Interesul legitim — Art. 6(1)(f) GDPR — este cea mai utilă și cea mai greșit înțeleasă bază legală din regulament. Marketerii o folosesc cu plăcere deoarece nu necesită un banner de consimțământ; autoritățile de supraveghere o controlează strict deoarece nu trebuie să devină o carte albă. Acest articol vă ghidează prin ceea ce spune cu adevărat articolul, testul în trei etape pe care îl așteaptă autoritățile de supraveghere, un exemplu practic pentru identificarea site-ului la nivel de companie și unde sunt limitele.
Ce spune cu adevărat Art. 6(1)(f)
Articolul permite prelucrarea datelor cu caracter personal atunci când aceasta este „necesară în scopul intereselor legitime urmărite de operator sau de o parte terță, cu excepția cazului în care prevalează interesele sau drepturile și libertățile fundamentale ale persoanei vizate”. În special, cuvintele „necesar” și „prevalează” sunt cruciale, iar al treilea pilon este nescris, dar esențial: interesul dvs. legitim trebuie să fie el însuși legal. Dacă unul dintre aceste trei eșuează, baza legală eșuează.
Autoritatea de supraveghere nu decide pentru dvs. Dvs. efectuați analiza, dvs. înregistrați analiza și, dacă sunteți controlat, prezentați analiza. Nu există depunere, înregistrare sau aprobare prealabilă — dar nici nu este posibilă apărarea dacă evaluarea intereselor nu a fost efectuată efectiv.
Evaluarea intereselor în trei etape
Autoritățile europene de protecție a datelor utilizează același cadru în trei etape, cunoscut și sub denumirea de LIA (Legitimate Interests Assessment). Fiecare pas trebuie parcurs cu succes.
- Testul scopului — este interesul legitim, specific și real? Un „vrem să vindem mai mult” generic nu este suficient. „Identificarea companiilor care vizitează site-ul nostru B2B pentru a contacta decidentul potrivit cu informații relevante” este.
- Testul necesității — este prelucrarea cea mai puțin invazivă modalitate de a atinge scopul? Dacă o metodă mai puțin invazivă ar funcționa (analize agregate, newsletter opt-in, un formular), atunci aceasta ar trebui preferată. Necesitatea înseamnă că nu o puteți face în mod rezonabil într-un alt mod.
- Testul de echilibrare — interesele, drepturile și libertățile persoanei vizate prevalează asupra celor ale dvs.? Luați în considerare așteptările lor rezonabile, natura datelor, sensibilitatea, contextul în care au fost colectate și garanțiile pe care le aplicați.
Exemplu practic: identificarea vizitatorilor la nivel de companie
Să presupunem că o companie B2B SaaS din UE dorește să recunoască organizațiile din spatele vizitelor pe site-ul web — identificare la nivel de companie, fără cookie-uri, fără identificatori personali. Iată cum arată o LIA defensabilă pas cu pas.
Pasul 1 — Scop
Scopul este identificarea companiilor care cercetează activ un serviciu B2B, pentru a le trimite informații relevante, țintite (un e-mail personalizat, un studiu de caz, o invitație la o discuție de cincisprezece minute). Scopul este legitim, specific și real. Nu este o colectare de date „pentru orice eventualitate”.
Pasul 2 — Necesitate
Poate fi atins scopul într-un mod mai puțin invaziv? Analizele agregate vă spun „cât?” dar nu „cine?” — nu pot îndeplini scopul. Un newsletter generic ajunge doar la abonați, nu la companiile care cercetează activ acum. Un formular captează doar o fracțiune din vizitatori. Identificarea companiei, unde adresa IP este trasată la o organizație fără a atinge identificatori personali, este un mijloc proporțional și necesar pentru scopul declarat.
Pasul 3 — Echilibrare
Așteptări rezonabile: vizitatorii de afaceri care vizitează un site web B2B în timpul lucrului se așteaptă, în general, ca operatorul site-ului să știe că o companie (nu neapărat un individ) a vizitat site-ul. Natura datelor: entitatea identificată este o persoană juridică (o organizație), nu o persoană fizică. Sensibilitate: nu sunt implicate categorii speciale de date. Context: datele sunt colectate pe propriul site web al operatorului în cursul normal al afacerii. Garanții: fără cookie-uri, fără amprentare digitală, fără urmărire pe mai multe site-uri, fără profil al vizitatorului individual; o opțiune de renunțare accesibilă pentru compania identificată; o declarație de confidențialitate publică care explică exact ce se întâmplă.
