Artikel 6, stk. 1, litra b), i GDPR
Kontrakter med registrerede
Virksomheder har ret til at behandle personoplysninger, når de indgår en kontrakt med registrerede i henhold til artikel 6, stk. 1, litra b), i GDPR. Behandling af den registreredes personoplysninger kan også finde sted, hvis det er nødvendigt for, at virksomheden kan opfylde den pågældende kontrakt. Virksomheden må dog ikke behandle flere personoplysninger end nødvendigt for opfyldelsen af kontrakten.
Retsgrundlagsaftale med registrerede
Noget, der er vigtigt at huske på, når virksomheder overvejer at behandle personoplysninger på grundlag af dette retsgrundlag, er, at den registrerede skal være part i den kontrakt, der er indgået med virksomheden.
Hvis virksomheden konkluderer, at dette retsgrundlag kan anvendes til behandling af personoplysninger, skal virksomheden give den registrerede de oplysninger, der kræves i henhold til artikel 13 og/eller 14 i GDPR. Det hedder blandt andet, at virksomheden skal informere om, hvilke personoplysninger virksomheden behandler, formålet og hvornår virksomheden sletter dem. Desuden skal der gives oplysninger om de registreredes rettigheder i henhold til GDPR.
Behandl ikke flere personoplysninger end nødvendigt til formålet
Bemærk venligst, at en virksomhed kan ønske at behandle flere personoplysninger end nødvendigt for opfyldelsen af kontrakten. For eksempel, hvis en e-handelsplatform ønsker at analysere sine kunders købsadfærd for at tilpasse sit tilbud i overensstemmelse hermed. I sådanne tilfælde må virksomheden ikke anvende retsgrundlaget for kontrakter med registrerede til dette formål. Samtykke kan i stedet være et passende retsgrundlag herfor. Årsagen er, at analysen af købsadfærden ikke er noget, der skal udføres for at opfylde den kontrakt, der er indgået mellem virksomheden og den registrerede.
Behandling af personoplysninger på grundlag af en kontrakt med den registrerede
Følgende er nogle eksempler på, hvornår det kan være hensigtsmæssigt for en virksomhed at foretage en behandling i henhold til retsgrundlaget for en kontrakt med registrerede:
E-handel
Virksomheder, der driver e-handel og sælger tøj, skal behandle kundens personoplysninger, såsom navn og leveringsadresse, for at kunne opfylde leveringen og dermed deres forpligtelser i henhold til aftalen med den registrerede.
Arbejdsgivere
Arbejdsgivere har normalt ikke ret til at behandle deres ansattes personoplysninger på grundlag af samtykke som retsgrundlag, da der er et ulige magtforhold mellem dem. I stedet er kontrakter med registrerede (ansættelseskontrakten) normalt mere hensigtsmæssige at anvende. For eksempel skal en arbejdsgiver betale løn til ansatte for udført arbejde. Dette kan ske på grundlag af en kontrakt med den registrerede som retsgrundlag, da betaling af løn er en del af arbejdsgiverens forpligtelser i henhold til ansættelseskontrakten.
Kreditorer
Før en kreditor giver en person mulighed for kredit, har virksomheden ret til at behandle den enkeltes personoplysninger for at se, om de har tilstrækkelig kreditværdighed. Dette skal dog ske efter anmodning fra den registrerede. Det betyder, at virksomheden behandler personoplysninger, før den indgår en kontrakt med en registreret, og kan som sagt tillades.
Slet personoplysninger, når de ikke længere er nødvendige
Virksomheder skal slette personoplysninger, når de ikke længere er nødvendige til det formål, hvortil de blev indsamlet. Dette betyder dog ikke, at virksomheden skal slette personoplysningerne umiddelbart efter, at de har leveret deres produkt eller service til kunden. Hvis virksomheden f.eks. har visse forpligtelser på grund af kundens reklamationsret, tilbyder en garanti til kunden eller lignende, kan virksomheden være nødt til at gemme de personoplysninger, der er knyttet til købet, så længe dette gælder. Formålet med dette er at gøre det muligt for virksomheden at vide, om en person har ret til det, han eller hun anmoder om. For eksempel i tilfælde af klager eller påberåbelse af en garanti.
Ret til dataportabilitet
Registrerede har ret til dataportabilitet, hvis personoplysningerne behandles på grundlag af samtykke eller aftale med registrerede. Det betyder, at den registrerede har ret til at få sine personoplysninger overført til en anden dataansvarlig. Fra en social medieplatform til en anden. Dette gælder dog kun, hvis det er teknisk muligt for virksomheden at foretage en sådan overførsel.
Praktisk eksempel på dataportabilitet
Et praktisk eksempel på, hvornår dette kan ske, er, hvis en person ønsker at skifte elleverandør, fordi vedkommende har fundet et bedre alternativ. I dette tilfælde kan kunden anmode den nuværende udbyder om at overføre personoplysningerne direkte til den nye udbyder, hvis det er teknisk muligt at gøre det. Kunden har dog altid ret til at modtage sine personoplysninger tilbage fra den nuværende udbyder i et format, der er maskinlæsbart og almindeligt anvendt. Formålet hermed er at gøre det muligt at anvende de pågældende personoplysninger i andre systemer.
Flere oplysninger om retsgrundlag
Retlig forpligtelse er et andet retsgrundlag
Retsgrundlaget for udøvelsen af offentlig myndighed og opgaver af offentlig interesse kan primært anvendes af myndigheden. Men nogle virksomheder kan også bruge det.
- Udøvelse af myndighed: Dette er, når nogen får mandat af staten til at bestemme over borgerne. F.eks. skoler og fængsler, der er private. Den skal være baseret på national ret eller EU-retten.
- Data af offentlig interesse: For at behandle personoplysninger i offentlighedens interesse skal de være baseret på en lov eller forskrift.