Что такое законный интерес?
В отличие от согласия, законный интерес не требует, чтобы человек активно согласился на обработку. Однако организация должна быть в состоянии обосновать, почему обработка является законной, необходимой и соразмерной.
Для документирования этого анализа обычно используется оценка законного интереса (LIA).
Важно: Законный интерес не является общим освобождением от требований к согласию. В частности, использование законного интереса не разрешает автоматически необязательные cookie, рекламные трекеры или другие технологии там, где применимые правила ePrivacy требуют согласия.
Законный интерес простыми словами
Законный интерес означает, что у организации есть действительная и законная причина использовать персональные данные, обработка необходима для достижения этой цели, а интересы приватности физического лица не имеют преимущества над интересом организации.
Например, у организации может быть законный интерес в:
- Предотвращении мошенничества
- Защите безопасности сети и информации
- Выявлении злоупотреблений
- Поддержании существующих отношений с клиентом
- Отдельных формах прямого маркетинга
- Взыскании задолженности
- Защите правовых требований
- Улучшении внутренних бизнес-операций
- Предотвращении неправомерного использования услуг
Применим ли законный интерес, зависит от конкретных обстоятельств.
Тот факт, что деятельность коммерчески полезна, не делает её автоматически законным интересом.
Является ли законный интерес правовым основанием по GDPR?
Да.
Статья 6(1)(f) GDPR признаёт законные интересы одним из правовых оснований обработки персональных данных.
Оно применяется, когда:
- У организации или третьей стороны есть законный интерес.
- Обработка персональных данных необходима для этого интереса.
- Интересы, права или свободы физического лица не имеют преимущества над законным интересом.
Эти условия кумулятивны. Должны выполняться все три.
Трёхчастный тест на законный интерес
Основа законного интереса — это оценка из трёх частей.
Тест на цель
Сначала определите законный интерес.
Спросите:
- Чего мы пытаемся достичь?
- Кто получает выгоду от обработки?
- Является ли интерес законным?
- Чётко ли определён интерес?
- Является ли интерес действительным и существующим в настоящее время?
Возможные интересы могут быть коммерческими, индивидуальными, операционными, связанными с безопасностью или более широкими общественными.
Интерес следует чётко формулировать, а не описывать расплывчатыми выражениями вроде «бизнес-цели».
Тест на необходимость
Далее определите, действительно ли обработка персональных данных необходима для достижения этого интереса.
Спросите:
- Помогает ли предлагаемая обработка достичь заявленной цели?
- Является ли обработка разумно необходимой?
- Можно ли достичь той же цели иным способом?
- Существует ли менее интрузивный метод?
Если разумно доступен столь же эффективный и менее вторгающийся в приватность метод, законный интерес может оказаться неподходящим основанием.
Поэтому тест на необходимость не означает просто, что обработка удобна.
Тест на баланс интересов
Наконец, сопоставьте законный интерес организации с интересами, правами и свободами физического лица.
Учтите:
- Какие персональные данные обрабатываются?
- Насколько они чувствительны?
- Каково вероятное воздействие на физических лиц?
- Ожидали бы физические лица такой обработки в разумной степени?
- Насколько силён интерес организации?
- Является ли обработка интрузивной?
- Затрагиваются ли дети или уязвимые лица?
- Какие меры защиты могут снизить воздействие?
Если интересы, права или свободы физического лица имеют преимущество над законным интересом организации, статья 6(1)(f) не может служить основанием для такой обработки.
Что такое оценка законного интереса (LIA)?
Оценка законного интереса (LIA) — это документированная оценка, используемая для определения того, является ли законный интерес надлежащим правовым основанием для конкретного вида обработки.
Качественная LIA обычно должна документировать:
- Цель обработки
- Преследуемый законный интерес
- Стороны, получающие выгоду
- Задействованные персональные данные
- Почему обработка необходима
- Рассмотренные альтернативные методы
- Потенциальное воздействие на физических лиц
- Разумные ожидания физических лиц
- Соответствующие меры защиты
- Вывод по балансу интересов
- Любые условия или ограничения обработки
Оценку следует проводить до того, как обработка начнёт опираться на законный интерес.
