Co je oprávněný zájem? Čl. 6 odst. 1 písm. f) GDPR pro B2B

Oprávněný zájem – čl. 6 odst. 1 písm. f) GDPR – je nejužitečnější a nejčastěji špatně chápaný právní základ v nařízení. Marketingoví pracovníci se k němu rádi uchylují, protože nevyžaduje banner se souhlasem; dozorové orgány jej přísně kontrolují, protože nesmí být volnou licencí. Tento článek vás provede tím, co článek skutečně říká, třístupňovým testem, který dozorové orgány očekávají, praktickým příkladem identifikace webových stránek na úrovni společnosti a kde jsou hranice.

Co skutečně říká čl. 6 odst. 1 písm. f)

Článek umožňuje zpracování osobních údajů, pokud je to „nezbytné pro účely oprávněných zájmů příslušného správce nebo třetí strany, s výjimkou případů, kdy převažují zájmy nebo základní práva a svobody subjektu údajů“. Zvláště slova „nezbytné“ a „převažují“ jsou klíčová a třetí pilíř je nepsaný, ale zásadní: váš oprávněný zájem musí být sám o sobě zákonný. Pokud jeden z těchto tří selže, selže i právní základ.

Dozorový orgán za vás nerozhoduje. Vy provádíte analýzu, vy ji zaznamenáváte, a pokud jste kontrolováni, analýzu předložíte. Neexistuje žádné podání, žádná registrace a žádné předběžné schválení – ale také neexistuje žádná obrana, pokud posouzení zájmů nebylo skutečně provedeno.

Třístupňový test vyvážení zájmů

Evropské úřady pro ochranu údajů používají stejný třístupňový rámec, známý také jako LIA (Legitimate Interests Assessment). Každý krok musí být úspěšně dokončen.

1. Test účelu – je zájem legitimní, specifický a reálný? Obecné „chceme více prodat“ nestačí. „Identifikace společností, které navštěvují naše B2B webové stránky, za účelem oslovení správného rozhodovatele s relevantními informacemi“ ano.
2. Test nezbytnosti – je zpracování nejméně invazivním způsobem, jak dosáhnout cíle? Pokud by fungovala méně invazivní metoda (agregovaná analytika, opt-in newsletter, formulář), měla by být preferována. Nezbytnost znamená, že to rozumně nemůžete udělat jinak.
3. Test vyvážení – převažují zájmy, práva a svobody subjektu údajů nad vašimi? Podívejte se na jejich přiměřená očekávání, povahu údajů, citlivost, kontext, ve kterém byly shromážděny, a záruky, které uplatňujete.

Praktický příklad: identifikace návštěvníků na úrovni společnosti

Předpokládejme, že B2B SaaS společnost v EU chce rozpoznat organizace za návštěvami webových stránek – identifikace na úrovni společnosti, bez cookies, bez osobních identifikátorů. Zde je krok za krokem, jak vypadá obhajitelná LIA.

Krok 1 – Účel

Účelem je identifikace společností, které aktivně zkoumají B2B službu – za účelem zasílání relevantních, cílených informací (personalizovaný e-mail, případová studie, pozvánka na patnáctiminutový rozhovor). Účel je legitimní, specifický a reálný. Nejedná se o sběr dat „pro každý případ“.

Krok 2 – Nezbytnost

Lze cíle dosáhnout méně invazivně? Agregovaná analytika vám řekne „kolik?“, ale ne „kdo?“ – nemůže splnit cíl. Obecný newsletter osloví pouze odběratele, nikoli společnosti, které nyní aktivně zkoumají. Formulář zachytí jen zlomek návštěvníků. Identifikace společnosti, při které se IP adresa přiřadí k organizaci, aniž by se dotkla osobních identifikátorů, je proporcionálním a nezbytným prostředkem pro stanovený účel.

Krok 3 – Vyvážení

Přiměřená očekávání: obchodní návštěvníci, kteří navštěvují B2B webové stránky během práce, obecně očekávají, že provozovatel webových stránek ví, že společnost (nikoli nutně jednotlivec) navštívila stránky. Povaha údajů: identifikovaná entita je právnická osoba (organizace), nikoli fyzická osoba. Citlivost: nejsou zapojeny žádné zvláštní kategorie údajů. Kontext: údaje jsou shromažďovány na vlastních webových stránkách správce v rámci běžné obchodní činnosti. Záruky: žádné cookies, žádné otisky prstů, žádné sledování napříč weby, žádný profil jednotlivého návštěvníka; dostupný opt-out pro identifikovanou společnost; veřejné prohlášení o ochraně osobních údajů, které přesně vysvětluje, co se děje.

V této rovnováze převažuje zájem správce oslovit rozhodovatele s relevantními informacemi v běžné B2B situaci nad zájmy subjektu údajů. Jiné zpracování (jako je sledování na individuální úrovni nebo prodej dat třetím stranám) by rovnováhu narušilo – analýza je specifická pro to, co skutečně děláte.

Jak skutečně vypadá dokumentace

Obhajitelná LIA je krátký dokument s datem – obvykle dvě až čtyři strany – podepsaný odpovědnou osobou. Níže je uvedena struktura, kterou většina evropských dozorových orgánů akceptuje.

Kdy je souhlas – a nikoli oprávněný zájem – správným právním základem

Oprávněný zájem není univerzální náhradou za souhlas. Správný právní základ se přesouvá na souhlas (čl. 6 odst. 1 písm. a)) v nejméně třech běžných B2B situacích.

1. Pokud jsou na zařízení návštěvníka ukládány nebo z něj čteny informace, které nejsou striktně nezbytné – sledovací cookie, identifikátor localStorage, otisk prstu – ePrivacy / § 25 TDDDG vyžaduje souhlas, bez ohledu na váš právní základ podle čl. 6.
2. Zpracování osobních údajů fyzických osob pro behaviorální reklamu, profilování napříč weby nebo prodej třetím stranám. To dalece přesahuje proporcionální zájem B2B kontaktu.
3. Zvláštní kategorie údajů (čl. 9) – zdraví, politické názory, biometrie – nikdy nespadají pod běžný oprávněný zájem; kromě čl. 6 je vyžadován specifický právní základ podle čl. 9.

Provozní kontrolní seznam

• Máte písemnou, datovanou LIA pro konkrétní zpracování.
• Vaše prohlášení o ochraně osobních údajů srozumitelným jazykem vysvětluje, že identifikujete společnosti (nikoli jednotlivce) a proč.
• Máte dostupný opt-out a respektujete jej – společnosti jsou odstraněny v rámci stanovené lhůty a nejsou znovu identifikovány.
• Máte podepsanou DPA s každým zpracovatelem, který se dotýká dat.
• LIA přezkoumáváte ročně nebo když se zpracování podstatně změní.

Tento článek je napsán pro vzdělávací účely a nepředstavuje právní poradenství. Pro závazné posouzení vašich vlastních zpracování se poraďte s kvalifikovaným právním poradcem.

Published by

lead.box Team

← Poznámky k B2B lead intelligence dle GDPR