Przetwarzanie danych osobowych zawsze musi mieć podstawę prawną. Jedną z najczęściej wykorzystywanych przez przedsiębiorców przesłanek jest tzw. prawnie uzasadniony interes administratora lub strony trzeciej, uregulowany w art. 6 ust. 1 lit. f RODO. To bardzo elastyczne rozwiązanie, które pozwala prowadzić działania biznesowe bez konieczności każdorazowego pozyskiwania zgody. Jednocześnie jego stosowanie wymaga ostrożności, ponieważ musi być poprzedzone przeprowadzeniem tzw. testu równowagi.
Dzięki temu poradnikowi dowiesz się:
- kiedy możesz powołać się na prawnie uzasadniony interes,
- jakie ograniczenia nakłada RODO,
- jak krok po kroku przeprowadzić test równowagi,
- jakie przykłady zastosowania tej przesłanki uznawane są za zgodne z prawem.
Co mówi RODO o prawnie uzasadnionym interesie?
Zgodnie z art. 6 ust. 1 lit. f RODO:
„Przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy (…) jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych.”
W praktyce oznacza to, że administrator może przetwarzać dane, jeśli:
- ma w tym realny interes zgodny z prawem,
- przetwarzanie jest niezbędne do realizacji tego celu,
- prawa i wolności jednostki nie przeważają nad interesem administratora.
Charakter przesłanki – klauzula generalna
Ta podstawa prawna ma charakter tzw. klauzuli generalnej. Oznacza to, że nie jest ściśle zdefiniowana i daje dużą swobodę interpretacyjną. Elastyczność ta jest korzystna dla administratorów, ale ma też swoje granice. RODO przewiduje bowiem ramy, które ograniczają dowolność administratora – przede wszystkim konieczność przeprowadzenia testu równowagi.
Kiedy prawnie uzasadniony interes nie może być stosowany?
Bardzo istotne jest ograniczenie zapisane w art. 6 ust. 1 RODO: organy publiczne nie mogą powoływać się na tę przesłankę w ramach realizacji swoich ustawowych zadań.
✔ Przykład: urząd skarbowy nie może przetwarzać danych obywateli w oparciu o „prawnie uzasadniony interes” – musi bazować na wyraźnych przepisach ustaw podatkowych.
Czym są prawnie uzasadnione interesy?
Choć RODO nie definiuje tego pojęcia, przyjmuje się, że chodzi o interesy, które:
- są zgodne z prawem (nie naruszają prawa krajowego ani unijnego),
- mogą mieć charakter finansowy, gospodarczy lub faktyczny,
- nie muszą wynikać wprost z przepisu prawa, lecz muszą pozostawać w zgodzie z porządkiem prawnym.
➡️ Przykład zgodnego interesu: spółka transportowa w Warszawie rejestruje dane w systemie GPS, aby chronić przewożone towary przed kradzieżą.
❌ Przykład interesu sprzecznego z prawem: przedsiębiorca fałszuje dokumenty, by uzyskać kredyt bankowy. Taki „interes” nie może zostać uznany za prawnie uzasadniony.
Prawnie uzasadnione interesy w motywach RODO
Rozporządzenie 2016/679 zawiera wskazówki, które pomagają interpretować tę przesłankę. Motyw 47 RODO wymienia przykładowe uzasadnione interesy, takie jak:
- marketing bezpośredni,
- zapobieganie oszustwom,
- zapewnienie bezpieczeństwa sieci i informacji.
Lista ta nie ma charakteru zamkniętego – oznacza to, że także inne interesy, niewymienione wprost w RODO, mogą zostać uznane za uzasadnione, jeśli są zgodne z prawem.
Test równowagi – klucz do legalności przetwarzania
Zastosowanie przesłanki prawnie uzasadnionego interesu wymaga przeprowadzenia tzw. testu równowagi. Jest to proces wieloetapowy, którego celem jest ocena, czy interes administratora (lub strony trzeciej) rzeczywiście uzasadnia przetwarzanie danych, czy też przeważają prawa i wolności osoby, której dane dotyczą.
