[Link]

ro
gdpr@[Link]
Trebuie să luați în considerare impactul potențial asupra persoanelor și orice daune pe care
prelucrarea dvs. le-ar putea cauza acestora.

În primul rând, trebuie să vă gândiți dacă prelucrarea dvs. este de o manieră intrinsecă care
ar putea duce la un risc ridicat pentru drepturile și libertățile persoanelor. Dacă da, trebuie să
faceți o DPIA, care poate funcționa și ca AIL. Dacă faceți o DPIA, nu este nevoie să faceți o
LIA distinctă deoarece acoperă aceeași problemă în detaliu. Puteți utiliza DPIA-ul nostru din
KIT pentru a identifica dacă prelucrarea ar putea avea un risc ridicat.

Dacă decideți că nu aveți nevoie să faceți o DPIA, trebuie să faceți în continuare o evaluare a
riscului mai ușoară pentru a examina dacă prelucrarea dvs. ar putea să dăuneze intereselor,
drepturilor și libertăților persoanelor, chiar dacă acestea nu prezintă un risc ridicat . În special,
trebuie să vă gândiți dacă prelucrarea dvs. ar putea contribui la:

• instituirea unei bariere față de persoanele care își exercită drepturile (inclusiv, dar fără
a se limita la drepturile de confidențialitate);
• instituirea unei bariere pentru persoanele care accesează servicii sau oportunități;
• orice pierdere a controlului asupra utilizării ulterioare a datelor cu caracter personal;
• un rău fizic;
• pierderi financiare, furt de identitate sau fraudă; sau
• orice alt dezavantaj economic sau social semnificativ (cum ar fi discriminarea,
pierderea confidențialității sau reputația).

Trebuie să vă uitați atât la probabilitatea, cât și la gravitatea vreunui rău.

Dacă identificați potențialul unui risc ridicat (fie din cauza unei șanse de vătămare severă
sau a unei probabilități ridicate de face un rău), aveți nevoie de un interes legitim mult mai
convingător pentru a satisface testul de echilibrare. Trebuie să demonstrați că interesele dvs.
legitime pot depăși un impact grav. Acest lucru determină, de asemenea, necesitatea unei
DPIA de a evalua aceste riscuri în detaliu.

Dacă identificați un risc mai scăzut de anumite vătămări, trebuie să cântăriți situația în raport
cu beneficiile potențiale ale prelucrării.

De asemenea, puteți să vă gândiți dacă există garanții pe care le-ați putea pune în aplicare
pentru a reduce sau atenua acest risc. De exemplu, ați putea să colectați mai puține date sau
să le oferiți persoanelor vizate o opțiune de excludere?

 Exemplu

Un vânzător cu amănuntul (retailer) dorește să trimită oferte clienților săi prin poștă (cum sunt de
exemplu catalogurile de la Metro, Lidl, Auchan etc.). Formularul de comandă de produs conține
următoarea declarație:

"Vă vom trimite informații despre ofertele noastre speciale la adresa dvs. de facturare. Dacă nu doriți
să aflați despre ofertele noastre, bifați aici [_] '

30
Fă-ți singur implementarea GDPR cu KIT-ul nostru!
 [Link]
gdpr@[Link]
Retailerul echilibrează interesele clienților săi împotriva intereselor sale legitime (de face marketing prin
trimiterea catalogurilor prin poștă către clienții existenți pentru a îmbunătăți vânzările). Este posibil ca
clienții să se aștepte în mod rezonabil ca aceștia să primească niște materiale de marketing de la
retailer, deoarece retailerul a informat persoanele în mod clar că această prelucrare va avea loc.
Impactul asupra individului este minim. Cu toate acestea, oferind clienților săi o oportunitate clară de a
renunța la această prelucrare, retailerul a instituit o garanție pentru a se asigura că persoana își
păstrează controlul asupra datelor și că își poate exercita cu ușurință dreptul de a se opune.

Puteți constata că instituirea unor garanții adecvate poate schimba echilibrul și să însemne că
interesele individului nu vă depășesc interesele. Cu toate acestea, trebuie să știți că măsurile
de siguranță nu justifică întotdeauna prelucrarea.

