Õigustatud huvi ja tasakaalutest (art 6(1)(f))

Ühe lausega. Õigustatud huvi (GDPR art. 6 lg 1 punkt f) lubab isikuandmeid töödelda ilma nõusolekuta üksnes siis, kui vastutav töötleja läbib kolm kumulatiivset astet – huvi on õiguspärane ja konkreetselt sõnastatud, töötlemine on selle huvi saavutamiseks vajalik ning kaalumisel ei kaalu andmesubjekti õigused ja vabadused seda huvi üles – ning kui hinnang on kirjalikult vormistatud enne töötlemise algust.

See juhend on mõeldud Eesti ettevõtetele, kes tuginevad õigustatud huvile pettuste tõkestamisel, võrguturbes, videovalves, võlgade sissenõudmisel, kontsernisisestes süsteemides või otseturunduses. Saate testi täpse ülesehituse, dokumendi struktuuri, mida Andmekaitse Inspektsioon (AKI) küsib, ning selle, millistel juhtudel alus lihtsalt ei kanna.

Peamised punktid

• Õigustatud huvi ei ole “vaikimisi alus”, millele saab tugineda siis, kui nõusolekut on tülikas küsida. See on ainus alus, mis nõuab eelnevat dokumenteeritud kaalumist.
• Euroopa Kohus sõnastas kohtuasjas Rīgas satiksme (C-13/16, 4. mai 2017) kolm kumulatiivset tingimust: õigustatud huvi olemasolu, töötlemise vajalikkus ja huvide kaalumine.
• Kohtuasjas KNLTB (C-621/22, 4. oktoober 2024) kinnitas kohus, et ka puhtalt ärihuvi võib olla õigustatud huvi, kui see ei ole õigusega vastuolus – kuid ülejäänud kaks astet tuleb sellegipoolest läbida.
• Põhjenduspunkt 47 teeb määravaks andmesubjekti mõistlikud ootused andmete kogumise ajal ja kontekstis.
• Otseturunduse vastu esitatud vastuväide on artikli 21 lg 2 järgi tingimusteta: kaalumist ei toimu, töötlemine tuleb lõpetada.

Mida artikli 6 lg 1 punkt f tegelikult ütleb?

Säte lubab töötlemist, kui see “on vajalik vastutava töötleja või kolmanda isiku õigustatud huvi korral, välja arvatud juhul, kui sellise huvi kaaluvad üles andmesubjekti huvid või põhiõigused ja -vabadused, mille nimel tuleb kaitsta isikuandmeid, eriti juhul kui andmesubjekt on laps”.

Kolm asja tasub kohe fikseerida. Esiteks, huvi võib kuuluda ka kolmandale isikule – näiteks kindlustusandjale, kes küsib andmeid pettuse tuvastamiseks. Teiseks, artikli 6 lg 1 viimane lõik välistab aluse avaliku sektori asutuste jaoks nende ülesannete täitmisel: riigiasutus tugineb punktile c või e, mitte punktile f. Kolmandaks, punkt f ei ava ust eriliiki andmetele – artikli 9 keeld kaob üksnes mõne artikli 9 lg 2 erandi alusel, mitte kaalumise teel.

Põhjenduspunktid annavad tüüpjuhtumid: pettuste tõkestamine (põhjenduspunkt 47), otseturundus (samuti 47), kontsernisisene andmete edastamine haldusotstarbel (48) ja võrgu- ning infoturve (49). Need ei ole automaatsed load, vaid lähtekohad, mille juurde tuleb siiski test kirjutada.

Võrdlusena: nõusolek artikli 7 tähenduses on tugev, kuid habras – seda saab igal ajal tagasi võtta. Õigustatud huvi on vastupidav, kuid nõuab tõendatavat eeltööd. Valitud alus tuleb mõlemal juhul kanda isikuandmete töötlemise registrisse ning avaldada privaatsuspoliitikas; artikli 13 lg 1 punkt d nõuab sõnaselgelt, et nimetataks konkreetne õigustatud huvi, mitte pelgalt viide sättele.

Kolmeastmeline test

Rīgas satiksme punktis 28 loetletud tingimused on kumulatiivsed: ühe kukkumine lõpetab analüüsi.

