Formålsbegrænsning

Formålsbegrænsning er et grundlæggende princip i databeskyttelse, som gælder under EU’s generelle forordning om beskyttelse af data (GDPR). Ifølge princippet må personoplysninger kun indsamles til bestemte, eksplicitte og legitime formål og må ikke senere behandles på en måde, der er ikke uforenlig med disse formål. Formålene skal fastsættes ved indsamlingen og kommunikeres klart til den registrerede.

Når data indsamles til et bestemt formål, må yderligere behandling som udgangspunkt ikke ske til et formål, der er uforenligt med det oprindelige. Behandlingen kan dog være tilladt, hvis de nye formål er forenelige med de oprindelige formål, eller hvis der findes en ny behandlingsgrundlag (f.eks. samtykke eller en anden lovlig hjemmel) til de nye formål. Hvorvidt et efterfølgende formål er foreneligt, vurderes ud fra faktorer som sammenhængen mellem formålene, konteksten, arten af de behandlede data, de potentielle konsekvenser for den registrerede og sikre forholdsregler.

Særlige undtagelser findes for arkiv-, videnskabelig og statistisk forskning eller historisk forskning, hvor videre behandling kan tillades med passende foranstaltninger (f.eks. pseudonymisering) og under hensyn til EU-lovgivningen og nationale regler, jf. artikel 89. Retten til at anføre eller ændre behovet for samtykke og andre behandlingsgrundlag spiller en rolle, hvis formål ændres væsentligt.

Praktisk anvendes formålsbegrænsningen gennem klare privatlivserklæringer, dokumentation af formål og løbende vurdering af formål og nødvendige datamængder samt retention.