Riktad marknadsföring baserad på intresseavvägningen i artikel 6 f) dataskyddsförordningen

I dagens digitala samhälle har personuppgifter blivit en egen valuta, med en komplex och välutvecklad marknad i vilken en omfattande behandling av personuppgifter är en betydande konkurrensfördel. Det är inte ovanligt att företag som hanterar personuppgifter gör så på ett sätt som inskränker den registrerades rätt till privatliv och integritet, genom att analysera beteenden om sexuell eller politisk läggning, hälsa eller annan känslig information. När det kommer till marknadsföring har branschen utvecklas till att kretsa kring profilering och personuppgifter för att analysera konsumenternas beteende och rikta marknadsföring därefter. EU har därför infört dataskyddsförordningen för att kontrollera dataskydds- och personuppgiftshantering inom unionen. Dataskyddsförordningen ger sex lagliga grunder för personuppgiftsbehandling, varav en är behandling baserat på ett berättigat intresse. När företag använder sig av grunden berättigat intresse i artikel 6 f) för att behandla personuppgifter måste en intresseavvägning göras för att utreda huruvida företagets berättigade intressen står över den registrerades berättigade intressen; en många gånger svår avvägning att göra. Det är en hårfin gräns mellan en tillåten behandling av personuppgifter i syfte att rikta marknadsföring, och ett missbruk av artikelns flexibilitet. Denna uppsats undersöker var denna gräns går och hur den appliceras på riktad marknadsföring från ett företagsperspektiv. Uppsatsen finner att de i intresseavvägningen presenterade rekvisiten möjliggör för en relativt rättsosäker applicering av lagen, och att de företag som baserar personuppgiftsbehandling på ett berättigat intresse inte bara måste utreda lagligheten i de uppgifter som samlas in, utan också lagligheten av personuppgifterna i kombination med andra inhämtade (person)uppgifter. Sammantaget kan dessa nämligen kombineras till en alltför detaljerad kunskap in de registrerade, som riskerar att användas på ett sätt som är oförenligt med lagens ändamål. Utöver detta måste den personuppgiftsansvarige beakta samtliga resultat av marknadsföringen som kan komma att utgöra en integritetskränkning, även hypotetiska sådana. När dessa tas i beaktande minimeras risken för en otillåten behandling. Slutligen finner uppsatsen att en av de största riskerna med behandling som baseras på intresseavvägningen i artikel 6 f) är oviljan att följa förordningens bestämmelser på grund av de konkurrensfördelar en sådan behandling medför, i kombination med tillsynsmyndigheternas begränsade kontrollmöjligheter. Gränsen mellan en tillåten och en otillåten behandling kan således, från ett företagsperspektiv, vara svårare att följa än att utreda.In today’s digital society, personal data has become its own currency, with a complex and well-developed market in which the use and analysis of personal data is a huge competitive advantage. It is not uncommon that businesses use their processed personal data in a way that violates an individual’s integrity, by analyzing behavior that includes sexual preferences, political opinions, health status or other sensitive information. In terms of marketing, the whole market has come to evolve around the usage of profiling and personal data to analyze consumer behavior and direct marketing accordingly. The EU has implemented the General Data Protection Regulation (GDPR) to control methods of personal data processing within the union. The GDPR gives six lawful grounds of processing, and one of them is processing based on a legitimate interest. When personal data processing is based on a legitimate interest in article 6 f) GDPR, the company must preform a balance test that determines whether their interest overrides the individual’s interest; a test that is not always easy to judge. There is a fine line between a lawful processing and a misuse of the article’s flexibility. This essay investigates where that line is drawn and how to apply it to targeted marketing from a business perspective. The essay finds that any company that processes data based on a legitimate interest must not only investigate the lawfulness of the collection of each piece of data, which is the easier part, but also the lawfulness of the personal data in combination with other (personal) data. A company must, besides this, take all hypothetical outcomes that constitute a privacy violation into consideration when determining the legitimate interests of the specific marketing. Lastly, the essay finds that the biggest threat to a lawful personal data processing based on article 6 f) lays in the unwillingness to comply due to the antitrust advantage that such processing entails, in combination with the regulatory authorities’ limited control function. The limit between lawful and illicit processing is, from a business perspective, not so hard to find, but rather difficult to follow