Aste	Küsimus	Läbikukkumise tunnus
1. Eesmärk	Kas huvi on õiguspärane, tegelik ja praegune?	“Ärihuvid” ilma sisuta; tulevikuidee
2. Vajalikkus	Kas eesmärki ei saa saavutada vähem riivaval viisil?	Kogutakse rohkem andmeid, kui eesmärk nõuab
3. Kaalumine	Kas andmesubjekti õigused kaaluvad huvi üles?	Ootamatu profileerimine, laste andmed, jälgimine

1. Eesmärgi test

Huvi peab olema sõnastatud konkreetselt. “Turvalisuse tagamine” ei ole huvi, “kontorihoone sissepääsu videovalve varguste tuvastamiseks pärast kolme 2025. aasta juhtumit” on. Huvi peab olema tegelik ja praegune, mitte hüpoteetiline, ning õiguspärane – see ei tohi olla vastuolus ühegi õigusnormiga.

KNLTB kohtuasjas küsis Amsterdami kohus, kas puhtalt kaubanduslik huvi saab üldse kvalifitseeruda. Euroopa Kohus vastas jaatavalt: huvi laadi ei ole vaja seadusest tuletada ja ka kommertshuvi on õigustatud huvi, kui see ei ole õigusega vastuolus. Kohtuasi jõudis Luxembourgi pärast seda, kui Hollandi järelevalveasutus karistas tennisaliitu liikmete andmete sponsoritele edastamise eest. Otsuse õppetund on kahetine: esimene aste on ületatav, kuid just seetõttu otsustavad asja teine ja kolmas aste.

2. Vajalikkuse test

Vajalikkust hindab kohus kitsalt: töötlemine peab piirduma rangelt vajalikuga. Praktiline kontroll on kolm küsimust. Kas eesmärki saab saavutada ilma isikuandmeteta? Kas sama tulemuseni jõuab väiksema andmemahuga, lühema säilitustähtajaga või agregeeritud kujul? Kas väiksem riive – näiteks pseudonümiseerimine või juurdepääsu piiramine – annab piisava tulemuse?

Vajalikkus on koht, kus enamik hinnanguid mureneb. Kui logisid hoitakse turbeintsidentide uurimiseks kolm aastat, tuleb see tähtaeg põhjendada ja siduda säilitamise piirangu põhimõttega. Vastasel juhul on huvi ehk õiguspärane, aga töötlemine ei ole vajalik.

3. Tasakaalutest

Kolmas aste on kaalumine, mitte hääletus. Ühel pool on huvi kaal: kui oluline see on, kas seda toetab avalik huvi, kui suur kahju tekiks töötlemise ärajäämisel. Teisel pool on riive: andmete laad, andmesubjekti positsioon (laps, töötaja, patsient, tarbija), töötlemise ulatus ja kestus, otsuse tagajärg ning see, kas andmesubjekt seda ootas.

Vahekorda saab nihutada kaitsemeetmetega: andmemahu vähendamine, pseudonümiseerimine, lühemad tähtajad, juurdepääsu piiramine, läbipaistev teavitamine, lihtne loobumisvõimalus. Meetmed tuleb hinnangus nimetada ja hiljem tegelikult rakendada – kirjeldatud, kuid rakendamata meede muudab hinnangu väärtusetuks.

Euroopa Kohus näitas kohtuasjas Meta Platforms jt (C-252/21, 4. juuli 2023), kui kaugele kaalumine ei ulatu: sotsiaalvõrgustiku huvi isikustatud reklaami vastu ei õigustanud kasutaja kogu platvormivälise käitumise koondamist ilma nõusolekuta. Mida ulatuslikum ja ootamatum on profileerimine, seda vähem päästab teda kaalumine.

Mõistlike ootuste kriteerium

Põhjenduspunkt 47 sõnastab otsustava filtri: arvesse tuleb võtta andmesubjekti mõistlikke ootusi tema ja vastutava töötleja suhte alusel ning seda, kas andmesubjekt võib andmete kogumise ajal ja kontekstis nende töötlemist selleks otstarbeks mõistlikult eeldada.

Test on objektiivne, mitte subjektiivne: küsimus ei ole selles, mida see konkreetne inimene arvas, vaid mida tavaline sama olukorras olev inimene eeldaks. Kaks praktilist tagajärge. Kui töötlemine algas kaua pärast kogumist või täiesti uues kontekstis, on ootus katkenud. Ja peidetud teave privaatsuspoliitika kolmekümnendal real ootust ei loo – ootus tuleb teabest, mida inimene tegelikult nägi.

