Berättigat intresse enligt artikel 6.1 f får bara användas som rättslig grund om ert intresse väger tyngre än den registrerades rättigheter och friheter, och ni måste dokumentera prövningen skriftligt. Grunden gäller inte för myndighetsutövning eller som huvudregel för känsliga personuppgifter. Registrerade har dessutom en ovillkorlig rätt att invända enligt artikel 21, vilket ni måste kunna hantera i praktiken.
Kort sagt:
- Att göra en giltig intresseavvägning kräver tydligt syfte, nödvändighetsbedömning och en konkret balansbedömning av den registrerades rättigheter.
- Dokumentationen ska vara skriftlig, spårbar och kopplad till registerförteckningen, samt ha en tydlig versionering för att klara en tillsynsgranskning.
- Flertalet av misstag gäller bristande omprövning och uppdatering av bedömningar, särskilt vid förändringar i verksamheten eller vid behandling av känsliga uppgifter.
- En riktig intresseavvägning måste även inkludera en riskbedömning för den registrerade och visa att den är specifik för den aktuella behandlingen.
- Att förlita sig på standardmallar eller leverantörsnamngivna bedömningar utan egen analys kan leda till kritik från myndigheten och risk för att grunden ogiltigförklaras.
Innehållsförteckning
- Vad är berättigat intresse och hur skiljer det sig från samtycke?
- Hur görs intresseavvägning i tre steg?
- Vad ska dokumentationen om intresseavvägning innehålla?
- Exempel: intresseavvägning för kameraövervakning steg för steg
- Checklista: gör avvägningen hållbar i verksamheten
- Vilka misstag leder till kritik från IMY?
- Hur hjälper Evertrust er att göra avvägningen revisionsbar?
- Varför de flesta intresseavvägningar faller på fel steg
- Behöver ni hjälp att ta fram en avvägning som håller vid tillsyn?
- Källor
Vad är berättigat intresse och hur skiljer det sig från samtycke?
Berättigat intresse (artikel 6.1 f) tillåter behandling av personuppgifter utan samtycke, förutsatt att intresset är verkligt, tydligt formulerat och inte överskuggas av den registrerades rättigheter. Skillnaden mot samtycke är avgörande: samtycke kräver ett aktivt, informerat ja från individen, medan intresseavvägning bygger på er egen juridiska bedömning. Skillnaden mellan intresseavvägning och samtycke handlar alltså om vem som bär bevisbördan, ni själva eller den registrerade.
Avtal (artikel 6.1 b) fungerar bara när behandlingen är nödvändig för att fullgöra ett kontrakt, exempelvis leverans av en beställd vara. Berättigat intresse passar bättre för sådant som inte är avtalsbundet men ändå affärsmässigt motiverat:
- Direktmarknadsföring till befintliga kunder
- Bedrägeriförebyggande åtgärder
- Nätverkssäkerhet och intern IT‑drift
- Viss kameraövervakning i egna lokaler
En central fråga IMY återkommer till är den registrerades rimliga förväntningar. Om en kund inte rimligen kan förvänta sig att bli behandlad på ett visst sätt väger det tungt emot er.
Hur görs intresseavvägning i tre steg?
En giltig intresseavvägning bygger på tre kumulativa villkor. Faller ni på ett enda steg är grunden ogiltig, oavsett hur starkt argumentet är på de andra två.
- Ändamålstestet. Formulera ett konkret, avgränsat syfte, inte “förbättra verksamheten” utan exempelvis “förhindra stöld i butikslokal mellan kl. 18.00 och 06.00”.
- Nödvändighetstestet. Fråga om syftet går att uppnå med en mindre ingripande metod. Finns det ett alternativ som inte kräver personuppgifter, är intresseavvägning fel grund.
- Balansbedömningen. Väg ert intresse mot den registrerades rättigheter. Här spelar det roll om uppgifterna är känsliga, om barn berörs, hur stor omfattningen är och om den registrerade skulle bli förvånad över behandlingen.
EDPB:s riktlinjer 1/2024 förtydligar att balansbedömningen ska göras konkret utifrån den faktiska behandlingen, inte generellt för hela verksamheten. En avvägning skriven för “marknadsföring i allmänhet” håller sällan vid tillsyn.