ICO описывает LIA как облегчённую оценку рисков, основанную на конкретных обстоятельствах предполагаемой обработки, и рекомендует документировать её результат.
Может ли законный интерес заменить согласие?
Нет, как правило нет.
Законный интерес иногда может быть альтернативным правовым основанием по GDPR для конкретного вида обработки, но он не отменяет другие правовые требования.
Это различие особенно важно для сайтов.
Например, у организации может быть законный интерес в обеспечении безопасности сайта. Это не означает автоматически, что она может размещать любые аналитические или рекламные cookie без согласия.
Правила о cookie и электронных коммуникациях могут устанавливать дополнительные требования помимо анализа правового основания по GDPR.
Следовательно:
Правовое основание по GDPR ≠ автоматическое разрешение размещать cookie или технологии отслеживания.
Это одно из самых важных различий, которые нужно понимать командам по приватности.
Законный интерес и cookie
Законный интерес не следует использовать как универсальное обоснование для необязательных cookie.
Например, сайт не может просто пометить рекламный трекер как «законный интерес» и считать, что этот трекер может загружаться до согласия там, где применимые правила о cookie/ePrivacy требуют предварительного согласия.
Надлежащий анализ должен отдельно рассматривать:
- Есть ли у обработки персональных данных действительное правовое основание по GDPR.
- Подпадает ли технология, используемая для сбора информации или доступа к ней, под дополнительные требования о cookie/ePrivacy.
- Требуется ли согласие до того, как технология начнёт работать.
- Совместима ли обработка с ожиданиями и правами физического лица.
Это различие не позволяет организациям смешивать правовое основание по GDPR с требованиями к хранению информации на устройстве и доступу к ней.
Законный интерес и аналитика
Аналитика может включать несколько различных видов обработки.
Организации не следует автоматически относить всю аналитику к законному интересу.
Учтите:
- Какая информация собирается?
- Агрегированы ли данные или они позволяют идентифицировать человека?
- Используются ли постоянные идентификаторы?
- Передаётся ли информация третьим сторонам?
- Задействовано ли межсайтовое отслеживание?
- Осуществляется ли профилирование?
- Какие ожидания есть у пользователя?
- Задействованы ли cookie или похожие технологии?
- Доступен ли другой, менее интрузивный метод аналитики?
Внутренняя аналитическая деятельность с низким воздействием может требовать иного правового анализа, чем поведенческое отслеживание на разных сайтах и в разных сервисах.
Поэтому правовое основание следует оценивать исходя из фактической реализации.
Законный интерес и предотвращение мошенничества
Предотвращение мошенничества — часто рассматриваемый законный интерес.
У организации может быть серьёзный интерес в выявлении:
- Захвата аккаунтов
- Платёжного мошенничества
- Поддельных аккаунтов
- Злоупотребления учётными данными
- Автоматизированных атак
- Подозрительных транзакций
- Неправомерного использования сервиса
Однако предотвращение мошенничества не становится законным автоматически лишь потому, что организация описывает его как связанное с безопасностью.
Организации всё равно следует оценить необходимость, соразмерность, воздействие, разумные ожидания и применимые меры защиты.
Законный интерес и прямой маркетинг
Прямой маркетинг иногда может опираться на законный интерес по GDPR/UK GDPR, но это требует анализа с учётом контекста и может подпадать под дополнительные правила об электронном маркетинге.
ICO отмечает, что законный интерес может применяться к прямому маркетингу там, где применимые правила об электронных коммуникациях не требуют согласия, при условии что обработка соразмерна, оказывает минимальное воздействие на приватность и не является неожиданной или способной вызвать неоправданные возражения.
По этой причине компании не следует рассматривать:
«У нас есть законный интерес в маркетинге»
как достаточное обоснование само по себе.
