Kas ir likumīgas intereses? GDPR 6. panta 1. punkta f) apakšpunkts B2B jomā

Likumīgas intereses — GDPR 6. panta 1. punkta f) apakšpunkts — ir visnoderīgākais un visvairāk pārprastais juridiskais pamats regulā. Tirgotāji labprāt to izmanto, jo tas neprasa piekrišanas reklāmkarogu; uzraudzības iestādes to stingri kontrolē, jo tas nedrīkst kļūt par brīvbiļeti. Šis raksts palīdzēs jums saprast, ko raksts patiešām saka, trīspakāpju testu, ko sagaida uzraudzības iestādes, praktisku piemēru uzņēmuma līmeņa tīmekļa vietnes identifikācijai un robežas.

Ko patiesībā saka 6. panta 1. punkta f) apakšpunkts

Raksts atļauj personas datu apstrādi, ja tā ir "nepieciešama pārziņa vai trešās personas leģitīmo interešu ievērošanai, izņemot, ja šādas intereses prevalē pār datu subjekta interesēm vai pamattiesībām un pamatbrīvībām". Īpaši vārdi "nepieciešama" un "prevalē" ir būtiski, un trešais pīlārs ir nerakstīts, bet būtisks: jūsu likumīgajām interesēm pašām jābūt likumīgām. Ja kāds no šiem trim neizdodas, pamats neizdodas.

Uzraudzības iestāde nelemj jūsu vietā. Jūs veicat analīzi, jūs dokumentējat analīzi, un, ja jūs tiek pārbaudīts, jūs iesniedzat analīzi. Nav iesniegšanas, nav reģistrācijas un nav iepriekšējas apstiprināšanas — bet nav arī iespējama aizstāvība, ja interešu līdzsvarošana faktiski nav veikta.

Trīspakāpju interešu līdzsvarošana

Eiropas datu aizsardzības iestādes izmanto to pašu trīspakāpju sistēmu, ko sauc arī par LIA (Legitimate Interests Assessment). Katrs solis ir veiksmīgi jāpabeidz.

1. Mērķa tests — vai interese ir likumīga, specifiska un reāla? Vispārējs "mēs vēlamies pārdot vairāk" nav pietiekams. "Uzņēmumu, kas apmeklē mūsu B2B tīmekļa vietni, identificēšana, lai sazinātos ar pareizo lēmumu pieņēmēju ar atbilstošu informāciju" ir.
2. Nepieciešamības tests — vai apstrāde ir vismazāk invazīvais veids, kā sasniegt mērķi? Ja mazāk invazīva metode darbotos (apkopota analītika, pieteikšanās jaunumiem, veidlapa), tad tai jādod priekšroka. Nepieciešamība nozīmē, ka jūs to saprātīgi nevarat darīt citādi.
3. Līdzsvarošanas tests — vai datu subjekta intereses, tiesības un brīvības prevalē pār jūsu interesēm? Apsveriet viņu pamatotās cerības, datu veidu, jutīgumu, kontekstu, kurā tie tika vākti, un jūsu piemērotās garantijas.

Praktisks piemērs: uzņēmuma līmeņa apmeklētāju identifikācija

Pieņemsim, ka B2B SaaS uzņēmums ES vēlas atpazīt organizācijas aiz tīmekļa vietnes apmeklējumiem — uzņēmuma līmeņa identifikācija, bez sīkdatnēm, bez personīgiem identifikatoriem. Lūk, kā soli pa solim izskatās aizstāvama LIA.

1. solis — Mērķis

Mērķis ir identificēt uzņēmumus, kas aktīvi pēta B2B pakalpojumu, lai nosūtītu viņiem atbilstošu, mērķtiecīgu informāciju (personalizētu e-pastu, gadījuma izpēti, uzaicinājumu uz piecpadsmit minūšu sarunu). Mērķis ir likumīgs, specifisks un reāls. Tā nav datu vākšana "gadījumam".

