Test równowagi interesów zgodnie z RODO – jak udokumentować prawnie uzasadniony interes

Krótka odpowiedź: Prawnie uzasadniony interes zgodnie z art. 6 ust. 1 lit. f RODO może być stosowany, gdy istnieje prawnie uzasadniony interes, przetwarzanie jest niezbędne do jego osiągnięcia, a interesy lub podstawowe prawa osoby, której dane dotyczą, nie są nadrzędne. Ocena powinna zostać udokumentowana przed rozpoczęciem przetwarzania.

Czym jest prawnie uzasadniony interes?

Prawnie uzasadniony interes jest jedną z podstaw prawnych RODO. Jest często wykorzystywany w działalności prywatnej, gdy przetwarzanie nie opiera się w sposób właściwy na umowie, obowiązku prawnym lub zgodzie. Nie jest to jednak ogólna podstawa rezerwowa. Podmiot musi być w stanie wykazać, dlaczego właśnie to konkretne przetwarzanie przechodzi test.

Test trzystopniowy w ramach LIA

1. Czy istnieje prawnie uzasadniony interes?

Opisz konkretny interes i określ, kto go posiada. Może to dotyczyć na przykład zapobiegania oszustwom, zapewnienia bezpieczeństwa sieci i informacji lub prowadzenia określonego marketingu bezpośredniego.

2. Czy przetwarzanie jest niezbędne?

Zadaj pytanie, czy cel można osiągnąć w sposób mniej ingerujący w prywatność. Jeśli ten sam rezultat można uzyskać przy użyciu mniejszej ilości danych, krótszego okresu przechowywania lub zanonimizowanych informacji, należy to uwzględnić.

3. Czyje interesy są nadrzędne?

Oceń charakter danych, relację z osobą, której dane dotyczą, uzasadnione oczekiwania, zakres, środki ochrony i możliwe konsekwencje. Dzieci i inne grupy wymagające szczególnego traktowania wymagają szczególnej ostrożności.

Co powinna zawierać dokumentacja?

• cel oraz opisany prawnie uzasadniony interes
• jakie dane osobowe i jakie osoby, których dane dotyczą, są objęte przetwarzaniem
• ocenę niezbędności oraz możliwe alternatywy
• zbilansowanie interesów podmiotu i osoby, której dane dotyczą
• środki ochrony, okres przechowywania i ograniczenia dostępu
• informacje o prawie do sprzeciwu i sposobie jego rozpatrywania
• decyzję, osobę odpowiedzialną oraz datę ponownej oceny

Marketing bezpośredni a sprzeciw

Marketing bezpośredni często pojawia się w kontekście prawnie uzasadnionego interesu, ale nie oznacza to, że cały marketing jest automatycznie dozwolony. Inne przepisy również mogą być istotne, a jeśli dana osoba wniesie sprzeciw wobec przetwarzania danych do celów marketingu bezpośredniego, przetwarzanie to musi zostać zakończone.

Kiedy LIA nie wystarcza?

Test prawnie uzasadnionego interesu nie zastępuje oceny skutków dla ochrony danych (DPIA), gdy przetwarzanie prawdopodobnie może powodować wysokie ryzyko. Nie zastępuje również wymogów dotyczących informacji, minimalizacji danych, ograniczenia przechowywania, bezpieczeństwa i pozostałych zasad RODO.

Częste błędy

• zbyt abstrakcyjny opis interesu, np. tylko „korzyść biznesowa”
• pomijanie oceny niezbędności
• zakładanie, że relacja z klientem automatycznie oznacza, iż osoba, której dane dotyczą, powinna spodziewać się przetwarzania
• brak dokumentowania środków ochrony
• brak ponownej oceny starej analizy w przypadku zmian w przetwarzaniu

Zobacz pakiet szablonów do oceny prawnie uzasadnionego interesu / LIA w Mallbutiken.

FAQ

Czy zgoda jest zawsze lepsza niż prawnie uzasadniony interes?

Nie. Podstawę prawną należy dobrać w oparciu o faktyczne przetwarzanie. Zgoda ma szczególne wymogi i musi być m.in. dobrowolna oraz możliwa do wycofania.

Czy organy publiczne mogą korzystać z art. 6 ust. 1 lit. f?

Nie w przypadku, gdy organ przetwarza dane osobowe w ramach realizacji swoich zadań. W przypadku podmiotów prywatnych art. 6 ust. 1 lit. f może mieć jednak zastosowanie, jeśli spełnione są wszystkie warunki.

Jak często należy weryfikować LIA?

Nie ma jednego uniwersalnego okresu. Jeśli cel, zakres danych, technologia, odbiorcy lub profil ryzyka ulegną zmianie, ocenę należy zweryfikować.

Oficjalne wytyczne: Szwedzki Urząd Ochrony Danych (IMY) oraz Europejska Rada Ochrony Danych posiadają wytyczne dotyczące art. 6 ust. 1 lit. f oraz trzech kryteriów testu równowagi.

Niniejszy artykuł stanowi informację ogólną i nie zastępuje porady prawnej.