Ändamålsbegränsning är en av de grundläggande principerna i GDPR. Personuppgifter ska bara samlas in för uttryckliga, berättigade och särskilda ändamål. Ändamålen med en personuppgiftsbehandling sätter ramen för vilka uppgifter som får behandlas och hur länge de får sparas. Principen väcker frågor om det är tillåtet att ”återanvända” personuppgifter till en ny personuppgiftsbehandling och när ett senare ändamål är oförenligt med det ursprungliga.
Vad innebär ändamålsbegränsning?
Som kort beskrivits ovan innebär principen om ändamålsbegränsning att personuppgifter enbart får insamlas för berättigade, särskilda och uttryckligt angivna ändamål. Vidare innebär principen att redan insamlade personuppgifter vid ett senare tillfälle inte får behandlas på ett sätt som är oförenligt med de ursprungliga ändamålen. Det är därför viktigt att veta varför personuppgifter ska behandlas, redan innan ni börjar samla in uppgifter.
Personuppgifter kan inte behandlas för vilket ändamål som helst, att enbart säga ”uppgifter kommer samlas in och därefter behandlas” är otillåtet. Detta, eftersom GDPR (förordningen) ställer krav på att ett konkret ändamål ska finnas. Ändamålen med en behandling ska dessutom vara specifika och berättigade. Ett otillräckligt ändamål är exempelvis ”att förbättra besökares upplevelse”, det är för brett uttryckt. Beskriv i stället mer specifikt varför, den registrerade ska kunna förstå vad behandlingen kan innebära för hen enbart genom att känna till ändamålet. Att ändamålen ska vara berättigade syftar till att aktuell lagstiftning ska efterföljas, däribland GDPR som ställer krav på att behandlingar har stöd i en laglig grund. Vi har tidigare förklarat förordningens lagliga grunder i ett blogginlägg du finner här!
Är det tillåtet att återanvända redan insamlade personuppgifter?
En vanlig fråga är om det är tillåtet att behandla redan insamlade personuppgifter på nya sätt. Som huvudregel får ni använda redan insamlade personuppgifter för ett nytt ändamål om det är förenligt med det ursprungliga. Då behövs som utgångspunkt ingen separat rättslig grund för vidarebehandlingen, men övriga krav i GDPR måste fortfarande vara uppfyllda. Om behandlingen grundas på samtycke måste samtycket omfatta det nya ändamålet. Notera däremot att registrerad måste informeras om att personuppgifterna ska användas för ett nytt ändamål, redan innan ni påbörjar behandlingen.
Om det nya ändamålet är oförenligt med det ursprungliga får ni som huvudregel inte använda de redan insamlade personuppgifterna för det nya ändamålet. Det räcker inte att beskriva användningen som en ny behandling och välja en annan rättslig grund. Vidarebehandling kan däremot vara tillåten med stöd av ett giltigt samtycke som omfattar det nya ändamålet eller särskilt lagstöd som uppfyller kraven i artikel 6.4.
Hur bedömer man om de nya ändamålen är förenliga med de ursprungliga?
För att avgöra om nya ändamål är förenliga med de ursprungliga kan bland annat följande beaktas:
- Finns det några kopplingar mellan ändamålen för den nya behandlingen och den tidigare? (Om svaret är ja, vilka?)
- I vilken kontext har uppgifterna insamlats? (Vad för personuppgiftsbehandling kan den registrerade rimligen förvänta sig utifrån sammanhanget uppgifterna samlats in i?)
- Vilken relation har den registrerade till er som personuppgiftsansvarig?
- Vad är det för typ av personuppgifter som berörs, är det exempelvis känsliga personuppgifter?
- Vad för potentiella konsekvenser kan den nya behandlingen få för den registrerade?
- Har ni vidtagit några skyddsåtgärder? Såsom pseudonymisering, kryptering och anonymisering.
Särskilda regler för forskning, arkiv och statistik
För vissa ändamål finns särskilda regler. Vidarebehandling för följande ändamål ska inte anses vara oförenlig med de ursprungliga ändamålen, förutsatt att kraven i artikel 89.1 är uppfyllda:
- historiska eller vetenskapliga forskningsändamål,
- arkivändamål av allmänt intresse, och
- statistiska ändamål.
Notera att ni som personuppgiftsansvarig vid sådan vidarebehandling måste ha vidtagit lämpliga säkerhetsåtgärder för att tillgodose och skydda registrerades rättigheter.
Sammanfattning
Personuppgifter får inte användas för nya ändamål hur som helst. Som huvudregel måste det nya ändamålet vara förenligt med det ursprungliga. Bedömningen ska bland annat ta hänsyn till varför uppgifterna samlades in, vad de registrerade rimligen kan förvänta sig och vilka konsekvenser den nya användningen kan få för dem.
Om ändamålen är oförenliga räcker det inte att välja en annan rättslig grund. Vidarebehandling kan däremot vara tillåten med stöd av ett giltigt samtycke som omfattar det nya ändamålet eller särskilt lagstöd som uppfyller kraven i artikel 6.4.
Även när vidarebehandlingen är tillåten måste ni följa övriga krav i GDPR, bland annat om information till de registrerade, säkerhet och hur länge uppgifterna får sparas. För forskning, arkiv och statistik finns särskilda regler. Vi har i ett tidigare blogginlägg förklarat just hur länge personuppgifter får sparas, inlägget hittar du här!
Frågor?
Om du har fler frågor om GDPR är du varmt välkommen att kontakta oss antingen via mejlen info@gdprhero.se eller via telefon 046-273 17 17.
