text: Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016

text: om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv

text: (allmän dataskyddsförordning). 2 Se även skäl 44. 3 Se till exempel

text: Europaparlamentets och rådets direktiv (EU) 2015/1535

text: , och

text: artikel 8 i dataskyddsförordningen

text: . Se

text: skäl 18

text: i

text: Europaparlamentets och rådets direktiv 2000/31/EG av den 8 juni 2000

text: om vissa rättsliga aspekter på informationssamhällets tjänster, särskilt elektronisk handel, på den inre marknaden.

text: I detta avseende måste personuppgiftsansvariga uppfylla de öppenhetsskyldigheter som anges i dataskyddsförordningen. 6 Inrättad enligt

text: artikel 68 i dataskyddsförordningen

text: . 7 Artikel 29-gruppens yttrande 06/2014 om begreppet berättigade intressen hos den registeransvarige enligt

text: artikel 7 i direktiv 95/46/EG

text: ). Se i synnerhet sidorna 11, 16. 17, 18 och 55.

text: En del personuppgifter förväntas vara privata eller förväntas enbart behandlas på vissa sätt, och uppgiftsbehandlingen bör inte vara överraskande för den registrerade. I dataskyddsförordningen hänvisas det till begreppet ”rimliga förväntningar”, i synnerhet i skälen 47 och 50 med avseende på artikel

text: 6.1 f

text: och

text: 4. 9 Se skäl 38, som hänvisar till att ”barns personuppgifter förtjänar särskilt skydd, eftersom barn kan vara mindre medvetna om berörda risker, följder och skyddsåtgärder samt om sina rättigheter när det gäller behandling av personuppgifter”. 10 Ett avtalsvillkor som inte har varit föremål för individuell förhandling är oskäligt enligt direktivet om oskäliga villkor ”om det i strid med kravet på god sed medför en betydande obalans i parternas rättigheter och skyldigheter enligt avtalet till nackdel för konsumenten”. I likhet med öppenhetsskyldigheten i dataskyddsförordningen föreskriver direktivet om oskäliga villkor att ett ”klart och begripligt” språk ska användas. Personuppgifter som behandlas på grundval av vad som anses vara ett oskäligt villkor enligt direktivet om oskäliga villkor uppfyller i allmänhet inte kravet enligt

text: artikel 5.1 a i dataskyddsförordningen

text: att behandlingen ska vara laglig och rättvis. 11 Vissa personuppgiftsansvariga utanför EES-länderna omfattas av dataskyddsförordningen; se

text: artikel 3 i dataskyddsförordningen

text: Artikel 29-gruppens yttrande 03/2013 om ändamålsbegränsning (

text: ), s. 15–16. 13 När personuppgiftsansvariga försöker fastställa den lämpliga rättsliga grunden i linje med rättviseprincipen kan detta vara svårt att åstadkomma om de inte först tydligt har fastställt behandlingens syften, eller om behandlingen av personuppgifter går utöver vad som är nödvändigt för de angivna ändamålen. 14 För mer information om följderna med avseende på

text: artikel 9

text: , se artikel 29-gruppens riktlinjer om samtycke enligt förordning 2016/679 (

text: ), som stöds av dataskyddsstyrelsen, s. 19–20.

text: Artikel 29-gruppens riktlinjer om samtycke enligt förordning 2016/679 (

text: ), som stöds av dataskyddsstyrelsen, s. 19. 16 EU-domstolen uppgav i målet Huber att ”det rör sig därmed om ett självständigt gemenskapsrättsligt begrepp [nödvändighet] som ska tolkas så, att det till fullo uppfyller syftet med detta direktiv [direktiv 95/46], såsom det definieras i

text: artikel 1.1

text: ”. EU-domstolen, dom av den 18 december 2008,

text: , Heinz Huber mot Förbundsrepubliken Tyskland, EU:C:2008:724, punkt 52. 17 Se artiklarna

text: och

text: i Europeiska unionens stadga om de grundläggande rättigheterna. 18 Se EDPS verktygslåda: Assessing the Necessity of Measures that Limit the Fundamental Right to the Protection of Personal Data, s. 5. 19 I Schecke-målet ansåg EU-domstolen att den lagstiftande församlingen, när den undersökte om det var nödvändigt att behandla personuppgifter, var tvungen att ta hänsyn till alternativa, mindre integritetskränkande åtgärder. EU-domstolen, dom av den 9 november 2010, förenade målen

text: och

text: , EU:C:2010:662, Volker und Markus Schecke GbR och Nartmut Eifert mot Land Hessen. Detta upprepades av EU-domstolen i målet Rīgas, där domstolen noterade att ”beträffande villkoret att behandlingen av uppgifterna ska vara nödvändig erinrar domstolen om att undantag från och begränsningar av skyddet för personuppgifter ska inskränkas till vad som är absolut nödvändigt”. EU-domstolen, dom av den 4 maj 2017, C-

text: 13/16, EU:C:2017:336, Valsts policijas Rīgas reģiona pārvaldes Kārtības policijas pārvalde mot Rīgas pašvaldības SIA ”Rīgas satiksme”, punkt 30. Ett strikt nödvändighetstest krävs för eventuella begränsningar av utövandet av rätten till integritetsskydd och skydd av personuppgifter med avseende på behandlingen av personuppgifter; se EDPS verktygslåda: Assessing the Necessity of Measures that Limit the Fundamental Right to the Protection of Personal Data, s. 7. 20 Artikel 29-gruppens yttrande 06/2014 om begreppet berättigade intressen hos den registeransvarige enligt

text: artikel 7 i direktiv 95/46/EG

text: ), s. 16–17.

text: Ibid, s. 17. 22 Se Artikel 29-gruppens riktlinjer om samtycke enligt förordning 2016/679 (

text: ), som stöds av dataskyddsstyrelsen, s. 31, där följande noteras: ”Enligt dataskyddsförordningen är det inte möjligt att byta ut en rättslig grund med en annan.”

text: Artikel 29-gruppens yttrande 06/2014 om begreppet berättigade intressen hos den registeransvarige enligt

text: artikel 7 i direktiv 95/46/EG

text: ), s. 17–18. 24 Om ett avtal därefter ogiltigförklaras kommer detta att påverka lagligheten (i den mening som avses i

text: artikel 5.1 a

text: ) hos den fortsatta behandlingen. Det medför dock inte automatiskt att valet av

text: artikel 6.1 b

text: som rättslig grund var felaktigt.

