Teisėtas interesas – BDAR 6(1)(f) str. – yra naudingiausias ir labiausiai klaidingai suprantamas teisinis pagrindas reglamente. Rinkodaros specialistai mėgsta juo naudotis, nes nereikia sutikimo juostos; priežiūros institucijos jį griežtai kontroliuoja, nes jis neturėtų tapti laisvu leidimu. Šis straipsnis padės jums suprasti, ką iš tikrųjų sako straipsnis, trijų etapų testą, kurio tikisi priežiūros institucijos, praktinį pavyzdį, kaip identifikuoti svetainės lankytojus įmonės lygmeniu, ir kur yra ribos.
Ką iš tikrųjų sako 6(1)(f) str.
Straipsnis leidžia tvarkyti asmens duomenis, kai tai „būtina siekiant teisėtų duomenų valdytojo arba trečiosios šalies interesų, išskyrus atvejus, kai tokius interesus nusveria duomenų subjekto interesai arba pagrindinės teisės ir laisvės“. Ypač svarbūs žodžiai „būtina“ ir „nusveria“, o trečiasis stulpas yra nerašytas, bet esminis: jūsų teisėtas interesas pats turi būti teisėtas. Jei bent vienas iš šių trijų nepavyksta, pagrindas žlunga.
Priežiūros institucija nepriima sprendimo už jus. Jūs atliekate analizę, jūs ją dokumentuojate, o jei esate tikrinami, pateikiate analizę. Nėra išankstinio pateikimo, registracijos ar patvirtinimo – tačiau taip pat nėra galimybės gintis, jei interesų balansas iš tikrųjų nebuvo atliktas.
Trijų etapų interesų balansas
Europos duomenų apsaugos institucijos naudoja tą pačią trijų etapų sistemą, dar vadinamą LIA (Legitimate Interests Assessment). Kiekvienas etapas turi būti sėkmingai įveiktas.
- Tikslų testas – ar interesas yra teisėtas, konkretus ir realus? Bendras „norime daugiau parduoti“ nepakanka. „Įmonių, lankančių mūsų B2B svetainę, identifikavimas, siekiant susisiekti su tinkamu sprendimų priėmėju su aktualia informacija“ – taip.
- Būtinumo testas – ar duomenų tvarkymas yra mažiausiai invazinis būdas pasiekti tikslą? Jei veiktų mažiau invazinis metodas (apibendrinta analizė, prisijungimo naujienlaiškis, forma), jam turėtų būti teikiama pirmenybė. Būtinumas reiškia, kad jūs negalite to padaryti kitu būdu.
- Balansavimo testas – ar duomenų subjekto interesai, teisės ir laisvės nusveria jūsų? Pažvelkite į jų pagrįstus lūkesčius, duomenų pobūdį, jautrumą, kontekstą, kuriame jie buvo surinkti, ir taikomas apsaugos priemones.
Praktinis pavyzdys: lankytojų identifikavimas įmonės lygmeniu
Tarkime, kad B2B SaaS įmonė ES nori atpažinti organizacijas, kurios lankosi svetainėje – identifikavimas įmonės lygmeniu, be slapukų, be asmeninių identifikatorių. Štai kaip atrodo ginčytina LIA žingsnis po žingsnio.
1 žingsnis – Tikslas
Tikslas yra identifikuoti įmones, kurios aktyviai ieško B2B paslaugos, kad joms būtų galima siųsti aktualią, tikslinę informaciją (personalizuotą el. laišką, atvejo studiją, kvietimą į penkiolikos minučių pokalbį). Tikslas yra teisėtas, konkretus ir realus. Tai nėra duomenų rinkimas „dėl visa ko“.
2 žingsnis – Būtinumas
Ar tikslą galima pasiekti mažiau invaziniu būdu? Apibendrinta analizė jums pasako „kiek?“, bet ne „kas?“ – ji negali pasiekti tikslo. Bendras naujienlaiškis pasiekia tik prenumeratorius, o ne įmones, kurios šiuo metu aktyviai ieško. Forma užfiksuoja tik dalį lankytojų. Įmonės identifikavimas, kai IP adresas susiejamas su organizacija, neliečiant asmeninių identifikatorių, yra proporcinga ir būtina priemonė nustatytam tikslui.
3 žingsnis – Balansavimas
Pagrįsti lūkesčiai: verslo lankytojai, kurie darbo metu lankosi B2B svetainėje, paprastai tikisi, kad svetainės operatorius žino, jog įmonė (nebūtinai asmuo) aplankė svetainę. Duomenų pobūdis: identifikuotas subjektas yra juridinis asmuo (organizacija), o ne fizinis asmuo. Jautrumas: nėra susijusių specialių kategorijų duomenų. Kontekstas: duomenys buvo surinkti duomenų valdytojo svetainėje įprastos verslo veiklos metu. Apsaugos priemonės: jokių slapukų, jokių pirštų atspaudų, jokio kryžminio svetainių stebėjimo, jokio individualaus lankytojo profilio; prieinama atsisakymo galimybė identifikuotai įmonei; vieša privatumo politika, tiksliai paaiškinanti, kas vyksta.
