Законен интерес — чл. 6(1)(f) GDPR — е най-полезното и най-неправилно разбраното правно основание в регламента. Маркетолозите с удоволствие го използват, защото не изисква банер за съгласие; надзорните органи го контролират стриктно, защото не трябва да се превръща в картбланш. Тази статия ви превежда през това какво всъщност казва членът, тристепенния тест, който надзорните органи очакват, практически пример за идентификация на уебсайт на ниво компания и къде са границите.
Какво всъщност казва чл. 6(1)(f)
Членът позволява обработка на лични данни, когато това е „необходимо за целите на законните интереси на администратора или на трета страна, освен когато пред такива интереси преимущество имат интересите или основните права и свободи на субекта на данните“. Особено думите „необходимо“ и „преимущество имат“ са от решаващо значение, а третият стълб е неписан, но съществен: вашият законен интерес сам по себе си трябва да е законен. Ако някой от тези три стълба се провали, основанието се проваля.
Надзорният орган не решава вместо вас. Вие извършвате анализа, вие документирате анализа и ако бъдете проверени, вие представяте анализа. Няма подаване, няма регистрация и няма предварително одобрение — но също така няма възможна защита, ако балансът на интересите не е бил действително извършен.
Тристепенен тест за балансиране на интересите
Европейските органи за защита на данните използват една и съща тристепенна рамка, известна още като LIA (Оценка на законните интереси). Всяка стъпка трябва да бъде успешно премината.
- Тест за цел — законен ли е интересът, специфичен ли е и реален ли е? Общо „искаме да продаваме повече“ не е достатъчно. „Идентифициране на компании, които посещават нашия B2B уебсайт, за да се свържем с правилния вземащ решения с релевантна информация“ е.
- Тест за необходимост — обработката ли е най-малко инвазивният начин за постигане на целта? Ако по-малко инвазивен метод би работил (агрегирани анализи, бюлетин с абонамент, формуляр), тогава той трябва да бъде предпочетен. Необходимостта означава, че не можете разумно да го направите по друг начин.
- Тест за балансиране — интересите, правата и свободите на субекта на данните надвишават ли вашите? Погледнете техните разумни очаквания, естеството на данните, чувствителността, контекста, в който са събрани, и гаранциите, които прилагате.
Практически пример: идентификация на посетители на ниво компания
Да предположим, че B2B SaaS компания в ЕС иска да разпознава организациите зад посещенията на уебсайта — идентификация на ниво компания, без бисквитки, без лични идентификатори. Ето как изглежда една защитима LIA стъпка по стъпка.
Стъпка 1 — Цел
Целта е идентифициране на компании, които активно проучват B2B услуга, за да им изпратят релевантна, целенасочена информация (персонализиран имейл, казус, покана за 15-минутен разговор). Целта е законна, специфична и реална. Това не е събиране на данни „за всеки случай“.
Стъпка 2 — Необходимост
Може ли целта да бъде постигната по по-малко инвазивен начин? Агрегираните анализи ви казват „колко?“, но не и „кой?“ — те не могат да изпълнят целта. Общ бюлетин достига само до абонати, а не до компании, които активно проучват в момента. Формуляр улавя само малка част от посетителите. Идентификацията на компанията, при която IP адресът се проследява до организация без засягане на лични идентификатори, е пропорционално и необходимо средство за поставената цел.
Стъпка 3 — Балансиране
Разумни очаквания: бизнес посетителите, които посещават B2B уебсайт по време на работа, обикновено очакват, че операторът на уебсайта знае, че компания (не непременно физическо лице) е посетила сайта. Естество на данните: идентифицираното лице е юридическо лице (организация), а не физическо лице. Чувствителност: не са включени специални категории данни. Контекст: данните са събрани на собствения уебсайт на администратора в хода на нормалната бизнес дейност. Гаранции: без бисквитки, без отпечатъци, без проследяване между сайтове, без профил на индивидуалния посетител; достъпна опция за отказ за идентифицираната компания; публична политика за поверителност, която точно обяснява какво се случва.
В този баланс интересът на администратора да се свърже с вземащ решения с релевантна информация в нормална B2B ситуация надвишава интересите на субекта на данните. Друга обработка (като проследяване на индивидуално ниво или препродажба на данни на трети страни) би наклонила баланса — анализът е специфичен за това, което действително правите.
Как всъщност изглежда документацията
Защитима LIA е кратък документ с дата — обикновено две до четири страници — подписан от отговорно лице. По-долу е структурата, която повечето европейски надзорни органи приемат.
| Раздел | Съдържание | Дължина |
|---|---|---|
| Заглавие | Име и адрес на обработващия, контакт на ДЗЛ, ако има такъв, дата на влизане в сила | 1 ред всеки |
| Цел | Специфичен, законен, реален интерес — един параграф | ~100 думи |
| Необходимост | Разгледани алтернативи и защо те не постигат целта | ~150 думи |
| Балансиране | Разумни очаквания, естество, чувствителност, контекст, гаранции | ~300 думи |
| Гаранции | Конкретни мерки: отказ, съхранение, без лични идентификатори, DPA с обработващи | ~150 думи |
| Преглед | Подписано от (име, роля); следваща дата на преглед (годишно) | 2 реда |
Какво се различава по държави
Чл. 6(1)(f) е унифициран в целия ЕС, но измерението на ePrivacy (в Германия § 25 TDDDG) определя дали можете да поставяте или четете информация на крайното оборудване — помислете за бисквитки, локално съхранение или отпечатъци. Идентификацията на компанията без съхранение от страна на клиента попада извън изискването за съгласие по § 25; въвеждането на идентификатор от страна на клиента ви отвежда директно в областта на съгласието, независимо от вашето основание по чл. 6.
Кога съгласието — а не законният интерес — е правилното основание
Законният интерес не е универсален заместител на съгласието. Правилното основание се измества към съгласие (чл. 6(1)(a)) в поне три често срещани B2B ситуации.
- Когато информация се съхранява на или се чете от устройството на посетителя, която не е строго необходима — проследяваща бисквитка, идентификатор на localStorage, отпечатък — ePrivacy / § 25 TDDDG изисква съгласие, независимо от вашето основание по чл. 6.
- Обработка на лични данни на физически лица за поведенческа реклама, профилиране между сайтове или препродажба на трети страни. Това излиза далеч извън пропорционален B2B интерес за контакт.
- Специални категории данни (чл. 9) — здраве, политически възгледи, биометрия — никога не попадат под обикновен законен интерес; изисква се специфично основание по чл. 9 в допълнение към чл. 6.
Оперативен контролен списък
- Имате писмена, датирана LIA за конкретната обработка.
- Вашата политика за поверителност обяснява на разбираем език, че идентифицирате компании (не физически лица) и защо.
- Имате достъпна опция за отказ и я спазвате — компаниите се премахват в определен срок и не се идентифицират отново.
- Имате подписан DPA с всеки обработващ, който докосва данните.
- Преглеждате LIA ежегодно или когато обработката се промени съществено.
Тази статия е написана с образователна цел и не представлява правен съвет. Консултирайте се с квалифициран юрист за обвързваща оценка на вашите собствени обработки.
Published by
lead.box Team
Още статии
Вижте lead.box върху собствения си трафик
Започнете безплатно — без карта, без задължително обаждане от продажби. Или си запазете 20-минутна демонстрация, ако предпочитате обиколка с водач.