Kuidas õigustatud huvi hinnangut dokumenteerida?

Määrus ei kasuta lühendit LIA (legitimate interests assessment), kuid artikli 5 lg 2 vastutuse põhimõte muudab kirjaliku hinnangu praktikas kohustuslikuks: ilma dokumendita ei ole võimalik tõendada, et kaalumine üldse toimus. Töökorras hinnang mahub kahele leheküljele ja sisaldab järgmist:

1. Töötlemistoiming ja andmeliigid – mida täpselt töödeldakse ja kelle kohta.
2. Huvi kirjeldus – kelle huvi, milles see seisneb, miks see on praegune.
3. Vajalikkuse analüüs – kaalutud alternatiivid ja põhjus, miks need ei sobinud.
4. Kaalumine – riive tegurid, mõistlikud ootused, laste või töötajate erikaal.
5. Kaitsemeetmed – konkreetsed, mitte üldsõnalised.
6. Järeldus, kuupäev, koostaja ja ülevaatamise tähtaeg.

Kui töötlemine on suure riskiga – ulatuslik jälgimine, süstemaatiline profileerimine, uus tehnoloogia –, ei asenda hinnang andmekaitsealast mõjuhinnangut, vaid moodustab selle õigusliku osa. Kui õigustatud huvi alusel töödeldud andmed liiguvad kolmandasse riiki, tuleb lisaks leida alus V peatükist: andmete edastamine väljapoole ELi on eraldi kohustus, mida ükski tasakaalutest ei kata. Kui hinnanguid on kümneid ja need vananevad, tasub hoida register, hinnangud ja ülevaatamise tähtajad ühes süsteemis – seda võimaldavad GDPR tarkvara lahendused.

Vastuväite esitamise õigus ja otseturundus

Õigustatud huvi hind on artikkel 21. Selle lõike 1 järgi võib andmesubjekt esitada vastuväite oma konkreetsest olukorrast lähtudes, ja siis pöördub tõendamiskoormis ümber: vastutav töötleja peab näitama mõjuvaid õiguspäraseid põhjuseid, mis kaaluvad üles andmesubjekti huvid, õigused ja vabadused, või vajadust õigusnõuete koostamiseks. Suutmata seda näidata, tuleb töötlemine lõpetada – ja koos sellega tekib sageli kustutamise kohustus artikli 17 alusel.

Otseturunduses kaalumist ei toimu. Artikli 21 lg 2 ja 3 järgi on vastuväide absoluutne: andmesubjekt ei pea põhjendama midagi ning töötlemine, sealhulgas sellega seotud profileerimine, tuleb lõpetada kohe. Artikli 21 lg 4 lisab vorminõude – sellest õigusest tuleb teatada hiljemalt esimesel suhtlemisel, selgelt ja muust teabest eraldi. Praktikas tähendab see nähtavat rida iga turunduskirja lõpus ja lihtsat loobumisvoogu, mitte kolme klõpsu taha peidetud eelistuskeskust. Elektroonilise otseturunduse puhul lisandub elektroonilise side seadusest tulenev nõue, mis võib eeldada eelnevat nõusolekut ka siis, kui GDPR-i alus oleks olemas – kaks reeglistikku kehtivad kõrvuti.

Millal õigustatud huvi ei tööta?

• Eriliiki andmed (art. 9): terviseandmed, biomeetria, ametiühinguliikmesus. Vaja on artikli 9 lg 2 erandit; kaalumine ei aita.
• Avaliku sektori asutus oma ülesannete täitmisel – välistatud otsesõnu.
• Laste otsene sihtimine, eriti infoühiskonna teenustes: põhjenduspunkt 38 ja artikkel 6 lg 1 punkt f nõuavad lapse suuremat kaitset.
• Ulatuslik veebiülene jälgimine ja rikastamine kolmandate osapoolte andmetega – ootused on katkenud ja riive ebaproportsionaalne.
• Töötajate süstemaatiline jälgimine, kus alluvussuhe ja pidev kontroll muudavad riive raskeks; punktipõhine, ajaliselt piiratud kontroll võib seevastu läbi minna.

