Euroopan tietosuojaneuvoston ohjeluonnos oikeutetusta edusta julkiselle kuulemiskierrokselle
Euroopan tietosuojaneuvosto on laatinut ohjeluonnoksen henkilötietojen käsittelystä oikeutetun edun perusteella. Ohjeessa selvennetään, millä perusteilla organisaatio voi käyttää oikeutettua etuaan käsittelyperusteena, ja kuinka oikeutetun edun käyttöä tulee arvioida erilaisissa tilanteissa. Ohjetta voi kommentoida tietosuojaneuvoston verkkosivuilla 20. marraskuuta saakka.
Oikeutettu etu on yksi kuudesta mahdollisesta perusteesta, joilla organisaatiot voivat käsitellä ihmisten henkilötietoja.
Uudessa ohjeessa määritellään kriteerit, joiden perusteella organisaatiot voivat nojautua henkilötietojen käsittelyssä oikeutettuun etuunsa. Jotta oikeutettu etu on pätevä käsittelyperuste, on kolmen vaatimuksen täytyttävä:
- Rekisterinpitäjän tai kolmannen osapuolen oikeutettu etu on olemassa
- Henkilötietojen käsittelyn on oltava tarpeellista oikeutetun edun toteutumiseksi
- Yksilöiden edut tai perusoikeudet eivät ylitä rekisterinpitäjän tai kolmannen osapuolen oikeutettuja etuja (tämä varmistetaan tasapainotestillä)
Oikeutetun edun on oltava laillinen, selkeä ja täsmällisesti määritelty, jotta sitä voi käyttää henkilötietojen käsittelyperusteena. Tällaisia oikeutettuja etuja voi olla esimerkiksi tilanteessa, jossa henkilö on organisaation asiakas tai työskentelee sen palveluksessa.
Jos tavoiteltujen etujen saavuttamiseksi on olemassa yhtä tehokkaita ja kohtuullisia keinoja, joilla puututaan vähemmän ihmisten yksityisyyteen, henkilötietojen käsittelyä oikeutetun edun perusteella ei välttämättä voida pitää tarpeellisena. Organisaation on myös varmistettava, että sen oikeutettu etu ei syrjäytä yksilön etuja tai perusoikeuksia.
Ohjeessa kerrotaan, kuinka arviointi käytännössä tulee tehdä. Esimerkkitilanteina ohjeessa käsitellään esimerkiksi petoksentorjuntaa, suoramarkkinointia ja tietoturvallisuutta. Lisäksi ohje selventää oikeutetun edun ja yksilöiden tietosuojaoikeuksien välistä suhdetta.
Lisätietoja:
Ohjeluonnos kuulemiskierroksella tietosuojaneuvoston verkkosivuilla (englanniksi): Guidelines 1/2024 on processing of personal data based on Article 6(1)(f) GDPR
Euroopan tietosuojaneuvoston tiedote neuvoston verkkosivuilla: EDPB adopts Opinion on processors, Guidelines on legitimate interest, Statement on draft regulation for GDPR enforcement, and work programme 2024-2025 (9.10.2024)