Oferirea posibilității persoanelor de a se opune/retrage prelucrării în cazul intereselor legitime

nu ar trebui să fie confundată cu utilizarea consimțământului ca bază legală. Dacă persoanele
nu reușesc să se dezaboneze/opună/retragă nu înseamnă că există un consimțământ
afirmativ (adică nu putem merge pe ideea că dacă nu s-a retras, este de acord cu prelucrarea).

3.2.4 Cum decidem rezultatul?

Trebuie să cântăriți toți factorii identificați în cadrul AIL pentru și împotriva prelucrării și să
decideți dacă considerați că interesele dvs. ar trebui să aibă prioritate față de orice risc pentru
persoane fizice. Acesta nu este un exercițiu matematic și există un element de subiectivitate
implicat, dar ar trebui să fiți cât mai obiectiv posibil.

Trebuie să puteți demonstra de ce beneficiile prelucrării justifică riscurile pe care le-ați

identificat. Cu cât sunt mai importante riscurile, cu atât mai puternică trebuie să fie justificarea.

Uneori, rezultatul este destul de evident într-o anumită direcție (fie pozitivă, fie negativă), caz
în care decizia ar trebui să fie simplă.

 Exemplu

O companie decide dacă să concedieze un angajat pentru abateri disciplinare. Compania decide că
are nevoie de consiliere juridică cu privire la dreptul muncii și dorește să trimită consilierilor juridici
externi detalii despre presupusa abatere a angajatului.

Testul de scop: compania trebuie să fie capabilă să gestioneze performanța angajaților la locul de
muncă și facă angajații să acționeze în mod corespunzător cu scopurile urmărite. De asemenea, trebuie
să se asigure că orice acțiune pe care o ia este în conformitate cu obligațiile care îi revin în temeiul
legislației muncii. Această abordare este în interesele legitime de afaceri ale companiei. Este, de
asemenea, în interesul legitim al angajaților ca societatea să acționeze corect și legal în relațiile sale
cu angajații.

Testul de necesitate: este necesar să se obțină o expertiză juridică externă cu privire la presupusa
abatere și la cadrul juridic relevant în acest scop. Numai datele cu caracter personal care sunt relevante
pentru respectivele abateri vor fi comunicate consilierilor juridici, cu respectarea obligațiilor de
confidențialitate profesională.

Testul de echilibru: datele se referă la viața profesională a individului, nu la viața sa privată. Există o
relație angajator-angajat clar definită, iar angajații s-ar aștepta în mod rezonabil ca întreprinderea să
prelucreze detalii privind comportamentul profesional pentru a gestiona performanța și să solicite
consultanță juridică atunci când se ocupă de eventuale concedieri. Cu toate că împărtășirea datelor ar

31
Fă-ți singur implementarea GDPR cu KIT-ul nostru!
 [Link]
gdpr@[Link]
putea contribui la daune semnificative asupra individului, dacă opinia legală susține demiterea, ar trebui
să contribuie, de asemenea, la garantarea faptului că decizia nu este arbitrară sau ilegală. Datele sunt
de asemenea împărtășite sub obligația de de confidențialitate profesională, care oferă o protecție
împotriva altor riscuri sau pierderea controlului asupra datelor.

Rezultatul pentru compania care a luat în considerare toți factorii relevanți este că interesele angajatului
nu depășesc interesele sale legitime de a obține consultanță juridică, iar prelucrarea este legală pe
baza acestor interese legitime.

În alte cazuri, este posibil ca rezultatul să fie mai greu de determinat. Dacă nu sunteți sigur,
ar putea fi mai sigur să căutați altă temei legal pentru prelucrare. Interesele legitime nu sunt
de cele mai multe ori baza cea mai potrivită pentru o prelucrare care este neașteptată sau cu
un risc ridicat.

3.2.5 Ce facem mai departe?

Dacă ați efectuat Analiza Interesului Legitim și ați decis să vă bazați pe interesul legitim ca
temei legal, nu trebuie să plecați de la premisa că responsabilitățile voastre se încheie aici.

