المصالح المشروعة وفق GDPR: متى يمكنك الاستناد إليها وكيف توثّقها

تُجيز المادة 6(1)(f) المعالجة الضرورية لتحقيق المصالح المشروعة للمتحكم أو لطرف ثالث، إلا إذا رجحت على تلك المصالح مصالحُ الفرد أو حقوقه وحرياته الأساسية، ولا سيما إذا كان الفرد طفلًا.

الاختبار ثلاثي الأجزاء

• الغرض: هل توجد مصلحة مشروعة؟ يجب أن تكون مشروعة ومحددة بوضوح وحقيقية، مثل منع الاحتيال أو أمن الشبكات أو التسويق المباشر للعملاء الحاليين.
• الضرورة: هل المعالجة ضرورية لتحقيق ذلك الغرض، أم يمكنك تحقيقه ببيانات أقل أو بطريقة أقل تدخلًا؟
• الموازنة: هل ترجح مصالح الفرد وحقوقه وتوقعاته المعقولة على مصالحك؟ ضع في الاعتبار طبيعة البيانات، والطريقة التي يتوقع الفرد أن تُستخدم بها، وأي ضمانات تطبقها.

وثّق ذلك كتابيًا

يعني مبدأ المساءلة في GDPR (المادة 5(2)) أنه يجب أن تكون قادرًا على إثبات أنك أجريت الاختبار. ويكفي تقييم موجز للمصالح المشروعة لكل نشاط: المصلحة، وسبب ضرورة المعالجة، والموازنة، والضمانات.

أبلغ الأفراد وامنحهم حق الاعتراض

يجب أن يذكر إشعار الخصوصية الخاص بك المصالح المشروعة التي تستند إليها (المادة 13(1)(d)). وللأفراد الحق في الاعتراض؛ وفي حالة التسويق المباشر يكون الاعتراض مطلقًا ويجب وقف المعالجة (المادة 21(2)-(3)).

متى لا يصلح هذا الأساس

يسأل تقييمنا لـ GDPR عن الأنشطة التي تستند إلى المصالح المشروعة، ويُنتج لكل منها نموذج تقييم معبّأً مسبقًا.

• لا يجوز للسلطات العامة الاستناد إليها في أداء مهامها.
• تتطلب ملفات تعريف الارتباط (cookies) وأدوات التتبع المماثلة لأغراض التحليلات أو الإعلانات عمومًا الحصول على الموافقة بموجب قواعد ePrivacy، أيًّا كان الأساس القانوني وفق GDPR.
• تحتاج الفئات الخاصة من البيانات إلى شرط بموجب المادة 9 إضافةً إلى الأساس القانوني.