[Link]

ro
gdpr@[Link]
• prelucrarea datelor angajaților sau a clienților;
• marketing direct; sau
• transferuri administrative în cadrul unui grup de societăți.

Cu toate acestea, în timp ce aceste trei activități trecute pot indica un interes legitim, trebuie
totuși să faceți anumite eforturi pentru a vă identifica scopul exact și pentru a arăta că este
legitim în anumite circumstanțe și în special că orice marketing direct respectă regulile privind
e-privacy. De asemenea, trebuie să continuați să evaluați restul testului din trei părți. A se
vedea secțiunea Când ne putem baza pe interesul legitim? pentru mai multe informații despre
impactul acestui preambul.

Aceste exemple de prelucrare evidențiate de considerentele GDPR nu sunt exhaustive. Puteți,

de asemenea, să demonstrați într-o gamă largă de alte situații pe care le prelucrați scopul
legitim al interesului prelucrării.

Pentru mai multe măsuri practice privind evaluarea scopului și documentarea interesului
legitim, citiți Ce trebuie să facem în practică?

1.4. Când este prelucrarea ”necesară”?

Trebuie să demonstrați că prelucrarea este necesară în scopul intereselor legitime pe care

le-ați identificat. Aceasta nu înseamnă că trebuie să fie absolut esențială, dar trebuie să fie o
modalitate targetată și proporțională de a vă atinge scopul.

Trebuie să decideți cu privire la elementele fiecărui caz dacă prelucrarea este proporțională
și adecvată pentru atingerea obiectivelor sale și dacă există o alternativă mai puțin intruzivă,
adică puteți să vă atingeți scopul prin alte mijloace rezonabile, fără a prelucra datele în acest
mod? Dacă ați reuși să vă atingeți scopul într-un mod mai puțin invaziv, atunci nu este
necesară o cale mai invazivă.

Pe scurt, vizual, situația este următoarea:

6
Fă-ți singur implementarea GDPR cu KIT-ul nostru!
 [Link]
gdpr@[Link]

Figura 1

 Exemplul 1

O organizație întreprinde o activitate deosebit de sensibilă, astfel încât este necesar să se asigure că
indivizii pe care îi angajează au fost verificați. Aceasta decide să-și facă ofertele de locuri de muncă
condiționate de o verificare în prealabil a persoanei pe care o angajează (atât cu recomandări, cât și
din surse publice/cazier judiciar).

Pentru testul de scop, organizația stabilește că este în interesele sale legitime de afaceri să aibă un
personal complet verificat, având în vedere natura lucrării. Ea ia în considerare diferitele roluri pe care
le are și determină că nivelul de verificare ar fi diferit în funcție de tipul de rol. Ea evaluează ce verificări
și recomandări sunt efectiv necesare pentru fiecare rol, pentru a se asigura că prelucrarea este
orientată și proporțională cu rolul și responsabilitățile specifice pentru a îndeplini criteriul de necesitate.

Dacă prelucrarea include date referitoare la infracțiuni, organizația ar trebui, de asemenea, să aibă o
condiție separată pentru prelucrarea acestor date în conformitate cu articolul 10.

 Exemplul 2

O persoană publică postează un videoclip despre supraaglomerarea trenurilor și arată un tren condus
de un anumit operator de tren. Videoclipul este preluate de site-uri diverse ale mass-media, precum și
de rețele de socializare.

Operatorul de tren vrea să elibereze imaginile CCTV cu persoana publică care a făcut video-ul și se
afla la momentul respectiv în tren pentru a contracara rapoartele că trenul a fost supraaglomerat.
Înregistrările pe care le deține includ imagini ale altor pasageri aflați la momentul respectiv în tren.

Operatorul de transport feroviar are un interes legitim să elibereze materialul pentru a corecta ceea ce
consideră că este un raport de știri înșelător, care ar putea dăuna reputației și intereselor sale
comerciale.

7
Fă-ți singur implementarea GDPR cu KIT-ul nostru!
 [Link]
gdpr@[Link]
Compania ia în considerare testul de necesitate și concluzionează că nu este posibil să-și atingă
interesele legitime fără a publica imaginea cu pasagerii aflați la momentul respectiv în tren, deoarece
este singura metodă prin car poate contracara imaginile existente deja în mass-media și să arate că
erau locuri goale în tren – nu poate face acest lucru dacă publică la rândul său imagini din tren, care
înfățișează pasagerii aflați acolo la momentul respectiv.

