Oprávnený záujem — článok 6 ods. 1 písm. f) GDPR — je najužitočnejší a najviac nepochopený právny základ v nariadení. Marketingoví pracovníci ho radi používajú, pretože nevyžaduje banner na súhlas; dozorné orgány ho prísne kontrolujú, pretože nesmie byť voľnou vstupenkou. Tento článok vás prevedie tým, čo článok skutočne hovorí, trojstupňovým testom, ktorý dozorné orgány očakávajú, praktickým príkladom identifikácie webových stránok na úrovni spoločnosti a kde sú hranice.
Čo článok 6 ods. 1 písm. f) skutočne hovorí
Článok povoľuje spracovanie osobných údajov, ak je to „nevyhnutné na účely oprávnených záujmov prevádzkovateľa alebo tretej strany, s výnimkou prípadov, keď nad takýmito záujmami prevažujú záujmy alebo základné práva a slobody dotknutej osoby“. Kľúčové sú najmä slová „nevyhnutné“ a „prevažujú“, a tretí pilier je nepísaný, ale nevyhnutný: váš oprávnený záujem musí byť sám osebe zákonný. Ak jeden z týchto troch zlyhá, zlyhá aj právny základ.
Dozorný orgán nerozhoduje za vás. Vy vykonávate analýzu, vy ju zaznamenávate, a ak ste kontrolovaní, analýzu predložíte. Neexistuje žiadne podanie, žiadna registrácia a žiadne predbežné schválenie – ale neexistuje ani žiadna obhajoba, ak posúdenie záujmov nebolo skutočne vykonané.
Trojstupňový test vyváženia záujmov
Európske orgány na ochranu údajov používajú rovnaký trojstupňový rámec, známy aj ako LIA (Legitimate Interests Assessment). Každý krok musí byť úspešne dokončený.
- Test účelu – je záujem legitímny, špecifický a skutočný? Všeobecné „chceme predať viac“ nestačí. „Identifikácia spoločností, ktoré navštevujú našu B2B webovú stránku, aby sme oslovili správneho rozhodovateľa s relevantnými informáciami“ áno.
- Test nevyhnutnosti – je spracovanie najmenej invazívnym spôsobom na dosiahnutie cieľa? Ak by fungovala menej invazívna metóda (agregovaná analytika, opt-in newsletter, formulár), mala by sa uprednostniť. Nevyhnutnosť znamená, že to nemôžete rozumne urobiť iným spôsobom.
- Test vyváženia – prevažujú záujmy, práva a slobody dotknutej osoby nad vašimi? Pozrite sa na ich primerané očakávania, povahu údajov, citlivosť, kontext, v ktorom boli zhromaždené, a záruky, ktoré uplatňujete.
Praktický príklad: identifikácia návštevníkov na úrovni spoločnosti
Predstavte si, že B2B SaaS spoločnosť v EÚ chce rozpoznať organizácie za návštevami webových stránok – identifikácia na úrovni spoločnosti, bez cookies, bez osobných identifikátorov. Tu je krok za krokom, ako vyzerá obhájiteľná LIA.
Krok 1 – Účel
Účelom je identifikácia spoločností, ktoré aktívne skúmajú B2B službu, aby im boli zaslané relevantné, cielené informácie (personalizovaný e-mail, prípadová štúdia, pozvánka na 15-minútový rozhovor). Účel je legitímny, špecifický a skutočný. Nejde o zber údajov „pre každý prípad“.
Krok 2 – Nevyhnutnosť
Dá sa cieľ dosiahnuť menej invazívnym spôsobom? Agregovaná analytika vám povie „koľko?“, ale nie „kto?“ – nemôže splniť cieľ. Všeobecný newsletter osloví len odberateľov, nie spoločnosti, ktoré práve aktívne skúmajú. Formulár zachytí len zlomok návštevníkov. Identifikácia spoločnosti, pri ktorej sa IP adresa priradí k organizácii bez dotyku osobných identifikátorov, je primeraným a nevyhnutným prostriedkom na stanovený účel.
Krok 3 – Vyváženie
Primerané očakávania: obchodní návštevníci, ktorí navštevujú B2B webovú stránku počas práce, vo všeobecnosti očakávajú, že prevádzkovateľ webovej stránky vie, že spoločnosť (nie nevyhnutne jednotlivec) navštívila stránku. Povaha údajov: identifikovaná entita je právnická osoba (organizácia), nie fyzická osoba. Citlivosť: nie sú zahrnuté žiadne osobitné kategórie údajov. Kontext: údaje boli zhromaždené na vlastnej webovej stránke prevádzkovateľa v rámci bežnej obchodnej činnosti. Záruky: žiadne cookies, žiadne odtlačky prstov, žiadne sledovanie naprieč stránkami, žiadny profil individuálneho návštevníka; dostupný opt-out pre identifikovanú spoločnosť; verejné vyhlásenie o ochrane osobných údajov, ktoré presne vysvetľuje, čo sa deje.
