[Link]

ro
gdpr@[Link]
2.2. Putem folosi interesul legitim ca un temei legal implicit pentru toate
prelucrările?

NU. Deși interesul legitim reprezintă un concept flexibil și are o sferă mare de aplicabilitate,
nu se aplică la toate prelucrările și nu îl puteți folosi ca bază implicită pentru toate prelucrările
(nu puteți să spuneți unei persoane vizate că veți folosi interesul legitim pentru toate
prelucrările).

Temeiurile legale nu au prioritate unul față de altul și nici o ierarhie prestabilită (ie. mă gândesc
să folosesc prima oară consimțământul și dacă nu pot folosesc executarea contractului și dacă
nici asta nu merge folosesc interesul legitim). De aceea, ar trebui să utilizați întotdeauna
temeiul care este cel mai potrivit pentru circumstanțele respective, având în vedere scopul
prelucrării.

Ar trebui să analizați cu atenție dacă interesul legitim reprezintă baza legală adecvată pentru
operațiunea specială de prelucrare. Nu ar trebui să vă gândiți să vă bazați doar pe faptul că,
inițial, pare să se aplice mai ușor decât alte temeiuri legale. Nu este întotdeauna cea mai
ușoară opțiune și, de fapt, impune mai multă responsabilitate în sarcina companiei pentru a
justifica prelucrarea și orice impact asupra persoanelor. De fapt, aceasta necesită o evaluare
a riscurilor bazată pe contextul și circumstanțele specifice pentru a demonstra că prelucrarea
este adecvată.

2.3. Care sunt beneficiile alegerii interesului legitim?

Deoarece acest temei legal nu are un scop specific, este foarte flexibil și poate fi aplicat într-
o gamă largă de situații diferite. De asemenea, pe termen lung, interesul legitim poate oferi
mai mult control și siguranță în ceea ce privește operațiunea de prelucrare față de
consimțământ, întrucât la acesta din urmă există riscul ca persoana vizată să și-l retragă în
orice moment. Cu toate acestea, trebuie să aveți în vedere că trebuie să luați în considerare
eventualele opoziții care vin din partea persoanelor vizate.

Totodată, interesul legitim responsabilizează companiile din punct de vedere al prelucrării

datelor întrucât presupune o conformare bazată pe riscuri: trebuie să vă gândiți la impactul pe
care îl are prelucrarea asupra persoanelor vizate, ceea ce vă poate ajuta să identificați riscurile
și să luați măsurile de protecție adecvate. Acesc lucru vă poate ajuta de asemenea în obligația
de a fi conformi în situația de ”privacy by design” și vă va ajuta să identificați când este necesar
să faceți o evaluare a impactului privind protecția datelor (DPIA).

Folosind acest temei pentru o prelucrare la care persoana vizată se așteaptă și care are un
impact redus asurpa vieții private, puteți chiar să evitați bombardarea persoanelor cereri de
consimțământ inutile (cum au fost cele de ”reabonare”) și poate ajuta la evitarea fenomenului
obținerii consimțământului (întrucât a fost folosit în exces și ineficient, persoanele vizate sunt
suprasaturate de această modalitate și tind să refuze din start ideea). De asemenea, dacă
este implementat în mod corespunzător, poate fi o modalitate eficientă de a proteja interesele

13
Fă-ți singur implementarea GDPR cu KIT-ul nostru!
 [Link]
gdpr@[Link]
individului, mai ales atunci când este combinată cu furnizarea unir informații clare despre
confidențialitate și posibilitatea din partea persoanei vizate de a renunța/a se opune prelucrării.

