Πώς να διεξαγάγετε την αξιολόγηση νόμιμων συμφερόντων (LIA); – Data Privacy Manager

ΛΙΑ σημαίνει Αξιολόγηση νόμιμων συμφερόντων. Είναι ένας όρος που δεν αναφέρεται άμεσα στο Γενικός Κανονισμός Προστασίας Δεδομένων (GDPR). Ωστόσο, η LIA είναι μια μορφή αξιολόγησης κινδύνου και θα πρέπει να διενεργείται όταν βασίζεται η επεξεργασία των προσωπικών σας δεδομένων έννομο συμφέρον.

ΛΙΑ υποστηρίζει τη νομιμότητα της επεξεργασίας σαςαποδεικνύει ότι έχετε κάνει τη βάση σας για να προσδιορίσετε ότι το έννομο συμφέρον είναι μια σωστή νόμιμη βάση, επιβεβαιώνει τη συμμόρφωσή σας και σας επιτρέπει να ευθυγραμμιστείτε με αρχή της λογοδοσίας.

Πότε το έννομο συμφέρον αποτελεί σωστή νόμιμη βάση;

Πριν ξεκινήσετε με οποιαδήποτε δραστηριότητα, θα πρέπει να ορίσετε μια νομική βάση για την επεξεργασία σας. Παρόλο που η συναίνεση είναι η πιο γνωστή νόμιμη βάση, ο GDPR αναγνωρίζει έξι διαφορετικές νόμιμες βάσεις για την επεξεργασία προσωπικών δεδομένων και η επεξεργασία σας θα πρέπει να βασίζεται σε ένα από αυτά:

Μπορεί να υποχρεωθείτε από το νόμο να επεξεργάζεστε δεδομένα κάποιου, να συνάψετε σύμβαση με ένα άτομο ή να επεξεργάζεστε τα δεδομένα του βάσει της συγκατάθεσής του. Ωστόσο, Το έννομο συμφέρον είναι λίγο διαφορετικό δεδομένου ότι δεν επικεντρώνεται γύρω από έναν συγκεκριμένο σκοπό και δεν βασίζεται στη συγκατάθεση. Γι‘ αυτό Συνιστάται το LIA για να σας βοηθήσει να επιβεβαιώσετε ότι το έννομο συμφέρον είναι η κατάλληλη βάση.

Δυστυχώς, ο GDPR δεν ορίζει ποιους παράγοντες πρέπει να λάβετε υπόψη όταν προσδιορίζετε εάν ο σκοπός σας είναι έννομο συμφέρον. Ωστόσο, σύμφωνα με το ICO, πρέπει να έχετε σαφή και συγκεκριμένα οφέλη κατά νου εάν θέλετε να βασιστείτε σε νόμιμα συμφέροντα.

Πρέπει να γίνε συγκεκριμένος σχετικά με το σκοπό της επεξεργασίας σας και αποφύγετε να είστε ασαφείς ή ονοματίζοντας γενικούς επιχειρηματικούς σκοπούς.

Όταν βασίζεστε στο έννομο συμφέρον ως νόμιμη βάση, βεβαιωθείτε ότι υπάρχει α σχετική και κατάλληλη σχέση μεταξύ του υποκειμένου των δεδομένων και του υπευθύνου επεξεργασίας (στην περίπτωση αυτή – Εσείς) σε καταστάσεις όπως η το υποκείμενο των δεδομένων είναι πελάτης ή στην υπηρεσία του ελεγκτή (Αιτιολογική σκέψη 47)

Βεβαιωθείτε ότι το έννομο συμφέρον επιδιώκεται από τον υπεύθυνο επεξεργασίας ή από τρίτο μέρος εξισορροπείται έναντι των θεμελιωδών δικαιωμάτων και ελευθεριών του υποκειμένου των δεδομένων.

Εάν είστε α δημόσια αρχή, δεν πρέπει να βασίζεστε στο έννομο συμφέρον κατά την εκτέλεση δημόσιων καθηκόντων.

