Interesseavveiing (LIA) i praksis

Når en virksomhet bygger en behandling på «berettiget interesse», må den selv kunne vise at vilkårene er oppfylt. Den skriftlige vurderingen kalles ofte en LIA (fra engelsk legitimate interest assessment). Dette kapitlet er for den som skal skrive en slik vurdering: hvilke trinn den må ha, hva den skal dokumentere, når den skal gjøres om, og hvordan den henger sammen med retten til å protestere. Den rettslige drøftingen av vilkårene står i kapitlet om berettiget interesse; her handler det om metoden.

Hva loven krever

Grunnlaget

Behandlingen er lovlig når den er «nødvendig for formål knyttet til de berettigede interessene som forfølges av den behandlingsansvarlige eller en tredjepart, med mindre den registrertes interesser eller grunnleggende rettigheter og friheter går foran og krever vern av personopplysninger, særlig dersom den registrerte er et barn»¹.

Høyesterett leser bestemmelsen som tre vilkår som alle må være oppfylt: «For at det skal foreligge behandlingsgrunnlag etter GDPR artikkel 6 nr. 1 bokstav f, må tre vilkår være oppfylt»² — en berettiget interesse, at behandlingen er nødvendig for å ivareta den, og at interessene må «etter en interesseavveining veie tyngre enn de registrertes interesser eller grunnleggende rettigheter og friheter»² (samme avsnitt i domstol.no-utgaven ³). Personvernrådet (EDPB) bruker samme tredeling ⁴.

Plikten til å dokumentere

Forordningen bruker ikke ordet «LIA». Plikten til å skrive vurderingen ned følger av ansvarsprinsippet: «Den behandlingsansvarlige er ansvarlig for og skal kunne påvise at nr. 1 overholdes («ansvar»).»⁵ Nr. 1 omfatter kravet om lovlig behandling ⁶. Den behandlingsansvarlige skal dessuten treffe tiltak «for å sikre og påvise at behandlingen utføres i samsvar med denne forordning»⁷.

EDPB sier rett ut at vurderingen skal skrives og gjøres først: «controllers should carefully assess and document whether these three cumulative conditions are met. This assessment should be done before carrying out the relevant processing operations.»⁸ Vurderingen skal gjøres «at the outset of the processing, with the involvement of the Data Protection Officer (DPO) (if designated)»⁹.

Metoden trinn for trinn

EDPBs retningslinjer 1/2024 (versjon 1.0, vedtatt 8. oktober 2024, høringsversjon) gir en fast rekkefølge ¹⁰. Tabellen er vår sammenstilling av trinnene og hva som bør stå i dokumentet for hvert av dem.

Trinn 1. En interesse er berettiget når den er lovlig, når «The interest is clearly and precisely articulated»¹² og når «The interest is real and present, and not speculative.»¹² En interesse som bare kanskje oppstår senere, holder ikke.

Trinn 2. Nødvendig betyr ikke nyttig. EDPB: «If there are reasonable, just as effective, but less intrusive alternatives, the processing may not be considered to be “necessary”.»¹³ Høyesterett formulerer det samme spørsmålet som «om de berettigede interesser med rimelighet kan realiseres like effektivt på en annen måte som er mindre inngripende»¹⁴. Dataminimering prøves på dette trinnet ^{15 16}. Viser det seg underveis at færre opplysninger er nok, skal man gå tilbake: «the controller should revert to step 1 of the legitimate interest test (if its objectives have changed) or to step 2»¹⁷.

Trinn 3. EDPB krever at den behandlingsansvarlige skal «identify and describe»¹⁸ den registrertes interesser og rettigheter, virkningen av behandlingen («The nature of the data to be processed, b. The context of the processing, and c. Any further consequences of the processing»¹⁸), «The reasonable expectations of the data subject»¹⁸ og «The final balancing of opposing rights and interests»¹⁸. Fortalen peker på det samme: avveiningen skal ta hensyn til «the reasonable expectations of data subjects based on their relationship with the controller»¹⁹. At opplysningene er offentlige, avgjør ikke saken alene: «The fact that personal data have been manifestly made public does not automatically mean that they may be processed under Article 6(1)(f) GDPR»²⁰.

Trinn 4. Bare tiltak som går lenger enn loven, teller. Avveiningen «presupposes that the controller already complies with the principles and obligations set out in the GDPR»²¹. Informasjon, sikkerhet, dataminimering og oppfyllelse av rettigheter er derfor ikke avbøtende tiltak ²²; et eksempel på et reelt tilleggstiltak er å la den registrerte protestere «without any of the limitations in Article 21 GDPR»²³. Etter slike tiltak skal avveiningen gjøres på nytt: «they should perform the balancing test anew»²⁴.

Trinn 5. Bevisbyrden ligger på virksomheten: «The duty is upon the controller to demonstrate that the balancing test has been conducted appropriately»²⁵. De registrerte skal få vite at vurderingen finnes: «information to the data subjects should make it clear that they can obtain information on the balancing test upon request»²⁶.