Cu toate acestea, deși este în măsură să demonstreze că este necesară publicarea imaginii persoanei
publice care a furnizat pozele în presă pentru a-și urmări interesele legitime (adică să spună și varianta
companiei a acestei povești), nu este necesar ca operatorul feroviar să publice fotografii concrete ale
oricărui alt pasager din tren.

Prin urmare, trebuie să se ia măsuri pentru a se asigura că imaginile pasagerilor, alții decât persoana
publică, sunt ascunse (blurate), precum și să se ia în considerare testul de echilibrare.

Ar trebui să aveți grijă să nu confundați prelucrarea care este necesară pentru scopul stabilit
cu prelucrarea care este necesară numai datorită metodei alese pentru a urmări acel scop. În
contextul unor interese legitime, este posibil să puteți argumenta că anumite aspecte
neesențiale ale prelucrării dvs. (cum ar fi profilarea sau marketingul) sunt necesare pentru a
atinge scopurile dvs. Totuși, acest lucru este valabil numai dacă identificați în mod clar scopul
specific din spatele acestor caracteristici și nu vă ascundeți în spatele unui obiectiv vag de
afaceri care ar putea fi realizat într-un alt mod. Prelucrarea trebuie să fie necesară pentru
scopul specific pe care l-ați identificat în prima etapă. Acesta este motivul pentru care este
important să fiți clar și specific cu privire la scopurile pe care le urmăriți.

Dacă nu puteți demonstra că prelucrarea vă ajută într-adevăr să îndepliniți interesul legitim,

atunci nu puteți aplica această bază. De asemenea, dacă prelucrarea nu este o modalitate
rezonabilă de a vă atinge scopul declarat, interesul legitim nu se aplică. Dacă există o altă
modalitate rezonabilă și mai puțin invazivă de a satisface interesul companiei și de a vă atinge
scopul fără a prelucra date personale, atunci ar fi nelegal (cu excepția cazului în care se aplică
un alt temei legal).

Pentru mai multe măsuri practice privind evaluarea și documentarea testului de necesitate,
consultați secțiunea Ce trebuie să facem în practică?

1.5. Ce este testul de echilibrare?

Doar pentru că ați stabilit că prelucrarea dvs. este necesară pentru un interes legitim nu
înseamnă că sunteți în măsură să vă bazați în mod automat pe acest temei legal pentru
prelucrare. De asemenea, trebuie să efectuați un "test de echilibrare" pentru a justifica orice
impact asupra persoanelor.

Testul de echilibrare este modalitatea în care țineți seama de "interesele sau drepturile și
libertățile fundamentale ale persoanei vizate care necesită protecția datelor cu caracter
personal" și verificați dacă acestea nu depășesc interesele dvs. În esență, este vorba despre
o evaluare a riscului pentru a verifica dacă riscurile pentru interesele persoanelor vizate sunt
proporționale.

8
Fă-ți singur implementarea GDPR cu KIT-ul nostru!
 [Link]
gdpr@[Link]
Dacă datele aparțin copiilor, trebuie să fiți deosebit de atenți pentru a vă asigura că interesele
și drepturile lor sunt protejate (vezi mai multe despre prelucrarea datelor copiilor în GDPR în
articolul de aici).

1.6. Care sunt ”interesele sau drepturile și libertățile fundamentale” ale

persoanelor?

Interesele, drepturile și libertățile persoanelor folosite în acest context sunt un concept larg
care include protecția datelor și drepturile de confidențialitate, dar și alte drepturi
fundamentale, precum și interese mai generale.

Din alte prevederi relevante din GDPR care vorbește despre riscurile la adresa drepturilor și
libertăților indivizilor este clar că accentul trebuie să se concentreze aici asupra oricărui impact
potențial asupra persoanelor. Considerentul 75 oferă câteva indicații relevante aici. Este clar
că un risc pentru drepturile și libertățile persoanelor este legat de potențialul oricăror tipuri de
impact. Aceasta include impactul fizic, financiar sau orice alt impact, cum ar fi:

• imposibilitatea de a-și exercita drepturile (inclusiv drepturile de protecție a datelor);

• pierderea controlului asupra utilizării datelor cu caracter personal; sau
• orice dezavantaj social sau economic.

