Artikel 29-gruppen publicerar utlåtande om tolkningen av ”berättigat intresse” i dataskyddsdirektivet
Utöver det arbetsdokumen om standardavtalsklausuler för överföring av personuppgifter som Artikel 29-gruppen nyligen publicerade, har även ett utlåtande om tillämpningen av bestämmelsen i artikel 7 i direktiv 95/46/EG, ”dataskyddsdirektivet” om berättigat intresse publicerats.
Som vi har nämnt i tidigare inlägg är Artikel 29-gruppen en arbetsgrupp som har inrättats enligt artikel 29 i dataskyddsdirektivet. Gruppen har därför kommit att kallas just ”Artikel 29-gruppen”, även om gruppens fullständiga namn egentligen är ”Arbetsgruppen för skydd av enskilda med avseende på behandling av personuppgifter” (Article 29 Working Party on Data Protection).
Artikel 29-gruppen är ett oberoende rådgivande EU-organ för frågor som rör skydd av personuppgifter och personlig integritet. Artikel 29-gruppen har nyligen lämnat ettutlåtande om tolkningen av ”berättigat intresse” som en laglig grund för behandling av personuppgifter.
Bestämmelsen om berättigat intresse återfinns i artikel 7 i dataskyddsdirektivet och har implementerats i den svenska lagstiftningen genom 10 § p. f personuppgiftslagen (1998:204) (”PUL”). Bestämmelsen utgör ett av de undantagsfall där personuppgiftsbehandling är tillåten utan att den registrerade har lämnat sitt samtycke till behandlingen.
För att sådan personuppgiftsbehandling ska vara tillåten med stöd av 10 § p. f PUL krävs att i) behandlingen är nödvändig för att i) tillgodose ett berättigat intresse hos den personuppgiftsansvarige (eller sådan tredje man till vilken personuppgifterna lämnas ut), ii) om detta intresse väger tyngre än den registrerades intresse av skydd mot kränkning av den personliga integriteten.
Som framgår av det ovanstående ska bedömningen således göras genom en avvägning mellan å ena sidan den personuppgiftsansvariges berättigade intresse av att behandla personuppgifter och å andra sidan den registrerades personliga integritet. Denna bedömning är komplex och det är ofta svårt att med säkerhet säga hur enskilda fall, som ligger i gränszonen för vad som är tillåtet, skulle komma att bedömas vid en prövning i domstol eller vid tillsyn från Datainspektionen.
Artikel 29-gruppens fastslår inledningsvis i sitt att bedömningen måste göras utifrån ett flertal faktorer, såsom typen av uppgifter och behandling. Utlåtandet innehåller även en noggrann genomgång av hur de olika faktorerna ska bedömas och vägas mot varandra, vilket illustreras genom ett flertal exempel.
I utlåtandet föreslår Artikel 29-gruppen därtill att dataskyddsförordningen ska innehålla en exemplifierande lista av sådana faktorer som särskilt ska beaktas vid bedömningen av berättigat intresse, vilken ska fungera som en vägledning vid tillämpningen. Vare sig kommissionens förslag eller det förslag som röstats igenom i Europaparlamentetinnehåller någon sådan lista och det återstår att se om Rådet kommer att hörsamma Artikel 29-gruppens förslag.
Även om Artikel 29-gruppens utlåtande inte utgör en formell rättskälla, kan det i allra högsta grad vara vägledande för hur tillsynsmyndigheterna ser på bedömningen av berättigat intresse. Artikel 29-gruppen består, som tidigare nämnts, av företrädare för tillsynsmyndigheterna i medlemsstaterna, en företrädare för EU-kommissionen och Europeiska Datatillsynsmannen. De organisationer och företag som avser att behandla personuppgifter med stöd av regeln om berättigat intresse kan därför hämta vägledning i Artikel-29-gruppens utlåtande.
Utlåtandet finns att läsa i sin helhet här.