text: Onlinetjänster måste även ta hänsyn till

text: Europaparlamentets och rådets direktiv (EU) 2019/770 av den 20 maj 2019

text: om vissa aspekter på avtal om tillhandahållande av digitalt innehåll och digitala tjänster (EUT L 136, 22.5.2019, s. 1), som kommer att gälla från och med den 1 januari 2022. 26 Artikel 29-gruppens yttrande 06/2014 om begreppet berättigade intressen hos den registeransvarige enligt

text: artikel 7 i direktiv 95/46/EG

text: ), s. 17.

text: Se skäl 47, sjätte meningen. 28 Artikel 29-gruppens yttrande 06/2014 om begreppet berättigade intressen hos den registeransvarige enligt

text: artikel 7 i direktiv 95/46/EG

text: ), s. 17. 29 Se

text: om vissa aspekter på avtal om tillhandahållande av digitalt innehåll och digitala tjänster. 30 Förutom att användningen av personuppgifter regleras genom dataskyddsförordningen finns det ytterligare skäl till varför behandling av personuppgifter är väsensskild från monetära betalningar. Pengar kan till exempel räknas, vilket innebär att priser kan jämföras på en konkurrensbaserad marknad, och monetära betalningar normalt sett endast kan göras med den registrerades medverkan. Personuppgifter kan dessutom utnyttjas av flera tjänster samtidigt. När man väl har förlorat kontrollen över sina personuppgifter kan den inte nödvändigtvis återfås. 31 Artikel 29-gruppens yttrande 2/2010 om beteendestyrd online-annonsering (

text: ). 32 Artikel 29-gruppens arbetsdokument 02/2013 om tillhandahållande av vägledning om erhållande av samtycke för kakor (

text: Se även artikel 29-gruppens riktlinjer om automatiserat individuellt beslutsfattande och profilering i enlighet med förordning 2016/679 (

text: rev.01), stödd av dataskyddsstyrelsen, s. 13. 34 Onlinetjänster måste även ta hänsyn till

text: om vissa aspekter på avtal om tillhandahållande av digitalt innehåll och digitala tjänster (EUT L 136, 22.5.2019, s. 1), som kommer att gälla från och med den 1 januari 2022.

identifier: Riktlinjer 2/2019

amnesord:
Rättslig grund
Onlineplattformar

publisher: Europeiska dataskyddsstyrelsen

title: Riktlinjer 2/2019 om behandling av personuppgifter enligt artikel 6.1 b i dataskyddsförordningen i samband med tillhandahållandet av onlinetjänster till registrerade

version: Final version

text: 8 oktober 2019

type: rubrik

text: Europeiska dataskyddsstyrelsen har antagit följande riktlinjer

text: med beaktande av

text: artikel 70.1 e i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016

type: stycke

text: HÄRIGENOM FASTSTÄLLS FÖLJANDE.

text: 1 DEL 1 – INLEDNING

text: 1.1 Bakgrund

text: 1. I enlighet med

text: artikel 8 i Europeiska unionens stadga om de grundläggande rättigheterna

text: måste personuppgifter behandlas ”lagenligt för bestämda ändamål” och på grundval av en ”legitim och lagenlig grund”. I detta avseende specificeras i

text: artikel 6.1 i den allmänna dataskyddsförordningen

text: (nedan kallad dataskyddsförordningen) att behandlingen ska vara laglig enbart på grundval av ett av de sex villkor som anges i artikel 6.1

text: a

text: f

text: . Det är av yttersta vikt att fastställa den lämpliga rättsliga grund som motsvarar behandlingens syfte och natur. Personuppgiftsansvariga måste bland annat ta hänsyn till inverkan på de registrerades rättigheter när de fastställer den lämpliga rättsliga grunden för att respektera rättviseprincipen.

text: 2. I

text: artikel 6.1 b i dataskyddsförordningen

text: tillhandahålls en rättslig grund för behandling av personuppgifter i den mån som ”behandlingen är nödvändig för att fullgöra ett avtal i vilket den registrerade är part eller för att vidta åtgärder på begäran av den registrerade innan ett sådant avtal ingås”. Detta stöder näringsfriheten, som garanteras i

text: artikel 16 i stadgan

text: , och speglar det faktum att de avtalsenliga skyldigheterna gentemot den registrerade ibland inte kan uppfyllas utan att den registrerade tillhandahåller vissa personuppgifter. Om den särskilda behandlingen utgör en integrerad del i tillhandahållandet av den begärda tjänsten ligger behandlingen av dessa uppgifter i båda parters intresse, eftersom tjänsten i annat fall inte kan tillhandahållas och avtalet inte kan fullgöras. Möjligheten att stödja sig på denna eller någon av de andra rättsliga grunder som nämns i

text: artikel 6.1

text: undantar dock inte den personuppgiftsansvarige från att följa resten av kraven i dataskyddsförordningen.

text: 3. Artiklarna

text: och

text: i fördraget om Europeiska unionens funktionssätt definierar och reglerar friheten att tillhandahålla tjänster inom Europeiska unionen. Särskilda lagstiftningsåtgärder har antagits på EUnivå med avseende på ”informationssamhällets tjänster”. Dessa tjänster definieras som ”tjänster som vanligtvis utförs mot ersättning på distans, på elektronisk väg och på individuell begäran av en tjänstemottagare”. Denna definition omfattar tjänster som inte betalas direkt av de personer som erhåller dem, såsom onlinetjänster som finansieras genom annonsering. Med ”onlinetjänster ”i dessa riktlinjer avses ”informationssamhällets tjänster”.

text: 4. Utvecklingen av EU-rätten speglar den centrala betydelse som onlinetjänster har i det moderna samhället. Spridningen av ett mobilt internet som man alltid är uppkopplad till och den utbredda tillgängligheten till uppkopplade enheter har gjort det möjligt att utveckla onlinetjänster på områden såsom sociala medier, e-handel, internetsökning, kommunikation och resor. Även om en del av dessa tjänster finansieras genom användarbetalningar tillhandahålls andra utan att kunden betalar pengar och finansieras i stället av försäljning av annonstjänster online som gör det möjligt att rikta in sig på registrerade. Spårning av användarnas beteenden i sådana reklamsyften utförs ofta på sätt som användaren ofta inte är medveten om , och är inte alltid uppenbar på grundval av arten av tjänst som tillhandahålls, vilket i praktiken nästan gör det omöjligt för den registrerade att göra ett välinformerat val rörande användningen av hans eller hennes uppgifter.

