Έννομο συμφέρον σύμφωνα με τον GDPR: τα 3 βήματα ελέγχου

Το έννομο συμφέρον είναι η νομική βάση στην οποία στηρίζονται πολλές επιχειρήσεις στο μάρκετινγκ και στις πωλήσεις. Φαίνεται βολική, επειδή δεν χρειάζεται banner ούτε υπογραφή. Είναι όμως και η βάση με τη περισσότερη δική σας δουλειά: πρέπει να ελέγξετε μόνοι σας, να σταθμίσετε μόνοι σας και να μπορείτε να τεκμηριώσετε το αποτέλεσμα. Το άρθρο αυτό εξηγεί τον κανόνα, τα τρία βήματα ελέγχου και τα τυπικά εμπόδια.

Τι λέει ο κανόνας

Το άρθρο 6 παρ. 1 στοιχείο στ GDPR επιτρέπει επεξεργασία δεδομένων προσωπικού χαρακτήρα, όταν είναι «απαραίτητη για την επιδίωξη των έννομων συμφερόντων του υπευθύνου επεξεργασίας ή τρίτου». Αυτό ισχύει μόνο εφόσον δεν υπερισχύουν τα συμφέροντα ή τα θεμελιώδη δικαιώματα του υποκειμένου, που απαιτούν την προστασία των δεδομένων του. Οι δημόσιες αρχές δεν μπορούν να το επικαλεστούν κατά την άσκηση των καθηκόντων τους. Το κείμενο θα το βρείτε στο GDPR στο EUR-Lex.

Η βάση είναι μία από έξι ισότιμες. Δεν έχει προτεραιότητα έναντι της συγκατάθεσης και δεν είναι δίχτυ ασφαλείας όταν λείπει η συγκατάθεση. Όπου ο νόμος απαιτεί για μια πράξη συγκατάθεση, το στοιχείο στ δεν μπορεί να την αντικαταστήσει. Αυτό ισχύει κυρίως για την πρόσβαση στην τερματική συσκευή, περισσότερα στο Συγκατάθεση ή έννομο συμφέρον: πώς αποφασίζετε.

Τα τρία βήματα ελέγχου

Το Δικαστήριο της Ευρωπαϊκής Ένωσης ελέγχει τον κανόνα σε τρία στάδια, τα οποία πρέπει να πληρούνται όλα. Το διατύπωσε έτσι, μεταξύ άλλων, στην απόφαση της 4ης Οκτωβρίου 2024 (ΔΕΕ, C-621/22, Koninklijke Nederlandse Lawn Tennisbond).

Στάδιο 1: το συμφέρον. Πρέπει να είναι νόμιμο, σαφώς διατυπωμένο και πραγματικά υπαρκτό. Το ΔΕΕ διευκρίνισε στην προαναφερθείσα απόφαση ότι και ένα οικονομικό συμφέρον μπορεί να είναι έννομο συμφέρον, εφόσον δεν παραβιάζει το δίκαιο. Η αιτιολογική σκέψη 47 αναφέρει ρητά την άμεση διαφήμιση ως πιθανό έννομο συμφέρον.

Στάδιο 2: η αναγκαιότητα. Εδώ ρωτάτε αν υπάρχει ηπιότερο μέσο. Αν πετυχαίνετε έναν στόχο με λιγότερα δεδομένα, πρέπει να λάβετε λιγότερα δεδομένα. Αν σας αρκεί η εταιρεία, δεν χρειάζεστε πρόσωπο. Αυτή είναι η αρχή της ελαχιστοποίησης των δεδομένων του άρθρου 5 παρ. 1 στοιχ. γ GDPR.

Στάδιο 3: η στάθμιση. Αντιπαραθέτετε το συμφέρον σας με τα συμφέροντα των υποκειμένων. Κριτήριο είναι σύμφωνα με την αιτιολογική σκέψη 47 οι εύλογες προσδοκίες των υποκειμένων, που προκύπτουν από τη σχέση τους με εσάς. Όποιος είναι πελάτης, περιμένει ένα newsletter για παρόμοια προϊόντα. Όποιος επισκέφθηκε μόνο μία φορά μια σελίδα, δεν περιμένει φάκελο πληροφοριών. Όσο πιο ευαίσθητα τα δεδομένα και όσο βαθύτερη η παρέμβαση, τόσο πιθανότερο η στάθμιση να αποβεί εις βάρος σας.

Παραδείγματα από μάρκετινγκ και πωλήσεις

Οι παρακάτω περιπτώσεις δείχνουν το εύρος. Το αν ευσταθούν σε μια συγκεκριμένη περίπτωση εξαρτάται από τις συνθήκες. Η κατάταξη δεν αποτελεί διαβεβαίωση.