Πώς να διεξάγετε μια LIA;

Δεν υπάρχουν καθορισμένοι κανόνες σχετικά με το πώς θα πρέπει να είναι το LIA σας, θα εξαρτηθεί από τις συγκεκριμένες συνθήκες της δραστηριότητας επεξεργασίας σας. Η αξιολόγηση μπορεί να είναι μικρότερη ή μεγαλύτερη, και μερικές φορές μπορεί ακόμη και να συμπεράνετε ότι θα πρέπει να πραγματοποιήσετε Αξιολόγηση Επιπτώσεων Προστασίας Δεδομένων (DPIA).

Θυμηθείτε, δεν μπορείτε να διεξάγετε LIA αφού έχετε ήδη ξεκινήσει τη δραστηριότητα επεξεργασίας, καθώς θα πρέπει να έχετε μια καθορισμένη νόμιμη βάση πριν ξεκινήσετε.

Ο καλύτερος τρόπος για να διασφαλίσετε ότι η LIA σας διεξάγεται σωστά είναι ακολουθώντας το α δοκιμή τριών μερών.

Τεστ LIA τριών μερών

Το τεστ τριών μερών βασίζεται στον ορισμό του έννομου συμφέροντος Άρθρο 6 GDPR: „Πrocessing είναι απαραίτητη για το σκοποί των έννομων συμφερόντων που επιδιώκει ο υπεύθυνος επεξεργασίας ή τρίτος, εκτός όταν αυτά τα συμφέροντα υπερισχύουν των συμφερόντων ή των θεμελιωδών δικαιωμάτων και ελευθεριών του υποκειμένου των δεδομένων που απαιτούν προστασία των δεδομένων προσωπικού χαρακτήρα, ιδίως όταν το υποκείμενο των δεδομένων είναι παιδί.»

1. Η δοκιμή σκοπού (υπάρχει έννομο συμφέρον πίσω από την επεξεργασία;)
2. Το τεστ αναγκαιότητας (είναι απαραίτητη η επεξεργασία;)
3. Το τεστ εξισορρόπησης (είναι το έννομο συμφέρον που παρακάμπτεται από το θεμελιωδών δικαιωμάτων και ελευθεριών του υποκειμένου των δεδομένων?)

Η απάντηση και στις τρεις παραπάνω ερωτήσεις και η τεκμηρίωση της απάντησής σας θα σας δώσει μια απάντηση αμερόληπτο συμπέρασμα σχετικά με τη νομιμότητα της επεξεργασίας σας και να αποδείξετε ότι έχετε λάβει τα πάντα υπόψη στην αξιολόγησή σας.

1. Η δοκιμή σκοπού

Στη δοκιμή σκοπού, θα πρέπει να αξιολογήσετε εάν ο σκοπός σας εμπίπτει στο έννομο συμφέρον. Το να κάνετε και να απαντήσετε σε μια σειρά ερωτήσεων θα σας βοηθήσει να το προσδιορίσετε. Έχουμε συλλέξει ερωτήσεις από διαφορετικές πηγές, αλλά μπορείτε να προσθέσετε ή να εξαιρέσετε ερωτήσεις όπως κρίνετε κατάλληλο για τη συγκεκριμένη περίπτωση:

• Γιατί επεξεργάζεστε δεδομένα;
• Ποια είναι τα οφέλη της επεξεργασίας;
• Η επεξεργασία είναι προς το συμφέρον σας ή προς το συμφέρον τρίτων;
• Είναι ηθική η επεξεργασία;
• Τι θα συνέβαινε αν δεν προχωρήσατε στην επεξεργασία;
• Είναι νόμιμη η επεξεργασία;

2. Το τεστ αναγκαιότητας

Το τεστ αναγκαιότητας θα σας βοηθήσει να ελέγξετε εάν η επεξεργασία που βασίζεται στο έννομο συμφέρον είναι στην πραγματικότητα απαραίτητη για τον σκοπό που προσπαθείτε να επιτύχετε. Οι ερωτήσεις που θέλετε να κάνετε είναι:

• Είναι απαραίτητη η επεξεργασία προσωπικών δεδομένων για την επίτευξη του σκοπού;
• Είναι η επεξεργασία ανάλογη με αυτό που προσπαθείτε να επιτύχετε;
• Μπορείτε να επεξεργαστείτε λιγότερα δεδομένα ή να μην επεξεργαστείτε καθόλου δεδομένα;
• Υπάρχουν άλλες, λιγότερο παρεμβατικές μέθοδοι διαθέσιμες για να σας βοηθήσουν να πετύχετε τον σκοπό σας;