text: 5. Mot denna bakgrund anser Europeiska dataskyddsstyrelsen (nedan kallad dataskyddsstyrelsen) att det är lämpligt att erbjuda vägledning om när

text: artikel 6.1 b

text: om behandling av personuppgifter i samband med onlinetjänster är tillämplig för att se till att denna rättsliga grund endast åberopas när så är lämpligt.

text: 6. Arbetsgruppen för skydd av enskilda med avseende på behandlingen av personuppgifter (nedan kallad artikel 29-gruppen) har tidigare haft synpunkter på avtalsmässig nödvändighet som grund enligt direktiv

text: i sitt yttrande om begreppet berättigade intressen hos den personuppgiftsansvarige. I allmänhet är denna vägledning fortfarande relevant för

text: artikel 6.1 b

text: och dataskyddsförordningen.

text: 1.2 Riktlinjernas tillämpningsområde

text: 7. Dessa riktlinjer tar upp när

text: artikel 6.1 b

text: är tillämplig på behandlingen av personuppgifter i samband med avtal för onlinetjänster, oavsett hur dessa tjänster finansieras. Riktlinjerna kommer kortfattat att beskriva vad som avses med laglig behandling enligt

text: artikel 6.1 b i dataskyddsförordningen

text: och ta upp begreppet ”nödvändighet”, i form av ”nödvändig för att fullgöra ett avtal”.

text: 8. Uppgiftsskyddsregler styr viktiga aspekter av hur onlinetjänster samverkar med sina användare, men andra regler är också tillämpliga. Regleringen av onlinetjänster inbegriper tvärfunktionella ansvarsskyldigheter, bland annat vad gäller konsumentskyddsrätt och konkurrensrätt. Hänsynstaganden som rör dessa rättsliga områden omfattas inte av dessa riktlinjers tillämpningsområde.

text: 9. Även om

text: artikel 6.1 b

text: endast kan tillämpas i ett avtalssammanhang uttrycks i dessa riktlinjer inte någon åsikt om den allmänna giltigheten hos avtal för onlinetjänster, eftersom detta ligger utanför dataskyddsstyrelsens behörighetsområde. Icke desto mindre måste avtal och avtalsvillkor uppfylla avtalsrättsliga krav och, när det gäller konsumentavtal, eventuellt också konsumentskyddslagar för att behandlingen på grundval av dessa villkor ska anses vara rättvis och laglig.

text: 10. Vissa allmänna synpunkter på principer för uppgiftsskydd nämns nedan, men vi kommer inte att diskutera alla uppgiftsskyddsfrågor som kan uppstå vid behandling enligt

text: artikel 6.1 b

text: . Personuppgiftsansvariga måste alltid säkerställa att de följer samtliga principer för dataskydd som fastställs i

text: artikel 5

text: och alla andra krav i dataskyddsförordningen samt, i förekommande fall, i lagstiftningen rörande e-integritet.

text: 2 DEL 2 – ANALYS AV ARTIKEL 6.1 B

text: 2.1 Allmänna synpunkter

text: 11. Den rättsliga grunden för behandling på grundval av

text: artikel 6.1 b

text: måste övervägas mot bakgrund av dataskyddsförordningen som helhet och de mål som fastställs i

text: artikel 1

text: , jämte den personuppgiftsansvariges skyldighet att behandla personuppgifter i enlighet med de principer för dataskydd som avses i

text: artikel 5

text: . Detta innebär att personuppgifter ska behandlas på ett rättvist och öppet sätt och i linje med ändamålsbegränsnings- och uppgiftsminimeringsskyldigheterna.

text: 12. Enligt

text: artikel 5.1 a i dataskyddsförordningen

text: måste personuppgifter behandlas på ett lagligt, rättvist och öppet sätt i förhållande till den registrerade. Med rättviseprincipen avses bland annat att man ska erkänna de registrerades rimliga förväntningar , ta hänsyn till de möjliga negativa följder som behandlingen kan ha för dem och beakta förhållandet och de potentiella ojämlikhetseffekterna mellan dem och den personuppgiftsansvarige.

text: 13. Som redan har nämnts måste avtal för onlinetjänster med avseende på laglighet vara giltiga enligt den tillämpliga avtalsrätten. Ett exempel på en relevant faktor är huruvida den registrerade är ett barn. I ett sådant fall (och utöver att uppfylla kraven i dataskyddsförordningen, däribland det ”[särskilda] skydd” som gäller för barn) måste den personuppgiftsansvarige se till att denne följer de relevanta nationella lagarna om barns behörighet att sluta avtal. Dessutom måste den personuppgiftsansvarige, för att säkerställa att principerna om rättvisa och laglighet efterlevs, uppfylla andra rättsliga krav. För konsumentavtal kan till exempel direktiv

text: om oskäliga villkor i konsumentavtal (nedan kallat direktivet om oskäliga villkor) vara tillämpligt.

text: Artikel 6.1 b

text: gäller inte endast för avtal som styrs av en EES-medlemsstats lagstiftning.

text: 14. I

text: artikel 5.1 b i dataskyddsförordningen

text: föreskrivs principen om ändamålsbegränsning, som kräver att personuppgifter måste samlas in för ”särskilda, uttryckligt angivna och berättigade ändamål och inte senare behandlas på ett sätt som är oförenligt med dessa ändamål”.