2.4. Există și dezavantaje?

S-ar putea să descoperiți că este mai mult de făcut pentru a justifica aplicarea interesului
legitim în comparație cu unele dintre celelalte temeiuri legale (mai ales că aici vorbim despre
efectuarea propriu-zisă a unui test de format din 3 părți). De exemplu, celelalte baze legale
care includ un test de necesitate specifică scopul prelucrării. Interesul legitim pune în sarcina
voastră să explicați scopul și să justificați de ce prelucrarea este în interesul vostru legitim, pe
lângă faptul că trebuie să demonstrați necesitatea prelucrării. De asemenea, este în sarcina
să vă asigurați și să demonstrați că interesele dvs. sunt echilibrate cu individul.

Ar putea fi mai greu să se demonstreze conformitatea GDPR, deoarece există mai multe
posibilități de dezacord cu privire la rezultatul testului de echilibrare. Trebuie să puteți justifica
în mod clar decizia dvs. că rezultatul testului favorizează, de fapt, prelucrarea datelor.

Dacă intenționați să vă bazați pe interesul legitim, trebuie să vă asumați responsabilitatea de

a proteja interesele individului. Dacă este mai adecvat să se transfere răspunderea asupra
indivizilor pentru a-și asuma pentru utilizarea datelor lor, atunci vă recomandăm să vă gândiți
dacă nu cumva consimțământul ar fi un temei legal mai adecvat.

De asemenea, trebuie să depuneți mai multe eforturi pentru a fi transparent atunci când vă
bazați pe interesul legitim. Trebuie să explicați în mod clar în politica de confidențialitate care
sunt interesele legitime ale prelucrării.

2.5. Se pot baza autoritățile publice pe interesul legitim?

DA, în unele cazuri, autoritățile publice pot să ia în considerare utilizarea interesului legitim ca
bază legală.

Cu toate acestea, dacă sunteți o autoritate publică, nu puteți utiliza interesele legitime ca bază
legală dacă prelucrarea este în îndeplinirea sarcinilor dvs. ca autoritate publică. GDPR explică
faptul că există această excludere pentru că este în sarcina legiuitorului să acorde autorităților
publice competența legală de prelucrare a datelor cu caracter personal. De exemplu, dacă
sunteți o autoritate publică, ar trebui să aveți posibilitatea de a prelucra date cu caracter
personal în îndeplinirea sarcinilor dvs. numai dacă există o lege care vă autorizează în acest
sens.

Dacă sunteți o autoritate publică, aveți alte temeiuri legale pentru a face prelucrarea datelor
și probabil acestea sunt mai potrivite pentru anumite tipuri de prelucrare – de exemplu, ar
trebui să luați în considerare dacă nu cumva activitățile voastre curente se pot înscrie în
temeiul legal de ”sarcina publică”.

14
Fă-ți singur implementarea GDPR cu KIT-ul nostru!
 [Link]
gdpr@[Link]
Deși nu puteți folosi interesul legitim ca temei legal atunci când prelucrați datele personale în
exercitarea sarcinilor dvs. ca autoritate publică, aceasta nu înseamnă că nu se poate aplica
niciodată.

Această restricție privind utilizarea interesului legitim ca bază legală se referă la natura
sarcinii, nu la natura organizației. Aceasta înseamnă că, dacă sunteți o autoritate publică,
interesul legitim ar putea fi folosit ca temei legal dacă puteți demonstra că prelucrarea nu face
parte sarcinile curente pe care le îndepliniți ca autoritate publică.

2.6. Există cazuri în care scopul poate servi drept interes legitim?

GDPR evidențiază anumite scopuri care fie "constituie" un interes legitim, fie "ar trebui
considerate ca" un interes legitim. Acestea sunt:

• prevenirea fraudei;
• securitatea rețelelor și a informațiilor; și
• indicii privind posibile acte criminale sau amenințări la adresa securității publice.

Dacă prelucrați date personale în aceste scopuri, atunci îndepliniți testul de scop și dacă puteți
demonstra că prelucrarea dvs. este necesară (sau, în unele cazuri, "strict" necesară), aceasta
poate face testul de echilibrare mai simplu. Prelucrarea în aceste scopuri este un factor
puternic în testul de echilibrare - prin urmare, în funcție de circumstanțe, testul dvs. de
echilibrare ar putea fi scurt.

