Testul interesului legitim documentează de ce o prelucrare bazată pe articolul 6 alineatul (1) litera (f) RGPD poate fi justificată. El examinează interesul urmărit, necesitatea folosirii datelor și echilibrul cu interesele, drepturile și libertățile persoanelor. O formulă precum „interesul societății de a se dezvolta” este prea generală pentru o decizie operațională.
Interesul legitim nu elimină celelalte obligații RGPD și nu înlocuiește o condiție necesară pentru prelucrarea categoriilor speciale de date. De asemenea, acest temei nu se aplică autorităților publice pentru prelucrările efectuate în îndeplinirea atribuțiilor lor. RGPD, articolele 6, 9 și 21. Modelul de mai jos este o metodă de documentare, nu o aprobare automată a activității.
Model de test în trei etape
| Etapă | Întrebări de completat | Rezultat necesar |
|---|---|---|
| Interes | Cine urmărește interesul? Care este obiectivul concret? Este real și actual? | Descriere precisă și probe care susțin existența nevoii |
| Necesitate | Ce date și operațiuni sunt necesare? Există alternative eficiente mai puțin intruzive? | Comparația opțiunilor și limitarea perimetrului |
| Echilibru | Ce așteaptă rezonabil persoanele? Ce efecte pot apărea? Există vulnerabilități? | Analiză argumentată a impactului și a garanțiilor |
| Decizie operațională | Ce măsuri trebuie aplicate înaintea utilizării? Cine verifică? | Acceptare motivată, reproiectare ori respingere |
| Revizuire | Ce schimbare invalidează concluzia? | Declanșatoare, responsabil și documente de control |
Identificați persoanele și contextul relației. Datele unui client într-o tranzacție, ale unui candidat la angajare și ale unui trecător surprins de o cameră nu au aceeași semnificație. Chiar când setul de câmpuri este identic, așteptările și consecințele pot fi foarte diferite.
Etapa interesului: descrieți problema reală
Scrieți ce se întâmplă dacă prelucrarea nu este realizată și cine beneficiază de rezultat. Pentru securitate, pot exista incidente documentate, vulnerabilități ori nevoi de investigare. Pentru apărarea unei pretenții, precizați legătura datelor cu situația concretă. Nu transformați o posibilitate abstractă într-un motiv nelimitat de păstrare sau monitorizare.
Interesul poate aparține operatorului sau unui terț, dar trebuie identificat. Evitați o listă de interese alternative dintre care echipa alege ulterior justificarea convenabilă. Testul privește un scop și o configurație determinată. Dacă utilizarea urmărește mai multe scopuri distincte, evaluați-le separat și corelați rezultatul cu registrul și informarea.
Etapa necesității: comparați alternativele
Întrebați dacă același obiectiv poate fi atins cu mai puține date, o durată mai scurtă, acces mai limitat sau fără identificarea persoanei. Documentați de ce o alternativă nu este eficientă în situația concretă, nu doar că este mai puțin comodă. Costul poate face parte din analiza practică, dar nu închide singur discuția despre proporționalitate.
Pentru fiecare câmp, explicați contribuția la scop. Dacă un jurnal de securitate are nevoie de identificatorul contului și momentul accesului, conținutul complet al mesajelor nu devine automat necesar. Odată stabilit perimetrul, transformați concluzia în setări și instrucțiuni; un test care aprobă date minime nu justifică o aplicație configurată să colecteze mai mult.
Exemplu ipotetic: investigarea accesului neautorizat
O firmă fictivă observă accesări suspecte ale conturilor administrative. Propune jurnalizarea autentificărilor și a modificărilor de permisiuni, cu acces restrâns echipei de securitate. Interesul este protejarea datelor și investigarea folosirii neautorizate a conturilor, susținut de incidentele și configurația documentate.
Echipa compară înregistrarea evenimentelor relevante cu capturarea tuturor acțiunilor și a conținutului introdus. A doua variantă colectează mult mai multe informații despre angajați și nu este demonstrată ca necesară pentru obiectivul propus. Proiectul este restrâns, durata este justificată separat și consultarea jurnalelor este permisă doar pentru scopurile aprobate.