text: 15. I

text: artikel 5.1 c

text: föreskrivs principen om uppgiftsminimering, dvs. att så få uppgifter som möjligt ska behandlas för att syftet ska uppnås. Denna bedömning kompletterar nödvändighetsbedömningarna i enlighet med artikel 6.1

text: b

text: f

text: 16. Både ändamålsbegränsnings- och uppgiftsminimeringsprinciperna är särskilt relevanta när det gäller avtal för onlinetjänster, som typiskt sett inte förhandlas på individuell basis. Tekniska framsteg gör det möjligt för personuppgiftsansvariga att på ett enkelt sätt samla in och behandla fler personuppgifter än någonsin tidigare. Som en följd av detta finns det en akut risk för att personuppgiftsansvariga kan försöka inkludera allmänna behandlingsvillkor i avtal för att maximera den möjliga insamlingen och användningen av uppgifter, utan att närmare ange vilka skälen till detta är eller ta hänsyn till uppgiftsminimeringsskyldigheten. Artikel 29-gruppen har tidigare noterat följande: Syftet med insamlingen måste anges tydligt och specifikt; det måste vara tillräckligt detaljerat för att fastställa vilken typ av behandling som inbegrips och inte inbegrips i det angivna syftet, och möjliggöra att efterlevnaden av lagen kan bedömas och uppgiftsskyddsgarantierna kan tillämpas. Av dessa skäl uppfyller vanligen inte ett syfte som är vagt och allmänt hållet, till exempel ”förbättra användarupplevelsen”, ”marknadsföringsskäl”, ”it-säkerhetsskäl” eller ”framtida forskning”, kriterierna för att vara ”specifikt” om inte fler detaljer anges.

text: 2.2 Samverkan mellan

text: artikel 6.1 b

text: och andra rättsliga behandlingsgrunder

text: 17. I fall där behandlingen inte anses vara ”nödvändig för att fullgöra ett avtal”, dvs. när en begärd tjänst kan tillhandahållas utan att den särskilt angivna behandlingen äger rum, medger dataskyddsstyrelsen att någon annan rättslig grund kan vara tillämplig, under förutsättning att de relevanta villkoren uppfylls. I synnerhet kan det under vissa omständigheter vara lämpligare att stödja sig på frivilligt samtycke enligt

text: artikel 6.1 a

text: . I andra fall kan

text: artikel 6.1 f

text: erbjuda en lämpligare rättslig behandlingsgrund. Den rättsliga grunden måste anges när behandlingen inleds, och den måste även specificeras i den information som lämnas till de registrerade i enlighet med artiklarna

text: och

text: 18. Det är möjligt att någon annan rättslig grund än

text: artikel 6.1 b

text: kan passa bättre för den berörda behandlingens mål och bakgrund. Fastställandet av den lämpliga rättsliga grunden är kopplat till principerna om rättvisa och ändamålsbegränsning.

text: 19. I artikel 29-gruppens riktlinjer om samtycke tydliggörs också att om ”en registeransvarig försöker behandla personuppgifter som rent faktiskt är nödvändiga för fullgörandet av ett avtal, så är inte samtycke den lämpliga rättsliga grunden”. Omvänt anser dataskyddsstyrelsen att om behandlingen rent faktiskt inte är nödvändig för fullgörandet av ett avtal kan denna behandling endast äga rum om den utgår från någon annan lämplig rättslig grund.

text: 20. I linje med deras öppenhetsskyldigheter bör de personuppgiftsansvariga säkerställa att de undviker all förvirring kring vad som utgör den tillämpliga rättsliga grunden. Detta är särskilt relevant om den lämpliga rättsliga grunden är

text: artikel 6.1 b

text: och ett avtal rörande onlinetjänster ingås av registrerade. Beroende på omständigheterna kan de registrerade felaktigt få intrycket att de ger sitt samtycke i enlighet med

text: artikel 6.1 a

text: när de undertecknar ett avtal eller godkänner tjänstevillkor. Samtidigt kan en personuppgiftsansvarig felaktigt anta att undertecknandet av ett avtal motsvarar samtycke i den mening som avses i

text: artikel 6.1 a

text: . Dessa begrepp är dock helt väsensskilda. Det är viktigt att skilja mellan att godkänna tjänstevillkor för att ingå ett avtal och ge sitt samtycke i den mening som avses i

text: artikel 6.1 a

text: , eftersom dessa begrepp har olika krav och rättsliga följder.

text: 21. Med avseende på behandlingen av särskilda kategorier av personuppgifter har artikel 29-gruppen i sina riktlinjer om samtycke även noterat att

text: artikel 9.2

text: inte erkänner ”nödvändig för att fullgöra ett avtal” som ett undantag till det allmänna förbudet att behandla särskilda uppgiftskategorier. Därför bör registeransvariga och medlemsstater som handskas med denna situation utforska de särskilda undantagen i

text: artikel 9.2

text: , leden b–j. Om inget av undantagen b–j är tillämpligt är det enda möjliga lagliga undantaget för att behandla sådana uppgifter att få uttryckligt samtycke i enlighet med villkoren för giltigt samtycke i dataskyddsförordningen.

text: 2.3 Tillämpningsområdet för

text: artikel 6.1 b

text: Artikel 6.1 b

text: gäller när något av följande två villkor uppfylls: behandlingen i fråga måste objektivt sett vara nödvändig för fullgörandet av ett avtal med en registrerad, eller behandlingen måste objektivt sett vara nödvändig för att vidta avtalsförberedande åtgärder på begäran av den registrerade.

text: 2.4 Nödvändighet

text: 23. Behandlingens nödvändighet är en förutsättning för båda delarna av

text: artikel 6.1 b

text: . Från första början är det viktigt att notera att begreppet ”nödvändigt för fullgörande av ett avtal” inte helt enkelt är en bedömning av vad som tillåts enligt eller vad som skrivs in i avtalsvillkoren. Begreppet nödvändighet har en oberoende betydelse i EU-rätten, som måste spegla syftena med uppgiftsskyddsrätten. Det innebär därför också att hänsyn ska tas även till den grundläggande rätten till integritetsskydd och skydd av personuppgifter , liksom till kraven i uppgiftsskyddsprinciperna, däribland (och framför allt) rättviseprincipen.

text: 24. Man måste börja med att fastställa vad behandlingen har för ändamål, och i samband med ett avtalsförhållande kan det finnas flera olika behandlingsändamål. Dessa ändamål måste anges tydligt och meddelas till den registrerade i enlighet med den personuppgiftsansvariges ändamålsbegränsnings- och öppenhetsskyldigheter.

text: 25. Att bedöma vad som är ”nödvändigt” innebär en kombinerad, faktabaserad bedömning av behandlingen ”för det mål som åsyftas och av huruvida det är mindre integritetskränkande jämfört med andra alternativ för hur man uppnår samma mål”. Om det finns realistiska, mindre integritetskränkande alternativ är behandlingen inte ”nödvändig”.

