Interesul legitim conform GDPR: cei 3 pași de verificare

Interesul legitim este temeiul juridic pe care se sprijină multe companii în marketing și vânzări. Pare comod, pentru că nu sunt necesare nici banner, nici semnătură. Este însă și temeiul cu cel mai mult efort propriu: trebuie să verificați singuri, să cântăriți singuri și să puteți dovedi rezultatul. Acest articol explică regula, cei trei pași de verificare și pietrele de poticnire tipice.

Ce spune regula

Art. 6 alin. 1 litera f GDPR permite o prelucrare a datelor cu caracter personal atunci când este „necesară în scopul intereselor legitime urmărite de operator sau de o parte terță”. Aceasta se aplică numai dacă nu prevalează interesele sau drepturile fundamentale ale persoanei vizate, care necesită protejarea datelor sale. Autoritățile publice nu se pot baza pe aceasta în îndeplinirea sarcinilor lor. Textul îl găsiți în GDPR pe EUR-Lex.

Temeiul este unul dintre șase de rang egal. Nu are prioritate față de consimțământ și nu este o plasă de siguranță atunci când lipsește consimțământul. Acolo unde legea cere consimțământ pentru o operațiune, lit. f nu îl poate înlocui. Asta se aplică mai ales accesului la dispozitivul final, mai multe în Consimțământ sau interes legitim: cum decideți.

Cei trei pași de verificare

Curtea de Justiție a Uniunii Europene (CJUE) examinează regula în trei trepte, care trebuie îndeplinite toate. A formulat astfel, printre altele, în hotărârea din 4 octombrie 2024 (CJUE, C-621/22, Koninklijke Nederlandse Lawn Tennisbond).

Treapta 1: interesul. Trebuie să fie legal, numit clar și existent în fapt. CJUE a clarificat în hotărârea menționată că și un interes economic poate fi un interes legitim, atât timp cât nu încalcă dreptul. Considerentul 47 numește expres marketingul direct ca posibil interes legitim.

Treapta 2: necesitatea. Aici întrebați dacă există un mijloc mai blând. Dacă atingeți un obiectiv cu mai puține date, trebuie să luați mai puține date. Dacă vă ajunge firma, nu aveți nevoie de o persoană. Acesta este principiul reducerii la minimum a datelor din art. 5 alin. 1 lit. c GDPR.

Treapta 3: cântărirea. Puneți interesul dumneavoastră față în față cu interesele persoanelor vizate. Criteriul sunt, potrivit considerentului 47, așteptările rezonabile ale persoanelor vizate, care rezultă din relația lor cu dumneavoastră. Cine este client se așteaptă la un newsletter despre produse similare. Cine a vizitat o singură dată o pagină nu se așteaptă la un dosar. Cu cât datele sunt mai sensibile și intruziunea mai profundă, cu atât mai probabil cântărirea iese în defavoarea dumneavoastră.

Exemple din marketing și vânzări

Cazurile următoare arată amploarea. Dacă se susțin într-un caz concret depinde de circumstanțe. Încadrarea nu este o garanție.

• Publicitate prin poștă către clienți existenți. Este adesea considerată justificabilă, pentru că clienții se așteaptă la asta. Dreptul concurenței trebuie să se potrivească suplimentar.
• Prevenirea fraudei și securitatea IT. Considerentul 47 numește prevenirea fraudei ca interes legitim. Companiile se sprijină adesea pe el pentru jurnalele de apărare împotriva atacurilor.
• Atribuirea firmei pe site. Cine caută doar titularul rețelei unei adrese IP prelucrează puțin și are un scop clar. Dacă o adresă IP este în cazul concret date cu caracter personal explică Adresa IP și GDPR: sunt date cu caracter personal?.
• Profiluri ale persoanelor individuale din date cumpărate. Aici cântărirea devine grea, pentru că persoanele vizate nu se așteaptă la asta.

Pentru abordarea după o vizită pe site, la GDPR se adaugă dreptul concurenței. Ce se aplică acolo, pe țări, se află în Cold calling în B2B: ce este permis în DE, AT și CH.

Documentarea: sarcina probei vă revine

Conform art. 5 alin. 2 GDPR trebuie să puteți dovedi respectarea principiilor. Pentru lit. f asta înseamnă în practică:

1. Numiți interesul într-o propoziție.
2. Consemnați de ce nu merge cu mai puține date.
3. Scrieți cântărirea cu cele mai importante argumente, cu data și responsabilul.
4. Includeți prelucrarea în registrul dumneavoastră conform art. 30 GDPR, în măsura în care este obligatoriu.
5. Numiți interesul legitim în politica de confidențialitate. Art. 13 alin. 1 lit. d GDPR cere, pentru acest temei, indicarea intereselor.
6. Verificați din nou cântărirea când se schimbă scopul, datele sau tehnica.

Opoziția conform art. 21

Cine se sprijină pe lit. f trebuie să acorde un drept de opoziție. Există două cazuri (art. 21 GDPR):

• Opoziția generală (alin. 1). Persoana se poate opune din motive legate de situația sa particulară. Trebuie atunci să încetați prelucrarea, cu excepția cazului în care dovediți motive legitime imperioase care prevalează.
• Opoziția față de marketingul direct (alin. 2 și 3). Aici nu este nevoie de justificare. După o opoziție, datele nu mai pot fi prelucrate pentru publicitate.

Conform alin. 4, trebuie să atrageți atenția expres asupra acestui drept cel târziu la prima comunicare, în mod inteligibil și separat de alte informații.

Întrebări frecvente

La interesul legitim nu am nevoie să informez persoanele vizate? Ba da. Obligațiile de informare conform art. 13 și 14 GDPR se aplică și atunci. La acest temei se adaugă faptul că trebuie să numiți interesele legitime.

Ajunge interesul legitim pentru cookie-uri și scripturi de tracking? Pentru accesul la dispozitivul final, de obicei nu. Acolo se aplică în Germania § 25 TDDDG și în Austria § 165 alin. 3 TKG 2021, ambele cer în principiu consimțământ. Temeiul din GDPR privește abia prelucrarea ulterioară. Mai multe în § 25 TDDDG: cookie-uri și tracking în Germania.

Trebuie să consemnez cântărirea în scris? GDPR nu prescrie o formă anume. Din cauza obligației de dovadă din art. 5 alin. 2, o documentare scrisă este însă calea sigură.