Prawnie uzasadniony interes i test równowagi (art. 6 lit. f)

W jednym zdaniu. Prawnie uzasadniony interes z art. 6 ust. 1 lit. f RODO legalizuje przetwarzanie wyłącznie wtedy, gdy administrator wykaże łącznie trzy przesłanki — istnienie realnego interesu, niezbędność przetwarzania i przewagę tego interesu nad prawami osoby — a wykazanie oznacza dokument sporządzony przed rozpoczęciem przetwarzania, nie tłumaczenie improwizowane w trakcie kontroli.

Po zgodzie jest to najczęściej powoływana podstawa przetwarzania w polskich organizacjach — i jednocześnie najczęściej powoływana bez pokrycia. Ten tekst pokazuje, jak przeprowadzić i zapisać test równowagi (LIA, Legitimate Interest Assessment), gdzie przebiega granica z art. 21 RODO i które scenariusze — na podstawie orzecznictwa TSUE — tego testu nie przechodzą. Adresat: administrator, inspektor ochrony danych, osoba odpowiedzialna za dokumentację zgodności.

Najważniejsze punkty

• Trzy przesłanki z art. 6 ust. 1 lit. f muszą wystąpić łącznie — TSUE potwierdził to w wyroku Rīgas satiksme (C-13/16, 4 maja 2017 r.).
• Kryterium rozstrzygające to rozsądne oczekiwania osoby, których źródłem jest motyw 47 RODO.
• Podstawa jest niedostępna dla organów publicznych w ramach realizacji ich zadań (art. 6 ust. 1 zdanie ostatnie).
• Nie zastępuje przesłanki z art. 9 ust. 2 dla danych szczególnych kategorii.
• Każde przetwarzanie oparte na lit. f musi być opatrzone informacją o interesie (art. 13 ust. 1 lit. d) i obsługą sprzeciwu z art. 21.

Trzy przesłanki, które muszą wystąpić łącznie

Artykuł 6 ust. 1 lit. f RODO dopuszcza przetwarzanie „niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą". Struktura przepisu jest trójdzielna i taki też musi być dokument, który go uzasadnia.

TSUE rozłożył ten przepis na czynniki pierwsze w wyroku C-13/16 Rīgas satiksme z 4 maja 2017 r., dotyczącym udostępnienia przewoźnikowi danych sprawcy kolizji w celu dochodzenia roszczeń. Trybunał wskazał trzy kumulatywne warunki: realizowanie prawnie uzasadnionego interesu, niezbędność przetwarzania do realizacji tego interesu oraz brak nadrzędności praw i wolności osoby. Brak choćby jednego warunku przekreśla podstawę — i to jest cała nauka płynąca z tego orzeczenia dla praktyki: nie da się „nadrobić" słabego interesu dobrymi zabezpieczeniami ani odwrotnie.

Dwa ograniczenia strukturalne są równie ważne. Po pierwsze, lit. f nie ma zastosowania do przetwarzania przez organy publiczne w ramach realizacji ich zadań — gmina, szkoła czy szpital publiczny sięgają po art. 6 ust. 1 lit. e, o czym piszę szerzej w przewodniku po podstawach prawnych z art. 6 RODO. Po drugie, dla danych szczególnych kategorii lit. f nie wystarcza: potrzebna jest odrębna przesłanka z art. 9 ust. 2, a jej katalog jest zamknięty i nie zawiera odpowiednika testu równowagi.

Krok pierwszy: cel — czy interes w ogóle istnieje

Pierwszy etap jest z pozoru banalny, a w praktyce eliminuje jedną trzecią LIA, które widuję w dokumentacji. Interes musi być realny, aktualny i zgodny z prawem — nie hipotetyczny i nie przyszły. Motywy 47-49 RODO wprost wymieniają przykłady: zapobieganie oszustwom, marketing bezpośredni, bezpieczeństwo sieci i systemów informatycznych, przekazywanie danych wewnątrz grupy kapitałowej do celów administracyjnych.

Interes czysto handlowy również się kwalifikuje. TSUE przesądził to w wyroku C-621/22 (KNLTB) z 4 października 2024 r.: interes o charakterze wyłącznie komercyjnym może być prawnie uzasadniony, o ile nie jest sprzeczny z prawem. To korekta wobec stanowiska części organów nadzorczych, które wymagały zakotwiczenia interesu w konkretnym przepisie. Konsekwencja jest odwrotna do intuicyjnej: skoro pierwszy próg jest niski, cały ciężar rozstrzygnięcia przenosi się na kroki drugi i trzeci.

Formułując cel, unikaj ogólników. „Rozwój biznesu" nie jest interesem. „Wykrywanie prób wyłudzenia płatności odroczonej w sklepie internetowym" — jest. Szczegółowość musi odpowiadać wpisowi w rejestrze czynności przetwarzania, bo to zestawienie tych dwóch dokumentów kontroler porównuje w pierwszej kolejności.