text: Artikel 6.1 b

text: ska inte omfatta behandling som är användbar men objektivt sett inte nödvändig för att utföra den avtalade tjänsten eller för att vidta de relevanta avtalsförberedande åtgärderna på den registrerades begäran, även om det är nödvändigt för den personuppgiftsansvariges andra verksamhetsändamål.

text: 2.5 Nödvändig för fullgörandet av ett avtal med den registrerade

text: 26. En personuppgiftsansvarig kan stödja sig på det första alternativet i

text: artikel 6.1 b

text: för att behandla personuppgifter när denne, i enlighet med sin ansvarsskyldighet enligt

text: artikel 5.2

text: , kan fastställa både att behandlingen äger rum i samband med ett giltigt avtal med den registrerade och att behandlingen är nödvändig för att avtalet i fråga med den registrerade ska kunna fullgöras. När personuppgiftsansvariga inte kan visa att a) ett avtal existerar, b) avtalet är giltigt i enlighet med tillämpliga nationella avtalslagar och c) behandlingen objektivt sett är nödvändig för fullgörandet av avtalet, bör den personuppgiftsansvarige överväga att använda en annan rättslig grund för behandlingen.

text: 27. Att endast hänvisa till eller nämna uppgiftsbehandling i ett avtal räcker inte för att behandlingen i fråga ska omfattas av

text: artikel 6.1 b

text: . Å andra sidan kan behandlingen objektivt sett vara nödvändig även om den inte särskilt nämns i avtalet. I vilket fall som helst måste den personuppgiftsansvarige uppfylla sina öppenhetsskyldigheter. Om den personuppgiftsansvarige försöker fastställa att behandlingen bygger på fullgörandet av ett avtal med den registrerade är det viktigt att bedöma vad som objektivt sett är nödvändigt för att fullgöra avtalet. ”Nödvändig för fullgörandet” kräver helt klart något utöver en avtalsklausul. Detta är också tydligt mot bakgrund av

text: artikel 7.4

text: . Även om denna bestämmelse endast har att göra med samtyckets giltighet tydliggör den skillnaden mellan behandling som är nödvändig för fullgörandet av ett avtal och klausuler som gör tjänsten beroende av viss behandlingsverksamhet som i själva verket inte är nödvändig för avtalets fullgörande.

text: 28. I detta avseende stöder dataskyddsstyrelsen den vägledning som tidigare antogs av artikel 29-gruppen om motsvarande bestämmelse enligt det föregående direktivet om att begreppet ”nödvändig för fullgörandet av ett avtal med den registrerade” måste tolkas strikt och omfattar inte situationer där behandlingen inte är genuint nödvändig för fullgörandet av ett avtal, utan påförs snarare den registrerade unilateralt av den registeransvarige. Det faktum att ett avtal omfattar viss behandling innebär inte heller automatiskt att behandlingen är nödvändig för att fullgöra avtalet. [...] Även om denna behandling särskilt nämns i det finstilta i avtalet gör inte enbart detta faktum att den är ”nödvändig” för fullgörandet av avtalet.

text: 29. Dataskyddsstyrelsen påminner också om samma vägledning från artikel 29-gruppen, där följande noteras: Det finns en tydlig koppling här mellan nödvändighetsbedömningen och uppfyllandet av principen om ändamålsbegränsning. Det är viktigt att fastställa den exakta logiska grunden för avtalet, dvs. dess innehåll och grundläggande syfte, eftersom det är mot bakgrund av detta som det kommer att prövas om uppgiftsbehandlingen är nödvändig för avtalets fullgörande.

text: 30. När man bedömer om

text: artikel 6.1 b

text: är en lämplig rättslig behandlingsgrund i samband med en onlinetjänst på avtalsbasis, bör man ta hänsyn till tjänstens särskilda mål, syfte eller ändamål. För att

text: artikel 6.1 b

text: ska vara tillämplig krävs det att behandlingen objektivt sett är nödvändig för ett ändamål som är väsentligt för tillhandahållandet av denna tjänst på avtalsbasis till den registrerade. Behandlingen av betalningsinformation i syfte att ta betalt för tjänsten är inte undantagen. Den personuppgiftsansvarige bör kunna visa hur huvudföremålet i det angivna avtalet med den registrerade rent faktiskt inte kan fullgöras om den särskilda behandlingen av personuppgifterna i fråga inte äger rum. Den viktiga frågan här är kopplingen mellan de berörda personuppgifterna och behandlingen, och utförandet eller icke-utförandet av den tjänst som tillhandahålls enligt avtalet.

text: 31. Avtal för digitala tjänster kan inbegripa uttryckliga villkor som påför ytterligare villkor, bland annat om annonsering, betalningar eller kakor. Ett avtal kan inte på konstlad väg utöka kategorierna av personuppgifter eller de typer av behandling som den personuppgiftsansvarige måste utföra för fullgörandet av avtalet i den mening som avses i

text: artikel 6.1 b

text: 32. Den personuppgiftsansvarige bör kunna motivera att behandlingen är nödvändig genom att hänvisa till det grundläggande och ömsesidigt förstådda ändamålet med avtalet. Detta beror inte endast på den personuppgiftsansvariges perspektiv utan också på en förnuftig registrerads perspektiv när denne ingår avtalet, och på huruvida avtalet ändå kan anses ”fullgöras” utan behandlingen i fråga. Även om den personuppgiftsansvarige kan anse att behandlingen är nödvändig för avtalsändamålet är det viktigt att han eller hon noga undersöker en genomsnittlig registrerads perspektiv för att säkerställa att det finns en genuin ömsesidig förståelse av avtalets ändamål.

text: 33. För att bedöma huruvida

text: artikel 6.1 b

text: är tillämplig kan följande frågor fungera som vägledning:  Vad för slags tjänst är det som tillhandahålls den registrerade? Vilka är dess utmärkande egenskaper?  Vilken är avtalets exakta logiska grund (dvs. dess innehåll och grundläggande syfte)?  Vilka är avtalets grundsatser?  Vilka är avtalsparternas ömsesidiga perspektiv och förväntningar? Hur marknadsförs eller annonseras tjänsten till den registrerade? Skulle en vanlig användare av tjänsten rimligen förvänta sig att, med tanke på vilken slags tjänst det rör sig om, den planerade behandlingen kommer att äga rum för att fullgöra det avtal i vilket denne är part?

