Riktlinjer 2/2019 om behandling av personuppgifter enligt artikel 6.1 b i dataskyddsförordningen i samband med tillhandahållandet av onlinetjänster till registrerade

8 oktober 2019

Europeiska dataskyddsstyrelsen har antagit följande riktlinjer

med beaktande av artikel 70.1 e i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG.

HÄRIGENOM FASTSTÄLLS FÖLJANDE.

1 DEL 1 – INLEDNING

1.1 Bakgrund

1. I enlighet med artikel 8 i Europeiska unionens stadga om de grundläggande rättigheterna måste personuppgifter behandlas ”lagenligt för bestämda ändamål” och på grundval av en ”legitim och lagenlig grund”. I detta avseende specificeras i artikel 6.1 i den allmänna dataskyddsförordningen (nedan kallad dataskyddsförordningen) att behandlingen ska vara laglig enbart på grundval av ett av de sex villkor som anges i artikel 6.1 a–f. Det är av yttersta vikt att fastställa den lämpliga rättsliga grund som motsvarar behandlingens syfte och natur. Personuppgiftsansvariga måste bland annat ta hänsyn till inverkan på de registrerades rättigheter när de fastställer den lämpliga rättsliga grunden för att respektera rättviseprincipen.

2. I artikel 6.1 b i dataskyddsförordningen tillhandahålls en rättslig grund för behandling av personuppgifter i den mån som ”behandlingen är nödvändig för att fullgöra ett avtal i vilket den registrerade är part eller för att vidta åtgärder på begäran av den registrerade innan ett sådant avtal ingås”. Detta stöder näringsfriheten, som garanteras i artikel 16 i stadgan, och speglar det faktum att de avtalsenliga skyldigheterna gentemot den registrerade ibland inte kan uppfyllas utan att den registrerade tillhandahåller vissa personuppgifter. Om den särskilda behandlingen utgör en integrerad del i tillhandahållandet av den begärda tjänsten ligger behandlingen av dessa uppgifter i båda parters intresse, eftersom tjänsten i annat fall inte kan tillhandahållas och avtalet inte kan fullgöras. Möjligheten att stödja sig på denna eller någon av de andra rättsliga grunder som nämns i artikel 6.1 undantar dock inte den personuppgiftsansvarige från att följa resten av kraven i dataskyddsförordningen.

3. Artiklarna 56 och 57 i fördraget om Europeiska unionens funktionssätt definierar och reglerar friheten att tillhandahålla tjänster inom Europeiska unionen. Särskilda lagstiftningsåtgärder har antagits på EUnivå med avseende på ”informationssamhällets tjänster”. Dessa tjänster definieras som ”tjänster som vanligtvis utförs mot ersättning på distans, på elektronisk väg och på individuell begäran av en tjänstemottagare”. Denna definition omfattar tjänster som inte betalas direkt av de personer som erhåller dem, såsom onlinetjänster som finansieras genom annonsering. Med ”onlinetjänster ”i dessa riktlinjer avses ”informationssamhällets tjänster”.

4. Utvecklingen av EU-rätten speglar den centrala betydelse som onlinetjänster har i det moderna samhället. Spridningen av ett mobilt internet som man alltid är uppkopplad till och den utbredda tillgängligheten till uppkopplade enheter har gjort det möjligt att utveckla onlinetjänster på områden såsom sociala medier, e-handel, internetsökning, kommunikation och resor. Även om en del av dessa tjänster finansieras genom användarbetalningar tillhandahålls andra utan att kunden betalar pengar och finansieras i stället av försäljning av annonstjänster online som gör det möjligt att rikta in sig på registrerade. Spårning av användarnas beteenden i sådana reklamsyften utförs ofta på sätt som användaren ofta inte är medveten om , och är inte alltid uppenbar på grundval av arten av tjänst som tillhandahålls, vilket i praktiken nästan gör det omöjligt för den registrerade att göra ett välinformerat val rörande användningen av hans eller hennes uppgifter.

5. Mot denna bakgrund anser Europeiska dataskyddsstyrelsen (nedan kallad dataskyddsstyrelsen) att det är lämpligt att erbjuda vägledning om när artikel 6.1 b om behandling av personuppgifter i samband med onlinetjänster är tillämplig för att se till att denna rättsliga grund endast åberopas när så är lämpligt.

6. Arbetsgruppen för skydd av enskilda med avseende på behandlingen av personuppgifter (nedan kallad artikel 29-gruppen) har tidigare haft synpunkter på avtalsmässig nödvändighet som grund enligt direktiv 95/46/EG i sitt yttrande om begreppet berättigade intressen hos den personuppgiftsansvarige. I allmänhet är denna vägledning fortfarande relevant för artikel 6.1 b och dataskyddsförordningen.

1.2 Riktlinjernas tillämpningsområde

7. Dessa riktlinjer tar upp när artikel 6.1 b är tillämplig på behandlingen av personuppgifter i samband med avtal för onlinetjänster, oavsett hur dessa tjänster finansieras. Riktlinjerna kommer kortfattat att beskriva vad som avses med laglig behandling enligt artikel 6.1 b i dataskyddsförordningen och ta upp begreppet ”nödvändighet”, i form av ”nödvändig för att fullgöra ett avtal”.