V tejto rovnováhe prevažuje záujem prevádzkovateľa osloviť rozhodovateľa s relevantnými informáciami v bežnej B2B situácii nad záujmami dotknutej osoby. Iné spracovanie (ako napríklad sledovanie na individuálnej úrovni alebo predaj údajov tretím stranám) by rovnováhu narušilo – analýza je špecifická pre to, čo skutočne robíte.
Ako skutočne vyzerá dokumentácia
Obhájiteľná LIA je krátky dokument s dátumom – zvyčajne dve až štyri strany – podpísaný zodpovednou osobou. Nižšie je uvedená štruktúra, ktorú akceptuje väčšina európskych dozorných orgánov.
| Sekcia | Obsah | Dĺžka |
|---|---|---|
| Hlavička | Meno a adresa spracovateľa, kontakt na DPO, ak je k dispozícii, dátum účinnosti | 1 riadok každý |
| Účel | Špecifický, legitímny, skutočný záujem – jeden odsek | ~100 slov |
| Nevyhnutnosť | Zvážené alternatívy a prečo nedosahujú cieľ | ~150 slov |
| Vyváženie | Primerané očakávania, povaha, citlivosť, kontext, záruky | ~300 slov |
| Záruky | Konkrétne opatrenia: opt-out, uchovávanie, žiadne osobné identifikátory, DPA so spracovateľmi | ~150 slov |
| Recenzia | Podpísané (meno, rola); dátum ďalšej recenzie (ročne) | 2 riadky |
Čo sa líši podľa krajiny
Článok 6 ods. 1 písm. f) je jednotný v celej EÚ, ale dimenzia ePrivacy (v Nemecku § 25 TDDDG) určuje, či môžete umiestňovať alebo čítať informácie na koncových zariadeniach – myslite na cookies, lokálne úložisko alebo odtlačky prstov. Identifikácia spoločnosti bez ukladania na strane klienta spadá mimo požiadavky na súhlas podľa § 25; zavedenie identifikátora na strane klienta vás priamo privedie do oblasti súhlasu, bez ohľadu na váš právny základ podľa článku 6.
Kedy je súhlas – a nie oprávnený záujem – správnym právnym základom
Oprávnený záujem nie je univerzálnou náhradou súhlasu. Správny právny základ sa posúva na súhlas (článok 6 ods. 1 písm. a)) v najmenej troch bežných B2B situáciách.
- Ak sa na zariadení návštevníka ukladajú alebo čítajú informácie, ktoré nie sú striktne nevyhnutné – sledovacie cookie, identifikátor localStorage, odtlačok prsta – ePrivacy / § 25 TDDDG vyžaduje súhlas, bez ohľadu na váš právny základ podľa článku 6.
- Spracovanie osobných údajov fyzických osôb na účely behaviorálnej reklamy, profilovania naprieč stránkami alebo predaja tretím stranám. Toto výrazne presahuje primeraný záujem B2B kontaktu.
- Osobitné kategórie údajov (článok 9) – zdravie, politické názory, biometria – nikdy nespadajú pod bežný oprávnený záujem; okrem článku 6 je potrebný špecifický právny základ podľa článku 9.
Prevádzkový kontrolný zoznam
- Máte písomnú, datovanú LIA pre konkrétne spracovanie.
- Vaše vyhlásenie o ochrane osobných údajov zrozumiteľným jazykom vysvetľuje, že identifikujete spoločnosti (nie jednotlivcov) a prečo.
- Máte dostupný opt-out a rešpektujete ho – spoločnosti sú odstránené v stanovenom termíne a nie sú znovu identifikované.
- Máte podpísanú DPA s každým spracovateľom, ktorý sa dotýka údajov.
- LIA prehodnocujete ročne alebo keď sa spracovanie podstatne zmení.
Tento článok je napísaný na vzdelávacie účely a nepredstavuje právne poradenstvo. Pre záväzné posúdenie vašich vlastných spracovaní sa poraďte s kvalifikovaným právnym poradcom.
Published by
lead.box Team
Ďalšie články
Pozrite si lead.box na vlastnej návštevnosti
Začnite zadarmo — bez karty a bez obchodného hovoru. Alebo si rezervujte 20-minútovú ukážku, ak chcete komentovanú prehliadku.