Legitimni interes — članak 6(1)(f) GDPR-a — najkorisnija je i najpogrešnije shvaćena pravna osnova u uredbi. Marketeri je rado koriste jer ne zahtijeva banner za pristanak; nadzorna tijela je strogo kontroliraju jer ne smije postati carte blanche. Ovaj članak vas vodi kroz ono što članak zapravo kaže, test u tri koraka koji nadzorna tijela očekuju, praktičan primjer za identifikaciju web stranice na razini tvrtke i gdje su granice.
Što članak 6(1)(f) zapravo kaže
Članak dopušta obradu osobnih podataka kada je to "nužno za ostvarivanje legitimnih interesa voditelja obrade ili treće strane, osim kada su interesi ili temeljna prava i slobode ispitanika pretežniji". Posebno su ključne riječi "nužno" i "pretežniji", a treći stup je nepisan, ali bitan: vaš legitimni interes mora biti sam po sebi zakonit. Ako jedan od ova tri stupa padne, pada i pravna osnova.
Nadzorno tijelo ne odlučuje umjesto vas. Vi provodite analizu, vi bilježite analizu, a ako budete kontrolirani, predajete analizu. Nema podnošenja, nema registracije i nema prethodnog odobrenja — ali nema ni obrane ako procjena interesa zapravo nije provedena.
Test ravnoteže interesa u tri koraka
Europska tijela za zaštitu podataka koriste isti okvir u tri koraka, poznat i kao LIA (Legitimate Interests Assessment). Svaki korak mora biti uspješno završen.
- Test svrhe — je li interes zakonit, specifičan i stvaran? Generičko "želimo prodati više" nije dovoljno. "Identifikacija tvrtki koje posjećuju našu B2B web stranicu kako bismo kontaktirali pravog donositelja odluka s relevantnim informacijama" jest.
- Test nužnosti — je li obrada najmanje invazivan način za postizanje svrhe? Ako bi manje invazivna metoda funkcionirala (agregirana analitika, opt-in newsletter, obrazac), onda bi joj trebalo dati prednost. Nužnost znači da to razumno ne možete učiniti na drugi način.
- Test ravnoteže — jesu li interesi, prava i slobode ispitanika pretežniji od vaših? Pogledajte njihova razumna očekivanja, prirodu podataka, osjetljivost, kontekst u kojem su prikupljeni i zaštitne mjere koje primjenjujete.
Praktičan primjer: identifikacija posjetitelja na razini tvrtke
Pretpostavimo da B2B SaaS tvrtka u EU želi prepoznati organizacije iza posjeta web stranici — identifikacija na razini tvrtke, bez kolačića, bez osobnih identifikatora. Evo kako izgleda obranjiva LIA korak po korak.
Korak 1 — Svrha
Svrha je identificirati tvrtke koje aktivno istražuju B2B uslugu, kako bi im se poslale relevantne, ciljane informacije (personalizirani e-mail, studija slučaja, poziv na petnaestominutni razgovor). Svrha je zakonita, specifična i stvarna. To nije prikupljanje podataka "za svaki slučaj".
Korak 2 — Nužnost
Može li se svrha postići manje invazivno? Agregirana analitika govori vam "koliko?" ali ne "tko?" — ne može ispuniti svrhu. Generički newsletter doseže samo pretplatnike, a ne tvrtke koje sada aktivno istražuju. Obrazac bilježi samo djelić posjetitelja. Identifikacija tvrtke, gdje se IP adresa povezuje s organizacijom bez dodirivanja osobnih identifikatora, proporcionalno je i nužno sredstvo za postavljenu svrhu.
Korak 3 — Ravnoteža
Razumna očekivanja: poslovni posjetitelji koji posjećuju B2B web stranicu tijekom rada općenito očekuju da operater web stranice zna da je tvrtka (ne nužno pojedinac) posjetila stranicu. Priroda podataka: identificirani entitet je pravna osoba (organizacija), a ne fizička osoba. Osjetljivost: nema posebnih kategorija podataka. Kontekst: podaci su prikupljeni na vlastitoj web stranici voditelja obrade u normalnom poslovanju. Zaštitne mjere: nema kolačića, nema fingerprintinga, nema praćenja među web stranicama, nema profila pojedinačnog posjetitelja; dostupan opt-out za identificiranu tvrtku; javna izjava o privatnosti koja točno objašnjava što se događa.
