Pravo · 7. studenoga 2026. · 5 min čitanja
Legitimni interes prema GDPR-u: 3 koraka provjere
Čl. 6. st. 1. t. f GDPR-a objašnjen: trostupanjska provjera, primjeri iz marketinga i prodaje, dokumentiranje i pravo na prigovor prema čl. 21.
Legitimni interes pravna je osnova na koju se mnoge tvrtke oslanjaju u marketingu i prodaji. Djeluje zgodno jer nisu potrebni banner ni potpis. No to je i osnova s najviše vlastitog posla: sami morate provjeriti, sami odvagnuti i moći dokazati rezultat. Ovaj članak objašnjava pravilo, tri koraka provjere i tipične zamke.
Što pravilo kaže
Čl. 6. st. 1. točka f GDPR-a dopušta obradu osobnih podataka ako je ona „nužna za potrebe legitimnih interesa voditelja obrade ili treće strane“. To vrijedi samo ako ne prevladavaju interesi ili temeljna prava ispitanika koji zahtijevaju zaštitu njegovih podataka. Tijela javne vlasti pri obavljanju svojih zadaća ne mogu se na to pozivati. Tekst nalazite u GDPR-u na EUR-Lexu.
Ta je osnova jedna od šest ravnopravnih. Nema prednost pred privolom i nije zaštitna mreža kada privole nema. Gdje zakon za neki postupak zahtijeva privolu, t. f je ne može zamijeniti. To vrijedi ponajprije za pristup terminalnoj opremi, više o tome u članku Privola ili legitimni interes: kako odlučiti.
Tri koraka provjere
Sud Europske unije pravilo ispituje u tri stupnja koja svi moraju biti ispunjena. Tako je to formulirao, među ostalim, u presudi od 4. listopada 2024. (SEU, C-621/22, Koninklijke Nederlandse Lawn Tennisbond).
| Stupanj | Pitanje | Tipična pogreška |
|---|---|---|
| 1. Interes | Slijedite li legitiman interes? | Interes samo paušalno tvrđen („marketing“) |
| 2. Nužnost | Je li obrada za to nužna? | Više podataka nego što treba, iako ide i s manje |
| 3. Odvagivanje | Ne prevladavaju li interesi ispitanika? | Očekivanja ispitanika nisu uzeta u obzir |
Stupanj 1: interes. Mora biti zakonit, jasno imenovan i stvarno postojati. SEU je u spomenutoj presudi pojasnio da i gospodarski interes može biti legitiman interes, sve dok ne krši pravo. Uvodna izjava 47. izravno navodi izravni marketing kao mogući legitimni interes.
Stupanj 2: nužnost. Ovdje pitate postoji li blaže sredstvo. Ako cilj možete postići s manje podataka, morate uzeti manje podataka. Ako Vam je dovoljna tvrtka, ne trebate osobu. To je načelo smanjenja količine podataka iz čl. 5. st. 1. t. c GDPR-a.
Stupanj 3: odvagivanje. Svoj interes suprotstavljate interesima ispitanika. Prema uvodnoj izjavi 47. mjerilo su razumna očekivanja ispitanika koja proizlaze iz njihova odnosa s Vama. Tko je kupac, računa s newsletterom o sličnim proizvodima. Tko je samo jednom posjetio stranicu, ne računa s dosjeom. Što su podaci osjetljiviji, a zahvat dublji, to će odvagivanje prije ispasti protiv Vas.
Primjeri iz marketinga i prodaje
Sljedeći slučajevi pokazuju raspon. Hoće li u pojedinačnom slučaju izdržati, ovisi o okolnostima. Razvrstavanje nije jamstvo.
- Reklama poštom postojećim kupcima. Često se smatra prihvatljivom jer kupci s time računaju. Mora se uklapati i pravo tržišnog natjecanja.
- Sprječavanje prijevara i IT sigurnost. Uvodna izjava 47. navodi sprječavanje prijevara kao legitiman interes. Zapise za obranu od napada tvrtke se često oslanjaju na to.
- Pridruživanje tvrtke na web stranici. Tko samo provjerava vlasnika mreže IP adrese, obrađuje malo i ima jasan cilj. Je li IP adresa u konkretnom slučaju osobni podatak, objašnjava članak IP adresa i GDPR: je li osobni podatak?.
- Profili pojedinaca iz kupljenih podataka. Ovdje odvagivanje postaje teško jer ispitanici s time ne računaju.
Za obraćanje nakon posjeta web stranici uz GDPR dolazi i pravo tržišnog natjecanja. Što ondje vrijedi po državi, stoji u članku Hladno pozivanje u B2B-u: što je dopušteno u DE, AT i CH.
Dokumentacija: teret dokazivanja je na Vama
Prema čl. 5. st. 2. GDPR-a morate moći dokazati poštovanje načela. Za t. f to u praksi znači:
- Imenujte interes jednom rečenicom.
- Zabilježite zašto ne ide s manje podataka.
- Zapišite odvagivanje s najvažnijim argumentima, s datumom i odgovornom osobom.
- Obradu uvrstite u svoju evidenciju prema čl. 30. GDPR-a, ako je to obveza.
- Legitimni interes navedite u izjavi o zaštiti podataka. Čl. 13. st. 1. t. d GDPR-a kod te osnove zahtijeva navođenje interesa.
- Ponovno provjerite odvagivanje kad se promijene svrha, podaci ili tehnika.
Prigovor prema čl. 21.
Tko se oslanja na t. f, mora priznati pravo na prigovor. Postoje dva slučaja (čl. 21. GDPR-a):
- Opći prigovor (st. 1.). Osoba može prigovoriti zbog razloga povezanih s njezinom posebnom situacijom. Tada morate prekinuti obradu, osim ako dokažete uvjerljive legitimne razloge koji prevladavaju.
- Prigovor na izravni marketing (st. 2. i 3.). Ovdje nije potrebno obrazloženje. Nakon prigovora podaci se više ne smiju obrađivati za reklamu.
Prema st. 4. najkasnije pri prvoj komunikaciji morate izričito upozoriti na to pravo, razumljivo i odvojeno od drugih informacija.
Često postavljana pitanja
Ne moram li kod legitimnog interesa informirati ispitanike? Morate. Obveze informiranja prema čl. 13. i 14. GDPR-a vrijede i tada. Kod te osnove dodatno morate navesti legitimne interese.
Je li legitimni interes dovoljan za kolačiće i skripte za praćenje? Za pristup terminalnoj opremi uglavnom nije. Ondje u Njemačkoj vrijedi § 25 TDDDG, a u Austriji § 165 st. 3. TKG 2021, i oba u načelu zahtijevaju privolu. Osnova iz GDPR-a tiče se tek naknadne obrade. Više o tome u članku § 25 TDDDG: kolačići i praćenje u Njemačkoj.
Moram li odvagivanje zabilježiti pisano? GDPR ne propisuje fiksni oblik. No zbog obveze dokazivanja iz čl. 5. st. 2. pisana je dokumentacija siguran put.
