med.
Rimelige forventninger. Betragtning 47 spørger, om personen ved indsamlingen med rimelighed kan forvente behandlingen, og forholdet til jer tæller med. EDPB tilføjer, at en tekst i privatlivspolitikken ikke i sig selv skaber den forventning.
Ekstra beskyttelse. Her ligger en fælde. EDPB skriver, at det, I alligevel skal gøre efter GDPR, ikke kan tælle som en dæmpende foranstaltning. Oplysningspligt, sikkerhed og dataminimering giver derfor ingen point i afvejningen. Det skal gå videre end loven, og derefter skal afvejningen laves igen. Går personens interesser stadig forud, kan behandlingen ikke bygge på litra f.
Her går notaterne typisk galt
Listen er vores egen gennemgang af, hvad der bør kontrolleres, og ingen statistik.
- Interessen er for bred. Kundepleje siger intet om, hvad der skal ske med hvilke oplysninger.
- Et notat skal dække alt. Hver behandling skal have sin afvejning. Logning og nyhedsbreve kan ikke dele konklusion.
- Notatet er skrevet bagefter. EDPB placerer vurderingen før behandlingen, og datoen afslører det.
- Teksterne passer ikke. Art. 13, stk. 1, litra d, kræver, at personen får selve interessen oplyst. EDPB’s høringsudgave tilføjer, at personen skal kunne se, at der kan bedes om oplysninger fra afvejningen.
- Ingen ved, hvad en indsigelse udløser. Efter art. 21, stk. 1, må I kun fortsætte, hvis I påviser vægtige legitime grunde, eller hvis behandlingen er nødvendig for et retskrav. Ved direkte markedsføring skal behandlingen altid stoppe (art. 21, stk. 2 og 3).
- Notatet ligger stille. Ændrer systemet sig, eller kommer nye oplysninger til, passer vurderingen ikke længere.
Byrden ligger hos jer. EDPB skriver, at den dataansvarlige skal kunne påvise, at afvejningen er gjort ordentligt, og det følger også af art. 5, stk. 2.
LIA, DPIA, TIA og fortegnelse
LIA står for Legitimate Interest Assessment og er fagordet for den afvejning, artiklen handler om. Ordet står ikke i forordningen. De fire dokumenter besvarer hvert sit spørgsmål, og samme behandling kan have brug for dem alle.
- LIA · Spørgsmål: Må vi bruge litra f? · Grundlag: Art. 6, stk. 1, litra f
- DPIA · Spørgsmål: Er risikoen for personerne høj, og hvad gør vi ved den? · Grundlag: Art. 35
- TIA · Spørgsmål: Er beskyttelsen god nok i modtagerlandet? · Grundlag: Kapitel V
- Fortegnelse · Spørgsmål: Hvilke behandlinger har vi? · Grundlag: Art. 30
En praktisk vane er at lægge et link til notatet i fortegnelsens linje for behandlingen. Så kan det findes, når Datatilsynet eller en kunde spørger.
DPO’ens rolle
EDPB skriver, at vurderingen bør ske med inddragelse af DPO’en, hvis der er udpeget en. DPO’en rådgiver og læser kritisk, og konklusionen er den dataansvarliges. Har I ingen, er det stadig nyttigt at lade en anden end projektets ejer læse notatet. Er I i tvivl om, hvem det skal være, så begynd med skal vi have en DPO?.
Det gør I nu
Find de linjer i fortegnelsen, hvor der står legitim interesse. Bed om notatet til hver af dem. Mangler det, så skriv det på én side for de behandlinger, der rører flest personer, og begynd med logning og markedsføring.
Det skal I lade være med
- At skrive litra f, fordi samtykke er besværligt · valget skal kunne begrundes for sig.
- At tælle lovkrav som ekstra beskyttelse · de ændrer ikke afvejningen.
- At genbruge et notat til en ny behandling · resultatet følger de konkrete oplysninger.
Det skal I kræve af den eksterne
- ☐ Kritisk læsning af de notater, I allerede har.
- ☐ Rådgivning om felterne og om, hvornår en afvejning skal laves om.
- ☐ Kontrol af, at notat, fortegnelse og oplysningstekster siger det samme.
- ☐ Ærlig melding om, hvornår der skal en advokat på.
Kilder
- Forordning (EU) 2016/679, dansk tekst: art. 5, stk. 2, art. 6, stk. 1, litra f, art. 9, art. 13, art. 21, art. 30, art. 35, kapitel V og betragtning 47 og 49. Læst 6. november 2026.
- EU-Domstolen, C-621/22 af 4. oktober 2024: domskonklusionen.
- EDPB: retningslinjer 1/2024 om art. 6, stk. 1, litra f: høringsudgave, version 1.0 af 8. oktober 2024, punkt 12, 53, 57 til 60 og 68.
- EDPB: høringssiden til retningslinjerne: set 6. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Samtykke: hvornår er det det forkerte grundlag? · Behandlingsgrundlag for AI
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