În timp ce prelucrarea în aceste scopuri este posibil să faciliteze folosirea interesului legitim
ca temei legal, trebuie totuși să țineți cont de respectarea mai largă a altor obligații și garanții
GDPR. De exemplu, condițiile articolului 9 dacă prelucrați date de categorii speciale, articolul
10 dacă prelucrați date privind infracțiunile, cerințele de transparență, minimizarea datelor și
obligația de a efectua o DPIA atunci când este necesar.

2.7. Există cazuri când este probabil să se aplice interesul legitim?

GDPR evidențiază anumite activități de prelucrare unde se poate folosi interesul legitim ca
temei legal:

• prelucrarea datelor angajaților sau a clienților;

• marketing direct; sau
• transferurile administrative intra-grup.

Preambulul spune că interesele legitime "se pot" aplica acestor activități de prelucrare, dar
acest lucru nu înseamnă că automat aceste activități se vor baza întotdeauna pe un interes
legitim sau vă oferă în mod automat un temei legal pentru prelucrare. Totuși, trebuie să aplicați
testul în trei părți pentru a demonstra că interesul legitim se aplică în anumite circumstanțe.

15
Fă-ți singur implementarea GDPR cu KIT-ul nostru!
 [Link]
gdpr@[Link]
2.8. Putem folosi interesul legitim pentru prelucrarea datelor angajaților?

DA, în unele cazuri, dar nu se aplică întotdeauna și trebuie să luați în considerare testul din
trei părți. Preambulul 47 al GDPR spune:

”Interesele legitime ale unui operator, inclusiv cele ale unui operator căruia îi pot fi divulgate datele cu
caracter personal sau ale unei terțe părți, pot constitui un temei juridic pentru prelucrare, cu condiția să
nu prevaleze interesele sau drepturile și libertățile fundamentale ale persoanei vizate, luând în
considerare așteptările rezonabile ale persoanelor vizate bazate pe relația acestora cu operatorul.
Acest interes legitim ar putea exista, de exemplu, atunci când există o relație relevantă și
adecvată între persoana vizată și operator, cum ar fi cazul în care persoana vizată este un client
al operatorului sau se află în serviciul acestuia. În orice caz, existența unui interes legitim ar necesita
o evaluare atentă, care să stabilească inclusiv dacă o persoană vizată poate preconiza în mod
rezonabil, în momentul și în contextul colectării datelor cu caracter personal, posibilitatea prelucrării în
acest scop. Interesele și drepturile fundamentale ale persoanei vizate ar putea prevala în special în
raport cu interesul operatorului de date atunci când datele cu caracter personal sunt prelucrate în
circumstanțe în care persoanele vizate nu preconizează în mod rezonabil o prelucrare ulterioară.
Întrucât legiuitorul trebuie să furnizeze temeiul juridic pentru prelucrarea datelor cu caracter personal
de către autoritățile publice, temeiul juridic respectiv nu ar trebui să se aplice prelucrării de către
autoritățile publice în îndeplinirea sarcinilor care le revin. Prelucrarea de date cu caracter personal strict
necesară în scopul prevenirii fraudelor constituie, de asemenea, un interes legitim al operatorului de
date în cauză. Prelucrarea de date cu caracter personal care are drept scop marketingul direct poate fi
considerată ca fiind desfășurată pentru un interes legitim.”

Aceasta înseamnă că ar putea exista un interes legitim atunci când există o "relație relevantă
și adecvată" între dvs. și individ. De exemplu, dacă persoana este clientul dvs. sau angajatul
dvs. Cu toate acestea, nu se poate spune că temeiul interesului legitim se aplică întotdeauna.

