Likumīgās intereses un līdzsvara tests

Vienā teikumā. Likumīgās (regulas terminoloģijā — leģitīmās) intereses pēc VDAR 6. panta 1. punkta f) apakšpunkta ļauj apstrādāt personas datus bez piekrišanas tikai tad, ja pārzinis izpilda trīs kumulatīvus nosacījumus — interese ir likumīga un konkrēti formulēta, apstrāde šīs intereses sasniegšanai ir nepieciešama, un izsvēršanā datu subjekta tiesības un brīvības šo interesi nepārsniedz — un ja novērtējums ir rakstiski noformēts pirms apstrādes uzsākšanas.

Šis ceļvedis rakstīts Latvijas uzņēmumiem, kas balstās uz likumīgajām interesēm krāpšanas novēršanā, videonovērošanā, parādu piedziņā, tīkla drošībā, koncerna iekšējās sistēmās un tiešajā mārketingā. Jūs iegūsiet testa precīzu uzbūvi, dokumenta struktūru, ko pieprasa Datu valsts inspekcija (DVI), un skaidru sarakstu ar situācijām, kurās šis pamats vienkārši nedarbojas.

Galvenie fakti

• Likumīgās intereses nav “noklusējuma pamats” gadījumiem, kad piekrišanu lūgt ir neērti. Tas ir vienīgais tiesiskais pamats, kas prasa iepriekšēju dokumentētu izsvēršanu.
• Eiropas Savienības Tiesa Latvijas lietā Rīgas satiksme (C-13/16, 2017. gada 4. maijs) formulēja trīs kumulatīvus nosacījumus: likumīgas intereses esamību, apstrādes nepieciešamību un interešu izsvēršanu.
• Lietā KNLTB (C-621/22, 2024. gada 4. oktobris) Tiesa apstiprināja, ka arī tīri komerciāla interese var būt likumīga interese, ja tā nav pretrunā tiesību normām — bet pārējie divi posmi joprojām jāizpilda.
• 47. apsvērums izšķirošu nozīmi piešķir datu subjekta saprātīgām gaidām datu iegūšanas brīdī un kontekstā.
• Iebildums pret tiešo mārketingu pēc 21. panta 2. punkta ir beznosacījuma: izsvēršana nenotiek, apstrāde jāpārtrauc.

Ko 6. panta 1. punkta f) apakšpunkts patiesībā nosaka

Norma atļauj apstrādi, ja tā “ir vajadzīga pārziņa vai trešās personas leģitīmo interešu ievērošanai, izņemot, ja datu subjekta intereses vai pamattiesības un pamatbrīvības, kurām nepieciešama personas datu aizsardzība, ir svarīgākas par šādām interesēm, jo īpaši, ja datu subjekts ir bērns”.

No šā formulējuma izriet trīs praktiski secinājumi. Pirmkārt, interese var piederēt arī trešajai personai — piemēram, apdrošinātājam, kas pieprasa datus krāpšanas atklāšanai. Otrkārt, 6. panta 1. punkta pēdējā daļa izslēdz šo pamatu publiskām iestādēm, tām pildot savus uzdevumus: iestāde balstās uz c) vai e) apakšpunktu. Treškārt, f) apakšpunkts neatver durvis īpašu kategoriju datiem — 9. panta aizliegumu atceļ tikai kāds no 9. panta 2. punkta izņēmumiem, nevis izsvēršana.

Apsvērumi dod tipiskos gadījumus: krāpšanas novēršana un tiešais mārketings (47. apsvērums), datu pārsūtīšana koncerna ietvaros administratīvos nolūkos (48. apsvērums), tīkla un informācijas drošība (49. apsvērums). Tās nav automātiskas atļaujas, bet sākumpunkti, kuriem tik un tā jāpievieno tests.

Salīdzinājumam: piekrišana pēc 7. panta ir spēcīga, bet trausla — to var atsaukt jebkurā brīdī. Likumīgās intereses ir noturīgākas, taču prasa pierādāmu iepriekšēju darbu. Abos gadījumos izvēlētais pamats jāieraksta apstrādes darbību reģistrā un jāatklāj privātuma politikā; 13. panta 1. punkta d) apakšpunkts prasa nosaukt tieši konkrēto interesi, nevis atsauci uz normu.

Trīs posmu tests

Rīgas satiksmes sprieduma 28. punktā uzskaitītie nosacījumi ir kumulatīvi: viena posma neizpilde izbeidz analīzi.