Ей следует отдельно учесть:
- Характер отношений
- Статус существующего клиента
- Что разумно ожидают физические лица
- Тип маркетинга
- Канал коммуникации
- Применимые правила ePrivacy/прямого маркетинга
- Право физического лица на возражение
Законный интерес и профилирование
Профилирование иногда может основываться на законном интересе, но анализ становится тем важнее, чем сильнее воздействие на физических лиц.
Учтите:
- Какая информация используется?
- Какие характеристики выводятся?
- Используется ли профилирование для рекламы?
- Влияет ли оно на доступ к товарам или услугам?
- Оказывает ли оно существенное воздействие на физических лиц?
- Ожидали бы люди такого профилирования в разумной степени?
- Могут ли они возразить?
- Какие меры защиты доступны?
Оценка законного интереса должна отражать фактические последствия профилирования, а не рассматривать профилирование как обычную обработку.
Законный интерес и права субъектов данных
У физических лиц сохраняются важные права, даже когда обработка основана на законном интересе.
По GDPR человек может возразить против обработки, основанной на статье 6(1)(e) или 6(1)(f), по основаниям, связанным с его конкретной ситуацией.
Если возражение касается прямого маркетинга, право на возражение сильнее: персональные данные больше не должны обрабатываться в целях прямого маркетинга.
Это означает, что организациям, опирающимся на законный интерес, следует иметь процессы для:
- Приёма возражений
- Оценки возражений
- Фиксации возражений
- Обновления настроек обработки
- Прекращения обработки там, где это требуется
- Документирования любого законного основания для продолжения обработки там, где это допустимо
Законный интерес и дети
Дети требуют особой осторожности.
Согласно статье 6(1)(f) GDPR права и свободы субъекта данных, особенно когда этим лицом является ребёнок, прямо признаются значимыми для анализа законного интереса.
Поэтому обработка с участием детей может требовать более сильных мер защиты и более осторожной оценки баланса интересов.
Организации не следует исходить из того, что законный интерес, приемлемый для взрослых, автоматически остаётся надлежащим для детей.
Законный интерес и чувствительные данные
Законного интереса согласно статье 6(1)(f) самого по себе недостаточно для обработки данных особых категорий по GDPR.
Когда задействованы данные особых категорий, организации, как правило, необходимы:
- Правовое основание согласно статье 6; и
- Применимое условие согласно статье 9.
Поэтому анализ может потребовать дополнительных правовых мер защиты.
Аналогично, к данным о правонарушениях предъявляются дополнительные требования.
Законный интерес и договорная необходимость
Законный интерес и договорная необходимость — это отдельные правовые основания.
Договорная необходимость
Обработка необходима для исполнения договора с физическим лицом или для принятия мер по его запросу до заключения договора.
Законный интерес
Обработка необходима для законного интереса при условии прохождения трёхчастного теста на баланс интересов.
Организации не следует использовать договор как основание лишь потому, что обработка полезна для её бизнеса.
Точно так же не следует использовать законный интерес, когда договорная необходимость является более подходящим основанием.
Правовое основание должно отражать фактическую цель и необходимость обработки.
Законный интерес и юридическая обязанность
Юридическая обязанность применяется, когда обработка необходима для соблюдения правового требования, установленного в отношении организации.
Законный интерес — это другое.
Например:
Юридическая обязанность:
обработка, требуемая применимым законом.
Законный интерес:
обработка, необходимая для законного коммерческого, операционного, связанного с безопасностью интереса или интереса третьей стороны, который выдерживает тест на баланс интересов.
Выбор правильного правового основания важен, поскольку связанные с ним права и требования соответствия могут различаться.
Законный интерес и уведомления о конфиденциальности
Опираясь на законный интерес, организациям следует объяснять соответствующие законные интересы в своей информации о приватности.
В уведомлении о конфиденциальности не следует просто указывать:
«Мы обрабатываем вашу информацию на основании законного интереса.»
В нём должна содержаться содержательная информация о преследуемом законном интересе.
