Teisėtas interesas ir pusiausvyros testas

Vienu sakiniu. Teisėtas interesas (BDAR 6 str. 1 d. f p.) leidžia tvarkyti asmens duomenis be sutikimo tik tada, kai duomenų valdytojas įvykdo tris kumuliatyvias sąlygas – interesas yra teisėtas ir konkrečiai suformuluotas, tvarkymas tam interesui pasiekti yra būtinas, o sveriant duomenų subjekto teisės ir laisvės to intereso neviršija – ir kai vertinimas raštu įformintas prieš pradedant tvarkymą.

Šis vadovas skirtas Lietuvos įmonėms, kurios teisėtu interesu remiasi sukčiavimo prevencijoje, vaizdo stebėjime, skolų išieškojime, tinklo saugume, grupės vidaus sistemose ir tiesioginėje rinkodaroje. Gausite tikslią testo struktūrą, dokumento sandarą, kurios prašo Valstybinė duomenų apsaugos inspekcija (VDAI), ir aiškų sąrašą atvejų, kuriais šis pagrindas tiesiog neveikia.

Pagrindiniai faktai

• Teisėtas interesas nėra „numatytasis pagrindas“ tiems atvejams, kai sutikimo prašyti nepatogu. Tai vienintelis teisinis pagrindas, reikalaujantis išankstinio dokumentuoto svėrimo.
• Europos Sąjungos Teisingumo Teismas byloje Rīgas satiksme (C-13/16, 2017 m. gegužės 4 d.) suformulavo tris kumuliatyvias sąlygas: teisėto intereso buvimą, tvarkymo būtinumą ir interesų svėrimą.
• Byloje KNLTB (C-621/22, 2024 m. spalio 4 d.) Teismas patvirtino, kad ir grynai komercinis interesas gali būti teisėtas interesas, jei jis neprieštarauja teisei – tačiau kitos dvi pakopos vis tiek privalo būti įveiktos.
• 47 konstatuojamoji dalis lemiamą reikšmę suteikia duomenų subjekto pagrįstiems lūkesčiams duomenų rinkimo metu ir kontekste.
• Nesutikimas dėl tiesioginės rinkodaros pagal 21 str. 2 d. yra besąlyginis: svėrimo nėra, tvarkymas turi būti nutrauktas.

Ką iš tikrųjų nustato 6 str. 1 d. f punktas

Nuostata leidžia tvarkymą, kai jis „yra būtinas siekiant teisėtų duomenų valdytojo arba trečiosios šalies interesų, išskyrus atvejus, kai tokie duomenų subjekto interesai arba pagrindinės teisės ir laisvės, dėl kurių būtina užtikrinti asmens duomenų apsaugą, yra už juos viršesni, ypač kai duomenų subjektas yra vaikas“.

Iš šios formuluotės kyla trys praktinės išvados. Pirma, interesas gali priklausyti ir trečiajai šaliai – pavyzdžiui, draudikui, prašančiam duomenų sukčiavimui nustatyti. Antra, 6 str. 1 d. paskutinė pastraipa šį pagrindą atima iš valdžios institucijų, kai jos vykdo savo užduotis: institucija remiasi c arba e punktu. Trečia, f punktas neatveria durų specialių kategorijų duomenims – 9 straipsnio draudimą panaikina tik kuri nors 9 str. 2 d. išimtis, o ne svėrimas.

Konstatuojamosios dalys pateikia tipinius atvejus: sukčiavimo prevenciją ir tiesioginę rinkodarą (47 konstatuojamoji dalis), duomenų perdavimą įmonių grupės viduje administraciniais tikslais (48) ir tinklo bei informacijos saugumą (49). Tai nėra automatiniai leidimai, o tik atspirties taškai, prie kurių vis tiek reikia parašyti testą.

Palyginimui: sutikimas pagal 7 straipsnį yra stiprus, bet trapus – jį galima atšaukti bet kada. Teisėtas interesas atsparesnis, bet reikalauja įrodomo išankstinio darbo. Abiem atvejais pasirinktas pagrindas įrašomas į duomenų tvarkymo veiklos įrašus ir atskleidžiamas privatumo politikoje; 13 str. 1 d. d punktas reikalauja nurodyti konkretų interesą, o ne nuorodą į nuostatą.

Trijų pakopų testas

Rīgas satiksme sprendimo 28 punkte išvardytos sąlygos yra kumuliatyvios: neįveikus vienos pakopos, analizė baigiasi.