Într-adevăr, este mai probabil, deoarece sanșele sunt mari să aveți un scop legitim evident
pentru utilizarea acestor date, iar natura relației dvs. înseamnă că prelucrarea este mai puțin
probabil să fie neașteptată sau nedorită, astfel încât testul de echilibrare va fi probabil mai
ușor (de cele mai multe ori, putem presupune că un angajat sau un client se așteaptă în mod
rezonabil ca datele lui să fie prelucrate de către angajator sau de persoana cu care intră într-
o relație comercială având în vedere natura relațiilor dintre cei doi).

În unele cazuri, este posibil ca interesele dvs. și cele ale individului să fie, de fapt, aliniate sau
interconectate. De exemplu, susțineți dezvoltarea personalului (evaluarea periodică sau
identificarea problemelor de management defectuos) sau rezolvarea nevoilor unui client
(suport clienți). Cu toate acestea, acest lucru nu înseamnă că atunci când există o relație
adecvată și relevantă, există automat și un interes legitim.

Totuși, trebuie să specificați interesele dvs., să demonstrați că prelucrarea este necesară și

să luați în considerare testul de echilibrare.

Există probabil o anumită suprapunere cu datele personale prelucrate pe baza executării unui
contract (cum ar fi contractul de muncă sau contractul de prestări servicii). Dacă prelucrarea
este efectiv necesară pentru a vă îndeplini partea contractuală cu angajatul sau clientul, atunci

16
Fă-ți singur implementarea GDPR cu KIT-ul nostru!
 [Link]
gdpr@[Link]
ar trebui să luați în considerare articolul 6 alineatul (1) litera (b) mai degrabă decât interesul
legitim, mai ales că în acest caz nu trebuie să parcurgeți testul de echilibrare.

2.9. Putem folosi interesul legitim pentru transferuri intra-grup?

DA, în unele cazuri, dar din nou, această situație nu acoperă automat toate aceste prelucrări
și trebuie să luați în considerare efectuarea testului din trei părți. Preambului 48 din GDPR
spune:

”Operatorii care fac parte dintr-un grup de întreprinderi sau instituții afiliate unui organism central pot
avea un interes legitim de a transmite date cu caracter personal în cadrul grupului de întreprinderi în
scopuri administrative interne, inclusiv în scopul prelucrării datelor cu caracter personal ale clienților
sau angajaților. Principiile generale ale transferului de date cu caracter personal, în cadrul unui grup de
întreprinderi, către o întreprindere situată într-o țară terță rămân neschimbate.”

 Exemplu

Compania AAA este o filială a Companiei A. Compania AAA nu are un departament de resurse umane,
deoarece această funcție este efectuată centralizat la Compania A. Compania AAA dorește să se
bazeze pe interesul legitim ca temei legal pentru transferul datelor angajatului către Compania A.

Compania AAA ajunge la concluzia că este în interesul său legitim să divulge informații despre
concediu, boală, performanță etc. societății-mamă pentru administrarea eficientă a activității de HR în
cadrul grupului.

Compania AAA are totuși nevoie să analizeze dacă transferul acestor date este efectiv necesar în acest
scop și apoi să echilibreze acest lucru în raport cu interesele persoanelor, înainte de a fi siguri că
prelucrarea este legală pe baza unui interes legitim.

Deoarece datele pe care Compania AAA dorește să le transfere include date de categorie specială,
trebuie de asemenea să identifice o condiție de categorie specială pentru prelucrare în conformitate cu
articolul 9 din GDPR.

 Este important să rețineți că, deși considerați că interesul legitim vă oferă un temei legal
pentru transfer, se aplică în continuare regulile privind transferul datelor cu caracter personal
către o companie dintr-o țară terță. Trebuie în continuare să vă asigurați că respectați cerințele
internaționale privind transferurile.

