Teisėtas interesas: kada jo užtenka ir kada ne

Teisėto intereso užtenka, kai įvykdytos trys sąlygos: turite konkretų teisėtą interesą, duomenų tvarkymas jam iš tikrųjų būtinas, o žmogaus interesai ir teisės nėra viršesni (BDAR 6 str. 1 d. f p.). EDPB rekomenduoja vertinimą atlikti prieš pradedant tvarkyti duomenis ir jį užrašyti, nes valdytojas turi gebėti įrodyti, kad laikosi reikalavimų (BDAR 5 str. 2 d.). Teisėto intereso neužtenka, kai įstatymas reikalauja sutikimo, pavyzdžiui, elektroninei rinkodarai fiziniams asmenims, kai tvarkomi specialių kategorijų duomenys ir netaikoma nė viena BDAR 9 str. 2 d. išimtis, ir kai duomenis tvarko valdžios institucija, vykdydama savo užduotis.

Teisėtas interesas gali atrodyti lengviausias pagrindas: nereikia nei sutikimo, nei sutarties. Būtent todėl juo remiantis lengviausia suklysti. Kaip pusiausvyros testą atlikti žingsnis po žingsnio, rašo mūsų partneriai Privacio. Čia – kada šio pagrindo pakanka, kur jis neveikia ir kas nutinka, kai juo remiamasi be pagrindo.

Ką reikalauja įstatymas

BDAR 6 str. 1 d. f p. leidžia tvarkyti duomenis, kai tai būtina siekiant teisėtų valdytojo ar trečiosios šalies interesų, išskyrus atvejus, kai žmogaus interesai ar pagrindinės teisės ir laisvės yra viršesni. Ypač kai tas žmogus yra vaikas.

Europos duomenų apsaugos valdyba (EDPB) gairėse 1/2024 dėl teisėto intereso (2024 m. spalio 8 d. versija, pateikta viešoms konsultacijoms) šias sąlygas vadina trimis kumuliatyviomis. Tai ne galutinis dokumentas, todėl jį naudojame kaip EDPB poziciją, o ne kaip privalomą taisyklę. Interesas turi būti teisėtas, tiksliai suformuluotas ir esamas, o ne hipotetinis. Tvarkymas nėra būtinas, jei tą patį tikslą galima pagrįstai ir taip pat veiksmingai pasiekti mažiau įsiterpiančiu būdu. Tada teisėtu interesu remtis negalima.

Iš reglamento kyla dar dvi pareigos. Valdytojas turi gebėti įrodyti, kad laikosi principų (BDAR 5 str. 2 d.). Todėl EDPB nurodo vertinimą atlikti proceso pradžioje ir jį dokumentuoti. Be to, privatumo pranešime turi būti nurodyta, koks būtent teisėtas interesas siekiamas (BDAR 13 str. 1 d. d p.). Užrašyti vien „teisėtas interesas“ neužtenka.

BDAR 47 konstatuojamoji dalis pateikia gaires, kaip vertinti. Svarbu, ar žmogus, kai renkami duomenys, gali pagrįstai tikėtis tokio tvarkymo. Jei nesitiki, jo interesai gali būti viršesni.

Pavyzdys: telefono numeris blokavimo sąraše

Klientas klausė, ar galima pasilikti telefono numerį blokavimo sąraše, kai vartotojas ištrina paskyrą. Tikslas buvo aiškus: kad už piktnaudžiavimą pašalintas asmuo vėl neužsiregistruotų.

Mūsų atsakymas: galima, remiantis teisėtu interesu. BDAR 47 konstatuojamoji dalis duomenų tvarkymą tiek, kiek tai būtina sukčiavimo prevencijos tikslais, nurodo kaip teisėto intereso pavyzdį. Jei piktnaudžiavimas nėra sukčiavimas (pvz., priekabiavimas ar šlamštas), interesas taip pat gali būti teisėtas, bet jį reikia pagrįsti vertinime. Bet kuriuo atveju – tik su sąlygomis:

• parengti ir saugoti raštu atliktą teisėto intereso vertinimą;
• saugoti kuo mažiau: geriausia ne patį numerį, o jo maišos (hash) reikšmę, be profilio. Maiša vis tiek laikoma asmens duomenimis, nes ją galima priskirti asmeniui (BDAR 26 konstatuojamoji dalis), todėl kitos sąlygos lieka;
• naudoti tik šiam tikslui, ne rinkodarai;
• nustatyti terminą ir po jo ištrinti. Terminą reikia pagrįsti tikslu. Jei sąrašas naudojamas ir galimiems reikalavimams dėl padarytos žalos pareikšti ar apginti, terminą galima sieti su ieškinio senatimi: tokiems reikalavimams taikomas trejų metų terminas (CK 1.125 str. 9 d.);
• apie tai parašyti privatumo pranešime.

Šis pavyzdys gerai rodo ribą. EDPB gairėse pabrėžia, kad sukčiavimo prevencija nėra automatinis leidimas. Valdytojas turi įvardyti, kokio būtent piktnaudžiavimo siekia išvengti ir kokių duomenų tam reikia. Bendra frazė „kovai su sukčiavimu“ privatumo pranešime nėra pakankama. Jei vietoj numerio maišos būtų saugomas visas ištrintos paskyros profilis, tas pats interesas to nebepateisintų.