Proffstips: Skriv ändamålet så specifikt att en utomstående jurist kan avgöra om behandlingen faktiskt är nödvändig för just det syftet, utan att behöva fråga er om mer sammanhang.
Storskalig behandling av känsliga uppgifter eller uppgifter om barn kräver extra försiktighet. I de flesta sådana fall väger de registrerades intressen tyngre nästan per automatik, vilket gör intresseavvägning till fel val.
Vad ska dokumentationen om intresseavvägning innehålla?
IMY förväntar sig att dokumentationen går att följa steg för steg, från syfte till slutsats. En muntlig bedömning duger inte vid tillsyn, ni måste kunna visa upp ett skriftligt underlag.
Dokumentationen bör innehålla:
- Beskrivning av behandlingen och vilka uppgifter som omfattas
- Det konkreta ändamålet och varför behandlingen är nödvändig
- Vilka alternativ som övervägts och varför de förkastats
- Balansbedömningen, inklusive riskerna för den registrerade
- Slutsats, datum för bedömningen och vem som fattat beslutet
Från 1 april 2025 gäller skärpta krav på dokumenterad intresseavvägning för fler verksamheter, och IMY rekommenderar att dokumentet sparas i minst fem år efter avslutad behandling. Koppla varje intresseavvägning till er registerförteckning så att det tydligt framgår vilken behandling dokumentet avser, och versionera dokumentet varje gång ni omprövar det. En intresseavvägning utan versionshistorik är svår att försvara om tillsynsmyndigheten frågar när den senast uppdaterades.
Exempel: intresseavvägning för kameraövervakning steg för steg
Kameraövervakning är det tydligaste exemplet på intresseavvägning i praktiken, och IMY:s arbetsgång i elva steg används brett av svenska verksamheter. Intresseavvägningen ligger i steg 4, dokumentationen i steg 6.
- Beskriv platsen och vad kameran faktiskt filmar, inklusive angränsande ytor som gångbanor eller grannfastigheter.
- Formulera syftet konkret, till exempel skydd mot inbrott under stängningstid, inte allmän trygghet.
- Pröva om syftet kan nås utan kamera, exempelvis genom bättre lås eller belysning.
- Bedöm om de registrerade rimligen kan förvänta sig att bli filmade på just den platsen.
- Begränsa lagringstiden och vem som har åtkomst till materialet.
- Dokumentera slutsatsen och datera den.
Förändras omfattningen, till exempel fler kameror, längre lagringstid eller ett nytt syfte som ansiktsigenkänning, krävs en ny dokumenterad avvägning. Den gamla bedömningen gäller bara för den behandling den faktiskt beskriver.
Checklista: gör avvägningen hållbar i verksamheten
En intresseavvägning som bara finns i ett dokument och aldrig i verksamhetens processer faller ofta vid första tillsynen. Bygg in den i era rutiner istället.
Innan behandling påbörjas bör ni:
- Identifiera vem som äger frågan, ofta dataskyddsombud eller juridik, inte IT-avdelningen på egen hand
- Kräva sign-off från en namngiven person innan behandlingen startar
- Koppla avvägningen till registerförteckningen med tydlig hänvisning
- Sätta ett datum för nästa granskning, inte bara “vid behov”
Proffstips: Lägg intresseavvägningen som en obligatorisk kontrollpunkt i er incidenthanteringsprocess. Då upptäcker ni automatiskt om en behandling har vuxit utanför den ursprungliga bedömningen, till exempel när en kamera som skulle övervaka en lagerdörr plötsligt filmar en hel personalparkering.
Ansvarsfördelningen bör vara skriftlig: vem godkänner nya avvägningar, vem uppdaterar befintliga och vem informerar dataskyddsombudet vid förändringar. En drönarbaserad fastighetsdokumentation är ett bra exempel på verksamhet där både tekniska skäl och en tydlig avvägning måste dokumenteras innan bildinsamlingen sker.
Vilka misstag leder till kritik från IMY?
Det vanligaste felet är att förlita sig på leverantörers standardinställningar, till exempel en samtyckeshanteringsplattform, utan egen analys. Magnusson pekar på att detta inte befriar er från ansvar. En färdig mall från en leverantör är inte samma sak som en dokumenterad bedömning av er specifika behandling.
