Ani oprávněný zájem nezachrání vše

Pod pojem zpracování osobních údajů spadá velká většina činností a aktivit, které využívají informace o konkrétních lidech, fyzických osobách. Nejen údaje, které je přímo identifikují, ale i další data, která konkrétních a určitelných lidí týkají.

Oba pojmy, osobní údaj i zpracování údajů, jsou navíc v praxi dozorovými orgány i soudy vykládány značně rozšiřujícím způsobem. Osobní údaj je či může být prakticky vše, od IP adresy, přes VIN kód vozidla, až po informace o výsledku vědomostního testu.

Obecné nařízení o ochraně osobních údajů (GDPR) pro zpracování osobních dat stanoví několik základních principů, které musí dodržovat každý správce osobních údajů. Jedním z těchto principů je i zásada zákonnosti (legality) zpracování. Správce musí pro zpracování osobních údajů za konkrétním účelem (obsluha klientů, marketing, analýza dat, předcházení podvodům atd.) disponovat jedním z právních důvodů, jak je vymezuje GDPR. Jedná se typicky o zpracování nezbytné pro plnění smlouvy se subjektem údajů, pro dodržení právní povinnost správce, zpracování založené na souhlasu dotčené osoby nebo na oprávněném zájmu dané organizace.

Co když správce zpracovává osobní údaje bez právního titulu? Například tvrdí, že zpracování probíhá na základě souhlasu, ale souhlas není platný, protože klienti či zaměstnanci byli k jeho udělení nuceni nebo ani nevěděli, že souhlas na straně 15 obchodních podmínek udělují? V takovém případě je celé zpracování od počátku protiprávní. To lze jen obtížně zpětně napravit. Správci proto hrozí nejen vysoká pokuta, ale i závazný pokyn zpracování zastavit a nelegálně získaná data vymazat. A kromě toho také žaloby od dotčených osob, do jejichž soukromí správce takto protiprávně zasáhl.

Oprávněný zájem: Miláček davu

V praxi je jako právní důvod ke zpracování údajů velmi oblíbený tzv. oprávněný zájem. Proč? Protože pro jeho využití stačí „jenom“ vyhodnotit, že oprávněný zájem správce na využití údajů za určitým účelem (marketing, zabezpečení, analytika) převáží nad právy dotčených osob. V praxi se používá pojem balanční test, protože správce by měl vyvážit a posoudit (balancovat) svůj zájem s právy subjektů údajů.

O zpracování údajů na základě oprávněného zájmu jsou dotčené osoby pouze informovány v obecných informacích o zpracování osobních údajů (informační memorandum). Není nutné jim to dávat individuálně na vědomí, správce nepotřebuje ani jejich souhlas atd.

Typické chyby při využití oprávněného zájmu

Oprávněný zájem pokryje řadu legitimních účelů zpracování. I GDPR uvádí, že správce může mít oprávněný zájem na zpracování osobních údajů například za účelem přímého marketingu nebo předcházení a zamezení podvodům.

Ani oprávněný zájem však nezachrání vše a neochrání správce automaticky před pokutou nebo jiným postihem.

Chyby a nejasnosti spojené s aplikací oprávněného zájmu můžeme rozdělit do dvou skupin: Nesprávné či účelové provedení balančního testu, který správci „vyšel správně“, ačkoliv je zásah do práv subjektu údajů zjevně nepřiměřený. Druhou oblastí pak je neplnění dalších povinností souvisejících s využitím a aplikací oprávněného zájmu.

Špatné vyhodnocení oprávněného zájmu

Přílišné spoléhání se na oprávněný zájem a jen formální provedení balančního testu může vést k tomu, že správce vyhodnotí svůj oprávněný zájem jako dostatečný i tam, kde to zjevně nedává smysl. Proč? Protože zásah do práv dotčených osob je tak značný, že jej zájem na straně správce nemůže bez dalšího převážit. 

O tom, že se v praxi jedná o poměrně častý problém, svědčí i případy pokut z různých evropských zemí.

Naposledy se o tom přesvědčila mediální skupina Expressen Lifestyle ze Švédska. Ta pořizovala poměrně detailní profily svých klientů a pak je prodávala, aby je mohli marketingově vytěžit i jejich obchodní partneři. Toto zpracování opírala právě o svůj oprávněný zájem. Švédský dozorový úřad však byl jiného názoru. Konstatoval, že v tomto případě komerční zájem mediální skupiny rozhodně nepřevažuje nad právy jejich klientů, jinými slovy že oprávněný zájem není dostatečný právní titul k takovému zpracování osobních dat. A správci za to udělil pokutu ve výši zhruba 30 milionů Kč.  

Na případy, kdy je oprávněný zájem vykládán příliš extenzivně, ale poukazuje i český Úřad pro ochranu osobních údajů ve své výroční zprávě. Potvrzují to i nedávné případy z dalších zemí, například pokuta pro provozovatele registru ekonomických informací z Belgie ve výši 175.000 EUR nebo skutečně mimořádně vysoká pokuta 310 milionů EUR pro sociální síť LinkedIn, kterou jí irský dozorový úřad uložil právě za protiprávní profilování klientů za účelem personalizovaného marketingu.  

Další povinností související s oprávněným zájmem

Správné, férové a doložitelné vyhodnocení oprávněného zájmu je ovšem jen jednou z povinností, která je s uplatněním tohoto právního titulu spojena. I když správce provede balanční test skutečně objektivně, musí plnit i další povinnosti, aby se vyhnul porušení GDPR a hrozbě pokuty. 

O jaké povinnosti se jedná? 

• Správce by měl svůj postup a výsledek balančního testu dokumentovat. Proč? Aby ho byl schopen doložit a svůj postup obhájit, například při kontrole ze strany dozorového úřadu nebo při auditu.

• O zpracování osobních údajů na základě oprávněného zájmu je správce povinen transparentně informovat dotčené osoby. A být schopen toto plnění informační povinnosti také doložit.

• Je rovněž nezbytné nastavit proces pro příjem a přezkum námitky subjektu údajů proti zpracování jeho dat na základě oprávněného zájmu. Toto právo upravuje čl. 21 GDPR. Správce by měl námitku nejen přijmout, ale také objektivně posoudit, zda v konkrétním případě skutečně jeho oprávněný zájem na zpracování dat převažuje nad právy toho, kdo námitku podal. Výsledek posouzení je rovněž vhodné dokumentovat.

• Správce je povinen evidovat právní důvody pro jednotlivé účely v záznamech o činnostech zpracování vedených podle čl. 30 GDPR. Pozor, tyto záznamy si často vyžádá dozorový úřad či audit jako první podklad, i proto je vhodné skutečně dbát na jejich aktuálnost a úplnost.

Je vaše organizace v bezpečí?

Oprávněný zájem je jeden z několika možných právních důvodů pro legální zpracování osobních údajů. Jako takový je vhodný pro řadu situací a účelů zpracování, například ochranu kritických zájmů správce, zabezpečení dat, předcházení podvodům či jinému protiprávnímu jednání, někdy i pro základní marketing.

Tento právní důvod se však nehodí pro každé využití dat. Formalistické provádění balančního testu, jeho nedostatečné dokumentování či neplnění informační povinnosti mohou velmi snadno vést k porušení GDPR a pokutě.

Víte, a máte zdokumentováno, pro jaké využití dat vaše organizace spoléhá na oprávněný zájem?

Vědí to také vaši klienti a zaměstnanci?

Článek je publikován rovněž na doméně GDPR.cz.