Jogos érdek a GDPR szerint: a 3 vizsgálati lépés

A jogos érdek az a jogalap, amelyre sok vállalkozás támaszkodik a marketingben és az értékesítésben. Kényelmesnek tűnik, mert nincs szükség bannerre és aláírásra. Egyúttal ez az a jogalap, amely a legtöbb saját munkát igényli: Önnek kell magának vizsgálnia, mérlegelnie, és az eredményt igazolni tudnia. Ez a cikk elmagyarázza a szabályt, a három vizsgálati lépést és a tipikus buktatókat.

Mit mond a szabály

A GDPR 6. cikk (1) bekezdésének f) pontja megengedi a személyes adatok kezelését, ha az „az adatkezelő vagy egy harmadik fél jogos érdekeinek érvényesítéséhez szükséges”. Ez csak akkor érvényes, ha nem élveznek elsőbbséget az érintett olyan érdekei vagy alapvető jogai, amelyek személyes adatok védelmét teszik szükségessé. A hatóságok feladataik ellátása során nem hivatkozhatnak rá. A szöveg a GDPR-ben az EUR-Lexen található.

A jogalap hat egyenrangú közül az egyik. Nincs elsőbbsége a hozzájárulással szemben, és nem tartalék háló arra az esetre, ha a hozzájárulás hiányzik. Ahol a jogszabály egy folyamathoz hozzájárulást ír elő, ott az f) pont ezt nem pótolhatja. Ez főleg a végberendezéshez való hozzáférésre érvényes, erről többet a Hozzájárulás vagy jogos érdek: így döntsön cikkben talál.

A három vizsgálati lépés

Az Európai Unió Bírósága három lépcsőben vizsgálja a szabályt, amelyek mindegyikének teljesülnie kell. Ezt többek között a 2024. október 4-i ítéletben fogalmazta meg így (EuGH, C-621/22, Koninklijke Nederlandse Lawn Tennisbond).

1. lépcső: az érdek. Jogszerűnek, világosan megnevezettnek és ténylegesen fennállónak kell lennie. Az Európai Unió Bírósága az említett ítéletben tisztázta, hogy gazdasági érdek is lehet jogos érdek, amennyiben nem sérti a jogot. A (47) preambulumbekezdés a közvetlen üzletszerzést kifejezetten megnevezi lehetséges jogos érdekként.

2. lépcső: a szükségesség. Itt azt kérdezi, van-e enyhébb eszköz. Ha egy cél kevesebb adattal is elérhető, kevesebb adatot kell felhasználnia. Ha elég Önnek a cég, nincs szüksége személyre. Ez a GDPR 5. cikk (1) bekezdés c) pontja szerinti adattakarékosság elve.

3. lépcső: a mérlegelés. Az Ön érdekét szembeállítja az érintettek érdekeivel. A mérce a (47) preambulumbekezdés szerint az érintettek észszerű elvárása, amely az Önnel fennálló kapcsolatukból adódik. Aki ügyfél, az számít hasonló termékekre vonatkozó hírlevélre. Aki csak egyszer látogatott meg egy oldalt, az nem számít dossziéra. Minél érzékenyebbek az adatok és minél mélyebb a beavatkozás, annál inkább az Ön hátrányára dől el a mérlegelés.

Példák a marketingből és az értékesítésből

A következő esetek a spektrumot mutatják. Hogy egy konkrét esetben megállnak-e, a körülményektől függ. A besorolás nem ígéret.

• Postai reklám a meglévő ügyfeleknek. Gyakran védhetőnek számít, mert az ügyfelek számítanak rá. A versenyjognak ezenfelül illeszkednie kell.
• Csalás elleni védekezés és informatikai biztonság. A (47) preambulumbekezdés a csalás megelőzését jogos érdekként nevezi meg. A támadások elhárítását szolgáló naplókat a vállalkozások gyakran erre alapozzák.
• Cégek hozzárendelése a weboldalon. Aki csak egy IP-cím hálózati tulajdonosát keresi ki, keveset dolgoz fel, és világos célja van. Hogy egy IP-cím a konkrét esetben személyes adat-e, azt az IP-cím és GDPR: személyes adat-e? magyarázza.
• Egyes személyekről készült profilok vásárolt adatokból. Itt nehéz a mérlegelés, mert az érintettek nem számítanak rá.

A weboldal-látogatás utáni megszólításnál a GDPR mellé a versenyjog is társul. Hogy ott országonként mi érvényes, azt a B2B hidegakvizíció: mi megengedett DE, AT és CH területén tartalmazza.

Dokumentálás: a bizonyítási teher Önt terheli

A GDPR 5. cikk (2) bekezdése szerint az elvek betartását igazolni kell tudnia. Az f) pont esetén ez a gyakorlatban a következőt jelenti:

1. Nevezze meg az érdeket egy mondatban.
2. Rögzítse, miért nem megy kevesebb adattal.
3. Írja le a mérlegelést a legfontosabb érvekkel, dátummal és felelőssel.
4. Vegye fel a feldolgozást a GDPR 30. cikke szerinti nyilvántartásába, amennyiben ez kötelező.
5. Nevezze meg a jogos érdeket az adatvédelmi tájékoztatóban. A GDPR 13. cikk (1) bekezdés d) pontja ennél a jogalapnál az érdekek megadását írja elő.
6. Vizsgálja felül a mérlegelést, ha a cél, az adatok vagy a technika változik.

Tiltakozás a 21. cikk szerint

Aki az f) pontra támaszkodik, annak tiltakozási jogot kell biztosítania. Két eset van (GDPR 21. cikk):

• Általános tiltakozás (1. bekezdés). Az érintett a különleges helyzetével kapcsolatos okokból tiltakozhat. Ekkor a feldolgozást be kell fejeznie, kivéve, ha olyan kényszerítő erejű jogos okokat igazol, amelyek elsőbbséget élveznek.
• Tiltakozás a közvetlen üzletszerzés ellen (2. és 3. bekezdés). Itt nincs szükség indoklásra. Tiltakozás után az adatok már nem dolgozhatók fel reklámcélra.

A 4. bekezdés szerint legkésőbb az első kommunikáció során kifejezetten fel kell hívnia a figyelmet erre a jogra, érthetően és a többi információtól elkülönítve.

Gyakori kérdések

Jogos érdek esetén nem kell tájékoztatnom az érintetteket? De igen. A GDPR 13. és 14. cikke szerinti tájékoztatási kötelezettségek ekkor is érvényesek. Ennél a jogalapnál ráadásul meg kell neveznie a jogos érdekeket.

Elég-e a jogos érdek a sütikhez és a követő szkriptekhez? A végberendezéshez való hozzáféréshez többnyire nem. Ott Németországban a § 25 TDDDG (a német Telekommunikáció-Digitális Szolgáltatások Adatvédelmi Törvény), Ausztriában a § 165 Abs. 3 TKG 2021 érvényes, mindkettő alapesetben hozzájárulást ír elő. A GDPR szerinti jogalap csak az ezt követő feldolgozásra vonatkozik. Többet erről a § 25 TDDDG: sütik és követés Németországban cikkben talál.

Írásban kell rögzítenem a mérlegelést? A GDPR nem ír elő meghatározott formát. Az 5. cikk (2) bekezdése szerinti bizonyítási kötelezettség miatt viszont az írásbeli dokumentálás a biztos út.