Šioje pusiausvyroje duomenų valdytojo interesas susisiekti su sprendimų priėmėju su aktualia informacija įprastoje B2B situacijoje nusveria duomenų subjekto interesus. Kitas duomenų tvarkymas (pvz., individualaus lygio stebėjimas arba duomenų pardavimas trečiosioms šalims) pakeistų pusiausvyrą – analizė yra specifinė tam, ką iš tikrųjų darote.
Kaip iš tikrųjų atrodo dokumentacija
Ginčytina LIA yra trumpas dokumentas su data – dažniausiai du–keturi puslapiai – pasirašytas atsakingo asmens. Žemiau pateikiama struktūra, kurią priima dauguma Europos priežiūros institucijų.
| Skyrius | Turinys | Ilgis |
|---|---|---|
| Antraštė | Duomenų tvarkytojo pavadinimas ir adresas, DPO kontaktas, jei yra, įsigaliojimo data | 1 eilutė kiekvienam |
| Tikslas | Konkretus, teisėtas, realus interesas – vienas paragrafas | ~100 žodžių |
| Būtinumas | Apsvarstytos alternatyvos ir kodėl jos nepasiekia tikslo | ~150 žodžių |
| Balansavimas | Pagrįsti lūkesčiai, pobūdis, jautrumas, kontekstas, apsaugos priemonės | ~300 žodžių |
| Apsaugos priemonės | Konkrečios priemonės: atsisakymas, saugojimas, jokių asmeninių identifikatorių, DPA su duomenų tvarkytojais | ~150 žodžių |
| Peržiūra | Pasirašė (vardas, pareigos); kita peržiūros data (kasmet) | 2 eilutės |
Kas skiriasi pagal šalį
BDAR 6(1)(f) str. yra vienodas visoje ES, tačiau e. privatumo aspektas (Vokietijoje § 25 TDDDG) nustato, ar galite talpinti ar skaityti informaciją galiniuose įrenginiuose – pagalvokite apie slapukus, vietinę saugyklą ar pirštų atspaudų atpažinimą. Įmonės identifikavimas be kliento pusės saugojimo nepatenka į § 25 sutikimo reikalavimą; kliento pusės identifikatoriaus įvedimas jus tiesiogiai nukreipia į sutikimo sritį, nepriklausomai nuo jūsų 6 str. pagrindo.
Kada sutikimas – o ne teisėtas interesas – yra tinkamas teisinis pagrindas
Teisėtas interesas nėra universalus sutikimo pakaitalas. Tinkamas pagrindas pereina prie sutikimo (BDAR 6(1)(a) str.) bent trijose dažnose B2B situacijose.
- Kai informacija saugoma arba skaitoma iš lankytojo įrenginio, kuri nėra griežtai būtina – stebėjimo slapukas, „localStorage“ identifikatorius, pirštų atspaudų atpažinimas – e. privatumo / § 25 TDDDG reikalauja sutikimo, nepriklausomai nuo jūsų 6 str. pagrindo.
- Fizinių asmenų asmens duomenų tvarkymas elgesio reklamai, kryžminiam svetainių profiliavimui ar pardavimui trečiosioms šalims. Tai gerokai viršija proporcingą B2B kontaktų interesą.
- Specialių kategorijų duomenys (9 str.) – sveikata, politinės pažiūros, biometriniai duomenys – niekada nepatenka į įprastą teisėtą interesą; be 6 str. reikalingas specialus 9 str. pagrindas.
Veiklos kontrolinis sąrašas
- Turite rašytinę, datuotą LIA konkrečiam duomenų tvarkymui.
- Jūsų privatumo politikoje suprantama kalba paaiškinama, kad identifikuojate įmones (ne asmenis) ir kodėl.
- Turite prieinamą atsisakymo galimybę ir ją gerbiate – įmonės pašalinamos per nustatytą laikotarpį ir vėl neidentifikuojamos.
- Turite pasirašytą DPA su kiekvienu duomenų tvarkytoju, kuris tvarko duomenis.
- LIA peržiūrite kasmet arba kai duomenų tvarkymas iš esmės keičiasi.
Šis straipsnis parašytas švietimo tikslais ir nėra teisinė konsultacija. Dėl privalomo jūsų duomenų tvarkymo vertinimo kreipkitės į kvalifikuotą teisininką.
Published by
lead.box Team
Daugiau straipsnių
Pamatykite lead.box su savo pačių srautu
Pradėkite nemokamai — be kortelės, be privalomo pardavimų skambučio. Arba rezervuokite 20 minučių demonstraciją, jei norite ekskursijos su gidu.