text: 34. Om bedömningen av vad som är ”nödvändigt för avtalets fullgörande”, som måste utföras innan behandlingen påbörjas, visar att den avsedda behandlingen går utöver vad som objektivt sett är nödvändigt för fullgörandet av ett avtal, innebär inte detta att en sådan framtida behandling är olaglig i sig. Som redan har nämnts gör

text: artikel 6

text: det tydligt att andra rättsliga grunder kan finnas tillgängliga innan behandlingen inleds.

text: 35. Om ny teknik introduceras under tjänstens livstid som ändrar hur personuppgifter behandlas, eller om tjänsten vidareutvecklas på annat sätt, måste kriterierna ovan bedömas på nytt för att fastställa om någon ny eller ändrad behandling kan baseras på

text: artikel 6.1 b

text: . Exempel 1 En registrerad köper varor från en onlineförsäljare. Den registrerade vill betala med kreditkort och att produkterna ska levereras till hemadressen. För att fullgöra avtalet måste försäljaren behandla den registrerades kreditkortsinformation och fakturaadress i betalningssyfte och den registrerades hemadress för leveransen.

text: Artikel 6.1 b

text: är därmed tillämplig som rättslig grund för denna behandling. Men om kunden har valt leverans till ett uthämtningsställe är behandlingen av den registrerades hemadress inte längre nödvändig för fullgörandet av köpeavtalet. All behandling av den registrerades adress i detta sammanhang kräver en annan rättslig grund än

text: artikel 6.1 b

text: . Exempel 2 Samma onlineförsäljare vill bygga upp profiler som består av användarens smak och livsstilsval baserat på deras besök på webbplatsen. Fullgörandet av köpeavtalet är inte beroende av att det skapas sådana profiler. Även om profilering särskilt nämns i avtalet gör inte enbart detta faktum att den är ”nödvändig” för fullgörandet av avtalet. Om onlineförsäljaren vill göra sådana profileringar måste denne stödja sig på en annan rättslig grund.

text: 36. Personuppgiftsansvariga kan fritt utforma sin verksamhet, sina tjänster och sina avtal så länge de håller sig inom ramen för avtalsrätten och, i tillämpliga fall, konsumenträtten. I vissa fall kan en personuppgiftsansvarig vilja skapa ett paket av flera fristående tjänster eller delar av en tjänst med olika grundläggande ändamål, kännetecken eller motivering i ett enda avtal. Detta kan skapa en ”allt eller inget”-situation för registrerade som kanske endast är intresserade av en av tjänsterna.

text: 37. I enlighet med uppgiftsskyddsrätten måste personuppgiftsansvariga ta hänsyn till att den behandling som planeras måste ha en lämplig rättslig grund. Om ett avtal består av flera fristående tjänster eller delar av en tjänst som i själva verket rimligen kan utföras oberoende av varandra uppkommer frågan om i vilken utsträckning

text: artikel 6.1 b

text: kan användas som rättslig grund. Tillämpningen av

text: artikel 6.1 b

text: bör bedömas mot bakgrund av var och en av dessa tjänster separat, genom att man tittar på vad som objektivt sett är nödvändigt för att utföra var och en av de enskilda tjänster som den registrerade aktivt har begärt eller anmält sig till. Denna bedömning kan avslöja att viss behandling inte är nödvändig för de enskilda tjänster som har begärts av den registrerade, utan snarare nödvändig för den personuppgiftsansvariges affärsmodell i stort. I så fall ska

text: artikel 6.1 b

text: inte användas som rättslig grund för dessa åtgärder. Andra rättsliga grunder kan dock vara tillgängliga för denna behandling, såsom artikel 6.1

text: a

text: eller

text: f

text: , under förutsättning att de relevanta kriterierna uppfylls. Bedömningen av huruvida

text: artikel 6.1 b

text: är tillämplig påverkar därmed inte avtalets laglighet eller sammansättningen av tjänstepaketet i sig.

text: 38. Som tidigare har observerats av artikel 29-gruppen gäller den rättsliga grunden endast vad som är nödvändigt för fullgörandet av ett avtal. Den gäller alltså inte automatiskt för alla ytterligare åtgärder som initieras på grund av bristande efterlevnad eller för alla andra händelser under fullgörandet av ett avtal. Vissa handlingar kan dock rimligen förutses och vara nödvändiga inom ramen för ett normalt avtalsförhållande, såsom att skicka formella påminnelser om uteblivna betalningar eller att rätta till fel eller förseningar vid fullgörandet av avtalet.

text: Artikel 6.1 b

text: kan omfatta behandling av personuppgifter som är nödvändig med avseende på sådana åtgärder. Exempel 3 Ett företag säljer produkter på nätet. En kund kontaktar företaget eftersom färgen på den produkt som köpts skiljer sig från vad som hade avtalats. Behandlingen av kundens personuppgifter i syfte att åtgärda detta problem kan baseras på

text: artikel 6.1 b

text: 39. Avtalsgarantier kan vara en del av fullgörandet av ett avtal, och lagring av vissa uppgifter för garantiändamål under en angiven lagringstid efter det att utbytet av varor/tjänster/betalningen har slutförts kan därmed vara nödvändig för fullgörandet av avtalet.

text: 2.6 Uppsägning av avtal

text: 40. En personuppgiftsansvarig måste fastställa den lämpliga rättsliga grunden för den planerade behandlingen innan behandlingen påbörjas. Om

text: artikel 6.1 b

text: utgör grunden för en del eller all behandling bör den personuppgiftsansvarige förutse vad som händer om detta avtal sägs upp.

text: 41. Om behandlingen av personuppgifter baseras på

text: artikel 6.1 b

text: och avtalet sägs upp i sin helhet kommer som regel behandlingen av dessa uppgifter inte längre att vara nödvändig för fullgörandet av detta avtal och den personuppgiftsansvarige måste därmed upphöra med behandlingen. Den registrerade kan ha angett sina personuppgifter i samband med ett avtalsförhållande där denne litade på att uppgifterna endast behandlades som en nödvändig del av detta förhållande. Det är därför i allmänhet oskäligt att byta till en ny rättslig grund när den ursprungliga grunden upphör att existera.