U ovoj ravnoteži, interes voditelja obrade da kontaktira donositelja odluka s relevantnim informacijama u normalnoj B2B situaciji preteže nad interesima ispitanika. Druga obrada (poput praćenja na individualnoj razini ili preprodaje podataka trećim stranama) bi preokrenula ravnotežu — analiza je specifična za ono što zapravo radite.
Kako dokumentacija zapravo izgleda
Obranjiva LIA je kratak dokument s datumom — obično dvije do četiri stranice — potpisan od strane odgovorne osobe. Ispod je struktura koju prihvaća većina europskih nadzornih tijela.
| Odjeljak | Sadržaj | Duljina |
|---|---|---|
| Zaglavlje | Naziv i adresa voditelja obrade, kontakt DPO-a ako postoji, datum stupanja na snagu | 1 redak svaki |
| Svrha | Specifičan, zakonit, stvaran interes — jedan odlomak | ~100 riječi |
| Nužnost | Razmotrene alternative i zašto ne postižu svrhu | ~150 riječi |
| Ravnoteža | Razumna očekivanja, priroda, osjetljivost, kontekst, zaštitne mjere | ~300 riječi |
| Zaštitne mjere | Konkretne mjere: opt-out, zadržavanje, bez osobnih identifikatora, DPA s obrađivačima | ~150 riječi |
| Pregled | Potpisao (ime, uloga); sljedeći datum pregleda (godišnje) | 2 retka |
Što se razlikuje po zemljama
Članak 6(1)(f) je jedinstven u cijeloj EU, ali ePrivacy dimenzija (u Njemačkoj § 25 TDDDG) određuje smijete li postavljati ili čitati informacije na krajnjoj opremi — mislite na kolačiće, lokalnu pohranu ili fingerprinting. Identifikacija tvrtke bez pohrane na strani klijenta izvan je obveze pristanka iz § 25; uvođenje identifikatora na strani klijenta odmah vas dovodi u područje pristanka, bez obzira na vašu pravnu osnovu iz članka 6.
Kada je pristanak — a ne legitimni interes — ispravna pravna osnova
Legitimni interes nije univerzalna zamjena za pristanak. Ispravna pravna osnova prelazi na pristanak (članak 6(1)(a)) u najmanje tri uobičajene B2B situacije.
- Kada se informacije pohranjuju na uređaju posjetitelja ili čitaju s njega, a nisu strogo nužne — kolačić za praćenje, identifikator lokalne pohrane, fingerprint — ePrivacy / § 25 TDDDG zahtijeva pristanak, bez obzira na vašu pravnu osnovu iz članka 6.
- Obrada osobnih podataka fizičkih osoba za bihevioralno oglašavanje, profiliranje među web stranicama ili preprodaju trećim stranama. To daleko nadilazi proporcionalni B2B interes za kontakt.
- Posebne kategorije podataka (članak 9) — zdravlje, politička mišljenja, biometrija — nikada ne spadaju pod običan legitimni interes; potrebna je specifična pravna osnova iz članka 9 uz članak 6.
Operativna kontrolna lista
- Imate pisanu, datiranu LIA za specifičnu obradu.
- Vaša izjava o privatnosti objašnjava na razumljivom jeziku da identificirate tvrtke (ne pojedince) i zašto.
- Imate dostupan opt-out i poštujete ga — tvrtke se uklanjaju unutar određenog roka i ne identificiraju se ponovno.
- Imate potpisan DPA sa svakim obrađivačem koji obrađuje podatke.
- Pregledavate LIA godišnje ili kada se obrada bitno promijeni.
Ovaj je članak napisan u obrazovne svrhe i nije pravni savjet. Za obvezujuću procjenu vlastitih obrada obratite se kvalificiranom pravnom savjetniku.
Published by
lead.box Team
Više članaka
Pogledaj lead.box na vlastitom prometu
Kreni besplatno — bez kartice, bez obveznog poziva prodaje. Ili rezerviraj 20-minutni pregled ako želiš vođenu turu.