Aveți în vedere o revizuire periodică a prelucrării și, respectiv, actualizarea AIL. Dacă se
schimbă ceva semnificativ - cum ar fi scopul, natura sau contextul prelucrării - care ar putea
afecta echilibrul dintre dvs. și individ, ar trebui să revizuiți AIL și să o actualizați, după caz.

De exemplu, în cazul în care identificați un impact nou al prelucrării, care nu a fost prevăzut
la momentul efectuării inițiale a AIL, trebuie să revizuiți AIL și testul de echilibrare pentru a
identifica dacă sunt necesare alte măsuri de protecție sau suplimentarea celor existente.

Dacă în urma AIL ajungeți la concluzia că impactul asupra persoanei vizate depășește
interesele dvs. legitime, atunci nu veți putea să prelucrați datele pentru acel scop folosind ca
temei legal interesul legitim. În acest caz ar fi oportun să luați în considerare un alt temei legal
pentru prelucrare.

Dacă rezultatul este pe muchie de cutiț (incert) și nu sunteți convins că interesele dvs. justifică
impactul asupra persoanelor, atunci este posibil să doriți și să apelați la un alt temei legal
pentru prelucrare. De exemplu, vă recomandăm să luați în considerare dacă consimțământul
este adecvat ca temei pentru prelucrare, pentru a le oferi persoanelor controlul deplin asupra
utilizării datelor lor.

Dacă AIL identifică potențialele riscuri ridicate pentru drepturile și libertățile individului, trebuie
să continuați să faceți o DPIA pentru a evalua riscurile și potențialele garanții în detaliu.

3.2.6 Cum legăm o AIL de o DPIA?

Există similitudini între o AIL și o DPIA. Ambele presupun luarea în considerare a scopului
prelucrării, identificarea și evaluarea riscului și luarea în considerare a eventualelor garanții.

Cu toate acestea, o AIL este concepută ca o formă mai simplă de evaluare a riscurilor, care
vă solicită să identificați în mod corespunzător scopul și să vă gândiți la impactul asupra

32
Fă-ți singur implementarea GDPR cu KIT-ul nostru!
 [Link]
gdpr@[Link]
persoanelor. Trebuie să faceți o AIL în toate cazurile în care intenționați să utilizați interesul
legitim ca temei legal, indiferent dacă există sau nu motive speciale de îngrijorare. Nu există
cerințe absolute pentru conținutul acestuia sau pentru metoda urmată, atâta timp cât sunteți
încrezător că prelucrarea dvs. poate fi justificată.

De cealaltă parte, o DPIA este un proces mult mai aprofundat, de la un capăt la altul, cu cerințe
minime mult mai specifice în ceea ce privește conținutul și procesul. Trebuie să faceți o DPIA
doar dacă identificați că prelucrarea poate duce la un risc ridicat, dar trebuie să o faceți
indiferent de ce temeiul legal pe care îl aveți în vedere pentru prelucrare. Dacă nu puteți
reduce riscurile, trebuie să consultați ANSPDCP înainte de a începe prelucrarea.

Cu toate acestea, există o suprapunere între cele două și ar trebui să identificați acest lucru
în procesele voastre. În practică, este oportun să vă bazați pe lista prelucrărilor cu risc ridicat
stabilite pentru o DPIA pentru a identifica potențialele riscuri față de persoanele vizate.

O AIL poate fi, de asemenea, un potențial declanșator pentru o DPIA. Dacă AIL identifică
potențialul pentru riscuri ridicate pentru drepturile și libertățile persoanelor (fie din cauza
gravității, fie a riscului producerii unei vătămări), este posibil să aveți nevoie să efectuați o
DPIA.

Este posibil să puteți să foloși AIL ca bază pe care să o adaptați într-o DPIA sau să vă ofere
un punct de pornire. Dacă nu ați făcut încă o AIL, nu este necesar să faceți pe ambele. Puteți
utiliza DPIA în loc de o AIL pentru a demonstra modul în care se aplică interesele legitime,
deoarece acoperă același motiv în detaliu.