8. Uppgiftsskyddsregler styr viktiga aspekter av hur onlinetjänster samverkar med sina användare, men andra regler är också tillämpliga. Regleringen av onlinetjänster inbegriper tvärfunktionella ansvarsskyldigheter, bland annat vad gäller konsumentskyddsrätt och konkurrensrätt. Hänsynstaganden som rör dessa rättsliga områden omfattas inte av dessa riktlinjers tillämpningsområde.

9. Även om artikel 6.1 b endast kan tillämpas i ett avtalssammanhang uttrycks i dessa riktlinjer inte någon åsikt om den allmänna giltigheten hos avtal för onlinetjänster, eftersom detta ligger utanför dataskyddsstyrelsens behörighetsområde. Icke desto mindre måste avtal och avtalsvillkor uppfylla avtalsrättsliga krav och, när det gäller konsumentavtal, eventuellt också konsumentskyddslagar för att behandlingen på grundval av dessa villkor ska anses vara rättvis och laglig.

10. Vissa allmänna synpunkter på principer för uppgiftsskydd nämns nedan, men vi kommer inte att diskutera alla uppgiftsskyddsfrågor som kan uppstå vid behandling enligt artikel 6.1 b. Personuppgiftsansvariga måste alltid säkerställa att de följer samtliga principer för dataskydd som fastställs i artikel 5 och alla andra krav i dataskyddsförordningen samt, i förekommande fall, i lagstiftningen rörande e-integritet.

2 DEL 2 – ANALYS AV ARTIKEL 6.1 B

2.1 Allmänna synpunkter

11. Den rättsliga grunden för behandling på grundval av artikel 6.1 b måste övervägas mot bakgrund av dataskyddsförordningen som helhet och de mål som fastställs i artikel 1, jämte den personuppgiftsansvariges skyldighet att behandla personuppgifter i enlighet med de principer för dataskydd som avses i artikel 5. Detta innebär att personuppgifter ska behandlas på ett rättvist och öppet sätt och i linje med ändamålsbegränsnings- och uppgiftsminimeringsskyldigheterna.

12. Enligt artikel 5.1 a i dataskyddsförordningen måste personuppgifter behandlas på ett lagligt, rättvist och öppet sätt i förhållande till den registrerade. Med rättviseprincipen avses bland annat att man ska erkänna de registrerades rimliga förväntningar , ta hänsyn till de möjliga negativa följder som behandlingen kan ha för dem och beakta förhållandet och de potentiella ojämlikhetseffekterna mellan dem och den personuppgiftsansvarige.

13. Som redan har nämnts måste avtal för onlinetjänster med avseende på laglighet vara giltiga enligt den tillämpliga avtalsrätten. Ett exempel på en relevant faktor är huruvida den registrerade är ett barn. I ett sådant fall (och utöver att uppfylla kraven i dataskyddsförordningen, däribland det ”[särskilda] skydd” som gäller för barn) måste den personuppgiftsansvarige se till att denne följer de relevanta nationella lagarna om barns behörighet att sluta avtal. Dessutom måste den personuppgiftsansvarige, för att säkerställa att principerna om rättvisa och laglighet efterlevs, uppfylla andra rättsliga krav. För konsumentavtal kan till exempel direktiv 93/13/EEG om oskäliga villkor i konsumentavtal (nedan kallat direktivet om oskäliga villkor) vara tillämpligt. Artikel 6.1 b gäller inte endast för avtal som styrs av en EES-medlemsstats lagstiftning.

14. I artikel 5.1 b i dataskyddsförordningen föreskrivs principen om ändamålsbegränsning, som kräver att personuppgifter måste samlas in för ”särskilda, uttryckligt angivna och berättigade ändamål och inte senare behandlas på ett sätt som är oförenligt med dessa ändamål”.

15. I artikel 5.1 c föreskrivs principen om uppgiftsminimering, dvs. att så få uppgifter som möjligt ska behandlas för att syftet ska uppnås. Denna bedömning kompletterar nödvändighetsbedömningarna i enlighet med artikel 6.1 b–f.

16. Både ändamålsbegränsnings- och uppgiftsminimeringsprinciperna är särskilt relevanta när det gäller avtal för onlinetjänster, som typiskt sett inte förhandlas på individuell basis. Tekniska framsteg gör det möjligt för personuppgiftsansvariga att på ett enkelt sätt samla in och behandla fler personuppgifter än någonsin tidigare. Som en följd av detta finns det en akut risk för att personuppgiftsansvariga kan försöka inkludera allmänna behandlingsvillkor i avtal för att maximera den möjliga insamlingen och användningen av uppgifter, utan att närmare ange vilka skälen till detta är eller ta hänsyn till uppgiftsminimeringsskyldigheten. Artikel 29-gruppen har tidigare noterat följande: Syftet med insamlingen måste anges tydligt och specifikt; det måste vara tillräckligt detaljerat för att fastställa vilken typ av behandling som inbegrips och inte inbegrips i det angivna syftet, och möjliggöra att efterlevnaden av lagen kan bedömas och uppgiftsskyddsgarantierna kan tillämpas. Av dessa skäl uppfyller vanligen inte ett syfte som är vagt och allmänt hållet, till exempel ”förbättra användarupplevelsen”, ”marknadsföringsskäl”, ”it-säkerhetsskäl” eller ”framtida forskning”, kriterierna för att vara ”specifikt” om inte fler detaljer anges.

