Is it the end of relying on balance of interests as a legal basis for profiling and profile sharing for the purpose of targeted advertising in joint controller relationships?

Afvejning af interesser og ePrivacy i fælles dataansvar

Den svenske tilsynsmyndighed IMY har sanktioneret profilering og deling af profiler til målrettet annoncering, fordi de fælles dataansvarlige manglede gyldigt behandlingsgrundlag efter GDPR. Henvisning til legitim interesse efter art. 6, stk. 1, litra f, blev afvist, bl.a. fordi sporings- og profileringsteknologier medfører indgribende behandling og fordi samtykke anses som det mere egnede grundlag.

IMY lagde desuden vægt på, at ePrivacy-reglerne om adgang til terminaludstyr typisk kræver forudgående samtykke, hvilket indgår tungt i interesseafvejningen – også hvor ePrivacy formelt ikke finder direkte anvendelse på den pågældende behandling. Praktisk bør fælles dataansvarlige derfor sikre klare art. 26-aftaler, indhente dokumenterbart samtykke, styrke oplysning og indsigelsesmuligheder samt dokumentere nødvendighed og proportionalitet.