Viktig dom om GDPR: kommersiella intressen kan vara berättigat intresse
EU-domstolen klargör att kommersiella intressen kan användas som rättslig grund enligt GDPR
EU-domstolen har i mål C-621/22, KNLTB mot Autoriteit Persoonsgegevens, klargjort att ett kommersiellt intresse kan vara ett berättigat intresse enligt artikel 6.1 f i GDPR. Domen meddelades den 4 oktober 2024 och innebär en viktig tydliggörande signal för företag som använder berättigat intresse som rättslig grund för behandling av personuppgifter, inte minst inom marknadsföring och kundkommunikation.
Bakgrunden till domen i mål C-621/22
Bakgrunden är att den nederländska dataskyddsmyndigheten bötfällde Kungliga Nederländernas Tennisförbund (KNLTB) efter att förbundet delat medlemmars personuppgifter med sponsorer utan samtycke. KNLTB hade i stället hänvisat till berättigat intresse som rättslig grund, medan den nederländska myndigheten menade att ett rent kommersiellt intresse inte kunde godtas. Frågan gick vidare till EU-domstolen för att få klarhet i hur begreppet berättigat intresse enligt GDPR ska tolkas.
Vad EU-domstolen säger om berättigat intresse och kommersiella syften
EU-domstolen slog fast att ett intresse inte måste vara uttryckligen reglerat i lag för att kunna vara ett berättigat intresse. Det centrala är i stället att intresset är lagligt, att behandlingen är nödvändig för att uppnå ändamålet och att den registrerades rättigheter och friheter inte väger tyngre i den konkreta situationen. Domstolen uteslöt alltså inte kommersiella intressen från att kunna utgöra en giltig grund för personuppgiftsbehandling enligt GDPR.
Vad domen betyder för företag som använder GDPR:s berättigade intresse
För företag innebär domen att berättigat intresse fortsatt kan användas som rättslig grund för vissa typer av databehandling för kommersiella ändamål, inklusive marknadsföring. Samtidigt innebär domen inte att företag nu kan behandla personuppgifter fritt. Det krävs fortfarande en noggrann intresseavvägning enligt GDPR.
Företaget måste kunna visa att behandlingen är nödvändig för ändamålet och att det inte finns ett mindre integritetskränkande sätt att uppnå samma resultat. Företaget måste också säkerställa att behandlingen inte väger tyngre än individens rättigheter och friheter. Här behöver hänsyn tas till bland annat individens rimliga förväntningar, omfattningen av behandlingen och hur den påverkar den registrerade. Det är också viktigt att vara transparent och ge människor en faktisk möjlighet att invända mot behandlingen.
Domen skapar tydlighet kring GDPR och marknadsföring
Domen i C-621/22 är betydelsefull eftersom den skapar större tydlighet kring hur GDPR, berättigat intresse och kommersiella intressen ska förstås. För många företag, särskilt mindre verksamheter, innebär det en mer förutsägbar rättslig situation när de arbetar med kundrelationer, direktmarknadsföring och annan personuppgiftsbehandling som inte nödvändigtvis bygger på samtycke.
Samtidigt understryker domen att berättigat intresse enligt GDPR alltid måste bedömas i det enskilda fallet. Det räcker inte att ett syfte är kommersiellt och lagligt. Företaget måste också göra en välgrundad bedömning av nödvändighet, proportionalitet och den registrerades rättigheter.