1.7. Importanța așteptărilor rezonabile

GDPR este ferm când afirmă că interesele individului ar putea, în anumite cazuri, să
depășească interesele legitime dacă intenționați să prelucrați date personale în moduri pe
care individul nu le așteaptă în mod rezonabil. Acest lucru se datorează faptului că, în cazul
în care prelucrarea este neașteptată, persoanele pierd controlul asupra utilizării datelor și nu
pot fi în cunoștință de cauză să-și exercite drepturile. După cum putem vedea, există o
legătură clară între interesul legitim și obligația de transparență pe care o aveți.

Preambulul (considerentul) 47 spune că:

”Interesele legitime ale unui operator, inclusiv cele ale unui operator căruia îi pot fi divulgate datele cu
caracter personal sau ale unei terțe părți, pot constitui un temei juridic pentru prelucrare, cu condiția să
nu prevaleze interesele sau drepturile și libertățile fundamentale ale persoanei vizate, luând în
considerare așteptările rezonabile ale persoanelor vizate bazate pe relația acestora cu operatorul.
Acest interes legitim ar putea exista, de exemplu, atunci când există o relație relevantă și adecvată între
persoana vizată și operator, cum ar fi cazul în care persoana vizată este un client al operatorului sau
se află în serviciul acestuia. În orice caz, existența unui interes legitim ar necesita o evaluare atentă,
care să stabilească inclusiv dacă o persoană vizată poate preconiza în mod rezonabil, în momentul și
în contextul colectării datelor cu caracter personal, posibilitatea prelucrării în acest scop. Interesele și
drepturile fundamentale ale persoanei vizate ar putea prevala în special în raport cu interesul
operatorului de date atunci când datele cu caracter personal sunt prelucrate în circumstanțe în
care persoanele vizate nu preconizează în mod rezonabil o prelucrare ulterioară. Întrucât
legiuitorul trebuie să furnizeze temeiul juridic pentru prelucrarea datelor cu caracter personal
de către autoritățile publice, temeiul juridic respectiv nu ar trebui să se aplice prelucrării de către
autoritățile publice în îndeplinirea sarcinilor care le revin. Prelucrarea de date cu caracter
personal strict necesară în scopul prevenirii fraudelor constituie, de asemenea, un interes

9
Fă-ți singur implementarea GDPR cu KIT-ul nostru!
 [Link]
gdpr@[Link]
legitim al operatorului de date în cauză. Prelucrarea de date cu caracter personal care are drept
scop marketingul direct poate fi considerată ca fiind desfășurată pentru un interes legitim.”

Trebuie să evaluați dacă persoana se poate aștepta în mod rezonabil la respectiva prelucrare,
ținând cont, în special, de perioada și modul în care au fost respectivele date colectate (când?
și cum?).

Acesta este un test obiectiv. Întrebarea nu se pune dacă un anumit individ așteaptă de fapt
prelucrarea, ci dacă o persoană rezonabilă ar trebui să se aștepte la respectiva prelucrare în
circumstanțele respective.

Unul dintre factorii care ar putea afecta ceea ce se așteaptă în mod rezonabil de la indivizi
este ceea ce le spuneți în informarea privind politica de prelucrare a datelor personale și
confidențialitatea acestor date. Dacă includeți informații clare despre prelucrarea dvs., care
să respecte dispozițiile articolelor 13 și 14 din GDPR este mai probabil ca persoanele vizate
să se aștepte la această prelucrare (citește mai multe aici despre ce ar trebui să conțină o
notă de informare a persoanelor vizate în conformitate cu dispozițiile GDPR).