În etapa echilibrului, firma analizează așteptările angajaților, vizibilitatea monitorizării și riscul reutilizării datelor pentru evaluarea productivității. Introduce informare clară, autorizarea consultărilor și interdicția utilizărilor secundare neanalizate. Dacă operațiunea intră în domeniul articolului 5 din Legea nr. 190/2018, trebuie îndeplinite și condițiile naționale aplicabile; simplul test intern nu le înlocuiește.
Concluzia ipotetică permite numai configurația delimitată și numai după implementarea măsurilor. O funcție nouă de captură a ecranului ar necesita reanalizare. Exemplul ilustrează o metodă de decizie, fără a declara că orice jurnalizare ori monitorizare a angajaților este legală.
Echilibrul și garanțiile
Luați în considerare natura datelor, efectele directe și indirecte, ușurința identificării, volumul, durata și posibilitatea persoanei de a evita ori contesta prelucrarea. Acordați atenție copiilor, angajaților și persoanelor aflate într-o relație de dependență. Faptul că datele au fost făcute publice nu înseamnă că orice utilizare ulterioară este așteptată rezonabil.
Garanțiile trebuie să reducă riscul identificat. Pseudonimizarea poate limita accesul la identitate, dar nu elimină toate efectele unei decizii bazate pe profil. Informarea reduce surpriza, fără a face necesară o prelucrare care nu trece testul necesității. O cale de opoziție trebuie să fie efectivă, iar consecințele exercitării ei analizate.
Reguli naționale pentru monitorizarea la muncă
Articolul 5 din Legea nr. 190/2018 privește monitorizarea prin comunicații electronice și/sau video în scopul interesului legitim al angajatorului. Acesta include justificarea interesului, informarea prealabilă completă și explicită, consultarea sindicatului ori a reprezentanților, insuficiența dovedită anterior a alternativelor mai puțin intruzive și reguli de păstrare. Legea nr. 190/2018, articolul 5.
Documentați aceste elemente separat atunci când norma se aplică. Un panou sau o semnătură pe o informare nu demonstrează că alternativele au fost încercate și s-au dovedit ineficiente. În dosar trebuie să existe faptele care susțin fiecare condiție, nu doar reproducerea textului legii.
Opoziție și actualizarea testului
Articolul 21 prevede dreptul de opoziție în condițiile sale. Pentru marketing direct, opoziția conduce la încetarea prelucrării în acel scop, inclusiv a profilării legate de acesta. Pentru alte prelucrări bazate pe interes legitim, analiza privește motivele legitime și imperioase și celelalte condiții ale regulamentului. RGPD, articolul 21.
Păstrați cererile și deciziile relevante într-o evidență care permite identificarea problemelor recurente. Dacă persoanele contestă frecvent o utilizare surprinzătoare, acest semnal poate impune reexaminarea așteptărilor inițiale. Revizuiți testul și când se schimbă scopul, datele, destinatarii, tehnologia ori durata.
La aprobare, păstrați documentele consultate, alternativele respinse și măsurile obligatorii. Proprietarul procesului trebuie să știe ce utilizări au fost permise și care au fost excluse. O concluzie scurtă poate fi utilă pentru operațiuni, dacă analiza completă rămâne accesibilă celor care trebuie să verifice decizia.
Pentru o decizie negativă, consemnați și schimbarea necesară pentru o eventuală reanalizare: eliminarea unui câmp, reducerea duratei ori folosirea unei alternative. Astfel, echipa poate reproiecta activitatea pe baza motivelor concrete, fără să recicleze aceeași concluzie într-un formular cu altă dată.
Documente conexe pentru aplicare
Folosiți documentele de mai jos pentru operațiunile care se întâlnesc în acest dosar. Păstrați același identificator al activității atunci când transferați informațiile între evidențe, pentru a putea explica diferențele dintre versiuni.