3. Το τεστ εξισορρόπησης

Το τεστ εξισορρόπησης αφορά το τελευταίο μέρος του άρθρου 6(στ) του GDPR «…εκτός όταν αυτά τα συμφέροντα υπερισχύουν των συμφερόντων ή των θεμελιωδών δικαιωμάτων και ελευθεριών του υποκειμένου των δεδομένων που απαιτούν προστασία των δεδομένων προσωπικού χαρακτήρα, ιδίως όταν το υποκείμενο των δεδομένων είναι παιδί.»

Αυτό σημαίνει ότι θα πρέπει να αναλύσετε εάν τα θεμελιώδη δικαιώματα και ελευθερίες του ατόμου υπερισχύουν του έννομου συμφέροντός σας. Υπάρχουν ορισμένες κατηγορίες δεδομένων που προστατεύει ο GDPR με πρόσθετες απαιτήσεις και διασφαλίσεις, όπως ευαίσθητα προσωπικά δεδομένα ή δεδομένα που σχετίζονται με ανηλίκους.

Το ICO αναφέρει ότι το ελάχιστο που πρέπει να λάβετε υπόψη όταν κάνετε μια δοκιμή εξισορρόπησης είναι η φύση των δεδομένων, οι εύλογες προσδοκίες και ο αντίκτυπος που μπορεί να έχει η επεξεργασία στο άτομο, αυτό μπορεί να μεταφραστεί σε ένα σύνολο ερωτήσεων:

• Επεξεργάζεστε οποιοδήποτε είδος ευαίσθητα προσωπικά δεδομένα που εμπίπτει στην ειδική κατηγορία δεδομένων (βιομετρικά δεδομέναδεδομένα υγείας, γενετικά δεδομένα…);
• Επεξεργάζεστε προσωπικά δεδομένα που σχετίζονται με παιδιά και ανηλίκους;
• Πώς θα επηρεάσει η επεξεργασία τα άτομα;
• Η επεξεργασία σας επιβάλλει υψηλό κίνδυνο για τα δικαιώματα και τις ελευθερίες ενός ατόμου;

Γιατί πρέπει να διεξάγετε μια Αξιολόγηση Νόμιμων Συμφερόντων;

Είναι σημαντικό να αναφέρουμε ότι δεν υπάρχει απαίτηση στον GDPR που σας υποχρεώνει να διεξάγετε LIA, επομένως μπορεί να φαίνεται σαν περιττή πρόσθετη εργασία. Ωστόσο, η διεξαγωγή LIA θα σας βοηθήσει να δημιουργήσετε ένα μακροπρόθεσμο πρόγραμμα απορρήτου που θα καλύπτει όλες τις βάσεις.

Όπως αναφέραμε και πριν, είναι συνιστάται να διεξάγετε LIA, ώστε να μπορείτε εύκολα να αποδείξετε τη συμμόρφωσή σας στην εποπτική αρχή και να είναι σε θέση να συμμορφώνεται με την αρχή της λογοδοσίας.

Κατά τη διεξαγωγή LIA, φροντίστε να βρείτε επιχειρήματα που υποστηρίζουν και τις δύο πλευρές, ώστε να μπορείτε να έχετε πραγματικά αποτελέσματα. Εάν λάβετε αρνητικά αποτελέσματα στην αξιολόγησή σας, προσπαθήστε να επαναπροσδιορίσετε τον σκοπό, να ελαχιστοποιήσετε το πεδίο εφαρμογής ή να βρείτε μια εναλλακτική νόμιμη βάση.

Το LIA είναι επίσης υπέροχο μέθοδος αυτοαξιολόγησης που θα σας βοηθήσουν να κατανοήσετε τον αντίκτυπο της δραστηριότητας επεξεργασίας σας, να αποφύγετε τυχόν πιθανούς κινδύνους και να διασφαλίσετε τη νομιμότητα της επεξεργασίας.