Krok drugi: niezbędność — czy nie da się mniej inwazyjnie

Niezbędność w RODO nie znaczy „wygodne" ani „efektywne kosztowo". Oznacza brak rozsądnej alternatywy o mniejszej ingerencji, która pozwala osiągnąć ten sam cel. Test przeprowadza się na trzech osiach: zakresu danych (czy potrzebujesz numeru PESEL, czy wystarczy identyfikator klienta), czasu (czy retencja 24 miesięcy jest uzasadniona, czy wystarczy 6), stopnia identyfikowalności (czy pseudonimizacja lub agregacja nie realizuje celu równie dobrze).

Jeśli cel da się osiągnąć na danych zanonimizowanych, RODO w ogóle nie ma zastosowania i test się kończy. Jeśli da się na pseudonimizowanych — pseudonimizuj, bo to jednocześnie środek, który przechyla szalę w kroku trzecim. Ten sam mechanizm działa przy dobieraniu środków z art. 32 RODO: zabezpieczenie nie jest wyłącznie obowiązkiem samym w sobie, lecz argumentem w bilansie interesów.

Krok trzeci: równowaga i rozsądne oczekiwania (motyw 47)

Trzeci etap jest jedynym, który wymaga oceny wartościującej — i jedynym, przy którym warto poświęcić czas. Motyw 47 RODO wprowadza kryterium rozstrzygające: należy zbadać, czy osoba, której dane dotyczą, „w momencie i w kontekście zbierania danych osobowych może się spodziewać, że może nastąpić przetwarzanie danych w tym celu". To jest test oczekiwań, nie test intencji administratora.

Czynnik	Przechyla na korzyść administratora	Przechyla na korzyść osoby
Relacja z osobą	aktywny klient, pracownik, członek	osoba, która nigdy nie miała kontaktu
Charakter danych	dane kontaktowe służbowe	dane z art. 9, dane dzieci, dane finansowe
Skala i sposób	jednorazowe, wewnętrzne	profilowanie, łączenie źródeł, udostępnianie
Skutek dla osoby	ochrona przed oszustwem	decyzja o cenie, odmowa usługi, śledzenie
Zabezpieczenia	pseudonimizacja, krótka retencja, opt-out	brak środków dodatkowych

Cztery scenariusze przechodzą ten test w polskiej praktyce niemal zawsze: obsługa korespondencji przychodzącej, dochodzenie i obrona roszczeń, bezpieczeństwo IT oraz podstawowy antyfraud. Cztery przechodzą go rzadko: monitoring obejmujący pomieszczenia socjalne, śledzenie międzywitrynowe, wzbogacanie baz danymi od brokerów i profilowanie behawioralne o wysokiej granulacji. Przy monitoringu w zakładzie pracy art. 22² Kodeksu pracy narzuca dodatkowo własne granice celu i retencji, niezależnie od RODO — wątek ten rozwijam w tekście o danych pracowników.

Kiedy test się nie broni — orzecznictwo TSUE

Dwa wyroki wyznaczają dziś realne granice. C-252/21 Meta Platforms przeciwko Bundeskartellamt (4 lipca 2023 r.) przesądził, że personalizacja reklam w serwisie społecznościowym nie może opierać się ani na wykonaniu umowy, ani — przy tej skali i tym stopniu ingerencji — na interesie prawnie uzasadnionym; wymaga zgody. C-621/22 (KNLTB) dotyczył federacji tenisowej, która odpłatnie udostępniła sponsorom dane swoich członków. Trybunał, dopuszczając co do zasady interes komercyjny, jednocześnie podkreślił, że przesłanka niezbędności i test równowagi muszą zostać spełnione samodzielnie, a rozsądne oczekiwania członka stowarzyszenia sportowego nie obejmują przekazania jego danych podmiotom trzecim w celach marketingowych.

Wniosek operacyjny jest prosty: im dalej dane wędrują od pierwotnej relacji z osobą, tym mniejsza szansa, że lit. f wystarczy. Udostępnienie danych na zewnątrz i profilowanie o wysokiej granulacji to dwa czerwone światła. Gdy przetwarzanie osiąga skalę wymagającą oceny skutków dla ochrony danych, LIA przestaje być wystarczającym dokumentem — DPIA staje się obowiązkowa i to ona rozstrzyga o dopuszczalności.

Sprzeciw z art. 21 i marketing bezpośredni

Wybór lit. f uruchamia prawo sprzeciwu, którego nie ma przy umowie ani obowiązku prawnym. Reżim jest dwustopniowy. Przy sprzeciwie „zwykłym" (art. 21 ust. 1) osoba powołuje swoją szczególną sytuację, a administrator może kontynuować przetwarzanie, jeżeli wykaże ważne prawnie uzasadnione podstawy nadrzędne wobec jej interesów albo podstawy do ustalenia lub obrony roszczeń. Ciężar dowodu spoczywa na administratorze.