Kada teisėto intereso neužtenka

Elektroninė rinkodara fiziniams asmenims. Siųsti rinkodaros pranešimus el. paštu ar SMS leidžiama tik gavus išankstinį gavėjo sutikimą (ERĮ 81 str. 1 d.). Vienintelė išimtis fiziniams asmenims – el. pašto kontaktus, gautus iš savo kliento parduodant prekes ar teikiant paslaugas, naudoti savo panašių prekių ar paslaugų rinkodarai. Kontaktai turi būti gauti laikantis BDAR, o klientui turi būti suteikta aiški, lengvai įgyvendinama ir be jokio mokesčio galimybė nesutikti, kai renkami duomenys, ir kiekvienoje žinutėje (ERĮ 81 str. 2 d.). Pagal ERĮ 81 str. redakciją, galiojančią nuo 2026 m. balandžio 22 d., kai gavėjas yra juridinis asmuo, sutikimo nereikia, bet privaloma atsisakymo galimybė be jokio mokesčio (ERĮ 81 str. 1 d.). EDPB nurodo, kad kai įstatymas reikalauja sutikimo, teisėtu interesu remtis negalima. Plačiau apie tai rašome straipsnyje apie tiesioginę rinkodarą el. paštu ir SMS.

Panašus klausimas kyla, kai klientų el. pašto adresai perduodami reklamos platformai auditorijoms sudaryti. Tai nedraudžiama, bet reikia teisinio pagrindo, informacijos privatumo pranešime, įrašo duomenų tvarkymo veiklos įrašuose ir sutarties su platforma. Svarbiausia – žmogus bet kada gali nesutikti su tiesiogine rinkodara, ir tada duomenys tokiais tikslais nebetvarkomi (BDAR 21 str. 2 ir 3 d.).

Specialių kategorijų duomenys. Sveikatos, biometrinių ir kitų specialių kategorijų duomenų tvarkymas draudžiamas (BDAR 9 str. 1 d.), nebent taikoma viena iš BDAR 9 str. 2 d. išimčių. Teisėtas interesas šio draudimo nepanaikina. Reikia ir BDAR 6 str. pagrindo, ir atskiros 9 str. 2 d. išimties.

Valdžios institucijos. Teisėtu interesu negali remtis valdžios institucijos, kai duomenis tvarko vykdydamos savo užduotis (BDAR 6 str. 1 d. antra pastraipa). Jų pagrindas turi kilti iš įstatymo.

Kai tvarkymo reikalauja įstatymas. Tada pagrindas yra teisinė prievolė, o ne teisėtas interesas. EDPB tai nurodo ir dėl sukčiavimo prevencijos: jei įstatymas konkretų tvarkymą reikalauja atlikti, taikomas BDAR 6 str. 1 d. c p.

Kas nutinka, kai remiamasi be pagrindo

Pirma rizika – prieštaravimas. Kai tvarkoma pagal teisėtą interesą, žmogus bet kuriuo metu gali nesutikti dėl su jo situacija susijusių priežasčių. Tada valdytojas duomenų nebetvarko, nebent įrodo įtikinamas teisėtas priežastis, kurios yra viršesnės, arba duomenų reikia teisiniams reikalavimams pareikšti, vykdyti ar apginti (BDAR 21 str. 1 d.). Įrodyti reikia Jums, ne žmogui. Jei vertinimo nėra, per atsakymo terminą jį tenka rašyti skubomis, ir jis gali skambėti kaip pasiteisinimas.

Antra rizika – patikrinimas ar skundas. VDAI klausia, kuo remiantis duomenys tvarkomi. Neužrašytas vertinimas nieko neįrodo, o BDAR 5 str. 2 d. naštą uždeda valdytojui. Teisėtumo pagrindo pažeidimas priskirtas griežčiausiai baudų grupei – iki 20 milijonų eurų arba, įmonės atveju, iki 4 % ankstesnių finansinių metų bendros metinės pasaulinės apyvartos, taikoma didesnė suma (BDAR 83 str. 5 d. a p.).

Trečia rizika – netinkamas pagrindas iš esmės. Jei rinkodarai, kuriai reikia sutikimo, pasirinktas teisėtas interesas, joks vertinimas situacijos nepataiso. Tvarkymą tenka sustabdyti, o fizinių asmenų kontaktus rinkodarai toliau galima naudoti tik gavus jų sutikimą arba, savo klientams, laikantis ERĮ 81 str. 2 d. sąlygų. Kada sutikimas galioja ir kada ne, rašome straipsnyje Sutikimas pagal BDAR: kada jo reikia ir kada jis negalioja.

Plačiau apie tai, kodėl darbo santykiuose sutikimas beveik niekada netinka ir kada tada padeda teisėtas interesas, rašėme straipsnyje apie darbuotojo sutikimą.

Kada kreiptis į teisininką

• kai teisėtu interesu grindžiate stebėjimą, profiliavimą ar ilgą duomenų saugojimą;
• kai tvarkymas susijęs su vaikais, darbuotojais ar specialių kategorijų duomenimis;
• kai duomenis norite naudoti rinkodarai ar perduoti reklamos platformai;
• kai žmogus pateikė prieštaravimą ar VDAI paprašė pagrįsti teisinį pagrindą;
• kai nesate tikri, ar Jūsų organizacija laikoma valdžios institucija.