Andra återkommande problem:
- Storskalig behandling av känsliga uppgifter felaktigt grundad på 6.1 f
- Behandling av barns uppgifter utan extra skyddsåtgärder
- Avvägningar som aldrig uppdateras trots att behandlingen förändrats
- Myndigheter som försöker använda berättigat intresse istället för myndighetsutövning
En avvägning som är jämn eller osäker håller sällan vid tillsyn. Om ert intresse och den registrerades rättigheter väger ungefär lika, är slutsatsen att välja en annan rättslig grund eller avstå från behandlingen.
Ett tillsynsärende mot Migrationsverket visar hur IMY resonerar kring rättslig grund i praktiken, och en rapport om vanliga brister bekräftar att dokumentationsbrister är ett återkommande tema hos svenska organisationer.
Hur hjälper Evertrust er att göra avvägningen revisionsbar?
En intresseavvägning som bara finns som en checklista i ett Word-dokument håller sällan när IMY faktiskt frågar. Evertrust arbetar med att ta fram, granska och signera intresseavvägningar utifrån IMY:s egna mallstruktur, anpassad till er verksamhets faktiska behandlingar snarare än en generisk mall.
Det praktiska arbetet brukar innehålla:
- Genomgång av era befintliga behandlingar och vilken rättslig grund som faktiskt gäller
- Framtagning av dokumenterade avvägningar kopplade till registerförteckningen
- Versionskontroll så att varje uppdatering går att spåra tillbaka till ett beslut och en person
- Extern kvalitetsgranskning innan avvägningen används skarpt
En extern granskning fångar ofta sådant en intern avdelning missar, till exempel att ändamålet är för brett formulerat eller att en känslig uppgiftskategori smugit sig in i en behandling som ursprungligen gällde annat. Det minskar risken för kritik betydligt mer än en mall som bara fylls i en gång och sedan glöms bort.
Varför de flesta intresseavvägningar faller på fel steg
De flesta organisationer klarar ändamålstestet utan problem. Det är lätt att formulera ett syfte som låter rimligt. Problemet uppstår i nödvändighetstestet, där många hoppar över frågan om det finns ett mindre ingripande alternativ, och i balansbedömningen, där den registrerades perspektiv ofta glöms bort helt.
Den vanliga uppfattningen är att intresseavvägning är en juridisk formalitet man kan checka av. Det stämmer inte. En avvägning som inte omprövas när verksamheten förändras är i praktiken lika svag som ingen avvägning alls, för dokumentet beskriver då en behandling som inte längre existerar. IMY:s eget fokus på kameraövervakning visar att myndigheten bryr sig mer om huruvida bedömningen är aktuell och specifik än om den är formellt korrekt skriven.
Prioritera därför inte att skriva den perfekta avvägningen först. Prioritera att bygga en process som gör att ni faktiskt uppdaterar den när behandlingen ändras. Det är den delen de flesta compliance-team missar, och det är den delen som avgör om ni klarar er vid en granskning.
— Jesper
Behöver ni hjälp att ta fram en avvägning som håller vid tillsyn?
Vi tar fram, granskar och dokumenterar intresseavvägningar utifrån IMY:s mallstruktur, anpassade till er faktiska verksamhet snarare än en generisk kopia av en mall ni hittat online.
En vanlig beställning inleds med en genomgång av era befintliga behandlingar och vilken rättslig grund som faktiskt är korrekt för varje. Därefter tar vi fram dokumentationen, kopplar den till er registerförteckning och säkerställer att sign-off och versionshantering finns på plats innan avvägningen används skarpt. Många organisationer väljer att låta detta ske som en del av ett löpande uppdrag för extern dataskyddsombud, där avvägningarna granskas och uppdateras kontinuerligt istället för att bli ett dokument som glöms bort efter första versionen. Vill ni veta hur ett sådant uppdrag ser ut i praktiken, eller behöver ni hjälp att utse rätt dataskyddsombud för er organisation, är nästa steg att boka ett inledande samtal med Evertrust.
Källor
- Intresseavvägning som rättslig grund | IMY
- EDPB Guidelines 1/2024 on processing of personal data based on Article 6(1)(f) GDPR
- Intresseavvägning enligt GDPR – Magnusson Sverige