Это помогает физическим лицам понять:
- Почему их данные обрабатываются
- Чего пытается достичь организация
- Как обработка влияет на них
- Какие у них есть права
- Как они могут возразить
В руководстве EDPB указано, что операторы, опирающиеся на статью 6(1)(f), должны информировать субъектов данных о преследуемых законных интересах.
Законный интерес в рамках DPDPA
Индийский Digital Personal Data Protection Act, 2023 (DPDP Act) использует иную структуру, чем GDPR.
Закон предусматривает, что персональные данные могут обрабатываться для законной цели на основании:
- Согласия; либо
- Определённых законных видов использования.
Раздел 7 определяет эти «определённые законные виды использования» и перечисляет конкретные обстоятельства, при которых Data Fiduciary может обрабатывать персональные данные.
Это важное различие.
Концепцию законного интереса из статьи 6(1)(f) GDPR не следует просто переносить в индийскую систему соблюдения DPDPA.
Вместо этого:
GDPR:
законный интерес — это конкретное правовое основание согласно статье 6(1)(f).
DPDPA:
«определённые законные виды использования» — это конкретные установленные законом основания согласно разделу 7.
ConsentX следует сохранять это различие во всех своих материалах, посвящённых Индии.
Примеры определённых законных видов использования в рамках DPDPA
Раздел 7 включает конкретные обстоятельства, такие как обработка персональных данных для указанной цели, для которой Data Principal добровольно предоставил данные и не выразил несогласия.
Закон также предусматривает другие категории законного использования, связанные с такими областями, как:
- Государственные льготы и услуги
- Функции государства
- Юридические обязанности и раскрытие информации
- Неотложная медицинская помощь
- Отдельные цели, связанные с трудовыми отношениями
- Общедоступные персональные данные в указанных обстоятельствах
Точные условия зависят от применимого положения и обстоятельств.
Поэтому ConsentX следует избегать описания DPDPA как закона, в котором просто есть правовое основание «законный интерес» в стиле GDPR.
Это различие особенно важно для организаций, работающих и в Европе, и в Индии.
Законный интерес и платформы управления согласиями
Платформа управления согласиями (CMP) в первую очередь управляет согласием и сигналами о предпочтениях.
Она не определяет автоматически, может ли организация опираться на законный интерес.
CMP может помочь с:
- Фиксацией согласия
- Фиксацией отказов
- Управлением изменениями предпочтений
- Исполнением решений о согласии
- Представлением выбора приватности
- Поддержкой доказательств для аудита
Но организации следует отдельно документировать свой анализ правового основания.
Для законного интереса это может включать ведение LIA наряду с соответствующими записями о приватности и обработке.
Следует ли фиксировать законный интерес?
Да.
Документированная LIA помогает подтвердить, почему был выбран законный интерес и как организация оценила обработку.
Запись не должна быть типовым шаблоном, скопированным для несвязанных между собой видов обработки.
Полезная LIA должна быть конкретной в отношении:
- Цели обработки
- Задействованных данных
- Затронутых людей
- Используемой технологии
- Ожидаемого воздействия
- Применённых мер защиты
- Вывода
ICO рекомендует документировать результат трёхчастной оценки и делать это до начала обработки.
Чек-лист оценки законного интереса
Прежде чем опираться на законный интерес, спросите:
Цель
- Какой законный интерес мы преследуем?
- Является ли он законным и чётко определённым?
- Кто получает выгоду?
Необходимость
- Действительно ли необходима обработка персональных данных?
- Вносит ли она существенный вклад в достижение цели?
- Есть ли менее интрузивная альтернатива?
Баланс интересов
- Какое воздействие окажет обработка?
- Чего разумно ожидали бы физические лица?
- Являются ли данные чувствительными или частными?
- Может ли обработка причинить вред?
- Затронуты ли дети?
- Имеют ли права физического лица преимущество над интересом организации?
Меры защиты
- Можем ли мы минимизировать данные?