2.2 Samverkan mellan artikel 6.1 b och andra rättsliga behandlingsgrunder

17. I fall där behandlingen inte anses vara ”nödvändig för att fullgöra ett avtal”, dvs. när en begärd tjänst kan tillhandahållas utan att den särskilt angivna behandlingen äger rum, medger dataskyddsstyrelsen att någon annan rättslig grund kan vara tillämplig, under förutsättning att de relevanta villkoren uppfylls. I synnerhet kan det under vissa omständigheter vara lämpligare att stödja sig på frivilligt samtycke enligt artikel 6.1 a. I andra fall kan artikel 6.1 f erbjuda en lämpligare rättslig behandlingsgrund. Den rättsliga grunden måste anges när behandlingen inleds, och den måste även specificeras i den information som lämnas till de registrerade i enlighet med artiklarna 13 och 14.

18. Det är möjligt att någon annan rättslig grund än artikel 6.1 b kan passa bättre för den berörda behandlingens mål och bakgrund. Fastställandet av den lämpliga rättsliga grunden är kopplat till principerna om rättvisa och ändamålsbegränsning.

19. I artikel 29-gruppens riktlinjer om samtycke tydliggörs också att om ”en registeransvarig försöker behandla personuppgifter som rent faktiskt är nödvändiga för fullgörandet av ett avtal, så är inte samtycke den lämpliga rättsliga grunden”. Omvänt anser dataskyddsstyrelsen att om behandlingen rent faktiskt inte är nödvändig för fullgörandet av ett avtal kan denna behandling endast äga rum om den utgår från någon annan lämplig rättslig grund.

20. I linje med deras öppenhetsskyldigheter bör de personuppgiftsansvariga säkerställa att de undviker all förvirring kring vad som utgör den tillämpliga rättsliga grunden. Detta är särskilt relevant om den lämpliga rättsliga grunden är artikel 6.1 b och ett avtal rörande onlinetjänster ingås av registrerade. Beroende på omständigheterna kan de registrerade felaktigt få intrycket att de ger sitt samtycke i enlighet med artikel 6.1 a när de undertecknar ett avtal eller godkänner tjänstevillkor. Samtidigt kan en personuppgiftsansvarig felaktigt anta att undertecknandet av ett avtal motsvarar samtycke i den mening som avses i artikel 6.1 a. Dessa begrepp är dock helt väsensskilda. Det är viktigt att skilja mellan att godkänna tjänstevillkor för att ingå ett avtal och ge sitt samtycke i den mening som avses i artikel 6.1 a, eftersom dessa begrepp har olika krav och rättsliga följder.

21. Med avseende på behandlingen av särskilda kategorier av personuppgifter har artikel 29-gruppen i sina riktlinjer om samtycke även noterat att artikel 9.2 inte erkänner ”nödvändig för att fullgöra ett avtal” som ett undantag till det allmänna förbudet att behandla särskilda uppgiftskategorier. Därför bör registeransvariga och medlemsstater som handskas med denna situation utforska de särskilda undantagen i artikel 9.2, leden b–j. Om inget av undantagen b–j är tillämpligt är det enda möjliga lagliga undantaget för att behandla sådana uppgifter att få uttryckligt samtycke i enlighet med villkoren för giltigt samtycke i dataskyddsförordningen.

2.3 Tillämpningsområdet för artikel 6.1 b

22. Artikel 6.1 b gäller när något av följande två villkor uppfylls: behandlingen i fråga måste objektivt sett vara nödvändig för fullgörandet av ett avtal med en registrerad, eller behandlingen måste objektivt sett vara nödvändig för att vidta avtalsförberedande åtgärder på begäran av den registrerade.

2.4 Nödvändighet

23. Behandlingens nödvändighet är en förutsättning för båda delarna av artikel 6.1 b. Från första början är det viktigt att notera att begreppet ”nödvändigt för fullgörande av ett avtal” inte helt enkelt är en bedömning av vad som tillåts enligt eller vad som skrivs in i avtalsvillkoren. Begreppet nödvändighet har en oberoende betydelse i EU-rätten, som måste spegla syftena med uppgiftsskyddsrätten. Det innebär därför också att hänsyn ska tas även till den grundläggande rätten till integritetsskydd och skydd av personuppgifter , liksom till kraven i uppgiftsskyddsprinciperna, däribland (och framför allt) rättviseprincipen.

