GHID

INTERESUL LEGITIM

powered by
 INTERESUL LEGITIM ÎN GDPR
SCURT GHID PENTRU APLICARE

CUPRINS

1. CARE ESTE REGLEMENTAREA INTERESULUI LEGITIM?....................................................... 3

1.1. Ce spune articolul 6 alin. (1) lit. f) despre interesul legitim?..................................... 3
1.2. Cum dovedim un interes legitim? ............................................................................ 3
1.3. Ce poate fi calificat ca interes legitim? .................................................................... 4
1.4. Când este prelucrarea ”necesară”?......................................................................... 6
1.5. Ce este testul de echilibrare? .................................................................................. 8
1.6. Care sunt ”interesele sau drepturile și libertățile fundamentale” ale persoanelor? ... 9
1.7. Importanța așteptărilor rezonabile ........................................................................... 9
1.8. Când interesele persoanelor vizate prevalează asupra intereselor voastre? ......... 11
2. CÂND NE PUTEM BAZA PE INTERESUL LEGITIM? ................................................................ 12
2.1. Când este interesul legitim oportun pentru a fi folosit? .......................................... 12
2.2. Putem folosi interesul legitim ca un temei legal implicit pentru toate prelucrările? . 13
2.3. Care sunt beneficiile alegerii interesului legitim? ................................................... 13
2.4. Există și dezavantaje? .......................................................................................... 14
2.5. Se pot baza autoritățile publice pe interesul legitim? ............................................. 14
2.6. Există cazuri în care scopul poate servi drept interes legitim? .............................. 15
2.7. Există cazuri când este probabil să se aplice interesul legitim? ............................ 15
2.8. Putem folosi interesul legitim pentru prelucrarea datelor angajaților? .................... 16
2.9. Putem folosi interesul legitim pentru transferuri intra-grup?................................... 17
2.10. Putem folosi interesul legitim pentru activități de marketing? ............................. 17
2.11. Putem folosi interesul legitim pentru contactele B2B? ....................................... 21
2.12. Putem folosi interesul legitim pentru prelucrarea datelor personale ale copiilor? 21
2.13. Putem folosi interesul legitim pentru a divulga date către terțe persoane?......... 22
2.14. Ce facem cu datele din categoriile speciale? ..................................................... 22
2.15. Când ar trebui să evităm interesul legitim? ........................................................ 23
2.16. Care sunt alternativele?..................................................................................... 24
3. CE TREBUIE SĂ FACEM ÎN PRACTICĂ? .................................................................................. 24
3.1. De ce trebuie să facem o AIL? .............................................................................. 25
3.2. Cum se face o AIL? .............................................................................................. 25
3.2.1 Cum facem testul de scop?............................................................................ 26

1
Fă-ți singur implementarea GDPR cu KIT-ul nostru!
 3.2.2 Cum facem testul de necesitate? ................................................................... 27
3.2.3 Cum facem testul de echilibrare? ................................................................... 27
3.2.4 Cum decidem rezultatul? ............................................................................... 31
3.2.5 Ce facem mai departe?.................................................................................. 32
3.2.6 Cum legăm o AIL de o DPIA? ........................................................................ 32
4. CE TREBUIE SĂ MAI AVEM ÎN VEDERE? ................................................................................. 33
4.1. Ce spunem oamenilor? ......................................................................................... 33
4.2. Dacă scopurile prelucrărilor noastre se schimbă? ................................................. 33
4.3. Ce drepturi au persoanele vizate? ........................................................................ 34

2
Fă-ți singur implementarea GDPR cu KIT-ul nostru!
 [Link]
gdpr@[Link]
1. Care este reglementarea interesului legitim?

1.1. Ce spune articolul 6 alin. (1) lit. f) despre interesul legitim?

Interesul legitim reprezintă una dintre cele șase baze legale pentru prelucrarea datelor cu
caracter personal. Trebuie să aveți o bază legală pentru a prelucra datele personale în
conformitate cu principiile "legalității, echității și transparenței".