Posms	Jautājums	Neizpildes pazīme
1. Nolūks	Vai interese ir likumīga, reāla un pastāvoša?	“Komerciālas intereses” bez satura
2. Nepieciešamība	Vai nolūku nevar sasniegt mazāk aizskarošā veidā?	Vāc vairāk datu, nekā nolūks prasa
3. Izsvēršana	Vai datu subjekta tiesības ir svarīgākas?	Negaidīta profilēšana, bērnu dati

1. Nolūka posms

Interese jāformulē konkrēti. “Drošības nodrošināšana” nav interese; “biroja ieejas videonovērošana zādzību atklāšanai pēc trim 2025. gada incidentiem” ir. Interesei jābūt reālai un pastāvošai, nevis hipotētiskai, un likumīgai — tā nedrīkst būt pretrunā nevienai tiesību normai.

KNLTB lietā Amsterdamas tiesa jautāja, vai tīri komerciāla interese vispār kvalificējas. Tiesa atbildēja apstiprinoši: interesei nav jāizriet no likuma, un komerciāla interese ir likumīga interese, ja vien tā nav pretrunā tiesībām. Lieta nonāca Luksemburgā pēc tam, kad Nīderlandes uzraudzības iestāde sodīja tenisa federāciju par biedru datu nodošanu sponsoriem. Mācība ir divējāda: pirmais posms ir pārvarams, un tieši tāpēc lietu izšķir otrais un trešais.

2. Nepieciešamības posms

Nepieciešamību Tiesa vērtē šauri: apstrādei jāaprobežojas ar stingri nepieciešamo. Praktiskā pārbaude ir trīs jautājumi. Vai nolūku var sasniegt bez personas datiem? Vai to pašu rezultātu dod mazāks datu apjoms, īsāks termiņš vai apkopoti dati? Vai pietiek ar mazāku aizskārumu — pseidonimizāciju vai piekļuves ierobežošanu?

Tieši šeit sabrūk lielākā daļa novērtējumu. Ja žurnālus drošības incidentu izmeklēšanai glabā trīs gadus, šis termiņš jāpamato un jāsasaista ar glabāšanas ierobežojuma principu. Pretējā gadījumā interese var būt likumīga, bet apstrāde nav nepieciešama.

3. Līdzsvara tests

Trešais posms ir svēršana, nevis balsošana. Vienā pusē ir intereses svars: cik tā svarīga, vai to atbalsta sabiedrības interese, cik liels kaitējums rastos, apstrādi neveicot. Otrā pusē ir aizskārums: datu raksturs, datu subjekta stāvoklis (bērns, darbinieks, pacients, patērētājs), apstrādes apjoms un ilgums, lēmuma sekas un tas, vai datu subjekts to gaidīja.

Samēru var nobīdīt ar aizsardzības pasākumiem: datu apjoma samazināšanu, pseidonimizāciju, īsākiem termiņiem, piekļuves ierobežošanu, caurskatāmu informēšanu un vienkāršu atteikšanās iespēju. Pasākumi jānosauc novērtējumā un pēc tam patiešām jāievieš — aprakstīts, bet neieviests pasākums padara novērtējumu par tukšu dokumentu.

Cik tālu izsvēršana nesniedzas, parādīja lieta Meta Platforms u.c. (C-252/21, 2023. gada 4. jūlijs): sociālā tīkla interese personalizētā reklāmā neattaisnoja lietotāja uzvedības apkopošanu ārpus platformas bez piekrišanas. Jo plašāka un negaidītāka ir profilēšana, jo mazāk to glābj līdzsvara tests.

Saprātīgo gaidu kritērijs

47. apsvērums formulē izšķirošo filtru: jāņem vērā datu subjekta saprātīgās gaidas, kas balstītas uz viņa attiecībām ar pārzini, un tas, vai datu iegūšanas brīdī un kontekstā datu subjekts var saprātīgi paredzēt apstrādi attiecīgajā nolūkā.

Tests ir objektīvs, nevis subjektīvs: jautājums nav par to, ko domāja konkrētais cilvēks, bet ko sagaidītu vidusmēra persona tādā pašā situācijā. No tā izriet divas sekas. Ja apstrāde sākta ilgi pēc datu iegūšanas vai pilnīgi jaunā kontekstā, gaidu ķēde ir pārrauta. Un informācija, kas paslēpta privātuma politikas trīsdesmitajā rindā, gaidas nerada — tās veido tas, ko cilvēks patiešām redzēja.

