Jus · 7. november 2026 · 5 min lesing
Berettiget interesse etter GDPR: de 3 prøvingstrinnene
Art. 6 nr. 1 bokstav f GDPR forklart: tretrinnsprøving, eksempler fra markedsføring og salg, dokumentasjon og innsigelsesretten etter art. 21.
Berettiget interesse er det rettslige grunnlaget mange virksomheter støtter seg på i markedsføring og salg. Det virker bekvemt, fordi ingen banner og ingen underskrift er nødvendig. Men det er også grunnlaget med mest eget arbeid: Du må selv prøve, selv avveie og kunne belegge resultatet. Denne artikkelen forklarer regelen, de tre prøvingstrinnene og de typiske snublesteinene.
Hva regelen sier
Art. 6 nr. 1 bokstav f GDPR tillater en behandling av personopplysninger når den er «nødvendig for å ivareta de berettigede interessene til den behandlingsansvarlige eller en tredjepart». Det gjelder bare så sant ikke den registrertes interesser eller grunnleggende rettigheter, som krever vern av opplysningene, går foran. Myndigheter kan ikke påberope seg det ved sine oppgaver. Ordlyden finner du i GDPR på EUR-Lex.
Grunnlaget er ett av seks likestilte. Det har ingen forrang foran samtykke og er intet sikkerhetsnett når samtykket mangler. Der loven krever samtykke for en handling, kan bokstav f ikke erstatte det. Det gjelder først og fremst tilgang til sluttenheten, mer om dette i Samtykke eller berettiget interesse: slik avgjør du.
De tre prøvingstrinnene
EU-domstolen prøver regelen i tre trinn som alle må være oppfylt. Den har formulert det slik blant annet i dommen av 4. oktober 2024 (EU-domstolen, C-621/22, Koninklijke Nederlandse Lawn Tennisbond).
| Trinn | Spørsmål | Typisk feil |
|---|---|---|
| 1. Interesse | Forfølger du en berettiget interesse? | Interessen bare påstått generelt («markedsføring») |
| 2. Nødvendighet | Er behandlingen nødvendig for det? | Flere data enn nødvendig, selv om det går med færre |
| 3. Avveining | Går ikke de registrertes interesser foran? | De registrertes forventninger er ikke vurdert |
Trinn 1: interessen. Den må være lovlig, klart angitt og faktisk til stede. EU-domstolen har i den nevnte dommen presisert at også en økonomisk interesse kan være en berettiget interesse, så lenge den ikke strider mot retten. Fortalepunkt 47 nevner direkte markedsføring uttrykkelig som en mulig berettiget interesse.
Trinn 2: nødvendigheten. Her spør du om det finnes et mildere middel. Hvis du kan nå et mål med færre data, må du ta færre data. Hvis firmaet er nok for deg, trenger du ingen person. Det er prinsippet om dataminimering fra art. 5 nr. 1 bokstav c GDPR.
Trinn 3: avveiningen. Du stiller din interesse opp mot de registrertes interesser. Målestokken er ifølge fortalepunkt 47 de registrertes rimelige forventninger, som følger av forholdet deres til deg. Den som er kunde, regner med et nyhetsbrev om lignende produkter. Den som bare har besøkt en side én gang, regner ikke med et dossier. Jo mer sensitive dataene er og jo dypere inngrepet er, desto større er sjansen for at avveiningen faller ut mot deg.
Eksempler fra markedsføring og salg
Følgende tilfeller viser spennvidden. Om de bærer i det enkelte tilfellet, avhenger av omstendighetene. Vurderingen er ingen forsikring.
- Postreklame til eksisterende kunder. Regnes ofte som forsvarlig, fordi kundene regner med det. Konkurranseretten må i tillegg passe.
- Svindelforebygging og IT-sikkerhet. Fortalepunkt 47 nevner forhindring av svindel som en berettiget interesse. Logger til forsvar mot angrep støtter virksomheter ofte på dette.
- Bedriftstilordning på nettsiden. Den som bare slår opp nettinnehaveren til en IP-adresse, behandler lite og har et klart mål. Om en IP-adresse i det konkrete tilfellet er en personopplysning, forklarer IP-adresse og GDPR: er den personopplysning?.
- Profiler av enkeltpersoner fra kjøpte data. Her blir avveiningen vanskelig, fordi de registrerte ikke regner med det.
For kontakt etter et nettsidebesøk kommer konkurranseretten i tillegg til GDPR. Hva som gjelder der per land, står i Kald oppsøkende kontakt i B2B: hva som er tillatt i DE, AT og CH.
Dokumentasjon: bevisbyrden ligger hos deg
Etter art. 5 nr. 2 GDPR må du kunne påvise at prinsippene overholdes. For bokstav f betyr det i praksis:
- Angi interessen i én setning.
- Før opp hvorfor det ikke går med færre data.
- Skriv ned avveiningen med de viktigste argumentene, med dato og ansvarlig.
- Ta behandlingen med i oversikten din etter art. 30 GDPR, så langt det er en plikt.
- Nevn den berettigede interessen i personvernerklæringen. Art. 13 nr. 1 bokstav d GDPR krever ved dette grunnlaget at interessene oppgis.
- Prøv avveiningen på nytt når formål, data eller teknikk endres.
Innsigelse etter art. 21
Den som støtter seg på bokstav f, må gi en rett til å protestere. Det er to tilfeller (art. 21 GDPR):
- Generell innsigelse (nr. 1). Personen kan protestere av grunner knyttet til sin særlige situasjon. Du må da avslutte behandlingen, med mindre du påviser tvingende berettigede grunner som går foran.
- Innsigelse mot direkte markedsføring (nr. 2 og 3). Her trengs ingen begrunnelse. Etter en innsigelse kan dataene ikke lenger behandles til reklame.
Etter nr. 4 må du senest ved den første kommunikasjonen uttrykkelig gjøre oppmerksom på denne retten, forståelig og atskilt fra annen informasjon.
Ofte stilte spørsmål
Trenger jeg ingen informasjon til de registrerte ved berettiget interesse? Jo. Informasjonspliktene etter art. 13 og 14 GDPR gjelder også da. Ved dette grunnlaget kommer det i tillegg at du må nevne de berettigede interessene.
Holder berettiget interesse for informasjonskapsler og sporingsskript? For tilgang til sluttenheten som regel ikke. Der gjelder i Tyskland § 25 TDDDG og i Østerrike § 165 Abs. 3 TKG 2021, begge krever i prinsippet samtykke. GDPR-grunnlaget gjelder først den påfølgende behandlingen. Mer om dette i § 25 TDDDG: informasjonskapsler og sporing i Tyskland.
Må jeg føre avveiningen skriftlig? GDPR foreskriver ingen fast form. På grunn av bevisplikten i art. 5 nr. 2 er en skriftlig dokumentasjon likevel den sikre veien.