Proces ten nie jest opcjonalny – bez przeprowadzenia testu administrator naraża się na zarzut nielegalnego przetwarzania danych.
Etap 1: Ustalenie interesu administratora
Pierwszym krokiem jest wskazanie, jaki interes administrator chce zrealizować. Musi on być zgodny z prawem i realny.
✔ Dozwolone interesy to m.in.:
- marketing bezpośredni wobec dotychczasowych klientów,
- ochrona mienia firmy,
- dochodzenie roszczeń na drodze sądowej,
- przeciwdziałanie oszustwom,
- utrzymywanie bezpieczeństwa systemów informatycznych.
❌ Niedozwolone interesy:
- działania sprzeczne z prawem (np. fałszowanie dokumentów),
- nadmierna ingerencja w prywatność bez racjonalnego powodu.
Etap 2: Określenie praw i wolności osoby, której dane dotyczą
Następnie administrator musi zbadać, jakie interesy i prawa jednostki mogą zostać naruszone. W tym celu należy sięgnąć do:
- Konstytucji RP,
- Karty praw podstawowych UE,
- Europejskiej Konwencji o ochronie praw człowieka i podstawowych wolności.
Prawa te obejmują m.in. prawo do prywatności, ochrony danych osobowych, wolności słowa czy ochrony życia rodzinnego.
➡️ Przykład: przetwarzanie danych dzieci wymaga większej ostrożności, ponieważ w ich przypadku prawa i wolności są szczególnie chronione.
Etap 3: Zestawienie obu wartości
Administrator musi zważyć:
- rodzaj przetwarzanych danych (dane zwykłe czy wrażliwe),
- rodzaj interesu administratora (np. finansowy, bezpieczeństwa, marketingowy),
- wiek osoby, której dane dotyczą (dzieci = wyższy poziom ochrony),
- ryzyka dla prywatności (np. możliwość profilowania),
- relację między administratorem a osobą (np. klient, pracownik, przypadkowy internauta).
➡️ Przykład: klient sklepu internetowego może rozsądnie spodziewać się, że jego dane zostaną użyte do obsługi zamówienia czy wysyłki newslettera. Ale nie powinien zakładać, że sklep sprzeda jego dane innej firmie marketingowej.
Etap 4: Dokumentowanie testu równowagi
Zgodnie z art. 5 ust. 2 RODO administrator ma obowiązek rozliczalności – musi być w stanie wykazać, że działa zgodnie z prawem. Dlatego przeprowadzenie testu równowagi należy udokumentować.
Nie ma wymogu określonej formy – może to być dokument elektroniczny, notatka czy raport. Ważne, aby w razie kontroli UODO administrator mógł pokazać, że analiza została przeprowadzona rzetelnie.
Kryteria oceny w teście równowagi
W praktyce administrator powinien przeanalizować m.in.:
- 📌 rodzaj przetwarzanych danych osobowych (np. numer telefonu vs. dane medyczne),
- 📌 charakter interesu administratora (np. marketing, bezpieczeństwo, obrona praw),
- 📌 wiek podmiotu danych (dorośli vs. dzieci),
- 📌 ryzyka związane z prywatnością (profilowanie, utrata kontroli nad danymi),
- 📌 relację z osobą, której dane są przetwarzane (czy osoba mogła przewidzieć to przetwarzanie).
⚠️ Warto pamiętać, że katalog kryteriów nie jest zamknięty – mogą pojawić się także dodatkowe czynniki istotne w danym przypadku.
Konsekwencje wyniku testu równowagi
- Jeśli interes administratora przeważa – przetwarzanie jest legalne i można je oprzeć na art. 6 ust. 1 lit. f RODO.
- Jeśli prawa i wolności osoby są ważniejsze – przetwarzanie na tej podstawie jest niedopuszczalne i trzeba znaleźć inną podstawę (np. zgodę osoby).
➡️ Przykład: monitoring w recepcji biurowca w celu zapewnienia bezpieczeństwa pracowników i klientów – interes administratora zazwyczaj przeważa.
➡️ Przykład: pracodawca przeglądający prywatne wiadomości e-mail pracowników w celach kontrolnych – w tym przypadku prawa pracowników (tajemnica korespondencji, prywatność) mają charakter nadrzędny.
