欧洲数据保护委员会关于个人数据处理的规定

fabiha01

除了最近最高法院关于《通用数据保护条例》（GDPR）第 6（1）（f）条解释的各种裁决，以及德国监管机构关于法律依据的适用性和解释的一些零散的具体声明（例如，关于在直接营销的情况下法律依据的适用性）之外，欧洲数据保护委员会（EDPB）于 2024 年 10 月 9 日发布了关于此主题的新指南 01/2024。

EDP​​B 是负责确保统一应用 GDPR 的欧盟数据保护机构的总机构，因此它首次制定了基于合法利益的个人数据处理框架。

尽管 EDPB 指南不具有法律约束力，但在欧盟内却得到广泛遵守。指南 01/2024 正在接受公众咨询。

最常用的法律依据
GDPR 第 6 条第 1 款 f 项是合法处理个人数据的六大法律依据之一，也是迄今为止使用最频繁的。许多数据保护机构已经制定了自己的程序来平衡处理中的利益并评估哪些利益被视为合法。

EDP​​B 在其执行摘要中总结道，为了根据 GDPR 第 6 条第 (1) 款 (f) 项进行处理，必须满足三个累积条件：

控制者或第三方追求合法利益
为合法利益目的处理个人数据的必要性
数据主体的利益或基本自由和权利不得“凌驾于”控制者或第三方的合法利益之上
EDP​​B 在其详细指南（37 页）中讨论了这三个步骤，并详细解释了评估“应在实践中进行的方式”，法国商务传真列表 包括在欺诈预防、直接营销和信息安全等特定情况下。

从实践角度看，本文关注的重点是“当事人的合理预期”。这些应该在可采性评估中发挥核心作用（参见 GDPR 第 47 和 50 条）。评估必须关注受影响的“普通”人。

根据指南第54段，可考虑以下因素：

“仅仅存在与数据主体的关系”（例如客户与非客户）
“关系的亲密程度”（例如，数据主体是否不太可能假设数据会在不同业务部门之间共享）
“数据收集的位置和背景”（例如，数据主体可以假设银行安装了视频监控系统）
“服务的性质和特点”（例如，普通客户与仅订阅了时事通讯的潜在客户）
“相关背景下适用的法律要求”（例如适用于该关系的保密要求）；在此背景下，EDPB 在其指南（第 136 条）中重申了其先前的观点，即数据主体的利益或基本权利和自由通常会凌驾于控制者遵守第三国执法机构要求的利益之上，以避免因不遵守而受到制裁
关于将个人数据用于营销目的，EDPB 指出（第 110 点）：“GDPR 第 47 条规定，可以在合法利益的背景下为直接营销目的处理个人数据，但这并不意味着直接营销始终构成合法利益，并且 GDPR 第 6(1)(f) 条可自动用于所有类型的直接营销措施。”因此，在某些情况下，另一个法律依据（例如数据主体的同意）可能是 GDPR 下的适当依据。 EDP​​B 进一步提醒说，平衡的目的并不是完全避免对数据主体的利益和权利产生任何影响。

尽管这些指导方针很有帮助，但欧盟范围内仍然没有平衡测试的标准。此外，欧洲法院 (ECJ) 的最新裁决也可能发挥作用，包括欧洲法院最近对荷兰数据保护局诉荷兰皇家网球协会 (Koninklijke Nederlandse Tennisbond) 一案的裁决 ( C 621/22，据我们报道)。在本案中，欧洲法院（第 54 段）确认，必须考虑“数据主体的合理期望、处理范围及其对该人的影响”。

然而，EDPB 在其指南中强调，在根据控制者的合法利益确定处理个人数据的可允许性时，要特别考虑技术和组织措施的充分应用。这些措施可能特别涉及处理假名数据或在公司实践中严格分离操作系统和分析系统。

EDP​​B 指南针对打击欺诈、处理儿童个人数据或直接营销目的等具体案例，提供了关于如何进行评估的较为详细的指导。此外，与艺术相关的数据主体的权利。 6（1）（f） GDPR 并指出根据第 21（2） GDPR 条的无条件反对权。

结论
总之，EDPB 指南可以为根据第 6(1)(f) 条评估基于合法利益的个人数据处理提供有用的基础。然而，就内容而言，如果人们期望有一个法律框架以及与其他法律基础的明确界限，那么该指南在实践中可能效果不佳。公司希望最终获得有关数据处理的统一规范，但目前这一愿望可能难以实现。