4. Ce trebuie să mai avem în vedere?

4.1. Ce spunem oamenilor?

Trebuie să spuneți persoanelor:

• care este scopul dvs. pentru prelucrarea datelor cu caracter personal;

• că vă bazați pe interesul legitim ca temei legal; și
• să amintiți pe scurt care sunt interesele legitime relevante.

Trebuie să includeți acest lucru în informațiile dvs. privind confidențialitatea (nota de informare
către persoanele vizate). De asemenea, trebuie să vă asigurați că aceste informații sunt
comunicate în mod activ și periodic către persoanele vizate.

4.2. Dacă scopurile prelucrărilor noastre se schimbă?

Dacă scopurile prelucrării se schimbă în timp sau dacă aveți un scop nou pe care nu l-ați
anticipat inițial, puteți continua prelucrarea pentru acest scop nou pe baza interesului legitim,
atâta timp cât noul dvs. scop este compatibil cu scopul original.

33
Fă-ți singur implementarea GDPR cu KIT-ul nostru!
 [Link]
gdpr@[Link]
O evaluare a compatibilității implică în general pași similari cu cei folosiți la o AIL, deoarece
trebuie să ia în considerare scopul prelucrării, așteptările rezonabile, impactul asupra
persoanelor și posibilele măsuri de protecție. Așadar, vă recomandăm să efectuați
întotdeauna o AIL proaspătă ca o chestiune de bună practică, deoarece aceasta vă ajută să
demonstrați compatibilitatea sau să vă asigurați că interesele legitime se aplică noii prelucrări
de sine stătător.

Chiar dacă prelucrarea pentru un scop nou este legală pe baza unor interese legitime, trebuie
totuși să vă gândiți dacă este corectă și transparentă, să vă asigurați că respectă principiul
limitării scopului (sau satisface o excepție de la acest principiu) și să oferiți persoanelor
informații despre noul scop.

4.3. Ce drepturi au persoanele vizate?

Cele mai multe drepturi acordate persoanelor fizice în temeiul GDPR sunt disponibile dacă vă
bazați pe interesul legitim ca temei legal.

Cu toate acestea, dacă vă bazați pe interesul legitim, atunci dreptul la transferabilitatea datelor
nu se aplică tuturor datelor personale prelucrate pe temeiul respectiv. Aceasta înseamnă că
nu este necesar să respectați cererile de portabilitate de la persoane fizice. Amintiți-vă că nu
puteți alege interesul legitim ca temei legal pentru a stopa cererile de portabilitate dacă se
aplică temeiul legal pentru executarea unui contract, deoarece acest lucru ar avea un impact
nejustificat asupra drepturilor persoanelor.

Trebuie să vă amintiți că persoanele au dreptul să se opună prelucrării pe baza unor interese

legitime. Cu toate acestea, acest lucru nu este un drept absolut și este posibil să puteți arăta
că prelucrarea trebuie continuată (cu excepția cazului în care faceți prelucrarea datelor în
scopul de marketing direct, caz în care trebuie să opriți imediat orice prelucrare a datelor).

Pentru a continua prelucrarea în ciuda unei obiecții din partea persoanelor, trebuie să puteți
demonstra motive legitime convingătoare. Demonstrarea acestora este mai mult decât simpla
repetare a testului de echilibrare, deoarece aveți nevoie de o justificare mai puternică pentru
a depăși o anumită obiecție și trebuie să luați în considerare motivele speciale pe care individul
le-a ridicat.

Dacă vă bazați pe interesul legitim ca temei legal pentru prelucrarea datelor personale în
marketing direct, trebuie să opriți prelucrarea în cazul în care persoana se opune. Aceasta
include profilarea în măsura în care este folisită în scopul marketingului direct. Dreptul de a
se opune prelucrării în scopuri de marketing direct este absolut și persoana poate exercita
acest drept în orice moment. Nu există interese legitime convingătoare împotriva acestui drept
de a opri marketingul direct.

Toate drepturile de autor aparțin companiei LSE PRVCY LTD SRL.

34
Fă-ți singur implementarea GDPR cu KIT-ul nostru!
gdpr@[Link]
[Link]

powered by