- Можем ли мы сократить срок хранения?
- Можем ли мы псевдонимизировать информацию?
- Можем ли мы ограничить доступ?
- Можем ли мы сузить объём профилирования?
- Можем ли мы предоставить физическим лицам содержательные средства контроля?
Подотчётность
- Документирована ли LIA?
- Обновлено ли уведомление о конфиденциальности?
- Чётко ли описан законный интерес?
- Есть ли процесс обработки возражений?
- Может ли организация подтвердить, почему было выбрано данное правовое основание?
Частые ошибки, связанные с законным интересом
Трактовка законного интереса как «согласие не требуется»
Законный интерес может быть правовым основанием по GDPR, но другие законы всё равно могут требовать согласия для отдельных технологий или коммуникаций.
Пропуск LIA
Просто написать «законный интерес» в политике конфиденциальности — не то же самое, что провести трёхчастный тест.
Использование типовой LIA
Оценка законного интереса должна отражать фактическую обработку и её контекст.
Игнорирование разумных ожиданий
То, ожидали бы люди такой обработки в разумной степени, — важная часть оценки баланса интересов.
Игнорирование менее интрузивных альтернатив
Если той же цели можно разумно достичь с меньшим объёмом обработки персональных данных, тест на необходимость может быть не пройден.
Трактовка коммерческой выгоды как достаточного основания
Выгода для бизнеса не имеет автоматического преимущества над правами и свободами физического лица.
Использование законного интереса в обход согласия на cookie
Правовое основание по GDPR не отменяет автоматически применимые требования о cookie или ePrivacy.
Отождествление законного интереса по GDPR и законных видов использования по DPDPA
Эти две системы используют разные правовые конструкции, и их следует анализировать отдельно.
Законный интерес и ConsentX
ConsentX помогает организациям управлять согласием, настройками приватности, записями о согласии и доказательствами для аудита в разных системах приватности.
Для процессов, связанных с законным интересом, ConsentX может дополнять управление согласием, помогая организациям различать:
- Обработку, которая требует согласия
- Обработку, основанную на другом правовом основании
- Настройки согласия
- Возражения и изменения предпочтений
- Доказательства согласия
- Документацию по соблюдению требований приватности
Это различие особенно важно для сайтов, использующих аналитику, рекламу, персонализацию и другие сторонние технологии.
ConsentX не следует позиционировать как систему, автоматически решающую, что тот или иной вид обработки подпадает под законный интерес. Организация остаётся ответственной за определение и документирование своего правового основания.
Законный интерес: главное
- Законный интерес — это правовое основание по GDPR и UK GDPR согласно статье 6(1)(f).
- Он требует трёхчастной оценки: цель, необходимость и баланс интересов.
- Оценку законного интереса (LIA) обычно следует документировать до начала обработки.
- Законный интерес не требует утвердительного согласия, но требует подотчётности и защиты прав физических лиц.
- Физические лица имеют право возразить против обработки, основанной на законном интересе, в применимых обстоятельствах.
- Прямой маркетинг требует дополнительного учёта применимых правил об электронном маркетинге.
- Законный интерес не разрешает автоматически необязательные cookie или технологии отслеживания.
- К данным особых категорий и данным о правонарушениях предъявляются дополнительные требования.
- По индийскому DPDPA определённые законные виды использования согласно разделу 7 отличаются от статьи 6(1)(f) GDPR.
- CMP управляет согласием и предпочтениями; сама по себе она не устанавливает, что применим законный интерес.
- Сильные программы приватности документируют правовое основание для каждого вида обработки, а не считают одно правовое основание подходящим для всего.
Знайте, какая обработка требует согласия, и подтверждайте это
ConsentX помогает организациям управлять согласием, настройками приватности, записями о согласии и доказательствами для аудита в разных системах приватности, чтобы команды могли отличать обработку, требующую согласия, от обработки, основанной на другом правовом основании. Организация остаётся ответственной за определение и документирование своего правового основания.