24. Man måste börja med att fastställa vad behandlingen har för ändamål, och i samband med ett avtalsförhållande kan det finnas flera olika behandlingsändamål. Dessa ändamål måste anges tydligt och meddelas till den registrerade i enlighet med den personuppgiftsansvariges ändamålsbegränsnings- och öppenhetsskyldigheter.

25. Att bedöma vad som är ”nödvändigt” innebär en kombinerad, faktabaserad bedömning av behandlingen ”för det mål som åsyftas och av huruvida det är mindre integritetskränkande jämfört med andra alternativ för hur man uppnår samma mål”. Om det finns realistiska, mindre integritetskränkande alternativ är behandlingen inte ”nödvändig”. Artikel 6.1 b ska inte omfatta behandling som är användbar men objektivt sett inte nödvändig för att utföra den avtalade tjänsten eller för att vidta de relevanta avtalsförberedande åtgärderna på den registrerades begäran, även om det är nödvändigt för den personuppgiftsansvariges andra verksamhetsändamål.

2.5 Nödvändig för fullgörandet av ett avtal med den registrerade

26. En personuppgiftsansvarig kan stödja sig på det första alternativet i artikel 6.1 b för att behandla personuppgifter när denne, i enlighet med sin ansvarsskyldighet enligt artikel 5.2, kan fastställa både att behandlingen äger rum i samband med ett giltigt avtal med den registrerade och att behandlingen är nödvändig för att avtalet i fråga med den registrerade ska kunna fullgöras. När personuppgiftsansvariga inte kan visa att a) ett avtal existerar, b) avtalet är giltigt i enlighet med tillämpliga nationella avtalslagar och c) behandlingen objektivt sett är nödvändig för fullgörandet av avtalet, bör den personuppgiftsansvarige överväga att använda en annan rättslig grund för behandlingen.

27. Att endast hänvisa till eller nämna uppgiftsbehandling i ett avtal räcker inte för att behandlingen i fråga ska omfattas av artikel 6.1 b. Å andra sidan kan behandlingen objektivt sett vara nödvändig även om den inte särskilt nämns i avtalet. I vilket fall som helst måste den personuppgiftsansvarige uppfylla sina öppenhetsskyldigheter. Om den personuppgiftsansvarige försöker fastställa att behandlingen bygger på fullgörandet av ett avtal med den registrerade är det viktigt att bedöma vad som objektivt sett är nödvändigt för att fullgöra avtalet. ”Nödvändig för fullgörandet” kräver helt klart något utöver en avtalsklausul. Detta är också tydligt mot bakgrund av artikel 7.4. Även om denna bestämmelse endast har att göra med samtyckets giltighet tydliggör den skillnaden mellan behandling som är nödvändig för fullgörandet av ett avtal och klausuler som gör tjänsten beroende av viss behandlingsverksamhet som i själva verket inte är nödvändig för avtalets fullgörande.

28. I detta avseende stöder dataskyddsstyrelsen den vägledning som tidigare antogs av artikel 29-gruppen om motsvarande bestämmelse enligt det föregående direktivet om att begreppet ”nödvändig för fullgörandet av ett avtal med den registrerade” måste tolkas strikt och omfattar inte situationer där behandlingen inte är genuint nödvändig för fullgörandet av ett avtal, utan påförs snarare den registrerade unilateralt av den registeransvarige. Det faktum att ett avtal omfattar viss behandling innebär inte heller automatiskt att behandlingen är nödvändig för att fullgöra avtalet. [...] Även om denna behandling särskilt nämns i det finstilta i avtalet gör inte enbart detta faktum att den är ”nödvändig” för fullgörandet av avtalet.

29. Dataskyddsstyrelsen påminner också om samma vägledning från artikel 29-gruppen, där följande noteras: Det finns en tydlig koppling här mellan nödvändighetsbedömningen och uppfyllandet av principen om ändamålsbegränsning. Det är viktigt att fastställa den exakta logiska grunden för avtalet, dvs. dess innehåll och grundläggande syfte, eftersom det är mot bakgrund av detta som det kommer att prövas om uppgiftsbehandlingen är nödvändig för avtalets fullgörande.

30. När man bedömer om artikel 6.1 b är en lämplig rättslig behandlingsgrund i samband med en onlinetjänst på avtalsbasis, bör man ta hänsyn till tjänstens särskilda mål, syfte eller ändamål. För att artikel 6.1 b ska vara tillämplig krävs det att behandlingen objektivt sett är nödvändig för ett ändamål som är väsentligt för tillhandahållandet av denna tjänst på avtalsbasis till den registrerade. Behandlingen av betalningsinformation i syfte att ta betalt för tjänsten är inte undantagen. Den personuppgiftsansvarige bör kunna visa hur huvudföremålet i det angivna avtalet med den registrerade rent faktiskt inte kan fullgöras om den särskilda behandlingen av personuppgifterna i fråga inte äger rum. Den viktiga frågan här är kopplingen mellan de berörda personuppgifterna och behandlingen, och utförandet eller icke-utförandet av den tjänst som tillhandahålls enligt avtalet.