Relația dvs. cu persoana vizată, joacă de asemenea un rol important în determinarea dacă
persoana respectivă s-ar aștepta în mod rezonabil ca prelucrarea să aibă loc sau nu.
Preambulul 47 indică faptul că este mai probabil ca interesele legitime să se aplice atunci
când aveți o "relație relevantă și adecvată", de exemplu, în situația în care persoana vizată
este clientul sau angajatul dvs. Dacă nu aveți o relație preexistentă, este mai greu să
demonstrați că prelucrarea poate fi așteptată în mod rezonabil. Dacă ați obținut datele de la o
terță parte (cum ar fi de exemplu bazele de date), trebuie să știți cu certitudine ce i s-a spus
persoanei respective cu privire la transmiterea acestor date pentru a fi utilizate de alții și dacă
această informare acoperă și scopul prelucrării dvs. deoarece acest lucru va afecta așteptările
rezonabile .

Alți factori ar putea afecta, de asemenea, așteptările rezonabile ale persoanelor, cum ar fi:

• acum cât timp ați colectat datele;

• sursa datelor;
• natura exactă a oricărei relații existente cu persoana și modul în care ați utilizat datele
în trecut; și
• dacă utilizați o nouă tehnologie sau prelucrați date într-un mod nou pe care indivizii nu
l-au anticipat - sau, invers, dacă există evoluții tehnologice sau actualizări ale serviciilor
la care indivizii se așteaptă.

 Exemplul 1

O persoană își încarcă CV-ul pe un o platformă de locuri de muncă. O agenție de recrutare accesează
CV-ul și consideră că persoana poate avea abilitățile pe care doi dintre clienții săi îi caută și dorește să
transmită CV-ul candidatului către aceste companii.

Este posibil ca, în această situație, baza legală de prelucrare pentru agenția de recrutare și clienții săi
să fie interesul legitim.

Persoana fizică și-a făcut CV-ul disponibil pe o platformă de locuri de muncă pentru motivul expres că
angajatorii au acces la aceste date. El nu și-au dat consimțământul specific pentru operatorii de date
identificați, dar se așteaptă în mod clar ca agențiile de recrutare să acceseze CV-ul și să le
împărtășească clienților, într-adevăr, aceasta este probabil intenția individului. Astfel, interesul legitim
al agențiilor de recrutare și al clienților săi de a ocupa posturile vacante nu ar fi înlăturat de interese sau

10
Fă-ți singur implementarea GDPR cu KIT-ul nostru!
 [Link]
gdpr@[Link]
drepturi ale individului. De fapt, aceste interese legitime sunt susceptibile de a se alinia cu interesele
individului în circulația CV-ului pentru a-și găsi un loc de muncă.

 Exemplul 2

O persoană creează un profil pe o rețea socială destinată networkingului sau relațiilor profesionale (de
exemplu, LinkedIn). Există o opțiune specifică de a selecta o funcție pentru a permite recrutorilor să
știe că persoana este deschisă oportunităților de angajare.

Dacă individul alege să selecteze acea opțiune, acesta se poate aștepta în mod clar că cei care văd
profilul lui ar putea utiliza datele lui de contact în scopuri de recrutare și că pot exista interese legitime
(cu condiția respectării altor cerințe legale și în special GDPR). Cu toate acestea, dacă acesta alege să
nu selecteze această opțiune, nu este rezonabil să presupunem o astfel de așteptare. Interesele
individului în menținerea controlului asupra datelor sale - în special în contextul cerinței GDPR privind
consimțământul specific de a primi mesaje de marketing nesolicitate - depășesc interesele legitime ale
unei agenții de recrutare în promovarea serviciilor sale potențialilor candidați.

Deși așteptările rezonabile sunt un factor important, ele nu determină automat rezultatul
testului. Pur și simplu, avertizând persoana în prealabil că datele sale vor fi prelucrate într-un
anumit mod nu înseamnă neapărat că interesele dvs. legitime prevalează întotdeauna,
indiferent de atingerea adusă. În unele cazuri, ați putea totuși să justificați prelucrarea
neașteptată dacă aveți un motiv convingător pentru aceasta.

1.8. Când interesele persoanelor vizate prevalează asupra intereselor

voastre?