• Ταχυδρομική διαφήμιση σε υφιστάμενους πελάτες. Θεωρείται συχνά υποστηρίξιμη, επειδή οι πελάτες το περιμένουν. Πρέπει επιπλέον να ταιριάζει το δίκαιο του ανταγωνισμού.
• Πρόληψη απάτης και ασφάλεια IT. Η αιτιολογική σκέψη 47 αναφέρει την πρόληψη της απάτης ως έννομο συμφέρον. Αρχεία καταγραφής για την αποτροπή επιθέσεων τα στηρίζουν συχνά οι επιχειρήσεις σε αυτό.
• Αντιστοίχιση εταιρείας στον ιστότοπο. Όποιος αναζητά μόνο τον κάτοχο δικτύου μιας διεύθυνσης IP, επεξεργάζεται λίγα και έχει σαφή στόχο. Το αν μια διεύθυνση IP είναι στη συγκεκριμένη περίπτωση προσωπικό δεδομένο, το εξηγεί το Διεύθυνση IP και GDPR: είναι προσωπικό δεδομένο;.
• Προφίλ μεμονωμένων προσώπων από αγορασμένα δεδομένα. Εδώ η στάθμιση γίνεται δύσκολη, επειδή τα υποκείμενα δεν το περιμένουν.

Για την προσέγγιση μετά από επίσκεψη στον ιστότοπο προστίθεται στον GDPR το δίκαιο του ανταγωνισμού. Τι ισχύει εκεί ανά χώρα, αναφέρεται στο Ψυχρή προσέγγιση στο B2B: τι επιτρέπεται σε DE, AT και CH.

Τεκμηρίωση: το βάρος της απόδειξης βαραίνει εσάς

Σύμφωνα με το άρθρο 5 παρ. 2 GDPR πρέπει να μπορείτε να αποδείξετε τη συμμόρφωση με τις αρχές. Για το στοιχείο στ αυτό σημαίνει στην πράξη:

1. Κατονομάστε το συμφέρον σε μία πρόταση.
2. Καταγράψτε γιατί δεν γίνεται με λιγότερα δεδομένα.
3. Γράψτε τη στάθμιση με τα σημαντικότερα επιχειρήματα, με ημερομηνία και υπεύθυνο.
4. Συμπεριλάβετε την επεξεργασία στο αρχείο σας κατά το άρθρο 30 GDPR, εφόσον είναι υποχρεωτικό.
5. Αναφέρετε το έννομο συμφέρον στη δήλωση προστασίας δεδομένων. Το άρθρο 13 παρ. 1 στοιχ. δ GDPR απαιτεί σε αυτή τη βάση την αναφορά των συμφερόντων.
6. Ελέγξτε τη στάθμιση ξανά, όταν αλλάζουν ο σκοπός, τα δεδομένα ή η τεχνική.

Αντίταξη κατά το άρθρο 21

Όποιος στηρίζεται στο στοιχείο στ, πρέπει να παραχωρεί δικαίωμα αντίταξης. Υπάρχουν δύο περιπτώσεις (άρθρο 21 GDPR):

• Γενική αντίταξη (παρ. 1). Το πρόσωπο μπορεί να αντιταχθεί για λόγους που σχετίζονται με την ιδιαίτερη κατάστασή του. Πρέπει τότε να τερματίσετε την επεξεργασία, εκτός αν αποδείξετε επιτακτικούς και νόμιμους λόγους που υπερισχύουν.
• Αντίταξη στην άμεση διαφήμιση (παρ. 2 και 3). Εδώ δεν χρειάζεται αιτιολόγηση. Μετά από αντίταξη τα δεδομένα δεν επιτρέπεται πλέον να επεξεργάζονται για διαφήμιση.

Σύμφωνα με την παρ. 4 πρέπει το αργότερο κατά την πρώτη επικοινωνία να επισημάνετε ρητά αυτό το δικαίωμα, με κατανοητό τρόπο και χωριστά από άλλες πληροφορίες.

Συχνές ερωτήσεις

Δεν χρειάζομαι ενημέρωση των υποκειμένων στο έννομο συμφέρον; Αντιθέτως. Οι υποχρεώσεις ενημέρωσης των άρθρων 13 και 14 GDPR ισχύουν και τότε. Σε αυτή τη βάση προστίθεται ότι πρέπει να αναφέρετε τα έννομα συμφέροντα.

Αρκεί το έννομο συμφέρον για cookies και σενάρια tracking; Για την πρόσβαση στην τερματική συσκευή συνήθως όχι. Εκεί ισχύει στη Γερμανία το § 25 TDDDG και στην Αυστρία το § 165 παρ. 3 TKG 2021, και τα δύο απαιτούν κατ' αρχήν συγκατάθεση. Η βάση του GDPR αφορά μόνο την επακόλουθη επεξεργασία. Περισσότερα στο § 25 TDDDG: cookies και tracking στη Γερμανία.

Πρέπει να καταγράψω γραπτώς τη στάθμιση; Ο GDPR δεν προβλέπει σταθερό τύπο. Λόγω της υποχρέωσης απόδειξης στο άρθρο 5 παρ. 2, η γραπτή τεκμηρίωση είναι όμως ο ασφαλής δρόμος.