2. solis — Nepieciešamība

Vai mērķi var sasniegt mazāk invazīvi? Apkopota analītika jums pasaka "cik?", bet ne "kas?" — tā nevar sasniegt mērķi. Vispārējs jaunumu biļetens sasniedz tikai abonentus, nevis uzņēmumus, kas pašlaik aktīvi pēta. Veidlapa uztver tikai nelielu daļu apmeklētāju. Uzņēmuma identifikācija, kurā IP adrese tiek saistīta ar organizāciju, neskarot personīgos identifikatorus, ir proporcionāls un nepieciešams līdzeklis noteiktā mērķa sasniegšanai.

3. solis — Līdzsvarošana

Pamatotas cerības: biznesa apmeklētāji, kas darba laikā apmeklē B2B tīmekļa vietni, parasti sagaida, ka tīmekļa vietnes operators zina, ka uzņēmums (ne obligāti indivīds) ir apmeklējis vietni. Datu veids: identificētā vienība ir juridiska persona (organizācija), nevis fiziska persona. Jutīgums: nav iesaistītas īpašas datu kategorijas. Konteksts: dati tika vākti pārziņa paša tīmekļa vietnē normālā uzņēmējdarbības gaitā. Garantijas: nav sīkdatņu, nav pirkstu nospiedumu, nav starpvietņu izsekošanas, nav individuālā apmeklētāja profila; pieejama atteikšanās iespēja identificētajam uzņēmumam; publiska privātuma politika, kas precīzi izskaidro, kas notiek.

Šajā līdzsvarā pārziņa interese sazināties ar lēmumu pieņēmēju ar atbilstošu informāciju normālā B2B situācijā prevalē pār datu subjekta interesēm. Cita apstrāde (piemēram, izsekošana individuālā līmenī vai datu pārdošana trešajām personām) izjauktu līdzsvaru — analīze ir specifiska tam, ko jūs faktiski darāt.

Kā patiesībā izskatās dokumentācija

Aizstāvama LIA ir īss dokuments ar datumu — parasti divas līdz četras lapas — ko parakstījusi atbildīgā persona. Zemāk ir struktūra, ko pieņem lielākā daļa Eiropas uzraudzības iestāžu.

Kad piekrišana — un nevis likumīgas intereses — ir pareizais pamats

Likumīgas intereses nav universāls piekrišanas aizstājējs. Pareizais pamats pāriet uz piekrišanu (6. panta 1. punkta a) apakšpunkts) vismaz trīs bieži sastopamās B2B situācijās.

1. Kad informācija tiek glabāta vai lasīta no apmeklētāja ierīces, kas nav stingri nepieciešama — izsekošanas sīkdatne, localStorage identifikators, pirkstu nospiedums — e-privātums / § 25 TDDDG prasa piekrišanu, neatkarīgi no jūsu 6. panta pamata.
2. Fizisku personu personas datu apstrāde uzvedības reklāmai, starpvietņu profilēšanai vai pārdošanai trešajām personām. Tas ir tālu no proporcionālām B2B kontaktu interesēm.
3. Īpašas datu kategorijas (9. pants) — veselība, politiskie uzskati, biometrija — nekad neietilpst parastās likumīgās interesēs; papildus 6. pantam ir nepieciešams īpašs 9. panta pamats.

Operatīvā kontrolsaraksts

• Jums ir rakstiska, datēta LIA konkrētajai apstrādei.
• Jūsu privātuma politikā saprotamā valodā ir paskaidrots, ka jūs identificējat uzņēmumus (nevis indivīdus) un kāpēc.
• Jums ir pieejama atteikšanās iespēja, un jūs to ievērojat — uzņēmumi tiek dzēsti noteiktā termiņā un netiek atkārtoti identificēti.
• Jums ir parakstīts DPA ar katru apstrādātāju, kas apstrādā datus.
• Jūs pārskatāt LIA katru gadu vai tad, kad apstrāde būtiski mainās.

Šis raksts ir rakstīts izglītojošiem mērķiem un nav juridisks padoms. Lai saņemtu saistošu jūsu pašu apstrādes novērtējumu, konsultējieties ar kvalificētu juristu.

Published by

lead.box Team

← Piezīmes par VDAR B2B lead intelligence