Nødvendig for å oppfylle en avtale
En virksomhet kan behandle personopplysninger dersom det er nødvendig for å oppfylle en avtale som den det gjelder er part i. Det samme gjelder der behandlingen er nødvendig for å gjennomføre tiltak som den enkelte har spurt etter før avtaleinngåelse.
Nødvendig for avtale som personen er part i
Dette behandlingsgrunnlaget dekker behandling av personopplysninger som faktisk og logisk er nødvendig for å utføre en tjeneste den enkelte har etterspurt.
Eksempel
En person bestiller klær på nett. For å kunne oppfylle avtalen må virksomheten ha personens betalingsinfo, så den kan ta seg betalt, og adresse, så den kan sende varene.
En arbeidsgiver trenger opplysninger om arbeidstakeres bankforbindelse for å kunne utbetale lønn i henhold til arbeidsavtalen.
Behandling av personopplysninger på bakgrunn av ensidige vilkår i en avtale («liten skrift») kan ikke baseres på dette behandlingsgrunnlaget.
Eksempel
En person abonnerer på en nettavis. I brukervilkårene står det at nettavisen vil overvåke alt personen gjør på nettavisen for profilering og markedsføring. Denne behandlingen er ikke nødvendig for avtalen, siden overvåkingen ikke er nødvendig for å gi tilgang til nyhetene. (At virksomheten mener at overvåkingen er nødvendig for at den skal kunne tilby nyheter med profitt på det frie markedet, er et annet spørsmål som ikke påvirker denne vurderingen.)
Behandlingsgrunnlaget dekker det som er nødvendig for å oppfylle avtalen, altså normalsituasjonen. Det dekker ikke behandling av personopplysninger i forbindelse med avtalebrudd.
Nødvendig for tiltak personen har etterspurt før avtaleinngåelse
Dersom det er snakk om et tiltak som utføres før avtaleinngåelse, er det viktig å huske på at det er snakk om tiltak som personen, ikke virksomheten, har etterspurt.
Eksempel
En person ber om å få tilsendt informasjon om en tjeneste før hun eventuelt bestemmer seg for å inngå avtalen. For å kunne sende informasjonen må virksomheten lagre adressen hennes. Behandlingsgrunnlaget er «nødvendig for avtale».
En virksomhet kredittsjekker kunden før avtaleinngåelse fordi virksomheten ikke vil risikere at kunden ikke kan eller vil betale. Det er ikke kunden som har etterspurt dette tiltaket, så «nødvendig for avtale» er ikke behandlingsgrunnlaget.