Баланс інтересів згідно з GDPR – як задокументувати законний інтерес

Коротка відповідь: Зважування інтересів відповідно до статті 6.1 f GDPR може використовуватися, коли існує законний інтерес, обробка є необхідною для досягнення цього інтересу, а інтереси або основні права суб'єкта даних не переважають над ним. Оцінку слід задокументувати до початку обробки.

Що таке зважування інтересів?

Зважування інтересів є однією з правових підстав GDPR. Воно часто використовується в приватній діяльності, коли обробка не може належним чином базуватися на договорі, юридичному зобов’язанні чи згоді. Однак це не загальна резервна підстава. Організація повинна вміти довести, чому саме ця обробка проходить такий тест.

Триетапний тест у LIA (оцінці законного інтересу)

1. Чи існує законний інтерес?

Опишіть конкретний інтерес і хто його має. Це може стосуватися, наприклад, запобігання шахрайству, забезпечення безпеки мережі та інформації або здійснення певного прямого маркетингу.

2. Чи є обробка необхідною?

Запитайте, чи можна досягти мети менш інвазивним для приватності способом. Якщо той самий результат можна отримати з меншою кількістю даних, коротшим терміном зберігання або анонімізованими даними, це слід врахувати.

3. Чиї інтереси переважають?

Оцініть характер даних, стосунки із суб’єктом даних, розумні очікування, обсяг, заходи захисту та можливі наслідки. Діти та інші вразливі групи потребують особливої обережності.

Що має містити документація?

• мету та опис законного інтересу
• які персональні дані та суб’єкти даних задіяні
• оцінку необхідності та можливі альтернативи
• баланс між інтересами організації та суб’єкта даних
• заходи захисту, термін зберігання та обмеження доступу
• інформацію про право на заперечення та порядок розгляду заперечень
• рішення, відповідальну особу та дату перегляду

Прямий маркетинг та заперечення

Прямий маркетинг часто згадується в контексті законного інтересу, але це не означає, що будь-який маркетинг автоматично дозволений. Також можуть бути релевантними інші правила, і якщо особа заперечує проти обробки для прямого маркетингу, така обробка повинна припинитися.

Коли LIA недостатньо?

Зважування інтересів не замінює DPIA (оцінку впливу на захист даних), коли обробка ймовірно призведе до високого ризику. Воно також не замінює вимоги щодо інформування, мінімізації даних, обмеження зберігання, безпеки та інших принципів GDPR.

Поширені помилки

• опис інтересу занадто абстрактно, наприклад, просто «бізнес-інтереси»
• пропуск оцінки необхідності
• припущення, що наявність клієнтських відносин автоматично означає, що суб'єкт даних має очікувати на обробку
• відсутність документації щодо заходів захисту
• невиконання перегляду старої оцінки при зміні обробки

Перегляньте пакет шаблонів Mallbutiken для зважування інтересів / LIA.

Часті запитання

Чи завжди згода краща за зважування інтересів?

Ні. Правову підставу слід обирати виходячи з фактичної обробки. До згоди висуваються особливі вимоги, зокрема, вона має бути добровільною та підлягати відкликанню.

Чи можуть державні органи використовувати статтю 6.1 f?

Не тоді, коли орган обробляє персональні дані в рамках виконання своїх завдань. Для приватних суб'єктів стаття 6.1 f, навпаки, може бути релевантною, якщо дотримано всіх умов.

Як часто слід переглядати LIA?

Немає простого універсального терміну. Якщо змінюється мета, обсяг даних, технологія, отримувачі або профіль ризиків, оцінку слід переглянути.

Офіційні настанови: IMY та Європейська рада із захисту даних (EDPB) мають настанови щодо статті 6.1 f та трьох критеріїв зважування інтересів.

Стаття містить загальну інформацію і не замінює юридичну консультацію.