Articolul 6 alin. (1) lit. f) din GDPR spune că:

(1) Prelucrarea este legală numai dacă și în măsura în care se aplică cel puțin una dintre
următoarele condiții:
(f) prelucrarea este necesară în scopul intereselor legitime urmărite de operator sau de o
parte terță, cu excepția cazului în care prevalează interesele sau drepturile și libertățile
fundamentale ale persoanei vizate, care necesită protejarea datelor cu caracter personal,
în special atunci când persoana vizată este un copil

Interesul legitim diferă de celelalte temeiuri legale, deoarece nu este centrate pe un anumit
scop (de exemplu, încheierea sau executarea unui contract cu o persoană, respectarea unei
obligații legale, protejarea intereselor vitale sau îndeplinirea unei sarcini publice). Interesul
legitim este mai flexibile și ar putea, în principiu, să se aplice oricărui tip de prelucrare care
are un scop rezonabil.

Deoarece s-ar putea aplica într-o gamă largă de împrejurări, rămâne în sarcina voastră să
echilibrați interesele legitime și necesitatea prelucrării datelor cu caracter personal împotriva
intereselor, drepturilor și libertăților individului, ținând cont de circumstanțele particulare ale
afacerii. Acest lucru este diferit de celelalte baze legale, care presupun că interesele dvs. și
cele ale individului sunt echilibrate.

1.2. Cum dovedim un interes legitim?

Elementele-cheie ale interesului legitim pot fi împărțite într-un test format din trei părți.

Chiar dacă test din trei părți nu este prezentat în mod explicit ca atare în GDPR, normele
privind interesul legitim includ trei elemente-cheie.

Astfel, articolul 6 alineatul (1) litera (f) se clasifică în trei părți:

”prelucrarea este necesară în scopul:

intereselor legitime urmărite de operator sau de o parte terță (regula)

3
Fă-ți singur implementarea GDPR cu KIT-ul nostru!
 [Link]
gdpr@[Link]
cu excepția cazului în care prevalează interesele sau drepturile și libertățile fundamentale ale
persoanei vizate, care necesită protejarea datelor cu caracter personal, în special atunci când
persoana vizată este un copil.”

Logica în acest caz ar trebui aplicată în următoarea ordine:

Testul de scop - există un interes legitim în spatele prelucrării?

Testul de necesitate - este prelucrarea necesară în acest scop?

Testul de echilibrare - este interesul legitim înlăturat de interesele, drepturile sau libertățile
individului?

Acest concept al unui test de trei părți pentru interese legitime nu este o noutate în GDPR. De
fapt, Curtea de Justiție a Uniunii Europene a confirmat această abordare a intereselor legitime
în cauza Rigas (C-13/16, 4 mai 2017) în contextul Directivei 95/46/CE privind protecția datelor,
care conținea o dispoziţie foarte asemănătoare.

Asta înseamnă că nu este suficient să decideți pur și simplu că este în interesele dvs. legitime
și să începeți prelucrarea datelor. Trebuie să puteți satisface toate cele trei părți ale testului
înainte de începerea prelucrării.

1.3. Ce poate fi calificat ca interes legitim?

O gamă largă de interese pot fi interese legitime. Ar putea fi interesele dvs. legitime în
prelucrare sau ar putea include interesele legitime ale oricărei terțe părți. Termenul de "terță
parte" nu se referă numai la alte organizații, ci și la o persoană terță.

Interesele legitime ale publicului în general pot, de asemenea, să joace un rol important atunci
când hotărâți dacă interesele legitime ale prelucrării au prioritate asupra intereselor și
drepturilor individului. Dacă prelucrarea are un interes public mai larg pentru societate în
ansamblul său, atunci acest lucru poate adăuga o greutate intereselor dvs. atunci când le
echilibrați față de cele ale individului.