2.10. Putem folosi interesul legitim pentru activități de marketing?

DA, în unele cazuri, dar trebuie să aplicați testul în trei părți și să vă asigurați că respectați
alte legi de marketing. Preambulul 47 al GDPR spune:

”Interesele legitime ale unui operator, inclusiv cele ale unui operator căruia îi pot fi divulgate datele cu
caracter personal sau ale unei terțe părți, pot constitui un temei juridic pentru prelucrare, cu condiția să
nu prevaleze interesele sau drepturile și libertățile fundamentale ale persoanei vizate, luând în
considerare așteptările rezonabile ale persoanelor vizate bazate pe relația acestora cu operatorul.
Acest interes legitim ar putea exista, de exemplu, atunci când există o relație relevantă și adecvată între
persoana vizată și operator, cum ar fi cazul în care persoana vizată este un client al operatorului sau
se află în serviciul acestuia. În orice caz, existența unui interes legitim ar necesita o evaluare atentă,

17
Fă-ți singur implementarea GDPR cu KIT-ul nostru!
 [Link]
gdpr@[Link]
care să stabilească inclusiv dacă o persoană vizată poate preconiza în mod rezonabil, în momentul și
în contextul colectării datelor cu caracter personal, posibilitatea prelucrării în acest scop. Interesele și
drepturile fundamentale ale persoanei vizate ar putea prevala în special în raport cu interesul
operatorului de date atunci când datele cu caracter personal sunt prelucrate în circumstanțe în care
persoanele vizate nu preconizează în mod rezonabil o prelucrare ulterioară. Întrucât legiuitorul trebuie
să furnizeze temeiul juridic pentru prelucrarea datelor cu caracter personal de către autoritățile publice,
temeiul juridic respectiv nu ar trebui să se aplice prelucrării de către autoritățile publice în îndeplinirea
sarcinilor care le revin. Prelucrarea de date cu caracter personal strict necesară în scopul prevenirii
fraudelor constituie, de asemenea, un interes legitim al operatorului de date în cauză. Prelucrarea de
date cu caracter personal care are drept scop marketingul direct poate fi considerată ca fiind
desfășurată pentru un interes legitim.”

Asta înseamnă că marketingul direct poate fi un interes legitim. Cu toate acestea, GDPR nu
spune că marketingul direct reprezintă întotdeauna un interes legitim și dacă prelucrarea dvs.
este sau nu legală pe baza unui interes legitim depinde de circumstanțele particulare.

În ceea ce privește testul de scop, anumite forme de marketing nu pot fi legitime dacă nu
respectă alte standarde juridice sau etice sau nu sunt aliniate codurilor de practică ale
industriei. Cu toate acestea, atâta timp cât marketingul se realizează în conformitate cu legile
privind confidențialitatea și alte standarde juridice și ale industriei, în majoritatea cazurilor este
probabil ca marketingul direct să reprezinte un interes legitim.

Cu toate acestea, acest lucru nu înseamnă în mod automat că orice prelucrare în scopuri de
marketing este legală pe acest temei. Trebuie în continuare să arătați că prelucrarea dvs.
trece testul de necesitate și echilibrare.

De asemenea, este posibil să aveți nevoie de mai multe informații despre scopurile dvs. pentru
anumite elemente ale prelucrării, pentru a arăta că prelucrarea este necesară și pentru a
cântări beneficiile în testul de echilibrare. De exemplu, dacă utilizați profilarea pentru a vă
direcționa marketingul (atunci când faceți targetare pentru anumite categorii de persoane
vizate în funcție de elementele pe care le stabiliți relevante pentru respectiva campanie de
marketing).

Se sugerează uneori că marketingul este în interesul persoanelor, de exemplu dacă primesc

produse bancare sau oferte care sunt direct relevante pentru nevoile lor. Cu toate acestea,
este puțin probabil ca acest lucru să cântărească mult la testul dvs. de echilibrare și vă
recomandăm să vă concentrați în primul rând pe propriile interese și să evitați concentrarea
necorespunzătoare a beneficiilor presupuse față de clienți, cu excepția cazului în care aveți
dovezi foarte clare ale preferințelor lor.

