TL;DR dla IOD
Prawnie uzasadniony interes to podstawa, którą administratorzy wybierają, gdy nie mają zgody i nie widzą nic lepszego. To zarazem jedyna podstawa, która wymaga spisania rozumowania, zanim się z niej skorzysta. Jeśli tego rozumowania nie ma na papierze, to przed organem podstawy prawnej po prostu nie ma.
Co orzekł Trybunał
W sprawie C-621/22, rozstrzygniętej 4 października 2024 r., niderlandzki związek tenisowy przekazał dwóm sponsorom dane swoich członków w celach marketingowych. Pytanie do Trybunału było proste: czy interes czysto handlowy może zostać zakwalifikowany jako prawnie uzasadniony interes w rozumieniu art. 6 ust. 1 lit. f)? Odpowiedź brzmiała: tak, pod warunkiem że interes ten nie jest sprzeczny z prawem. To ta część wyroku obiegła konferencje.
Część, której prawie nikt nie przeczytał
Uznanie, że interes jest prawnie uzasadniony, oznacza pokonanie pierwszej z trzech przesłanek. Pozostają dwie i to tam rozstrzyga się wszystko: przetwarzanie musi być niezbędne do realizacji tego interesu - czyli nie może istnieć mniej ingerujący środek prowadzący do tego samego rezultatu - a interes administratora nie może być nadrzędny wobec interesów lub podstawowych praw i wolności osoby, której dane dotyczą. Ważenie Trybunał pozostawił sądowi krajowemu, ale jasno wskazał kryterium o największej wadze: rozsądne oczekiwania tego, kto dane przekazał.
Kryterium, na którym przegrywa większość spraw
Członek zapisujący się do związku sportowego oczekuje, że jego dane posłużą do prowadzenia członkostwa. Nie oczekuje ofert handlowych od firmy, z którą nie łączy go nic. Gdy przetwarzanie wychodzi poza to, czego osoba mogła rozsądnie oczekiwać w chwili zbierania danych, szala się przechyla, a żadna ilość interesu ekonomicznego jej nie wyprostuje.
Dlaczego dotyczy to Twoich klientów, nawet jeśli nie handlują bazami
Prawnie uzasadniony interes utrzymuje przetwarzania, których nikt nie uważa za kontrowersyjne: monitoring wizyjny w firmie, przeciwdziałanie oszustwom, bezpieczeństwo informatyczne, windykację, komunikaty do pozyskanych już klientów. We wszystkich tych przypadkach podstawa prawna jest zapewne trafna, a niemal we wszystkich brakuje dokumentu, który to wykazuje. Różnica między tymi dwiema sytuacjami ujawnia się dopiero wtedy, gdy wpłynie żądanie dostępu albo skarga.
Co ma zawierać ocena
Nie potrzeba długiego dokumentu: potrzeba dokumentu, który odpowiada na trzy pytania i ma datę. Wytyczne EROD 1/2024 w sprawie prawnie uzasadnionego interesu mają tę samą trzystopniową strukturę i stanowią punkt odniesienia, według którego organ oceni Twoją pracę.
- Jaki interes realizuje administrator, opisany konkretnie, a nie formułą: nie 'cele handlowe', lecz 'ponowny kontakt z klientami, którzy kupili w ostatnich dwudziestu czterech miesiącach, z propozycją odnowienia'.
- Dlaczego przetwarzanie jest niezbędne do tego interesu i jaką mniej ingerującą alternatywę rozważono i odrzucono: to etap, którego prawie nikt nie zapisuje, a właśnie on dowodzi, że dokonano wyboru.
- Czego osoba, której dane dotyczą, mogła rozsądnie oczekiwać w chwili zbierania danych i jakie zabezpieczenia zmniejszają wpływ na nią: jasna informacja, krótkie okresy przechowywania, łatwy do wykonania sprzeciw.
Dwa obowiązki, które idą za wyborem i bywają zapominane
Pierwszy to art. 13 ust. 1 lit. d): gdy podstawą jest prawnie uzasadniony interes, informacja musi wskazywać, JAKI to interes. Napisanie 'prawnie uzasadniony interes administratora' i nic więcej nie wypełnia obowiązku, a naruszenie da się stwierdzić, czytając samą stronę internetową. Drugi to art. 21: prawnie uzasadniony interes jest jedyną podstawą, której towarzyszy prawo sprzeciwu, a przy marketingu bezpośrednim sprzeciw ten jest bezwzględny - bez ważenia i bez wyjątków.
Próba ostateczna
Poproś klienta, aby dla jednej operacji opartej na prawnie uzasadnionym interesie pokazał dokument, w którym oceniono trzy przesłanki. Jeśli go nie ma, to nie jest formalność do uzupełnienia, gdy będzie czas: to jedyna rzecz, która w razie skargi odróżnia przemyślany wybór od podstawy prawnej wybranej przez wykluczenie.
Szukasz narzędzia do codziennej pracy inspektora ochrony danych?
DPO Workspace został zbudowany przez certyfikowanego IOD. 30 dni bezpłatnie.
Zacznij bezpłatnie