text: 42. När ett avtal sägs upp kan detta medföra en del administration, såsom att varorna eller betalningen returneras. Den behandling som är förbunden med detta kan baseras på

text: artikel 6.1 b

text: 43. I

text: artikel 17.1 a

text: föreskrivs att personuppgifter ska raderas när de inte längre är nödvändiga för det ändamål för vilket de samlades in. Icke desto mindre gäller inte detta om behandlingen är nödvändig för vissa särskilda ändamål, inklusive efterlevnad av en rättslig förpliktelse i enlighet med

text: artikel 17.3 b

text: , eller för att fastställa, göra gällande eller försvara rättsliga anspråk i enlighet med

text: artikel 17.3 e

text: . Om personuppgiftsansvariga ser att det finns ett allmänt behov av att föra register för juridiska ändamål måste de i praktiken fastställa en rättslig grund för detta innan behandlingen inleds, och de behöver redan från början tydligt ange hur länge de planerar att lagra uppgifterna för dessa juridiska ändamål efter det att avtalet sagts upp. Om de gör detta behöver de inte radera uppgifterna när avtalet sägs upp.

text: 44. I sådana fall kan det hända att flera behandlingsåtgärder med skilda ändamål och rättsliga grunder fastställdes innan behandlingen inleddes. Så länge dessa andra behandlingsåtgärder fortsatt är lagliga, och den personuppgiftsansvarige tydligt meddelade dessa åtgärder när behandlingen inleddes i enlighet med öppenhetsskyldigheterna i dataskyddsförordningen, är det fortfarande möjligt att behandla den registrerades personuppgifter för dessa enskilda ändamål efter det att avtalet har sagts upp. Exempel 4 En onlinetjänst tillhandahåller en prenumerationstjänst som kan sägas upp när som helst. När ett avtal om tjänsten ingås tillhandahåller den personuppgiftsansvarige information till den registrerade om behandlingen av personuppgifter. Den personuppgiftsansvarige förklarar bland annat att så länge avtalet är aktivt kommer uppgifter om användningen av tjänsten att behandlas i syfte att ställa ut fakturor. Den tillämpliga rättsliga grunden är

text: artikel 6.1 b

text: eftersom behandlingen för faktureringsändamål kan anses vara objektivt sett nödvändig för fullgörandet av avtalet. När avtalet sägs upp kommer användningshistoriken dock att raderas, under förutsättning att det inte finns några pågående relevanta rättsliga anspråk eller rättsliga krav på att lagra uppgifterna. Den personuppgiftsansvarige ska dessutom informera den registrerade om att den personuppgiftsansvarige har en rättslig förpliktelse enligt nationell lagstiftning att lagra vissa personuppgifter för redovisningsändamål under ett visst antal år. Den lämpliga rättsliga grunden är

text: artikel 6.1 c

text: , och lagringen kommer att äga rum även om avtalet sägs upp.

text: 2.7 Nödvändig för att vidta åtgärder innan ett avtal ingås

text: 45. Det andra alternativet för

text: artikel 6.1 b

text: gäller om behandlingen är nödvändig för att vidta åtgärder på begäran av den registrerade innan ett avtal ingås. Denna bestämmelse speglar det faktum att förberedande behandling av personuppgifter kan vara nödvändig innan ett avtal ingås för att underlätta det faktiska ingåendet av detta avtal.

text: 46. Vid den tidpunkt då uppgifterna behandlas är det eventuellt inte klart huruvida ett avtal faktiskt kommer att ingås. Det andra alternativet för

text: artikel 6.1 b

text: kan icke desto mindre gälla så länge den registrerade gör sin begäran i samband med att denne eventuellt ska ingå ett avtal och behandlingen i fråga är nödvändig för att utföra de begärda stegen. I linje med detta kan, om en registrerad kontaktar den personuppgiftsansvarige för att fråga om detaljerna rörande den personuppgiftsansvariges tjänsteutbud, behandlingen av den registrerades personuppgifter i syfte att svara på frågan baseras på

text: artikel 6.1 b

text: 47. I vilket fall som helst skulle denna bestämmelse inte täcka oönskad marknadsföring eller annan behandling som enbart utförs på initiativ av den personuppgiftsansvarige eller på begäran av en tredje part. Exempel 5 En registrerad anger sitt postnummer för att se om en särskild tjänsteleverantör är aktiv i dennes område. Detta kan anses som behandling som är nödvändig för att vidta åtgärder på begäran av den registrerade innan ett avtal ingås i enlighet med

text: artikel 6.1 b

text: . Exempel 6 I vissa fall har finansinstitut en skyldighet att identifiera sina kunder i enlighet med nationell lagstiftning. I linje med detta begär en bank att få se de registrerades identitetshandlingar innan de ingår avtal med dem. I detta fall är identifieringen nödvändig för en rättslig förpliktelse å bankens vägnar snarare än för att vidta åtgärder på den registrerades begäran. Därför är den lämpliga rättsliga grunden inte

text: artikel 6.1 b

text: utan

text: artikel 6.1 c

text: 3 DEL 3 – TILLÄMPLIGHETEN HOS ARTIKEL 6.1 B I SÄRSKILDA SITUATIONER

text: 3.1 Behandling för ”förbättring av tjänster”

text: 48. Onlinetjänster samlar ofta in detaljerad information om hur användarna använder deras tjänster. I de flesta fall kan inte insamling av organisatoriska mätdata rörande en tjänst eller detaljer om användarbeteende anses vara nödvändig för tillhandahållandet av tjänsten eftersom tjänsten skulle kunna tillhandahållas utan att dessa personuppgifter behandlades. Trots detta skulle en tjänsteleverantör kunna stödja sig på alternativa rättsliga grunder för denna behandling, såsom berättigade intressen eller samtycke.

text: 49. Dataskyddsstyrelsen anser inte att artikel 6.1 b i allmänhet skulle vara en lämplig rättslig grund för behandling i syfte att förbättra en tjänst eller utveckla nya funktioner inom ramen för en befintlig tjänst. I de flesta fall ingår en användare ett avtal för att använda en befintlig tjänst. Även om möjligheten att göra förbättringar och ändringar av en tjänst rutinmässigt kan ingå i avtalsvillkoren kan en sådan behandling vanligen inte anses vara objektivt sett nödvändig för att fullgöra avtalet med användaren.

