Uzasadniony interes według RODO: 3 kroki oceny

Uzasadniony interes jest podstawą prawną, na której opiera się wiele firm w marketingu i sprzedaży. Wydaje się wygodny, ponieważ nie potrzeba banera ani podpisu. Jest jednak także podstawą wymagającą najwięcej własnej pracy: trzeba samodzielnie ocenić, samodzielnie wyważyć i móc udowodnić wynik. Artykuł wyjaśnia regułę, trzy kroki oceny i typowe pułapki.

Co mówi przepis

Art. 6 ust. 1 lit. f RODO dopuszcza przetwarzanie danych osobowych, gdy jest ono „niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią”. Obowiązuje to tylko wtedy, gdy nie mają nadrzędnego charakteru interesy lub prawa i wolności podstawowe osoby, której dane dotyczą, wymagające ochrony danych. Organy publiczne nie mogą się na to powoływać przy wykonywaniu swoich zadań. Brzmienie znajdą Państwo w RODO na EUR-Lex.

Ta podstawa jest jedną z sześciu równorzędnych. Nie ma pierwszeństwa przed zgodą i nie jest siatką bezpieczeństwa, gdy zgody brakuje. Tam, gdzie ustawa wymaga zgody na daną czynność, lit. f nie może jej zastąpić. Dotyczy to przede wszystkim dostępu do urządzenia końcowego, więcej w artykule Zgoda czy uzasadniony interes: jak zdecydować.

Trzy kroki oceny

Trybunał Sprawiedliwości Unii Europejskiej bada przepis w trzech stopniach, które wszystkie muszą być spełnione. Sformułował to między innymi w wyroku z 4 października 2024 roku (TSUE, C-621/22, Koninklijke Nederlandse Lawn Tennisbond).

Stopień 1: interes. Musi być zgodny z prawem, jasno nazwany i rzeczywiście istniejący. TSUE wyjaśnił we wspomnianym wyroku, że również interes gospodarczy może być uzasadnionym interesem, o ile nie narusza prawa. Motyw 47 wymienia marketing bezpośredni wprost jako możliwy uzasadniony interes.

Stopień 2: niezbędność. Tu pytają Państwo, czy istnieje łagodniejszy środek. Jeżeli cel można osiągnąć przy mniejszej ilości danych, należy wziąć mniej danych. Jeśli wystarcza firma, nie potrzeba osoby. Jest to zasada minimalizacji danych z art. 5 ust. 1 lit. c RODO.

Stopień 3: wyważenie. Zestawiają Państwo własny interes z interesami osób, których dane dotyczą. Miarą są według motywu 47 rozsądne oczekiwania tych osób, wynikające z ich relacji z Państwem. Kto jest klientem, liczy się z newsletterem o podobnych produktach. Kto raz odwiedził stronę, nie liczy się z dossier. Im wrażliwsze dane i głębsza ingerencja, tym bardziej wyważenie wypada na Państwa niekorzyść.

Przykłady z marketingu i sprzedaży

Poniższe przypadki pokazują rozpiętość. Czy w konkretnej sytuacji są wystarczające, zależy od okoliczności. Ocena nie jest zapewnieniem.

• Reklama pocztowa do stałych klientów. Często uchodzi za dopuszczalną, ponieważ klienci się z nią liczą. Dodatkowo musi pasować prawo konkurencji.
• Zapobieganie nadużyciom i bezpieczeństwo IT. Motyw 47 wymienia zapobieganie oszustwom jako uzasadniony interes. Na tej podstawie firmy często opierają dzienniki służące do obrony przed atakami.
• Przypisanie firmy na stronie internetowej. Kto sprawdza tylko właściciela sieci adresu IP, przetwarza niewiele i ma jasny cel. Czy adres IP jest w konkretnym przypadku daną osobową, wyjaśnia artykuł Adres IP a RODO: czy jest daną osobową?.
• Profile pojedynczych osób z kupionych danych. Tu wyważenie jest trudne, ponieważ osoby, których dane dotyczą, się tego nie spodziewają.

W przypadku kontaktu po wizycie na stronie do RODO dochodzi prawo konkurencji. Co obowiązuje w poszczególnych krajach, wyjaśnia artykuł Zimne kontakty w B2B: co jest dozwolone w DE, AT i CH.

Dokumentacja: ciężar dowodu leży po Państwa stronie

Według art. 5 ust. 2 RODO muszą Państwo móc wykazać przestrzeganie zasad. Dla lit. f oznacza to w praktyce:

1. Nazwać interes jednym zdaniem.
2. Zapisać, dlaczego nie da się tego osiągnąć przy mniejszej ilości danych.
3. Spisać wyważenie z najważniejszymi argumentami, z datą i osobą odpowiedzialną.
4. Ująć przetwarzanie w rejestrze z art. 30 RODO, o ile jest to obowiązkowe.
5. Wskazać uzasadniony interes w polityce prywatności. Art. 13 ust. 1 lit. d RODO wymaga przy tej podstawie podania interesów.
6. Ponownie sprawdzić wyważenie, gdy zmienia się cel, dane lub technika.

Sprzeciw według art. 21

Kto opiera się na lit. f, musi przyznać prawo sprzeciwu. Są dwa przypadki (art. 21 RODO):

• Sprzeciw ogólny (ust. 1). Osoba może wnieść sprzeciw z przyczyn związanych z jej szczególną sytuacją. Przetwarzanie należy wtedy zakończyć, chyba że wykażą Państwo ważne prawnie uzasadnione podstawy, które mają charakter nadrzędny.
• Sprzeciw wobec marketingu bezpośredniego (ust. 2 i 3). Tu nie potrzeba uzasadnienia. Po sprzeciwie dane nie mogą być już przetwarzane w celach reklamowych.

Według ust. 4 muszą Państwo najpóźniej przy pierwszej komunikacji wyraźnie poinformować o tym prawie, w sposób zrozumiały i oddzielony od innych informacji.

Najczęstsze pytania

Czy przy uzasadnionym interesie nie muszę informować osób, których dane dotyczą? Muszę. Obowiązki informacyjne z art. 13 i 14 RODO obowiązują także wtedy. Przy tej podstawie dochodzi to, że należy wskazać uzasadnione interesy.

Czy uzasadniony interes wystarcza dla plików cookie i skryptów śledzących? Dla dostępu do urządzenia końcowego z reguły nie. Obowiązuje tam w Niemczech § 25 TDDDG, a w Austrii § 165 ust. 3 TKG 2021, oba przepisy co do zasady wymagają zgody. Podstawa z RODO dotyczy dopiero późniejszego przetwarzania. Więcej w artykule § 25 TDDDG: pliki cookie i śledzenie w Niemczech.

Czy muszę zapisać wyważenie na piśmie? RODO nie narzuca stałej formy. Ze względu na obowiązek wykazania zgodności z art. 5 ust. 2 pisemna dokumentacja jest jednak bezpieczną drogą.