Pakopa	Klausimas	Neįveikimo požymis
1. Tikslas	Ar interesas teisėtas, realus ir esamas?	„Verslo interesai“ be turinio
2. Būtinumas	Ar tikslo negalima pasiekti mažiau ribojant?	Renkama daugiau duomenų, nei reikia
3. Svėrimas	Ar duomenų subjekto teisės viršesnės?	Netikėtas profiliavimas, vaikų duomenys

1. Tikslo pakopa

Interesas turi būti suformuluotas konkrečiai. „Saugumo užtikrinimas“ nėra interesas; „biuro įėjimo vaizdo stebėjimas vagystėms nustatyti po trijų 2025 m. incidentų“ – yra. Interesas turi būti realus ir esamas, o ne hipotetinis, ir teisėtas – jis negali prieštarauti jokiai teisės normai.

KNLTB byloje Amsterdamo teismas klausė, ar grynai komercinis interesas apskritai kvalifikuojasi. Teismas atsakė teigiamai: interesas neprivalo kilti iš įstatymo, ir komercinis interesas yra teisėtas interesas, jei tik jis neprieštarauja teisei. Byla pasiekė Liuksemburgą po to, kai Nyderlandų priežiūros institucija nubaudė teniso federaciją už narių duomenų perdavimą rėmėjams. Pamoka dvejopa: pirmoji pakopa įveikiama, ir būtent todėl bylą lemia antroji ir trečioji.

2. Būtinumo pakopa

Būtinumą Teismas vertina siaurai: tvarkymas turi apsiriboti griežtai būtinu. Praktinė patikra – trys klausimai. Ar tikslą galima pasiekti be asmens duomenų? Ar tą patį rezultatą duoda mažesnė duomenų apimtis, trumpesnis terminas arba apibendrinti duomenys? Ar pakanka mažesnio ribojimo – pseudonimizavimo ar prieigos apribojimo?

Būtent čia subyra dauguma vertinimų. Jei žurnalai saugumo incidentams tirti saugomi trejus metus, šis terminas turi būti pagrįstas ir susietas su saugojimo ribojimo principu. Priešingu atveju interesas gali būti teisėtas, bet tvarkymas nebus būtinas.

3. Pusiausvyros testas

Trečioji pakopa yra svėrimas, o ne balsavimas. Vienoje pusėje – intereso svoris: kiek jis svarbus, ar jį palaiko viešasis interesas, kokia žala kiltų netvarkant duomenų. Kitoje pusėje – ribojimas: duomenų pobūdis, duomenų subjekto padėtis (vaikas, darbuotojas, pacientas, vartotojas), tvarkymo apimtis ir trukmė, sprendimo pasekmės ir tai, ar duomenų subjektas to tikėjosi.

Santykį galima pastumti apsaugos priemonėmis: duomenų apimties mažinimu, pseudonimizavimu, trumpesniais terminais, prieigos ribojimu, skaidriu informavimu ir paprasta atsisakymo galimybe. Priemones būtina įvardyti vertinime ir paskui iš tikrųjų įdiegti – aprašyta, bet neįdiegta priemonė vertinimą paverčia tuščiu dokumentu.

Kaip toli svėrimas nesiekia, parodė byla Meta Platforms ir kt. (C-252/21, 2023 m. liepos 4 d.): socialinio tinklo interesas personalizuota reklama nepateisino naudotojo elgesio už platformos ribų kaupimo be sutikimo. Kuo platesnis ir netikėtesnis profiliavimas, tuo mažiau jį gelbsti pusiausvyros testas.

Pagrįstų lūkesčių kriterijus

47 konstatuojamoji dalis suformuluoja lemiamą filtrą: reikia atsižvelgti į duomenų subjekto pagrįstus lūkesčius, grindžiamus jo santykiu su duomenų valdytoju, ir į tai, ar duomenų rinkimo metu bei kontekste duomenų subjektas gali pagrįstai tikėtis tvarkymo atitinkamu tikslu.

Testas objektyvus, o ne subjektyvus: klausiama ne to, ką manė konkretus žmogus, o ko tikėtųsi vidutinis tokioje pačioje padėtyje esantis asmuo. Iš to kyla dvi pasekmės. Jei tvarkymas pradėtas praėjus daug laiko po surinkimo arba visiškai naujame kontekste, lūkesčių grandinė nutrūkusi. O informacija, paslėpta trisdešimtoje privatumo politikos eilutėje, lūkesčių nesukuria – juos formuoja tai, ką žmogus iš tikrųjų matė.