text: 3.2 Behandling för ”bedrägeribekämpning”

text: 50. Som artikel 29-gruppen redan har noterat kan behandling för bedrägeribekämpningsändamål inbegripa övervakning och profilering av kunder. Enligt dataskyddsstyrelsen är det troligt att denna behandling går utöver vad som objektivt sett är nödvändigt för att fullgöra ett avtal med den registrerade. Den behandling av personuppgifter som är strikt nödvändig i syfte att förhindra bedrägerier kan dock utgöra ett berättigat intresse hos den personuppgiftsansvarige och kan därmed anses vara laglig om de särskilda kraven i

text: artikel 6.1 f

text: (berättigade intressen) uppfylls av den personuppgiftsansvarige. Dessutom skulle

text: artikel 6.1 c

text: (rättslig förpliktelse) även kunna utgöra en rättslig grund för sådan uppgiftsbehandling.

text: 3.3 Behandling för beteendestyrd online-annonsering

text: 51. Beteendestyrd online-annonsering, och därmed förknippad spårning och profilering av registrerade, används ofta för att finansiera onlinetjänster. Artikel 29-gruppen har tidigare meddelat sina synpunkter på sådan behandling genom att uppge att [avtalsmässig nödvändighet] inte utgör en lämplig rättslig grund för skapandet av en profil över användarens smak och livsstilsbeslut utifrån dennes klick och inköp på en webbplats. Skälet till detta är att den registeransvariges avtalsenliga uppgift inte är att utföra profilering, utan att leverera t.ex. vissa varor och tjänster.

text: 52. Som regel är behandling av personuppgifter för beteendestyrd annonsering inte nödvändig för fullgörandet av ett avtal om onlinetjänster. Normalt sett skulle det vara svårt att hävda att avtalet inte hade fullgjorts om det inte fanns någon beteendestyrd annonsering. Detta stöds i ännu högre grad av att registrerade har en absolut rättighet enligt

text: artikel 21

text: att invända mot behandlingen av sina uppgifter för direkta marknadsändamål.

text: 53. I enlighet med detta kan inte

text: artikel 6.1 b

text: utgöra en rättslig grund för beteendestyrd onlineannonsering enbart för att denna annonsering indirekt finansierar tillhandahållandet av tjänsten i fråga. Även om sådan behandling kan stödja tillhandahållandet av en tjänst är detta i sig inte tillräckligt för att fastställa att den är nödvändig för fullgörandet av avtalet i fråga. Den personuppgiftsansvarige skulle behöva överväga de faktorer som beskrivs i punkt 33.

text: 54. Med tanke på att uppgiftsskydd är en grundläggande rättighet som garanteras i

text: artikel 8 i stadgan

text: om de grundläggande rättigheterna, och med hänsyn tagen till att ett av huvudsyftena med dataskyddsförordningen är att ge registrerade kontroll över den information som avser dem, kan inte personuppgifter anses utgöra en handelsvara. Även om den registrerade kan godkänna behandlingen av personuppgifter kan han eller hon inte byta bort sina grundläggande rättigheter genom detta avtal.

text: 55. Dataskyddsstyrelsen noterar också att personuppgiftsansvariga, i linje med kraven rörande e-integritet och det befintliga yttrandet från artikel 29-gruppen om beteendestyrd annonsering, samt arbetsdokument 02/2013 om tillhandahållande av vägledning om erhållande av samtycke för kakor, måste erhålla de registrerades förhandssamtycke för att placera ut de kakor som är nödvändiga för att ägna sig åt beteendestyrd annonsering.

text: 56. Dataskyddsstyrelsen noterar också att spårning och profilering av användare kan utföras i syfte att identifiera grupper av individer med likartade kännetecken för att möjliggöra riktad annonsering till likartade mottagargrupper. Sådan behandling kan inte utföras på grundval av

text: artikel 6.1 b

text: , eftersom det inte kan sägas vara objektivt sett nödvändigt för fullgörandet av avtalet med användaren att man spårar och jämför användares kännetecken och beteenden i syften som avser annonsering till andra personer.

text: 3.4 Behandling för personanpassning av innehåll

text: 57. Dataskyddsstyrelsen bekräftar att personanpassningen av innehåll kan utgöra (men gör inte alltid detta) en integrerad och förväntad del av vissa onlinetjänster, och att den därför i vissa fall kan anses vara nödvändig för fullgörandet av avtalet med användaren av tjänsten. Huruvida denna behandling kan anses utgöra en integrerad aspekt av en onlinetjänst beror på beskaffenheten av den tjänst som tillhandahålls, den genomsnittlige registrerades förväntningar mot bakgrund inte bara av tjänstevillkoren utan också hur tjänsten marknadsförs till användarna, och huruvida tjänsten kan tillhandahållas utan personanpassning. Om personanpassningen av innehållet inte är objektivt sett nödvändig för fullgörandet av det underliggande avtalet, till exempel om leveransen av det personanpassade innehållet avses öka användarens användning av tjänsten men inte utgör en integrerad del av användningen av tjänsten, bör personuppgiftsansvariga överväga en alternativ rättslig grund i tillämpliga fall. Exempel 7 En onlinebaserad hotellsökmotor övervakar användarnas tidigare bokningar för att skapa en profil över deras typiska utlägg. Denna profil används sedan för att rekommendera särskilda hotell till användaren när sökresultaten presenteras. I detta fall skulle profileringen av användarens tidigare beteende och finansiella uppgifter inte vara objektivt sett nödvändig för fullgörandet av avtalet, dvs. tillhandahållandet av rumsuthyrningstjänster på grundval av särskilda sökkriterier som anges av användaren. Därför skulle

text: artikel 6.1 b

text: inte vara tillämplig på denna behandling. Exempel 8 En onlinebaserad marknadsplats gör det möjligt för potentiella köpare att söka bland och köpa produkter. För att öka interaktionen vill marknadsplatsen visa personanpassade produktförslag på grundval av de poster som de potentiella köparna tidigare har granskat på plattformen. Denna personanpassning är inte objektivt sett nödvändig för att tillhandahålla marknadsplatstjänsten. Därför kan denna behandling av personuppgifter inte stödjas på

text: artikel 6.1 b

text: som rättslig grund.

type: vagledning