A jogos érdek – a GDPR 6. cikk (1) bekezdés f) pontja – a rendelet leghasznosabb és leginkább félreértett jogalapja. A marketingesek szívesen nyúlnak hozzá, mert nem igényel hozzájárulási bannert; a felügyeleti hatóságok szigorúan ellenőrzik, mert nem válhat szabadkártyává. Ez a cikk végigvezeti Önt azon, hogy mit is mond valójában a cikk, a felügyeleti hatóságok által elvárt háromlépcsős teszten, egy gyakorlati példán a weboldal-azonosításra vállalati szinten, és hol vannak a korlátok.
Amit a 6. cikk (1) bekezdés f) pontja valójában mond
A cikk lehetővé teszi a személyes adatok feldolgozását, ha az „szükséges az adatkezelő vagy egy harmadik fél jogos érdekeinek érvényesítéséhez, kivéve, ha az érintett érdekei vagy alapvető jogai és szabadságai felülírják azokat”. Különösen a „szükséges” és a „felülírják” szavak kulcsfontosságúak, és a harmadik pillér íratlan, de alapvető: a jogos érdekednek önmagában is jogszerűnek kell lennie. Ha e három közül bármelyik elbukik, a jogalap is elbukik.
A felügyeleti hatóság nem dönt Ön helyett. Ön végzi az elemzést, Ön rögzíti az elemzést, és ha ellenőrzik, átadja az elemzést. Nincs előzetes benyújtás, regisztráció vagy jóváhagyás – de nincs védekezés sem, ha az érdekmérlegelést valójában nem végezték el.
A háromlépcsős érdekmérlegelés
Az európai adatvédelmi hatóságok ugyanazt a háromlépcsős keretet alkalmazzák, amelyet LIA-nak (Legitimate Interests Assessment) is neveznek. Minden lépést sikeresen teljesíteni kell.
- Cél-teszt – jogszerű, specifikus és valós az érdek? Egy általános „többet akarunk eladni” nem elegendő. „A B2B weboldalunkat látogató cégek azonosítása a megfelelő döntéshozó megkereséséhez releváns információkkal” igen.
- Szükségesség-teszt – az adatkezelés a legkevésbé invazív módja a cél elérésének? Ha egy kevésbé invazív módszer működne (összesített analitika, opt-in hírlevél, űrlap), akkor azt kell előnyben részesíteni. A szükségesség azt jelenti, hogy ésszerűen nem teheti meg más módon.
- Mérlegelési teszt – az érintett érdekei, jogai és szabadságai felülírják az Önét? Tekintse meg ésszerű elvárásaikat, az adatok jellegét, érzékenységét, az adatgyűjtés kontextusát és az Ön által alkalmazott biztosítékokat.
Gyakorlati példa: látogatók azonosítása vállalati szinten
Tegyük fel, hogy egy EU-ban működő B2B SaaS vállalat szeretné felismerni a weboldal-látogatások mögött álló szervezeteket – vállalati szintű azonosítás, sütik nélkül, személyes azonosítók nélkül. Íme, hogyan néz ki egy védhető LIA lépésről lépésre.
1. lépés – Cél
A cél a B2B szolgáltatást aktívan kutató vállalatok azonosítása, hogy releváns, célzott információkat küldjenek nekik (személyre szabott e-mail, esettanulmány, meghívás egy negyedórás beszélgetésre). A cél jogszerű, specifikus és valós. Nem „csak úgy” történő adatgyűjtés.
2. lépés – Szükségesség
Elérhető-e a cél kevésbé invazív módon? Az összesített analitika megmondja, hogy „mennyi?”, de nem azt, hogy „ki?” – nem tudja teljesíteni a célt. Egy általános hírlevél csak az előfizetőket éri el, nem azokat a vállalatokat, amelyek most aktívan kutatnak. Egy űrlap csak a látogatók töredékét rögzíti. A vállalati azonosítás, ahol az IP-cím egy szervezethez vezethető vissza személyes azonosítók érintése nélkül, arányos és szükséges eszköz a kitűzött cél eléréséhez.
3. lépés – Mérlegelés
Ésszerű elvárások: a B2B weboldalt munka közben látogató üzleti látogatók általában elvárják, hogy a weboldal üzemeltetője tudja, hogy egy vállalat (nem feltétlenül egy egyén) látogatta meg az oldalt. Az adatok jellege: az azonosított entitás jogi személy (szervezet), nem természetes személy. Érzékenység: nincsenek különleges kategóriájú adatok érintettek. Kontextus: az adatokat az adatkezelő saját weboldalán gyűjtötték a normál üzleti működés során. Biztosítékok: nincsenek sütik, nincsenek ujjlenyomatok, nincsenek webhelyek közötti nyomon követések, nincs egyéni látogatói profil; hozzáférhető leiratkozási lehetőség az azonosított vállalat számára; nyilvános adatvédelmi nyilatkozat, amely pontosan elmagyarázza, mi történik.