În acest echilibru, interesul operatorului de a contacta un decident cu informații relevante într-o situație normală B2B prevalează asupra intereselor persoanei vizate. O altă prelucrare (cum ar fi urmărirea la nivel individual sau revânzarea datelor către terți) ar înclina balanța — analiza este specifică pentru ceea ce faceți de fapt.
Cum arată de fapt documentația
O LIA defensabilă este un document scurt cu o dată — de obicei două până la patru pagini — semnat de o persoană responsabilă. Mai jos este structura pe care o acceptă majoritatea autorităților de supraveghere europene.
| Secțiune | Conținut | Lungime |
|---|---|---|
| Antet | Numele și adresa procesatorului, contact DPO dacă există, data intrării în vigoare | 1 rând fiecare |
| Scop | Interes specific, legitim, real — un paragraf | ~100 cuvinte |
| Necesitate | Alternative considerate și de ce nu ating scopul | ~150 cuvinte |
| Echilibrare | Așteptări rezonabile, natură, sensibilitate, context, garanții | ~300 cuvinte |
| Garanții | Măsuri concrete: opt-out, păstrare, fără identificatori personali, DPA cu procesatori | ~150 cuvinte |
| Revizuire | Semnat de (nume, rol); următoarea dată de revizuire (anual) | 2 rânduri |
Ce diferă în funcție de țară
Art. 6(1)(f) este uniform în întreaga UE, dar dimensiunea ePrivacy (în Germania § 25 TDDDG) determină dacă aveți voie să plasați sau să citiți informații pe echipamentul terminal — gândiți-vă la cookie-uri, stocare locală sau amprentare digitală. Identificarea companiei fără stocare pe partea clientului se încadrează în afara obligației de consimțământ a § 25; introducerea unui identificator pe partea clientului vă aduce direct în zona consimțământului, indiferent de baza dvs. Art. 6.
Când consimțământul — și nu interesul legitim — este baza legală corectă
Interesul legitim nu este un substitut universal pentru consimțământ. Baza legală corectă se schimbă la consimțământ (Art. 6(1)(a)) în cel puțin trei situații B2B comune.
- Atunci când informațiile sunt stocate pe sau citite de pe dispozitivul vizitatorului și nu sunt strict necesare — un cookie de urmărire, un identificator localStorage, o amprentă digitală — ePrivacy / § 25 TDDDG necesită consimțământ, indiferent de baza dvs. Art. 6.
- Prelucrarea datelor cu caracter personal ale persoanelor fizice pentru publicitate comportamentală, profilare pe mai multe site-uri sau revânzare către terți. Acest lucru depășește cu mult un interes de contact B2B proporțional.
- Categorii speciale de date (Art. 9) — sănătate, opinii politice, biometrie — nu se încadrează niciodată sub interesul legitim obișnuit; este necesară o bază specifică Art. 9 pe lângă Art. 6.
O listă de verificare operațională
- Aveți o LIA scrisă, datată, pentru prelucrarea specifică.
- Declarația dvs. de confidențialitate explică într-un limbaj ușor de înțeles că identificați companii (nu persoane fizice) și de ce.
- Aveți o opțiune de renunțare accesibilă și o respectați — companiile sunt eliminate într-un termen stabilit și nu sunt reidentificate.
- Aveți un DPA semnat cu fiecare procesator care atinge datele.
- Revizuiți LIA anual sau atunci când prelucrarea se modifică substanțial.
Acest articol este scris în scopuri educaționale și nu constituie sfat juridic. Consultați un consilier juridic calificat pentru o evaluare obligatorie a propriilor prelucrări.
Published by
lead.box Team
Mai multe articole
Vedeți lead.box pe propriul trafic
Începeți gratuit — fără card, fără apel de vânzări. Sau rezervați o prezentare de 20 de minute dacă preferați turul ghidat.