Praktyczne przykłady stosowania prawnie uzasadnionego interesu
Aby lepiej zrozumieć, jak w praktyce stosować tę przesłankę, warto przyjrzeć się kilku przykładom:
- 📌 Monitoring wizyjny w firmie – przedsiębiorstwo z Poznania instaluje kamery w recepcji i przy wejściu na teren zakładu, aby chronić mienie i zapewnić bezpieczeństwo pracowników. Jest to uzasadniony interes administratora, o ile monitoring nie narusza nadmiernie prywatności (np. nie obejmuje pomieszczeń socjalnych czy toalet).
- 📌 Księga wejść i wyjść – spółka usługowa prowadzi rejestr osób wchodzących do budynku. Dane osobowe w tym rejestrze są niezbędne do zapewnienia bezpieczeństwa i porządku na terenie firmy.
- 📌 Dochód roszczeń przed sądem – firma z Wrocławia wykorzystuje dokumenty zawierające dane osobowe jako dowody w procesie cywilnym przeciwko kontrahentowi. Obrona praw przed sądem została wielokrotnie wskazana jako prawnie uzasadniony interes.
- 📌 Marketing bezpośredni – przedsiębiorca prowadzący sklep internetowy wysyła newsletter do swoich klientów, którzy dokonali już zakupów. Może to zrobić bez dodatkowej zgody, o ile klient ma możliwość łatwego sprzeciwu wobec dalszego przetwarzania danych.
- 📌 Zapobieganie oszustwom – bank analizuje historię transakcji, aby wykrywać podejrzane operacje i chronić klientów przed kradzieżą środków finansowych.
Ważne ograniczenia w praktyce
Administrator powinien pamiętać o kilku kluczowych zasadach:
- ❌ Organy publiczne nie mogą korzystać z tej przesłanki w ramach wykonywania ustawowych obowiązków.
- ⚠️ Test równowagi musi być przeprowadzany indywidualnie dla każdego przypadku – nie ma jednego uniwersalnego rozwiązania.
- 📄 Dokumentowanie testu równowagi jest elementem zasady rozliczalności (art. 5 ust. 2 RODO).
Dokumentowanie testu równowagi
Przepisy nie wskazują, w jakiej formie ma być sporządzony dokument testu równowagi. Może to być:
- notatka w systemie elektronicznym,
- raport wewnętrzny,
- arkusz kalkulacyjny,
- dokument papierowy przechowywany w aktach firmy.
Najważniejsze, by administrator mógł w razie kontroli UODO wykazać, że rzetelnie przeanalizował sytuację i nie oparł przetwarzania na art. 6 ust. 1 lit. f RODO bez odpowiedniej podstawy.
Podsumowanie
✔ Prawnie uzasadniony interes to jedna z najczęściej wykorzystywanych podstaw przetwarzania danych osobowych w biznesie.
✔ Daje dużą elastyczność – pozwala np. na marketing, monitoring, ochronę mienia, dochodzenie roszczeń.
✔ Jego stosowanie wymaga jednak przeprowadzenia testu równowagi i udokumentowania tego procesu.
✔ Prawa i wolności jednostki mogą mieć nadrzędny charakter – jeśli tak, administrator musi znaleźć inną podstawę prawną (np. zgodę).
✔ Organy publiczne nie mogą powoływać się na tę przesłankę w ramach realizacji swoich zadań.
Dzięki prawidłowemu stosowaniu tej podstawy przedsiębiorca może legalnie realizować swoje interesy, jednocześnie nie narażając się na zarzut naruszenia RODO.
Podstawa prawna
- art. 6 ust. 1 lit. f, art. 5 ust. 2 – Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (RODO),
- motyw 47 RODO,
- Konstytucja Rzeczypospolitej Polskiej,
- Karta praw podstawowych Unii Europejskiej,
- Europejska Konwencja o ochronie praw człowieka i podstawowych wolności.
Tematy porad zawartych w poradniku
- test równowagi RODO
- prawnie uzasadniony interes 2025
- monitoring wizyjny a RODO
- marketing bez zgody RODO