Правовое основание обработки

Что это значит

Правовое основание обработки - одно из шести оснований по GDPR, позволяющих обрабатывать персональные данные: согласие, исполнение договора, обязанность по закону, жизненно важные интересы, задача в общественных интересах и законный интерес. Обработка без правового основания незаконна, даже если в остальном безопасна.

Каждой цели обработки должно соответствовать ровно одно подходящее основание, определённое заранее. Выставление счетов опирается на обязанность по закону, доставка заказанного товара - на исполнение договора, рассылка часто на согласие, видеонаблюдение для охраны имущества - на законный интерес.

Согласие - не лучшее основание для всего. Оно должно быть свободным и может быть отозвано в любой момент, поэтому для обработки, которая нужна компании независимо от воли человека, например бухгалтерии или зарплаты, оно не подходит. Там используют обязанность по закону или договор.

Как это работает на практике

Перечень целей и правовых оснований входит в реестр операций обработки и в информацию для субъектов данных. Выполняя информационную обязанность, компания должна указать, на каком основании обрабатывает данные, а при законном интересе - и о каком интересе идёт речь.

При законном интересе нужно провести тест соразмерности: каков интерес компании, необходима ли обработка и не перевешивают ли права субъекта. Результат документируют, чтобы предъявить его надзорному органу. Субъект вправе возражать против такой обработки.

Правовое основание определяет и объём данных, и срок хранения. По принципу минимизации собирают только данные, нужные для цели, а после её достижения удаляют, если закон не требует более длительного хранения, как для учётных документов.

На что обратить внимание

Менять правовое основание задним числом проблематично. Если компания обрабатывала данные на основании согласия, а человек его отозвал, нельзя просто перейти на законный интерес. Поэтому важно выбрать правильное основание сразу и ясно о нём сообщать.

Для особых категорий данных, например о здоровье, обычного основания недостаточно, должно действовать и одно из исключений GDPR. Так же для данных об уголовных преступлениях действуют более строгие правила, которым обычная компания часто не соответствует.