Kā dokumentēt leģitīmo interešu novērtējumu

Regula nelieto saīsinājumu LIA (legitimate interests assessment), taču 5. panta 2. punkta pārskatatbildības princips padara rakstisku novērtējumu praktiski obligātu: bez dokumenta nav iespējams pierādīt, ka izsvēršana vispār notika. Darba kārtībā izmantojams novērtējums ietilpst divās lappusēs un satur:

1. Apstrādes darbību un datu kategorijas — kas tieši tiek apstrādāts un par ko.
2. Intereses aprakstu — kam tā pieder, kādā tā izpaužas, kāpēc ir pastāvoša.
3. Nepieciešamības analīzi — izsvērtās alternatīvas un iemesls, kāpēc tās neder.
4. Izsvēršanu — aizskāruma faktori, saprātīgās gaidas, bērnu vai darbinieku papildu svars.
5. Aizsardzības pasākumus — konkrētus, nevis vispārīgus.
6. Secinājumu, datumu, sagatavotāju un pārskatīšanas termiņu.

Ja apstrāde ir augsta riska — plaša novērošana, sistemātiska profilēšana, jaunas tehnoloģijas —, novērtējums neaizstāj datu aizsardzības ietekmes novērtējumu, bet veido tā juridisko daļu. Ja uz likumīgo interešu pamata apstrādātie dati aizceļo uz trešo valsti, papildus jāatrod pamats V nodaļā: datu nosūtīšana ārpus ES ir atsevišķs pienākums, ko neviens līdzsvara tests neaizstāj. Ja novērtējumu ir desmitiem un tie noveco, reģistru, novērtējumus un pārskatīšanas termiņus ir vērts turēt vienā sistēmā — to nodrošina VDAR programmatūras risinājumi.

Tiesības iebilst un tiešais mārketings

Likumīgo interešu cena ir 21. pants. Tā 1. punkts ļauj datu subjektam iebilst saistībā ar viņa īpašo situāciju, un tad pierādīšanas nasta apgriežas: pārzinim jāparāda pārliecinoši leģitīmi iemesli, kas ir svarīgāki par datu subjekta interesēm, tiesībām un brīvībām, vai nepieciešamība celt tiesiskas prasības. Ja to izdarīt neizdodas, apstrāde jāpārtrauc — un līdz ar to bieži iestājas dzēšanas pienākums pēc 17. panta.

Tiešajā mārketingā izsvēršana nenotiek vispār. Pēc 21. panta 2. un 3. punkta iebildums ir absolūts: datu subjektam nekas nav jāpamato, un apstrāde, tostarp ar to saistītā profilēšana, jāpārtrauc nekavējoties. 21. panta 4. punkts pievieno formas prasību — par šīm tiesībām jāinformē vēlākais pirmajā saziņas reizē, skaidri un atsevišķi no pārējās informācijas. Praksē tas nozīmē redzamu rindu katras mārketinga vēstules beigās un vienkāršu atteikšanās plūsmu, nevis trīs klikšķu dziļumā paslēptu iestatījumu paneli. Elektroniskajos kanālos papildus piemēro Informācijas sabiedrības pakalpojumu likuma prasības par komercpaziņojumiem, kas var prasīt iepriekšēju piekrišanu arī tad, ja VDAR pamats būtu pieejams.

Kad likumīgās intereses nedarbojas

• Īpašu kategoriju dati (9. pants): veselības dati, biometrija, dalība arodbiedrībā. Vajadzīgs 9. panta 2. punkta izņēmums; izsvēršana nepalīdz.
• Publiska iestāde, pildot savus uzdevumus — izslēgta tieši ar normas tekstu.
• Tieša vēršanās pie bērniem, jo īpaši informācijas sabiedrības pakalpojumos.
• Plaša starpvietņu izsekošana un datu bagātināšana no trešo pušu avotiem — gaidas ir pārrautas, aizskārums nesamērīgs.
• Sistemātiska darbinieku novērošana, kur pakļautības attiecības un nepārtraukta kontrole aizskārumu padara smagu; punktveida, laikā ierobežota pārbaude turpretī var izturēt testu.

