Data kan endast behandlas om det finns minst en laglig grund för att göra det. De lagliga grunderna för behandling av uppgifter är:

• den registrerade har gett sitt samtycke till behandlingen av sina personuppgifter för ett eller flera specifika ändamål.
• behandling är nödvändig för fullgörande av ett kontrakt som den registrerade är part i eller för att vidta åtgärder på begäran av den registrerade innan ett avtal ingås.
• behandling är nödvändig för att uppfylla en rättslig skyldighet att som den registeransvarige är föremål för.
• bearbetning är nödvändig för att skydda den registrerades eller en annan fysisk persons vitala intressen.
• behandling är nödvändig för att utföra en uppgift som utförs ut i allmänhetens intresse eller vid utövande av officiell auktoritet som ligger hos den personuppgiftsansvarige.
• behandling är nödvändig för de legitima intressen som den personuppgiftsansvarige eller en tredje part eftersträvar, utom när sådana intressen åsidosätts. av den registrerades intressen eller grundläggande rättigheter och friheter som kräver skydd av personuppgifter, särskilt där den registrerade är ett barn.

Så om du inte har någon mycket tvingande anledning att behöva behandla personens uppgifter utan deras samtycke kan du ' t gör det lagligt. Därför är det svårt att se hur du skulle kunna producera denna "mall", och även om du på något sätt inte hade den som tar emot den kanske en laglig grund för att hämta (bearbeta) dessa uppgifter ändå.

Möjligen om du var professor som skrev en vetenskaplig uppsats om beteende online kan du hitta en viss lättnad i artikel 89.

Men det verkar kräva att personligt identifierbar information tas bort från informationen så att den inte längre är lätt att spåra till en individ.

Behandling för arkivering i allmänhetens intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål ska omfattas av lämpliga skyddsåtgärder, i enlighet med denna förordning, för den registrerades rättigheter och friheter. . 2Dessa skyddsåtgärder ska säkerställa att tekniska och organisatoriska åtgärder finns på plats, särskilt för att säkerställa respekten för principen om dataminimering. 3 Dessa åtgärder kan inkludera pseudonymisering förutsatt att dessa syften kan uppfyllas på det sättet. 4 Om dessa syften kan uppnås genom vidare bearbetning som inte tillåter eller inte längre tillåter identifiering av registrerade, ska dessa syften uppfyllas på detta sätt.

"för alla syften"

Nej.

Om du skulle kunna visa att de produkter dina kunder köper från dig skulle vara värdelösa utan att du bearbetade dessa data, kanske. Och du måste tydligt ange någonstans i termerna något som "vi kan leta efter spår efter dig och dina data online och bearbeta den informationen för att bestämma beteendemönster. vi kan använda de bestämda mönstren för att anpassa din kundupplevelse. '

Antag att ditt företag är helt av glas och att dina kunder är den verkliga auktoriteten för vad du får göra för / om dem. Och bara för att Peter betalar dig för att spionera på Paul, betyder det inte att du kan ignorera Pauls rättigheter / preferenser;)