Oprávněný zájem na zpracování osobních údajů v obchodním kontextu

Téma oprávněného zájmu jako právního důvodu ke zpracování osobních dat a otázka, zda tento zájem může být „pouze" komerční, byly v posledních letech předmětem intenzivní diskuse zejména v Nizozemsku. Nizozemský úřad pro ochranu osobních údajů tradičně interpretoval tento koncept velmi úzce tak, že organizace nemohou považovat čistě komerční potřeby za oprávněný zájem ve smyslu obecnéo nařízení o ochraně osobních údajů (GDPR); naopak, tento zájem musí být zakotven v zákoně. Úzká interpretace prakticky znemožnila organizacím využívat oprávněný zájem jako právní základ pro zpracování osobních údajů podle článku 6 odst. 1 písm. f) nařízení GDPR.

Nedávné rozhodnutí Soudního dvora Evropské unie (SDEU) přineslo důležité upřesnění výkladu, které organizacím umožňuje „oddechnout si“. Ve svém rozsudku ze 4. října 2024 SDEU uznal, že za „oprávněný zájem“ podle GDPR může být považována skutečně široká škála zájmů a potřeb a že není nutné, aby tyto zájmy byly stanoveny zákonem. Evropský soud sice odmítl přímo odpovědět na konkrétní otázky, které mu položil okresní soud v Amsterdamu, jeho postoj je však jasný: Oprávněné zájmy ke zpracování údajů mohou zahrnovat i čistě komerční potřeby.

Dlouhý spor o oprávněný zájem

Nizozemský úřad po mnoho let prosazoval úzkou interpretaci konceptu oprávněného zájmu, což se odráží i v jeho rozhodnutích. Zmiňme například tyto dva případy z oblasti sportu:

• Královský nizozemský tenisový svaz: Případ, který byl později předložen amsterdamskému soudu, začal v roce 2019, kdy úřad uložil tenisovému svazu pokutu ve výši 525.000 EUR za neoprávněné sdílení osobních údajů svých členů se dvěma sponzory pro marketingové účely výměnou za odměnu. Dozorový úřad dospěl k závěru, že tenisová svaz jako správce osobních údajů se nemůže odvolávat na oprávněný zájem, protože tento zájem byl výlučně komerční, přičemž podle úřadu musí být „zákonný a zakotvený v zákoně“.

• VoetbalTV: V roce 2020 nizozemský úřad pro ochranu dat rovněž uložil pokutu ve výši 575.000 EUR společnosti VoetbalTV za zpracování osobních údajů na základě čistě komerčního zájmu.

Nizozemský úřad se držel svého přístupu i přes kritiku ze strany Evropské komise. Ta vyjádřila obavy, že takto přísný výklad omezuje možnosti podnikatelů zpracovávat osobní údaje pro komerční účely.

Nizozemské soudy a jejich pohled na oprávněný zájem

Do diskuze se zapojily rovněž nizozemské soudy. V případě VoetbalTV příslušný soud dospěl k závěru, že dozorový úřad nesprávně interpretoval pojem oprávněný zájem a že komerční potřeba sama o sobě nevylučuje možnost uplatnění oprávněného zájmu jako právního důvodu ke zpracování dat.

Soudní dvůr EU stanovil přesná pravidla 

Jak se k věci vyjádřil SDEU v komentovaném rozsudku? 

Zdůraznil několik klíčových bodů pro aplikaci oprávněného zájmu jako právního důvodu ke zpracování osobních údajů, i když je tento zájem ryze komerční.

Striktní nezbytnost zpracování

Pro uznání obchodní potřeby jako oprávněného zájmu ve smyslu GDPR je nezbytné, aby správce dodržel zásadu „striktní nezbytnosti“. To znamená, že zpracování osobních údajů musí být skutečně potřebné k dosažení sledovaného cíle a že tento nesmí být v rozporu se základními právy a svobodami dotčených osob. Soudní dvůr zdůraznil, že každé zpracování údajů musí být prováděno s respektem k zásadě minimalizace údajů, která zaručuje, že zpracovávané údaje jsou přiměřené a omezené na účel, k němuž jsou poskytnuty.

Informování a souhlas dotčených osob

V rámci posuzování oprávněného zájmu SDEU doporučil, aby organizace, které mají zájem poskytnout osobní údaje svých členů třetím stranám, tyto osoby předem informovaly a umožnily jim vyjádřit nesouhlas. To by subjektům údajů umožnilo získat větší kontrolu nad zpracováním jejich údajů, čímž by se minimalizoval zásah do soukromí jednotlivců a zároveň podpořila transparentnost zpracování.

Nizozemský tenisový svaz se následně obrátil na SDEU, aby objasnil, jak má být pojem „oprávněný zájem“ v rámci GDPR chápán. Měl by být oprávněný zájem výlučně zakotvený v zákoně, nebo může být jakákoliv komerční potřeba považována za oprávněný zájem, pokud není v rozporu se zákonem?

SDEU se rozhodl na otázky přímo neodpovědět, ale přeformuloval je na základě okolností celého případu. Soud znovu potvrdil třífázový test k posouzení oprávněného zájmu:

• sledování oprávněného zájmu,

• potřebnost zpracování osobních údajů a

• skutečnost, že zájmy nebo základní práva a svobody dotčených osob nepřevažují nad oprávněnými zájmy.

Nejdůležitější je závěr k první fázi testu: SDEU uvedl, že za oprávněný zájem může být považována široká škála potřeb, zájmů a cílů činnosti, které nemusí být stanoveny zákonem (avšak musí být v souladu se zákonem).

Nyní je na amsterdamském soudu, aby na základě konkrétních okolností případu posoudil, zda je v daném případě takový oprávněný zájem skutečně přítomný a zda jsou splněny i další dvě podmínky. Vzhledem k faktům případu a vyjádřením SDEU je však podle mého názoru nepravděpodobné, že čistě komerční zájem v tomto případě projde třífázovým testem. 

Proč? Zejména kvůli tomu, že test klade důraz nejen na dosažení zájmu organizace, ale především na ochranu práv a svobod jednotlivců. Čistě komerční zájem musí mít širší význam, než jen ziskovost. Tento širší význam a obsah může být obtížné doložit. Také je nezbytné podotknout, že pokud komerční zájem nepřináší přímý přínos jednotlivcům nebo společnosti, jejich práva často převáží, což opět komplikuje obhájení komerčního zájmu s ohledem na přiměřenost zpracování.

Dopad rozsudku na podniky

Aktuální rozsudek SDEU představuje důležité upřesnění pro všechny organizace, které v rámci svých obchodních aktivit aktivně pracují s osobními údaji na základě oprávněného zájmu. Přispívá k rovnováze mezi obchodními potřebami a ochranou osobních údajů a práv jednotlivců, což je jedním z hlavních cílů GDPR.

Rozsudek SDEU je konečným krokem v dlouho kritizované přísné interpretaci pojmu oprávněný zájem nizozemským dozorovým úřadem. Ačkoli tento rozsudek nezachrání společnost VoetbalTV (která během sporu s úřadem zkrachovala), jde o pozitivní zprávu pro ostatní (nejen) nizozemské podniky, které nyní mají jasnější vodítka k uplatnění oprávněného zájmu pro využití osobních dat za komerčními účely.

Článek je publikován také na doméně GDPR.cz