Når noen protesterer

En LIA er en vurdering for alle registrerte under ett. Artikkel 21 gir den enkelte en egen rett: den registrerte kan «av grunner knyttet til vedkommendes særlige situasjon»²⁷ protestere, og den behandlingsansvarlige skal da ikke lenger behandle opplysningene «med mindre vedkommende kan påvise at det foreligger tvingende berettigede grunner for behandlingen som går foran den registrertes interesser, rettigheter og friheter»²⁷. Retten skal opplyses «på en klar måte og atskilt fra annen informasjon»²⁸.

EDPB trekker tre praktiske følger:

1. Bevisbyrden snus: forordningen «places the burden of proof on the controller, and provides a presumption in favor of the data subject»²⁹.
2. Den generelle vurderingen er ikke et svar: «it is not sufficient for the controller to just demonstrate that its earlier legitimate interest assessment regarding that processing was correct»³⁰. Grunnene må være «compelling»³⁰, og vurderingen skal være «linked to a specific objection»³⁰.
3. Også den enkelte avgjørelsen skal dokumenteres: avveiningen «needs to be duly documented in accordance with the accountability principle»³¹.

Personvernnemnda kom i Legelisten-saken til at Legelisten hadde grunnlag for objektive opplysninger om helsepersonell «uten at helsepersonell gis en generell reservasjonsrett»³². Vår vurdering: at det ikke finnes en generell reservasjonsrett, opphever ikke den individuelle retten etter artikkel 21 nr. 1. En LIA bør derfor alltid ha en egen del om hvordan innsigelser behandles.

Gjennomgang

Ingen av kildene i dette kapitlet setter en fast frist for når en LIA skal fornyes. Tiltakene etter artikkel 24 nr. 1 «skal gjennomgås på nytt og skal oppdateres ved behov»⁷. Vår vurdering: fordi interessen må være «real and present»¹², må vurderingen gjøres om når formålet, opplysningene, kildene eller mottakerne endres, og etter innsigelser som avdekker forhold vurderingen ikke tok høyde for.

Hva Datatilsynet sier

Datatilsynet krever at grunnlaget er avklart før innsamlingen: «Virksomheten må derfor ha identifisert om det finnes et behandlingsgrunnlag før opplysningene hentes inn.»³³ Grunnlaget velges per formål: «Dersom flere behandlingsgrunnlag kan passe, må virksomheten bestemme seg for ett grunnlag per formål.»³⁴

I veiledningen om kredittvurdering beskriver tilsynet de samme tre vilkårene og sier at «Den berettigede interessen må være lovlig, klart definert på forhånd, reell, og saklig begrunnet i virksomheten.»³⁵ Uttalelsen står i en kredittvurderingssammenheng, men kriteriene er generelle.

I DPIA-veiledningen nevner tilsynet reservasjon som et tiltak som gir den registrerte innflytelse: «Et annet eksempel er å gi reell mulighet til reservasjon når behandlingsgrunnlaget er interesseavveiingen i artikkel 6 bokstav f.»³⁶ Se også kapitlet om DPIA.

En interesseavveining i praksis

En interesseavveining bør gjøre det mulig å forstå hvilket formål behandlingen har, hvorfor opplysningene er nødvendige, og hvordan ulempene for de registrerte er vurdert. Den må ta hensyn til den faktiske behandlingen og til personvernvennlige alternativer. Et planlagt tiltak kan ikke beskrives som en eksisterende beskyttelse. ^{37 38}

For publisering av registeropplysninger er det relevant å skille mellom for eksempel en aktiv ledelsesrolle, en avsluttet rolle og en mindre eierpost. Sammenstilling og tilgjengelighet kan øke inngrepet selv om opplysningene er offentlige hos kilden. Barn og personer med beskyttelsesbehov krever særlig omtanke. ^{39 38}

En protest etter artikkel 21 utløser en konkret vurdering av personens særlige situasjon. Den er ikke avgjort bare fordi en tidligere, generell interesseavveining var positiv. ⁴⁰

Byggsikts formål og interesser er forklart i personvernerklæringen. Du kan lese om den rettslige testen i kapitlet om berettiget interesse.

Kilder

• Personopplysningsloven med personvernforordningen (norsk EØS-tekst) ⁴¹
• EDPB, retningslinjer 1/2024 om behandling basert på artikkel 6 nr. 1 bokstav f ³⁸
• Personvernforordningen, engelsk tekst (EUR-Lex) ⁴²
• Høyesteretts dom HR-2021-2403-A (Legelisten), Lovdata ⁴³
• Høyesteretts dom HR-2021-2403-A (Legelisten), domstol.no ⁴⁴
• Personvernnemnda PVN-2018-14 (Legelisten.no) ⁴⁵
• Datatilsynet: Behandlingsgrunnlag ¹¹
• Datatilsynet: For virksomheter som ønsker å bestille en kredittvurdering ⁴⁶
• Datatilsynet: Veiledning om DPIA (alle sider) ⁴⁷
• Datatilsynet: Nødvendig for å ivareta berettigede interesser – interesseavveiing (i kildeledgeren, ikke analysert i denne versjonen) ⁴⁸