Chiar dacă prelucrarea ar putea avea un impact negativ asupra persoanei vizate, acest lucru
nu înseamnă automat că interesele sale întotdeauna depășesc pe ale voastre. Acest lucru
depinde de gravitatea impactului și dacă este justificat în lumina scopului dvs. Interesele nu
trebuie întotdeauna să fie în armonie cu cele ale individului, iar dacă aveți un interes mai
convingător, acest lucru poate justifica un anumit impact asupra persoanelor.

 Exemplu

O societate de leasing nu poate localiza un client care a încetat să mai plătească în baza unui contract
de cumpărare în rate. Clientul și-a mutat domiciliul fără a anunța compania despre noua sa adresă.
Compania dorește să angajeze o agenție de recuperare a datoriilor pentru a găsi clientul și a solicita
rambursarea datoriei. Aceasta dorește să dezvăluie datele personale ale clientului agenției în acest
scop.

Societatea de leasing are un interes legitim în recuperarea datoriilor respective și, pentru a realiza acest
scop, este necesar ca aceasta să utilizeze o agenție de recuperare a datoriilor ca să identifice clientul
și să recupereze suma datorată.

Societatea de leasing parcurge testul de echilibrare și ajunge la concluzia că este rezonabil ca clienții
săi să se aștepte ca aceasta să ia măsuri pentru a solicita plata datoriilor restante. Este clar că
interesele clienților pot diferi față de cele ale societății în această situație, deoarece se poate întâmpla
ca clientul să dorească să se sustragă plății datoriei restante.

Cu toate acestea, interesul legitim de a transmite datele cu caracter personal unei agenții de recuperare
a datoriilor în aceste circumstanțe nu va fi înlăturat de interesele clientului, întrucât scopul urmărit (ie.
recuperarea datoriei ar fi în interesul societății de leasing).

11
Fă-ți singur implementarea GDPR cu KIT-ul nostru!
 [Link]
gdpr@[Link]
Cu toate acestea, dacă există o neconcordanță mare între interesele dvs. și cele ale individului
(iar acel acestuia sunt mai puternice), interesele individului prevalează, de exemplu în cazul
în care:

• nu ar aștepta în mod rezonabil prelucrarea;

• ar fi probabil să se opună prelucrării;
• prelucrarea ar avea un impact semnificativ asupra acestora;
• prelucrarea i-ar împiedica să-și exercite drepturile; sau
• datele pe care le prelucrați sunt deosebit de sensibile, de exemplu date din categoriile
speciale, date despre infracțiuni penale sau date despre copii (citește mai multe despre
datele sensibile și cum le prelucrăm aici și aici, iar despre datele privind copiii aici).

Cu toate acestea, rezultatul va depinde de circumstanțele cazului.

Pentru mai multe instrucțiuni practice privind evaluarea testului de echilibrare, citiți secțiunea
Ce trebuie să facem în practică?

2. Când ne putem baza pe interesul legitim?

2.1. Când este interesul legitim oportun pentru a fi folosit?

Interesul legitim este cel mai flexibil temei din toate cele șase temeiuri legale (citește mai multe
aici despre temeiurile de prelucrare pe GDPR). Nu se concentrează pe un anumit scop și, prin
urmare, vă oferă mai multă flexibilitate pentru a-l folosi în contexte diferite.

Interesul legitim poate fi cel mai potrivit temei atunci când:

• prelucrarea nu este cerută de lege, dar are un beneficiu clar pentru dvs. sau pentru
alții;
• există un impact limitat asupra vieții private asupra persoanei;
• individul ar trebui în mod rezonabil să se aștepte să utilizați datele în acest mod; și
• nu puteți sau nu doriți să vă bazați prelucrarea pe un control complet din partea
persoanei vizate (adică consimțământul) sau să-i deranjați cu cereri de consimțământ
atunci când este puțin probabil să se opună prelucrării.

De asemenea, pot apărea situații în care aveți o justificare convingătoare pentru prelucrare,
ceea ce poate însemna că poate fi justificat un impact mai intruziv asupra persoanei. Cu toate
acestea, în astfel de cazuri, trebuie să vă asigurați că puteți demonstra că orice impact este
justificat.

Interesul legitim este probabil cel mai util temei legal atunci când există fie un impact minim
asupra persoanei, fie o justificare convingătoare pentru prelucrare.

12
Fă-ți singur implementarea GDPR cu KIT-ul nostru!