În unele cazuri, marketingul are potențialul de a avea un efect negativ semnificativ asupra
individului, în funcție de situația personală a acestuia. De exemplu, un individ care are
dificultăți financare și care este vizat în mod regulat cu marketing pentru împrumuturi cu
dobândă înaltă, poate apela la aceste oferte și astfel poate acumula și alte datorii.

Când parcurgeți testul de echilibrare, trebuie să luați în considerare și factori precum:

18
Fă-ți singur implementarea GDPR cu KIT-ul nostru!
 [Link]
gdpr@[Link]
• dacă oamenii se așteaptă în mod rezonabil să folosiți detaliile lor în acest fel;
• factorul potențial de neplăcere al mesajelor de marketing nedorite; și
• efectul pe care metodele și frecvența de comunicare ale dvs. le-ar putea avea asupra
persoanelor mai vulnerabile (de exemplu dacă furnizați mesaje promoționale privind
dulciurile unor persoane care suferă de diabet sau mesaje privind jocuri violente pe
calculator către copii).

Având în vedere faptul că persoanele fizice au dreptul absolut de a se opune marketingului

direct în conformitate cu articolul 21 alineatul (2), este mai dificil de trecut testul de echilibrare
dacă nu acordați indivizilor o opțiune clară de a renunța la marketingul direct atunci când
colectați inițial datele acestora sau în prima comunicare, dacă datele nu au fost colectate direct
de la persoana respectivă. Lipsa oricărei posibilități proactive de a renunța în avans ar
contribui, fără îndoială, la pierderea controlului asupra datelor lor și ar constitui un obstacol
inutil în exercitarea drepturilor lor de protecție a datelor.

 Exemplu

Un ONG dorește să trimită materiale de strângere de fonduri prin poștă persoanelor care le-au donat
bani în trecut, dar nu s-au opus anterior să primească materiale de marketing de la ei.

Scopul de marketing direct al ONG-ului de a căuta fonduri pentru a-și continua cauza este un interes
legitim.

ONG-ul analizează apoi dacă trimiterea corespondenței este necesară pentru scopul ei de strângere
de fonduri. Aceasta decide că este necesar să prelucreze detaliile de contact în acest scop și că
trimiterea prin poștă este o modalitate proporțională de abordare a persoanelor pentru donații.

ONG-ul ia în considerare testul de echilibrare și ia de asemenea în considerare faptul că natura datelor

prelucrate este reprezentată doar de numele și adresele persoanelor vizate și că ar fi rezonabil ca
acești indivizi să se aștepte că vor primi materiale de marketing prin poștă, având în vedere relația lor
anterioară cu ONG-ul.

ONG-ul determină faptul că impactul unei campanii de strângere de fonduri prin corespondență pentru
acești indivizi este probabil să fie minim, însă include detalii în corespondență (și în fiecare comunicare
ulterioară) despre modul în care persoanele fizice pot renunța să primească comunicări de marketing
prin poștă în viitor.

Dacă intenționați să prelucrați date cu caracter personal în scopul marketingului direct prin
mijloace electronice (prin e-mail, text, apeluri automate etc.), interesele legitime nu pot fi
întotdeauna un temei adecvat pentru prelucrare. Acest lucru se datorează faptului că legile
privind confidențialitatea electronică privind marketingul direct impun ca persoanele să își dea
acordul pentru anumite forme de marketing electronic. În acest caz se aplică standarul privind
consimțământul pe GDPR, ca un efect al articolului 94.

În cazul în care legile privind confidențialitatea în materie de e-mail necesită un consimțământ,

prelucrarea datelor cu caracter personal în scopuri de marketing direct electronic este
nelegală în temeiul GDPR fără un consimțământ al persoanei vizate. Dacă nu ați obținut
consimțământul necesar, nu vă puteți baza pe interesul legitim. Nu puteți utiliza interesul
legitim pentru a legitima o prelucrare care este nelegală în temeiul unei alte norme.

19
Fă-ți singur implementarea GDPR cu KIT-ul nostru!