Общественото обсъждане на насоките на EDPB е до 20 ноември 2024 г.
По време на последното си пленарно заседание Европейският комитет по защита на данните (EDPB/ЕКЗД) прие Насоки относно обработката на лични данни въз основа на легитимен интерес.
Администраторите на данни се нуждаят от правно основание, за да обработват законосъобразно личните данни. Легитимният интерес е едно от шестте възможни правни основания.
Тези Насоки анализират критериите, посочени в чл. 6, пар. 1, буква „e“ от GDPR, които администраторите трябва да изпълнят, за да обработват законно личните данни въз основа на легитимен интерес. Взето е под внимание неотдавнашното решение на Съда на ЕС по този въпрос (C-621/22, 4 октомври 2024 г.).
GDPR: обработването е необходимо за целите на легитимните интереси на администратора или на трета страна, освен когато пред такива интереси преимущество имат интересите или основните права и свободи на субекта на данните, които изискват защита на личните данни, по-специално когато субектът на данните е дете.
Буква е) на първа алинея не се прилага за обработването, което се извършва от публични органи при изпълнението на техните задачи.
За да разчита на легитимен интерес, администраторът трябва да изпълни три кумулативни условия:
- Преследването на легитимен интерес от страна на администратора или от трета страна;
- Необходимостта от обработване на лични данни за целите на преследване на легитимен интерес;
- Интересите или основните свободи и права на лицата нямат предимство пред легитимния интерес(и) на администратора или на трета страна (balancing exercise).
На първо място, за легитимни могат да се считат само законни, ясно и точно формулирани, реални и обявени интереси. Например такива легитимни интереси могат да съществуват в ситуация, в която лицето е клиент или в услуга на администратора.
Второ, ако има разумни, също толкова ефективни, но по-малко натрапчиви алтернативи за постигане на преследваните интереси, обработването може да не се счита за необходимо. Необходимостта от обработка също трябва да бъде разгледана с принципа за минимизиране на данните.
Трето, администраторът трябва да гарантира, че неговият законен интерес няма да има предимство пред интересите, основните права или свободи на лицето. При това balancing exercise администраторът трябва да вземе предвид интересите на лицата, въздействието на обработването и техните разумни очаквания, както и наличието на допълнителни предпазни мерки, които биха могли да ограничат въздействието върху лицето.
Освен това насоките обясняват как трябва да се извършва оценката на практика, включително в редица специфични контексти като предотвратяване на измами, директен маркетинг и информационна сигурност. Документът също така обяснява връзката между това правно основание и редица права на субектите на данни съгласно GDPR.
Насоките са предмет на обществено обсъждане до 20 ноември 2024 г.