Kaip dokumentuoti teisėto intereso vertinimą

Reglamentas nevartoja santrumpos LIA (legitimate interests assessment), tačiau 5 str. 2 d. atskaitomybės principas rašytinį vertinimą praktiškai paverčia privalomu: be dokumento neįmanoma įrodyti, kad svėrimas apskritai vyko. Darbinis vertinimas telpa dviejuose puslapiuose ir apima:

1. Tvarkymo operaciją ir duomenų kategorijas – kas tiksliai tvarkoma ir apie ką.
2. Intereso aprašymą – kam jis priklauso, kuo pasireiškia, kodėl yra esamas.
3. Būtinumo analizę – apsvarstytas alternatyvas ir priežastį, kodėl jos netiko.
4. Svėrimą – ribojimo veiksnius, pagrįstus lūkesčius, papildomą vaikų ar darbuotojų svorį.
5. Apsaugos priemones – konkrečias, o ne bendro pobūdžio.
6. Išvadą, datą, rengėją ir peržiūros terminą.

Kai tvarkymas yra didelės rizikos – plati stebėsena, sisteminis profiliavimas, naujos technologijos –, vertinimas nepakeičia poveikio duomenų apsaugai vertinimo, o sudaro jo teisinę dalį. Jei teisėto intereso pagrindu tvarkomi duomenys keliauja į trečiąją valstybę, papildomai reikia V skyriaus pagrindo: duomenų perdavimas už ES ribų yra atskira pareiga, kurios joks pusiausvyros testas nepakeičia. Kai vertinimų yra dešimtys ir jie sensta, registrą, vertinimus ir peržiūros terminus verta laikyti vienoje sistemoje – tai leidžia BDAR programinės įrangos sprendimai.

Teisė nesutikti ir tiesioginė rinkodara

Teisėto intereso kaina yra 21 straipsnis. Jo 1 dalis leidžia duomenų subjektui nesutikti dėl su jo konkrečia situacija susijusių priežasčių, ir tada įrodinėjimo našta apsiverčia: duomenų valdytojas turi parodyti įtikinamas teisėtas priežastis, kurios yra viršesnės už duomenų subjekto interesus, teises ir laisves, arba būtinybę pareikšti teisinius reikalavimus. To nepavykus, tvarkymą reikia nutraukti – ir kartu dažnai atsiranda ištrynimo pareiga pagal 17 straipsnį.

Tiesioginėje rinkodaroje svėrimo išvis nėra. Pagal 21 str. 2 ir 3 d. nesutikimas yra absoliutus: duomenų subjektas nieko neprivalo pagrįsti, o tvarkymas, įskaitant su juo susijusį profiliavimą, turi būti nutrauktas nedelsiant. 21 str. 4 d. prideda formos reikalavimą – apie šią teisę pranešama ne vėliau kaip pirmojo susisiekimo metu, aiškiai ir atskirai nuo kitos informacijos. Praktiškai tai reiškia matomą eilutę kiekvieno rinkodaros laiško pabaigoje ir paprastą atsisakymo srautą, o ne už trijų paspaudimų paslėptą nustatymų skydelį. Elektroniniuose kanaluose papildomai taikomi Elektroninių ryšių įstatymo reikalavimai dėl tiesioginės rinkodaros, kurie gali reikalauti išankstinio sutikimo net ir tada, kai BDAR pagrindas būtų prieinamas.

Kada teisėtas interesas neveikia

• Specialių kategorijų duomenys (9 str.): sveikatos duomenys, biometrija, narystė profesinėje sąjungoje. Reikia 9 str. 2 d. išimties; svėrimas nepadeda.
• Valdžios institucija, vykdanti savo užduotis – pašalinta tiesiogiai nuostatos tekstu.
• Tiesioginis kreipimasis į vaikus, ypač informacinės visuomenės paslaugose.
• Plati stebėsena tarp svetainių ir duomenų papildymas iš trečiųjų šalių šaltinių – lūkesčiai nutrūkę, ribojimas neproporcingas.
• Sisteminė darbuotojų stebėsena, kai pavaldumo santykiai ir nuolatinė kontrolė ribojimą daro sunkų; taškinė, laike apribota patikra, priešingai, testą gali išlaikyti.