 Exemplu

O societate de asigurări dorește să prelucreze date cu caracter personal pentru a identifica afirmațiile
frauduloase pe baza unor interese legitime.

În primul rând, ea face testul de scop. Este în interesele legitime ale companiei să se asigure că clienții
ei nu fac fraude cu banii companiei. Cu toate acestea, în același timp, ceilalți clienți ai companiei și
publicul în general au, de asemenea, un interes legitim de a asigura împiedicarea și totodată detectarea
fraudelor.

Întrucât a îndeplinit testul scopului, societatea de asigurări poate trece apoi în considerare testului de
necesitate și apoi a testului de echilibrare.

4
Fă-ți singur implementarea GDPR cu KIT-ul nostru!
 [Link]
gdpr@[Link]
GDPR nu definește care sunt factorii de care să țineți cont atunci când decideți dacă scopul
dvs. este un interes legitim. Ar putea fi la fel de simplu ca și cum ar fi legitim să începeți o
nouă afacere sau să vă dezvoltați afacerea.

Deoarece termenul de "interes legitim" este larg, interesele nu trebuie să fie foarte
convingătoare (deși, în unele cazuri, acestea ar putea fi) și nu exclude interese mai triviale.
Un interes care ar putea fi privit ca fiind trivial sau controversat ar putea totuși să reprezinte
un interes legitim pentru aceste scopuri, ar trebui să țineți cont că acestea ar putea fi depășite
în cadrul testului de echilibrare sau în cazul în care persoana vizată se opune prelucrării în
temeiul articolului 21.

A arăta că aveți un interes legitim înseamnă că trebuie că dvs. (sau o parte terță) să aveți un
anumit beneficiu clar sau specific. Nu este suficient să vă bazați pe interese vagi sau generice
de afaceri (cum ar fi să spuneți că vă crește vânzările cu x% deși nu aveți nicio dovadă în
sensul ăsta). Trebuie să vă gândiți în mod clar și aplicat ce încercați să obțineți cu respectiva
operațiune de prelucrare.

De exemplu, nu este suficient să spunem: "avem un interes legitim în prelucrarea datelor

despre clienți", deoarece acest lucru nu clarifică scopul sau rezultatul dorit. În schimb, trebuie
să fiți mai specific cu privire la scopul urmărit, cum ar fi: "avem un interes legitim de a
comercializa produsele noastre clienților existenți pentru a crește vânzările".

Deși orice scop ar putea fi relevant, acest scop trebuie să fie "legitim". Orice interes nelegitim,
lipsit de etică sau ilegal nu este un interes legitim. De exemplu, deși comercializarea poate fi,
în general, un scop legitim, trimiterea de e-mailuri spam care încalcă regulile de marketing
electronic nu este legitimă.

 Dacă interesul nu este legitim, atunci nu îndepliniți prima parte a testului și nu puteți
folosi interesul legitim ca bază legală. Nu este necesar să se ia în considerare restul
testului, deoarece celelalte părți nu pot legitima prelucrarea care nu este legitimă încă de la
început (adică dacă celelalte părți ale testului ar putea îndeplini condițiile, nu o suplinesc pe
prima).

GDPR nu are o listă exhaustivă a scopurilor care ar putea constitui un interes legitim. Cu toate
acestea, considerentele spun că următoarele scopuri constituie un interes legitim:

• prevenirea fraudei;
• asigurarea securității rețelelor și a informațiilor; sau
• indicând posibile acte criminale sau amenințări la adresa securității publice.

Prin urmare, dacă prelucrați datele pentru unul din aceste scopuri, este posibil să depuneți
mai puține eforturi pentru a demonstra că vă bazați pe interesul legitim.

De asemenea, considerentele menționează că următoarele activități pot indica un interes

legitim:

5
Fă-ți singur implementarea GDPR cu KIT-ul nostru!