Viena tehniska sekas paliek bieži nepamanītas: datu pārnesamības tiesības pēc 20. panta rodas tikai automatizētā apstrādē, kas balstīta uz piekrišanu vai līgumu. Uz likumīgo interešu pamata apstrādātie dati nav jāizsniedz mašīnlasāmā formātā — tie jāizsniedz parastā piekļuves pieprasījuma kārtībā.

Ko pārbauda DVI

Datu valsts inspekcija sūdzības vai pārbaudes gaitā parasti prasa četras lietas: rakstisku un datētu novērtējumu, privātuma paziņojumā nosauktu konkrētu interesi, reģistra ierakstu ar pareizo pamatu un pierādījumu, ka iebildumu kanāls darbojas un iebildumi patiešām ir izpildīti. Tipiska kļūda ir vienlaikus lūgt piekrišanu un atsaukties uz likumīgajām interesēm par vienu un to pašu apstrādi — tas ir caurskatāmības pārkāpums, jo datu subjekts nezina, kuras tiesības viņam pieejamas. Sodu praksi un tās smaguma pakāpes apkopo pārskats par DVI sodiem, bet plašāku ainu par pienākumiem sniedz datu aizsardzības Latvijā ceļvedis.

Biežāk uzdotie jautājumi

Vai likumīgās intereses ir vājāks pamats nekā piekrišana?

Nē. Tie ir līdzvērtīgi pamati ar atšķirīgu pielietojuma jomu. Piekrišana dod kontroli datu subjektam un nenoteiktību pārzinim, jo to var atsaukt jebkurā brīdī. Likumīgās intereses ir stabilākas, bet prasa iepriekšēju izsvēršanu un atstāj datu subjektam tiesības iebilst.

Vai tiešo mārketingu var veikt uz likumīgo interešu pamata?

Jā, 47. apsvērums tiešo mārketingu nosauc kā iespējamu likumīgu interesi, bet divi nosacījumi paliek: izsvēršana jāveic, un 21. panta 2. punkta iebildums jāizpilda bez nosacījumiem. Elektroniskajos kanālos var būt vajadzīga arī iepriekšēja piekrišana komercpaziņojuma sūtīšanai.

Vai novērtējums ir jāpublicē?

Pilnā apjomā nē. 13. panta 1. punkta d) apakšpunkts prasa privātuma paziņojumā nosaukt konkrēto likumīgo interesi. Novērtējuma kopsavilkumu ieteicams sniegt pēc pieprasījuma, bet uzraudzības iestādei tas jāiesniedz pilnībā.

Vai darbinieku novērošanu var pamatot ar likumīgajām interesēm?

Ierobežoti. Pakļautības attiecībās piekrišana reti ir brīva, tāpēc paliek f) apakšpunkts — bet tieši tāpēc izsvēršana ir stingra. Iztur laikā un apjomā ierobežoti, iepriekš paziņoti un samērīgi pasākumi; nepārtraukta totāla kontrole ne.

Cik bieži novērtējums jāatjauno?

Vienmēr, kad mainās nolūks, datu apjoms, aizsardzības pasākums vai tehnoloģija, un pārējos gadījumos regulārā ciklā — lielākajai daļai organizāciju der ikgadēja pārskatīšana kopā ar apstrādes reģistra pārbaudi.

Secinājums

Likumīgās intereses ir elastīgākais un vienlaikus prasīgākais VDAR tiesiskais pamats. Elastīgs, jo nav atkarīgs no datu subjekta lēmuma; prasīgs, jo tā izmantošana jāpārdomā un jāpieraksta pirms apstrādes. Formulējiet interesi konkrēti, pierādiet nepieciešamību ar izsvērtām alternatīvām, sveriet aizskārumu saprātīgo gaidu gaismā, izrakstiet aizsardzības pasākumus un uzturiet darbotiesspējīgu iebildumu kanālu. Rīgas satiksme dod testa uzbūvi, KNLTB apstiprina, ka komerciāla interese der — bet abi spriedumi atstāj pierādīšanas nastu tur, kur to nolika regula: uz pārziņa galda.

Juridiskā informācija: VDAR 6. pants (EUR-Lex) · EST spriedums C-13/16 (Rīgas satiksme) · EST spriedums C-621/22 (KNLTB) · Eiropas Datu aizsardzības kolēģijas vadlīnijas · Datu valsts inspekcija.

Šis raksts ir vispārīga informācija un nav juridiska konsultācija.