Üks tehniline tagajärg jääb sageli märkamata: andmete ülekandmise õigus tekib artikli 20 järgi ainult nõusoleku või lepingu alusel toimuval automatiseeritud töötlemisel. Õigustatud huvi alusel töödeldud andmeid ei pea masinloetavas vormingus väljastama – küll aga tuleb need väljastada tavalise tutvumistaotluse korras.

Mida AKI kontrollib?

Andmekaitse Inspektsioon küsib kaebuse või järelevalve käigus tüüpiliselt neli asja: kirjalik ja kuupäevastatud hinnang, privaatsusteates nimetatud konkreetne huvi, registrikanne õige alusega ning tõend, et vastuväite esitamise kanal töötab ja vastuväiteid on ka tegelikult täidetud. Vormistuslik viga – näiteks nõusoleku küsimine ja samal ajal õigustatud huvile tuginemine sama töötlemise puhul – loetakse läbipaistvuse rikkumiseks, sest andmesubjekt ei tea, millist õigust ta kasutada saab. Senist karistuspraktikat ja selle raskusastmeid kirjeldab ülevaade AKI trahvidest, laiema pildi Eesti kohustustest annab andmekaitse Eestis juhend.

Korduma kippuvad küsimused

Kas õigustatud huvi on nõusolekust nõrgem alus?

Ei. Need on võrdsed alused, mille kasutusala on erinev. Nõusolek annab andmesubjektile kontrolli ja vastutavale töötlejale ebakindluse, sest selle võib igal ajal tagasi võtta. Õigustatud huvi on stabiilsem, kuid nõuab eelnevat kaalumist ja jätab andmesubjektile vastuväite õiguse.

Kas otseturundust võib teha õigustatud huvi alusel?

Jah, põhjenduspunkt 47 nimetab otseturundust võimaliku õigustatud huvina, kuid kaks tingimust jäävad kehtima: kaalumine tuleb läbi teha ja artikli 21 lg 2 vastuväide tuleb rahuldada tingimusteta. Elektroonilise otseturunduse kanalites võib elektroonilise side seadus lisaks nõuda eelnevat nõusolekut.

Kas õigustatud huvi hinnang tuleb avaldada?

Tervikuna ei pea. Artikli 13 lg 1 punkt d nõuab, et privaatsusteates oleks nimetatud konkreetne õigustatud huvi. Euroopa Andmekaitsenõukogu soovitab hinnangu kokkuvõtte taotluse korral kättesaadavaks teha ja järelevalveasutusele esitatakse see täies mahus.

Kas töötajate jälgimist saab õigustatud huviga põhjendada?

Piiratult. Alluvussuhtes ei ole nõusolek reeglina vaba, mistõttu jääbki alles punkt f – aga just seetõttu on kaalumine range. Läbi lähevad ajaliselt ja ulatuselt piiratud, eelnevalt teatatud ja proportsionaalsed meetmed; pidev totaalne jälgimine mitte.

Kui tihti tuleb hinnangut uuendada?

Alati, kui muutub eesmärk, andmemaht, kaitsemeede või kasutatav tehnoloogia, ning muul juhul korrapärase tsükliga – enamikule organisatsioonidest sobib aastane ülevaatus koos töötlemisregistri kontrolliga.

Kokkuvõte

Õigustatud huvi on kõige paindlikum ja samal ajal kõige nõudlikum GDPR-i õiguslik alus. Paindlik, sest ta ei sõltu andmesubjekti otsusest; nõudlik, sest selle kasutamine tuleb enne töötlemist läbi mõelda ja kirja panna. Sõnasta huvi konkreetselt, tõesta vajalikkus alternatiivide kaudu, kaalu riivet mõistlike ootuste valguses, kirjuta kaitsemeetmed välja ja hoia vastuväite kanal töökorras. Rīgas satiksme annab testi ülesehituse, KNLTB kinnitab, et ärihuvi kõlbab – aga mõlemad otsused jätavad tõendamiskoormise sinna, kuhu määrus selle pani: vastutava töötleja lauale.

Õiguslik teave: GDPR art. 6 (EUR-Lex) · Euroopa Kohtu otsus C-13/16 (Rīgas satiksme) · Euroopa Kohtu otsus C-621/22 (KNLTB) · Euroopa Andmekaitsenõukogu suunised · Andmekaitse Inspektsioon.

Käesolev artikkel on üldist laadi teave ega ole õigusnõustamine.