31. Avtal för digitala tjänster kan inbegripa uttryckliga villkor som påför ytterligare villkor, bland annat om annonsering, betalningar eller kakor. Ett avtal kan inte på konstlad väg utöka kategorierna av personuppgifter eller de typer av behandling som den personuppgiftsansvarige måste utföra för fullgörandet av avtalet i den mening som avses i artikel 6.1 b.

32. Den personuppgiftsansvarige bör kunna motivera att behandlingen är nödvändig genom att hänvisa till det grundläggande och ömsesidigt förstådda ändamålet med avtalet. Detta beror inte endast på den personuppgiftsansvariges perspektiv utan också på en förnuftig registrerads perspektiv när denne ingår avtalet, och på huruvida avtalet ändå kan anses ”fullgöras” utan behandlingen i fråga. Även om den personuppgiftsansvarige kan anse att behandlingen är nödvändig för avtalsändamålet är det viktigt att han eller hon noga undersöker en genomsnittlig registrerads perspektiv för att säkerställa att det finns en genuin ömsesidig förståelse av avtalets ändamål.

33. För att bedöma huruvida artikel 6.1 b är tillämplig kan följande frågor fungera som vägledning:  Vad för slags tjänst är det som tillhandahålls den registrerade? Vilka är dess utmärkande egenskaper?  Vilken är avtalets exakta logiska grund (dvs. dess innehåll och grundläggande syfte)?  Vilka är avtalets grundsatser?  Vilka är avtalsparternas ömsesidiga perspektiv och förväntningar? Hur marknadsförs eller annonseras tjänsten till den registrerade? Skulle en vanlig användare av tjänsten rimligen förvänta sig att, med tanke på vilken slags tjänst det rör sig om, den planerade behandlingen kommer att äga rum för att fullgöra det avtal i vilket denne är part?

34. Om bedömningen av vad som är ”nödvändigt för avtalets fullgörande”, som måste utföras innan behandlingen påbörjas, visar att den avsedda behandlingen går utöver vad som objektivt sett är nödvändigt för fullgörandet av ett avtal, innebär inte detta att en sådan framtida behandling är olaglig i sig. Som redan har nämnts gör artikel 6 det tydligt att andra rättsliga grunder kan finnas tillgängliga innan behandlingen inleds.

35. Om ny teknik introduceras under tjänstens livstid som ändrar hur personuppgifter behandlas, eller om tjänsten vidareutvecklas på annat sätt, måste kriterierna ovan bedömas på nytt för att fastställa om någon ny eller ändrad behandling kan baseras på artikel 6.1 b. Exempel 1 En registrerad köper varor från en onlineförsäljare. Den registrerade vill betala med kreditkort och att produkterna ska levereras till hemadressen. För att fullgöra avtalet måste försäljaren behandla den registrerades kreditkortsinformation och fakturaadress i betalningssyfte och den registrerades hemadress för leveransen. Artikel 6.1 b är därmed tillämplig som rättslig grund för denna behandling. Men om kunden har valt leverans till ett uthämtningsställe är behandlingen av den registrerades hemadress inte längre nödvändig för fullgörandet av köpeavtalet. All behandling av den registrerades adress i detta sammanhang kräver en annan rättslig grund än artikel 6.1 b. Exempel 2 Samma onlineförsäljare vill bygga upp profiler som består av användarens smak och livsstilsval baserat på deras besök på webbplatsen. Fullgörandet av köpeavtalet är inte beroende av att det skapas sådana profiler. Även om profilering särskilt nämns i avtalet gör inte enbart detta faktum att den är ”nödvändig” för fullgörandet av avtalet. Om onlineförsäljaren vill göra sådana profileringar måste denne stödja sig på en annan rättslig grund.

36. Personuppgiftsansvariga kan fritt utforma sin verksamhet, sina tjänster och sina avtal så länge de håller sig inom ramen för avtalsrätten och, i tillämpliga fall, konsumenträtten. I vissa fall kan en personuppgiftsansvarig vilja skapa ett paket av flera fristående tjänster eller delar av en tjänst med olika grundläggande ändamål, kännetecken eller motivering i ett enda avtal. Detta kan skapa en ”allt eller inget”-situation för registrerade som kanske endast är intresserade av en av tjänsterna.

37. I enlighet med uppgiftsskyddsrätten måste personuppgiftsansvariga ta hänsyn till att den behandling som planeras måste ha en lämplig rättslig grund. Om ett avtal består av flera fristående tjänster eller delar av en tjänst som i själva verket rimligen kan utföras oberoende av varandra uppkommer frågan om i vilken utsträckning artikel 6.1 b kan användas som rättslig grund. Tillämpningen av artikel 6.1 b bör bedömas mot bakgrund av var och en av dessa tjänster separat, genom att man tittar på vad som objektivt sett är nödvändigt för att utföra var och en av de enskilda tjänster som den registrerade aktivt har begärt eller anmält sig till. Denna bedömning kan avslöja att viss behandling inte är nödvändig för de enskilda tjänster som har begärts av den registrerade, utan snarare nödvändig för den personuppgiftsansvariges affärsmodell i stort. I så fall ska artikel 6.1 b inte användas som rättslig grund för dessa åtgärder. Andra rättsliga grunder kan dock vara tillgängliga för denna behandling, såsom artikel 6.1 a eller f, under förutsättning att de relevanta kriterierna uppfylls. Bedömningen av huruvida artikel 6.1 b är tillämplig påverkar därmed inte avtalets laglighet eller sammansättningen av tjänstepaketet i sig.