Viena techninė pasekmė dažnai lieka nepastebėta: teisė į duomenų perkeliamumą pagal 20 straipsnį atsiranda tik automatizuotai tvarkant duomenis sutikimo arba sutarties pagrindu. Teisėto intereso pagrindu tvarkomų duomenų nereikia pateikti kompiuterio skaitomu formatu – juos reikia pateikti įprasta susipažinimo prašymo tvarka.

Ko tikrina VDAI

Valstybinė duomenų apsaugos inspekcija nagrinėdama skundą ar atlikdama patikrinimą paprastai prašo keturių dalykų: rašytinio ir datuoto vertinimo, privatumo pranešime nurodyto konkretaus intereso, veiklos įrašo su teisingu pagrindu ir įrodymo, kad nesutikimo kanalas veikia, o nesutikimai iš tikrųjų įvykdyti. Tipinė klaida – tuo pačiu metu prašyti sutikimo ir remtis teisėtu interesu dėl to paties tvarkymo: tai skaidrumo pažeidimas, nes duomenų subjektas nežino, kuria teise gali pasinaudoti. Baudų praktiką ir jos griežtumo lygį apibendrina VDAI baudų apžvalga, o platesnį pareigų vaizdą duoda duomenų apsaugos Lietuvoje vadovas.

Dažnai užduodami klausimai

Ar teisėtas interesas yra silpnesnis pagrindas nei sutikimas?

Ne. Tai lygiaverčiai pagrindai, kurių taikymo sritis skiriasi. Sutikimas duoda kontrolę duomenų subjektui ir neapibrėžtumą valdytojui, nes jį galima atšaukti bet kada. Teisėtas interesas stabilesnis, bet reikalauja išankstinio svėrimo ir palieka duomenų subjektui teisę nesutikti.

Ar tiesioginę rinkodarą galima vykdyti teisėto intereso pagrindu?

Taip, 47 konstatuojamoji dalis tiesioginę rinkodarą įvardija kaip galimą teisėtą interesą, bet dvi sąlygos lieka: svėrimą reikia atlikti, o 21 str. 2 d. nesutikimą – įvykdyti besąlygiškai. Elektroniniuose kanaluose gali prireikti ir išankstinio sutikimo pačiam pranešimui siųsti.

Ar vertinimą reikia paskelbti viešai?

Viso – ne. 13 str. 1 d. d punktas reikalauja privatumo pranešime nurodyti konkretų teisėtą interesą. Vertinimo santrauką rekomenduojama pateikti paprašius, o priežiūros institucijai jis teikiamas visa apimtimi.

Ar darbuotojų stebėseną galima grįsti teisėtu interesu?

Ribotai. Pavaldumo santykiuose sutikimas retai būna laisvas, todėl lieka f punktas – bet būtent dėl to svėrimas yra griežtas. Testą išlaiko laike ir apimtyje apribotos, iš anksto paskelbtos ir proporcingos priemonės; nuolatinė visuotinė kontrolė – ne.

Kaip dažnai vertinimą reikia atnaujinti?

Visada, kai keičiasi tikslas, duomenų apimtis, apsaugos priemonė ar technologija, o kitais atvejais – reguliariu ciklu. Daugumai organizacijų tinka kasmetinė peržiūra kartu su veiklos įrašų patikra.

Išvada

Teisėtas interesas yra lanksčiausias ir kartu reikliausias BDAR teisinis pagrindas. Lankstus, nes nepriklauso nuo duomenų subjekto sprendimo; reiklus, nes jo naudojimą reikia apgalvoti ir užrašyti prieš pradedant tvarkyti duomenis. Suformuluokite interesą konkrečiai, įrodykite būtinumą per apsvarstytas alternatyvas, sverkite ribojimą pagrįstų lūkesčių šviesoje, išrašykite apsaugos priemones ir išlaikykite veikiantį nesutikimo kanalą. Rīgas satiksme duoda testo struktūrą, KNLTB patvirtina, kad komercinis interesas tinka – bet abu sprendimai įrodinėjimo naštą palieka ten, kur ją padėjo reglamentas: ant duomenų valdytojo stalo.

Teisinė informacija: BDAR 6 straipsnis (EUR-Lex) · ESTT sprendimas C-13/16 (Rīgas satiksme) · ESTT sprendimas C-621/22 (KNLTB) · Europos duomenų apsaugos valdybos gairės · VDAI.

Šis straipsnis yra bendro pobūdžio informacija ir nėra teisinė konsultacija.