Ebben az egyensúlyban az adatkezelő érdeke, hogy egy döntéshozót releváns információkkal keressen meg egy normál B2B helyzetben, felülírja az érintett érdekeit. Egy másik adatkezelés (például egyéni szintű nyomon követés vagy adatok harmadik feleknek történő továbbértékesítése) felborítaná az egyensúlyt – az elemzés specifikus arra, amit valójában tesz.
Hogyan néz ki valójában a dokumentáció
Egy védhető LIA egy rövid, dátummal ellátott dokumentum – általában két-négy oldal – amelyet egy felelős személy ír alá. Az alábbiakban bemutatjuk azt a struktúrát, amelyet a legtöbb európai felügyeleti hatóság elfogad.
| Szakasz | Tartalom | Hossz |
|---|---|---|
| Fejléc | Adatkezelő neve és címe, adatvédelmi tisztviselő elérhetősége (ha van), hatálybalépés dátuma | 1 sor mindegyik |
| Cél | Specifikus, jogszerű, valós érdek – egy bekezdés | ~100 szó |
| Szükségesség | Megfontolt alternatívák és miért nem érik el a célt | ~150 szó |
| Mérlegelés | Ésszerű elvárások, jelleg, érzékenység, kontextus, biztosítékok | ~300 szó |
| Biztosítékok | Konkrét intézkedések: leiratkozás, megőrzés, személyes azonosítók hiánya, DPA az adatfeldolgozókkal | ~150 szó |
| Felülvizsgálat | Aláírta (név, szerepkör); következő felülvizsgálati dátum (évente) | 2 sor |
Mi változik országonként
A 6. cikk (1) bekezdés f) pontja egységes az egész EU-ban, de az ePrivacy dimenzió (Németországban a TDDDG 25. §-a) határozza meg, hogy elhelyezhet-e vagy olvashat-e információkat a végberendezésen – gondoljon a sütikre, a helyi tárolásra vagy az ujjlenyomatra. Az ügyféloldali tárolás nélküli vállalati azonosítás kívül esik a 25. § hozzájárulási kötelezettségén; az ügyféloldali azonosító bevezetése közvetlenül a hozzájárulás területére viszi, függetlenül a 6. cikk szerinti jogalaptól.
Mikor a hozzájárulás – és nem a jogos érdek – a megfelelő jogalap
A jogos érdek nem univerzális helyettesítője a hozzájárulásnak. A megfelelő jogalap a hozzájárulásra (6. cikk (1) bekezdés a) pontja) tolódik át legalább három gyakori B2B helyzetben.
- Ha olyan információkat tárolnak vagy olvasnak az érintett eszközén, amelyek nem feltétlenül szükségesek – egy nyomkövető süti, egy localStorage azonosító, egy ujjlenyomat – az ePrivacy / TDDDG 25. §-a hozzájárulást igényel, függetlenül a 6. cikk szerinti jogalaptól.
- Természetes személyek személyes adatainak feldolgozása viselkedésalapú hirdetésekhez, webhelyek közötti profilalkotáshoz vagy harmadik feleknek történő továbbértékesítéshez. Ez messze túlmutat egy arányos B2B kapcsolattartási érdeken.
- Különleges kategóriájú adatok (9. cikk) – egészségügyi, politikai vélemények, biometrikus adatok – soha nem tartoznak a szokásos jogos érdek alá; a 6. cikk mellett külön 9. cikk szerinti jogalap szükséges.
Működési ellenőrzőlista
- Rendelkezik írásos, dátummal ellátott LIA-val a konkrét adatkezeléshez.
- Adatvédelmi nyilatkozata érthető nyelven elmagyarázza, hogy vállalatokat (nem egyéneket) azonosít, és miért.
- Rendelkezik hozzáférhető leiratkozási lehetőséggel, és tiszteletben tartja azt – a vállalatokat meghatározott időn belül eltávolítják, és nem azonosítják újra.
- Aláírt DPA-val rendelkezik minden adatfeldolgozóval, aki az adatokkal érintkezik.
- Évente felülvizsgálja az LIA-t, vagy amikor az adatkezelés lényegesen megváltozik.
Ez a cikk oktatási célokra készült, és nem minősül jogi tanácsnak. Kérjük, konzultáljon képzett jogi tanácsadóval a saját adatkezeléseinek kötelező érvényű értékeléséhez.
Published by
lead.box Team
További cikkek
Nézze meg a lead.box-ot a saját forgalmán
Kezdje ingyen — bankkártya és értékesítési hívás nélkül. Vagy foglaljon egy 20 perces bemutatót, ha vezetett túrát szeretne.