38. Som tidigare har observerats av artikel 29-gruppen gäller den rättsliga grunden endast vad som är nödvändigt för fullgörandet av ett avtal. Den gäller alltså inte automatiskt för alla ytterligare åtgärder som initieras på grund av bristande efterlevnad eller för alla andra händelser under fullgörandet av ett avtal. Vissa handlingar kan dock rimligen förutses och vara nödvändiga inom ramen för ett normalt avtalsförhållande, såsom att skicka formella påminnelser om uteblivna betalningar eller att rätta till fel eller förseningar vid fullgörandet av avtalet. Artikel 6.1 b kan omfatta behandling av personuppgifter som är nödvändig med avseende på sådana åtgärder. Exempel 3 Ett företag säljer produkter på nätet. En kund kontaktar företaget eftersom färgen på den produkt som köpts skiljer sig från vad som hade avtalats. Behandlingen av kundens personuppgifter i syfte att åtgärda detta problem kan baseras på artikel 6.1 b.

39. Avtalsgarantier kan vara en del av fullgörandet av ett avtal, och lagring av vissa uppgifter för garantiändamål under en angiven lagringstid efter det att utbytet av varor/tjänster/betalningen har slutförts kan därmed vara nödvändig för fullgörandet av avtalet.

2.6 Uppsägning av avtal

40. En personuppgiftsansvarig måste fastställa den lämpliga rättsliga grunden för den planerade behandlingen innan behandlingen påbörjas. Om artikel 6.1 b utgör grunden för en del eller all behandling bör den personuppgiftsansvarige förutse vad som händer om detta avtal sägs upp.

41. Om behandlingen av personuppgifter baseras på artikel 6.1 b och avtalet sägs upp i sin helhet kommer som regel behandlingen av dessa uppgifter inte längre att vara nödvändig för fullgörandet av detta avtal och den personuppgiftsansvarige måste därmed upphöra med behandlingen. Den registrerade kan ha angett sina personuppgifter i samband med ett avtalsförhållande där denne litade på att uppgifterna endast behandlades som en nödvändig del av detta förhållande. Det är därför i allmänhet oskäligt att byta till en ny rättslig grund när den ursprungliga grunden upphör att existera.

42. När ett avtal sägs upp kan detta medföra en del administration, såsom att varorna eller betalningen returneras. Den behandling som är förbunden med detta kan baseras på artikel 6.1 b.

43. I artikel 17.1 a föreskrivs att personuppgifter ska raderas när de inte längre är nödvändiga för det ändamål för vilket de samlades in. Icke desto mindre gäller inte detta om behandlingen är nödvändig för vissa särskilda ändamål, inklusive efterlevnad av en rättslig förpliktelse i enlighet med artikel 17.3 b, eller för att fastställa, göra gällande eller försvara rättsliga anspråk i enlighet med artikel 17.3 e. Om personuppgiftsansvariga ser att det finns ett allmänt behov av att föra register för juridiska ändamål måste de i praktiken fastställa en rättslig grund för detta innan behandlingen inleds, och de behöver redan från början tydligt ange hur länge de planerar att lagra uppgifterna för dessa juridiska ändamål efter det att avtalet sagts upp. Om de gör detta behöver de inte radera uppgifterna när avtalet sägs upp.

44. I sådana fall kan det hända att flera behandlingsåtgärder med skilda ändamål och rättsliga grunder fastställdes innan behandlingen inleddes. Så länge dessa andra behandlingsåtgärder fortsatt är lagliga, och den personuppgiftsansvarige tydligt meddelade dessa åtgärder när behandlingen inleddes i enlighet med öppenhetsskyldigheterna i dataskyddsförordningen, är det fortfarande möjligt att behandla den registrerades personuppgifter för dessa enskilda ändamål efter det att avtalet har sagts upp. Exempel 4 En onlinetjänst tillhandahåller en prenumerationstjänst som kan sägas upp när som helst. När ett avtal om tjänsten ingås tillhandahåller den personuppgiftsansvarige information till den registrerade om behandlingen av personuppgifter. Den personuppgiftsansvarige förklarar bland annat att så länge avtalet är aktivt kommer uppgifter om användningen av tjänsten att behandlas i syfte att ställa ut fakturor. Den tillämpliga rättsliga grunden är artikel 6.1 b eftersom behandlingen för faktureringsändamål kan anses vara objektivt sett nödvändig för fullgörandet av avtalet. När avtalet sägs upp kommer användningshistoriken dock att raderas, under förutsättning att det inte finns några pågående relevanta rättsliga anspråk eller rättsliga krav på att lagra uppgifterna. Den personuppgiftsansvarige ska dessutom informera den registrerade om att den personuppgiftsansvarige har en rättslig förpliktelse enligt nationell lagstiftning att lagra vissa personuppgifter för redovisningsändamål under ett visst antal år. Den lämpliga rättsliga grunden är artikel 6.1 c, och lagringen kommer att äga rum även om avtalet sägs upp.