Przy marketingu bezpośrednim (art. 21 ust. 2 i 3) sprzeciw jest bezwarunkowy — administrator ma zaprzestać, bez oceny i bez dyskusji, a informację o tym prawie musi podać wyraźnie i odrębnie od innych informacji już przy pierwszej komunikacji (art. 21 ust. 4). Motyw 47 pozwala uznać marketing bezpośredni za interes prawnie uzasadniony, ale w Polsce trzeba to rozdzielić od warstwy telekomunikacyjnej: wysyłka e-maili i SMS-ów oraz połączenia telefoniczne w celu marketingu wymagają uprzedniej zgody na podstawie przepisów o komunikacji elektronicznej (dawny art. 172 Prawa telekomunikacyjnego, obecnie Prawo komunikacji elektronicznej), niezależnie od podstawy z RODO. Praktyczne konsekwencje tego rozdziału opisuję w tekście o RODO i marketingu bezpośrednim, a granicę z podstawą zgody — we wzorze zgody na przetwarzanie danych.

Jak udokumentować LIA, żeby obroniła się w kontroli

RODO nie narzuca formy testu, ale art. 5 ust. 2 (rozliczalność) sprawia, że test nieudokumentowany jest testem nieprzeprowadzonym. Minimalna struktura, która wystarcza w postępowaniu przed Prezesem UODO, ma siedem pozycji: (1) opis czynności i kategorii danych, (2) identyfikacja interesu — własnego lub strony trzeciej, (3) ocena niezbędności z odrzuconymi alternatywami, (4) analiza równowagi z odniesieniem do rozsądnych oczekiwań, (5) środki ograniczające ryzyko, (6) sposób obsługi sprzeciwu, (7) data, autor i termin przeglądu.

Dwa elementy najczęściej pomijane: odrzucone alternatywy i termin przeglądu. Bez pierwszego krok drugi jest deklaracją, nie oceną. Bez drugiego LIA sporządzona przy wdrożeniu narzędzia dezaktualizuje się przy pierwszej zmianie konfiguracji. Dochodzi do tego obowiązek informacyjny: art. 13 ust. 1 lit. d wymaga wskazania w klauzuli, jaki konkretnie interes jest realizowany — samo powołanie „art. 6 ust. 1 lit. f" tego wymogu nie spełnia, co pokazuję w gotowych wzorach klauzuli informacyjnej. Spójność między LIA, wpisem w rejestrze, treścią klauzuli i rejestrem sprzeciwów przy kilkudziesięciu czynnościach ręcznie się rozjeżdża; oprogramowanie do zarządzania zgodnością z RODO trzyma te cztery artefakty w jednym źródle danych i wymusza przegląd po zmianie. W zestawieniu kar UODO powtarza się zresztą ten sam motyw: administrator powoływał interes, którego nigdy nie ocenił.

FAQ

Czy prawnie uzasadniony interes wymaga zgody osoby?

Nie — to dwie odrębne, wzajemnie wykluczające się podstawy. Nie można też traktować lit. f jako „podstawy rezerwowej" na wypadek unieważnienia zgody: RODO nie pozwala na zmianę podstawy prawnej w trakcie przetwarzania w celu naprawienia pierwotnej wadliwości.

Czy urząd lub szkoła publiczna może powołać się na art. 6 ust. 1 lit. f?

Nie w zakresie realizacji zadań publicznych — wyklucza to zdanie ostatnie art. 6 ust. 1. Podmiot publiczny działa na podstawie lit. c lub lit. e, a ustawa z 10 maja 2018 r. o ochronie danych osobowych nie tworzy tu żadnego wyjątku. Lit. f pozostaje dostępna wyłącznie dla działalności wykraczającej poza sferę władczą, na przykład zabezpieczenia mienia jednostki.

Czy analityka internetowa może opierać się na prawnie uzasadnionym interesie?

Warstwa RODO — tak, przy zawężonym zakresie danych, krótkiej retencji i realnym opt-out. Warstwa cookies — nie: odczyt i zapis informacji w urządzeniu końcowym wymaga zgody na podstawie przepisów o komunikacji elektronicznej, niezależnie od podstawy przetwarzania. To dwie oddzielne oceny i obie muszą wypaść pozytywnie.

Co zrobić, gdy osoba wniesie sprzeciw wobec przetwarzania w celu antyfraudowym?

Rozpatrzyć indywidualnie i odpowiedzieć w terminie miesiąca. Przy zapobieganiu oszustwom administrator zwykle wykaże nadrzędne podstawy prawnie uzasadnione, ale musi to zapisać w aktach sprawy, a nie odrzucić sprzeciw automatycznie. Odmowa bez uzasadnienia jest odrębnym naruszeniem art. 21 ust. 1.

---

Źródła: RODO — tekst w EUR-Lex (CELEX 32016R0679) · Urząd Ochrony Danych Osobowych · Europejska Rada Ochrony Danych — wytyczne · Wyrok TSUE C-13/16 Rīgas satiksme