Etujen punninta GDPR:n mukaisesti – näin dokumentoit oikeutetun edun

Lyhyt vastaus: GDPR:n artiklan 6.1 f mukaista oikeutetun edun arviointia voidaan käyttää, kun on olemassa oikeutettu etu, käsittely on tarpeen edun saavuttamiseksi ja rekisteröidyn edut tai perusoikeudet eivät paina enempää. Arviointi tulee dokumentoida ennen käsittelyn aloittamista.

Mitä tarkoitetaan oikeutetun edun arvioinnilla?

Oikeutetun edun arviointi on yksi GDPR:n oikeusperusteista. Sitä käytetään usein yksityisessä toiminnassa, kun käsittely ei luontevasti perustu sopimukseen, lakisääteiseen velvoitteeseen tai suostumukseen. Se ei kuitenkaan ole yleinen varaperuste. Toimijan on pystyttävä osoittamaan, miksi juuri tämä käsittely läpäisee testin.

Kolmivaiheinen testi oikeutetun edun arvioinnissa

1. Onko olemassa oikeutettu etu?

Kuvaile konkreettinen etu ja kenellä se on. Kyse voi olla esimerkiksi petosten ehkäisemisestä, verkko- ja tietoturvan ylläpitämisestä tai tietyn tyyppisestä suoramarkkinoinnista.

2. Onko käsittely välttämätöntä?

Kysy, voidaanko tavoite saavuttaa vähemmän yksityisyyttä loukkaavalla tavalla. Jos sama tulos voidaan saavuttaa vähemmillä tiedoilla, lyhyemmällä säilytysajalla tai anonymisoiduilla tiedoilla, se tulee ottaa huomioon.

3. Kumman edut painavat enemmän?

Arvioi tietojen luonnetta, suhdetta rekisteröityyn, kohtuullisia odotuksia, laajuutta, suojatoimia ja mahdollisia seurauksia. Lapset ja muut haavoittuvat ryhmät vaativat erityistä varovaisuutta.

Mitä dokumentaation tulisi sisältää?

• tarkoitus ja kuvattu oikeutettu etu
• mitä henkilötietoja ja rekisteröityjä käsittely koskee
• välttämättömyysarviointi ja mahdolliset vaihtoehdot
• toimijan ja rekisteröidyn etujen tasapainottaminen
• suojatoimet, säilytysaika ja pääsynrajoitukset
• tiedot vastustamisoikeudesta ja siitä, miten vastustamisiin suhtaudutaan
• päätös, vastuuhenkilö ja uudelleenarvioinnin päivämäärä

Suoramarkkinointi ja vastustaminen

Suoramarkkinointi mainitaan usein oikeutetun edun yhteydessä, mutta se ei tarkoita, että kaikki markkinointi on automaattisesti sallittua. Myös muut säännöt voivat olla relevantteja, ja jos henkilö vastustaa suoramarkkinointia, kyseinen käsittely on lopetettava.

Milloin oikeutetun edun arviointi ei riitä?

Oikeutetun edun arviointi ei korvaa tietosuojaa koskevaa vaikutustenarviointia (DPIA), kun käsittely johtaa todennäköisesti korkeaan riskiin. Se ei myöskään korvaa tiedottamisvelvollisuutta, tietojen minimointia, säilytyksen rajoittamista, tietoturvaa ja muita GDPR:n periaatteita.

Yleisiä virheitä

• edun kuvaaminen liian abstraktisti, esimerkiksi vain ”liiketoimintahyöty”
• välttämättömyysarvioinnin väliin jättäminen
• oletus, että asiakassuhde tarkoittaa automaattisesti sitä, että rekisteröidyn tulee odottaa käsittelyä
• suojatoimien dokumentoimatta jättäminen
• vanhan arvion uudelleenarvioimatta jättäminen, kun käsittely muuttuu

Katso Mallbutikenin oikeutetun edun arvioinnin mallipaketti.

FAQ

Onko suostumus aina parempi kuin oikeutetun edun arviointi?

Ei. Oikeusperuste tulee valita varsinaisen käsittelyn perusteella. Suostumukselle on erityisvaatimuksia, ja sen tulee muun muassa olla vapaaehtoista ja sen on oltava peruutettavissa.

Voivatko viranomaiset käyttää artiklaa 6.1 f?

Eivät silloin, kun viranomainen käsittelee henkilötietoja julkista tehtävää suorittaessaan. Yksityisille toimijoille artikla 6.1 f voi kuitenkin olla relevantti, jos edellytykset täyttyvät.

Kuinka usein oikeutetun edun arviointi tulisi tarkistaa?

Siihen ei ole yhtä yksinkertaista yleispätevää määräaikaa. Jos tarkoitus, tietomäärä, tekniikka, vastaanottajat tai riskikuva muuttuvat, arviointi on tarkistettava.

Virallinen ohjeistus: Tietosuojavaltuutetun toimistolla (IMY) ja Euroopan tietosuojaneuvostolla on ohjeistusta artiklan 6.1 f soveltamisesta ja oikeutetun edun arvioinnin kolmesta kriteeristä.

Artikkeli on yleistä tietoa eikä se korvaa oikeudellista neuvontaa.