2.7 Nödvändig för att vidta åtgärder innan ett avtal ingås

45. Det andra alternativet för artikel 6.1 b gäller om behandlingen är nödvändig för att vidta åtgärder på begäran av den registrerade innan ett avtal ingås. Denna bestämmelse speglar det faktum att förberedande behandling av personuppgifter kan vara nödvändig innan ett avtal ingås för att underlätta det faktiska ingåendet av detta avtal.

46. Vid den tidpunkt då uppgifterna behandlas är det eventuellt inte klart huruvida ett avtal faktiskt kommer att ingås. Det andra alternativet för artikel 6.1 b kan icke desto mindre gälla så länge den registrerade gör sin begäran i samband med att denne eventuellt ska ingå ett avtal och behandlingen i fråga är nödvändig för att utföra de begärda stegen. I linje med detta kan, om en registrerad kontaktar den personuppgiftsansvarige för att fråga om detaljerna rörande den personuppgiftsansvariges tjänsteutbud, behandlingen av den registrerades personuppgifter i syfte att svara på frågan baseras på artikel 6.1 b.

47. I vilket fall som helst skulle denna bestämmelse inte täcka oönskad marknadsföring eller annan behandling som enbart utförs på initiativ av den personuppgiftsansvarige eller på begäran av en tredje part. Exempel 5 En registrerad anger sitt postnummer för att se om en särskild tjänsteleverantör är aktiv i dennes område. Detta kan anses som behandling som är nödvändig för att vidta åtgärder på begäran av den registrerade innan ett avtal ingås i enlighet med artikel 6.1 b. Exempel 6 I vissa fall har finansinstitut en skyldighet att identifiera sina kunder i enlighet med nationell lagstiftning. I linje med detta begär en bank att få se de registrerades identitetshandlingar innan de ingår avtal med dem. I detta fall är identifieringen nödvändig för en rättslig förpliktelse å bankens vägnar snarare än för att vidta åtgärder på den registrerades begäran. Därför är den lämpliga rättsliga grunden inte artikel 6.1 b utan artikel 6.1 c.

3 DEL 3 – TILLÄMPLIGHETEN HOS ARTIKEL 6.1 B I SÄRSKILDA SITUATIONER

3.1 Behandling för ”förbättring av tjänster”

48. Onlinetjänster samlar ofta in detaljerad information om hur användarna använder deras tjänster. I de flesta fall kan inte insamling av organisatoriska mätdata rörande en tjänst eller detaljer om användarbeteende anses vara nödvändig för tillhandahållandet av tjänsten eftersom tjänsten skulle kunna tillhandahållas utan att dessa personuppgifter behandlades. Trots detta skulle en tjänsteleverantör kunna stödja sig på alternativa rättsliga grunder för denna behandling, såsom berättigade intressen eller samtycke.

49. Dataskyddsstyrelsen anser inte att artikel 6.1 b i allmänhet skulle vara en lämplig rättslig grund för behandling i syfte att förbättra en tjänst eller utveckla nya funktioner inom ramen för en befintlig tjänst. I de flesta fall ingår en användare ett avtal för att använda en befintlig tjänst. Även om möjligheten att göra förbättringar och ändringar av en tjänst rutinmässigt kan ingå i avtalsvillkoren kan en sådan behandling vanligen inte anses vara objektivt sett nödvändig för att fullgöra avtalet med användaren.

3.2 Behandling för ”bedrägeribekämpning”

50. Som artikel 29-gruppen redan har noterat kan behandling för bedrägeribekämpningsändamål inbegripa övervakning och profilering av kunder. Enligt dataskyddsstyrelsen är det troligt att denna behandling går utöver vad som objektivt sett är nödvändigt för att fullgöra ett avtal med den registrerade. Den behandling av personuppgifter som är strikt nödvändig i syfte att förhindra bedrägerier kan dock utgöra ett berättigat intresse hos den personuppgiftsansvarige och kan därmed anses vara laglig om de särskilda kraven i artikel 6.1 f (berättigade intressen) uppfylls av den personuppgiftsansvarige. Dessutom skulle artikel 6.1 c (rättslig förpliktelse) även kunna utgöra en rättslig grund för sådan uppgiftsbehandling.

