Tri uvjeta
Europski odbor za zaštitu podataka (EDPB) u smjernicama o legitimnom interesu navodi tri uvjeta koja moraju biti ispunjena zajedno:
- Legitiman interes: interes voditelja obrade ili treće strane mora biti zakonit, jasno određen i stvaran, a ne samo moguć.
- Nužnost: obrada mora biti nužna za taj interes; ako se isti cilj može postići s manje podataka ili na način koji manje zadire u privatnost, uvjet nije ispunjen.
- Odvagivanje: interes voditelja obrade ne smije biti slabiji od interesa ili prava ispitanika, uzimajući u obzir razumna očekivanja ispitanika, vrstu podataka i posljedice obrade.
Procjenu je dobro dokumentirati prije početka obrade kako bi se mogla pokazati AZOP-u.
Primjeri
- sprječavanje prijevara (uvodna izjava 47. GDPR-a)
- osiguravanje sigurnosti mreže i informacijskih sustava (uvodna izjava 49.)
- prijenos podataka unutar grupe poduzetnika za interne administrativne potrebe (uvodna izjava 48.)
- videonadzor radi zaštite osoba i imovine
- izravni marketing, uz pravila Zakona o elektroničkim komunikacijama o slanju poruka
Kada se ne može koristiti
- tijela javne vlasti ne mogu se pozivati na legitimni interes za obradu koju provode pri izvršavanju svojih zadaća
- za posebne kategorije podataka, primjerice podatke o zdravlju, potrebna je i jedna od iznimaka iz čl. 9. GDPR-a
- kad ispitanik ne može razumno očekivati takvu obradu, a ona znatno zadire u njegova prava
- za slanje promotivnih poruka e-poštom novim kontaktima, za koje Zakon o elektroničkim komunikacijama traži privolu
Pravo na prigovor
Kad se obrada temelji na legitimnom interesu, ispitanik može zbog svoje posebne situacije uložiti prigovor (čl. 21.). Voditelj obrade tada mora prestati s obradom, osim ako dokaže uvjerljive legitimne razloge koji nadilaze interese, prava i slobode ispitanika ili ako je obrada potrebna radi postavljanja, ostvarivanja ili obrane pravnih zahtjeva. Prigovor na izravni marketing uvijek se mora uvažiti.
Primjer
Internetska trgovina analizira povijest kupnji svojih kupaca kako bi otkrila prijevare s karticama. Interes je legitiman, obrada je nužna i kupci je mogu razumno očekivati, pa se trgovina može osloniti na legitimni interes, uz dokumentiranu procjenu i obavijest u politici privatnosti.