3.3 Behandling för beteendestyrd online-annonsering

51. Beteendestyrd online-annonsering, och därmed förknippad spårning och profilering av registrerade, används ofta för att finansiera onlinetjänster. Artikel 29-gruppen har tidigare meddelat sina synpunkter på sådan behandling genom att uppge att [avtalsmässig nödvändighet] inte utgör en lämplig rättslig grund för skapandet av en profil över användarens smak och livsstilsbeslut utifrån dennes klick och inköp på en webbplats. Skälet till detta är att den registeransvariges avtalsenliga uppgift inte är att utföra profilering, utan att leverera t.ex. vissa varor och tjänster.

52. Som regel är behandling av personuppgifter för beteendestyrd annonsering inte nödvändig för fullgörandet av ett avtal om onlinetjänster. Normalt sett skulle det vara svårt att hävda att avtalet inte hade fullgjorts om det inte fanns någon beteendestyrd annonsering. Detta stöds i ännu högre grad av att registrerade har en absolut rättighet enligt artikel 21 att invända mot behandlingen av sina uppgifter för direkta marknadsändamål.

53. I enlighet med detta kan inte artikel 6.1 b utgöra en rättslig grund för beteendestyrd onlineannonsering enbart för att denna annonsering indirekt finansierar tillhandahållandet av tjänsten i fråga. Även om sådan behandling kan stödja tillhandahållandet av en tjänst är detta i sig inte tillräckligt för att fastställa att den är nödvändig för fullgörandet av avtalet i fråga. Den personuppgiftsansvarige skulle behöva överväga de faktorer som beskrivs i punkt 33.

54. Med tanke på att uppgiftsskydd är en grundläggande rättighet som garanteras i artikel 8 i stadgan om de grundläggande rättigheterna, och med hänsyn tagen till att ett av huvudsyftena med dataskyddsförordningen är att ge registrerade kontroll över den information som avser dem, kan inte personuppgifter anses utgöra en handelsvara. Även om den registrerade kan godkänna behandlingen av personuppgifter kan han eller hon inte byta bort sina grundläggande rättigheter genom detta avtal.

55. Dataskyddsstyrelsen noterar också att personuppgiftsansvariga, i linje med kraven rörande e-integritet och det befintliga yttrandet från artikel 29-gruppen om beteendestyrd annonsering, samt arbetsdokument 02/2013 om tillhandahållande av vägledning om erhållande av samtycke för kakor, måste erhålla de registrerades förhandssamtycke för att placera ut de kakor som är nödvändiga för att ägna sig åt beteendestyrd annonsering.

56. Dataskyddsstyrelsen noterar också att spårning och profilering av användare kan utföras i syfte att identifiera grupper av individer med likartade kännetecken för att möjliggöra riktad annonsering till likartade mottagargrupper. Sådan behandling kan inte utföras på grundval av artikel 6.1 b, eftersom det inte kan sägas vara objektivt sett nödvändigt för fullgörandet av avtalet med användaren att man spårar och jämför användares kännetecken och beteenden i syften som avser annonsering till andra personer.

3.4 Behandling för personanpassning av innehåll

57. Dataskyddsstyrelsen bekräftar att personanpassningen av innehåll kan utgöra (men gör inte alltid detta) en integrerad och förväntad del av vissa onlinetjänster, och att den därför i vissa fall kan anses vara nödvändig för fullgörandet av avtalet med användaren av tjänsten. Huruvida denna behandling kan anses utgöra en integrerad aspekt av en onlinetjänst beror på beskaffenheten av den tjänst som tillhandahålls, den genomsnittlige registrerades förväntningar mot bakgrund inte bara av tjänstevillkoren utan också hur tjänsten marknadsförs till användarna, och huruvida tjänsten kan tillhandahållas utan personanpassning. Om personanpassningen av innehållet inte är objektivt sett nödvändig för fullgörandet av det underliggande avtalet, till exempel om leveransen av det personanpassade innehållet avses öka användarens användning av tjänsten men inte utgör en integrerad del av användningen av tjänsten, bör personuppgiftsansvariga överväga en alternativ rättslig grund i tillämpliga fall. Exempel 7 En onlinebaserad hotellsökmotor övervakar användarnas tidigare bokningar för att skapa en profil över deras typiska utlägg. Denna profil används sedan för att rekommendera särskilda hotell till användaren när sökresultaten presenteras. I detta fall skulle profileringen av användarens tidigare beteende och finansiella uppgifter inte vara objektivt sett nödvändig för fullgörandet av avtalet, dvs. tillhandahållandet av rumsuthyrningstjänster på grundval av särskilda sökkriterier som anges av användaren. Därför skulle artikel 6.1 b inte vara tillämplig på denna behandling. Exempel 8 En onlinebaserad marknadsplats gör det möjligt för potentiella köpare att söka bland och köpa produkter. För att öka interaktionen vill marknadsplatsen visa personanpassade produktförslag på grundval av de poster som de potentiella köparna tidigare har granskat på plattformen. Denna personanpassning är inte objektivt sett nödvändig för att tillhandahålla marknadsplatstjänsten. Därför kan denna behandling av personuppgifter inte stödjas på artikel 6.1 b som rättslig grund.