Oikeutettu etu: kaikenkattava kaupallisen toiminnan sateenvarjo vai tietosuojan kiristyssilmukka?

Yleisen tietosuoja-asetuksen mukaan kaikelle henkilötietojen käsittelylle eli käytölle tulee olla oikeusperuste, joita asetuksessa on mainittu kuusi. Näistä viisi ovat yksiselitteisempiä kuin kuudes eli oikeutettu etu. Oikeutettu etu on yleisen tietosuoja-asetuksen voimaantulon jälkeen usein päätynyt ”viimeinen oljenkorsi” -kategoriaan, kun mikään muu käsittelyperuste ei sovellu, ja henkilötietoa olisi kuitenkin tarve käsitellä. Tasapainotesti koetaan usein melko juridisteknisenä pakollisena pahana, joka tulee vain täytellä, ennen kuin henkilötietoa päästään käsittelemään.

EDPB lienee huomannut saman, ja pyrkii nyt selventämään oikeutetun edun käyttöä mahdollisena käsittelyperusteena – ja muistuttamaan myös sen tulkitsemisesta supistavasti. Oikeutetun edun käyttöä edeltävän arvioinnin ja tasapainotestin osalta tietosuojaneuvosto vahvistaa edelleen vakiintunutta näkemystä sen kolmijakoisuudesta: Oikeutetun edun laillisuuden arviointi – henkilötietojen käsittelyn tarpeellisuus sekä sen arviointia, voiko tämä oikeutettu etu ylittää rekisteröidyn perusoikeudet ja -vapaudet.

Ohjeistus kuvaa nyt tarkemmin tasapainotestin metodologiaa ja sitä, mitä asioita tasapainotestissä tulee arvioida ja kuvata, kuten rekisteröidyn edut, perusoikeudet ja -vapaudet, käsittelyn vaikutus rekisteröityihin, sisältäen tiedon luonteen, käsittelyn kontekstin ja käsittelyn seuraukset; rekisteröidyn kohtuulliset odotukset sekä tietysti viimeiseksi tasapainon arvioimisen vastakkaisten oikeuksien ja etujen välillä sekä käytettävissä olevat lieventävät keinot, joilla on vaikutusta käsittelyyn. Lisäksi EDPB muun muassa visioi, miten rekisterinpitäjät voisivat tuoda tasapainotestiä näkyvämmäksi esimerkiksi tietosuojaselosteissaan.

Tietosuojaneuvosto ei kuitenkaan ole ainoa, joka on kunnostautunut oikeutetun edun käytön tarkentamisessa. Myös EU-tuomioistuin on lokakuun alussa (4.10.2024) antanut ratkaisunsa tapauksessa ”Royal Dutch Tennis Association (KNLTB)”, jossa Alankomaiden tietosuojaviranomainen oli 2019 langettanut seuraamusmaksun KNLTB:lle laittomasta jäsentensä henkilötietojen jakamisesta kahdelle tennisjärjestöä sponsoroivalle taholle markkinointitarkoituksiin. Alankomaissa oikeutetun edun käyttömahdollisuuksia on perinteisesti tulkittu hyvin kaventavasti, ja paikallinen viranomainen katsoi, ettei tietoa voida jakaa, koska oikeutettu etu on vain kaupallinen.

EU-tuomioistuin viittasi myöskin oikeutetun edun käytön kolmivaiheiseen arviointiin, ja ensimmäisen kohdan osalta EU-tuomioistuin totesi, että hyvin monenlaiset edut saattavat olla käsitettävissä oikeutetuksi eduksi, eikä niiden tarvitse olla nimenomaisesti laissa todettuja. Näin ollen, myös puhtaasti kaupalliset edut saattavat olla oikeutettuja etuja.

Kaupallisten toimijoiden helpotukseksi EU-tuomioistuin on vahvistanut siis myös täysin kaupallista perää olevien etujen voivan olla oikeutettuja etuja, mutta etujen arviointi joka tapauksessa edellyttää mahdollisesti entistäkin säntillisempää arviointia Tietosuojaneuvoston ohjeistuksen mukaan. Oikeutettuun etuun vetoavan on pystyttävä asettumaan rekisteröidyn asemaan ja tilanteeseen, ja pyrittävän seikkaperäisesti arvioimaan sitä, mitkä ovat aiotun käsittelyn tosiasialliset vaikutukset rekisteröityyn. Esimerkiksi yllä mainitussa KNLTB:n tapauksessa myös EU-tuomioistuimen mukaan tennisjärjestön olisi pitänyt arvioida myös mahdollisia vahingollisia seuraamuksia siitä, että henkilötiedot lähetetään casino- ja onnenpelejä tuottavalle toimijalle, koska rekisteröidyille voi aiheutua riski peliriippuvuuden muodostumisesta. Riskien arvioinnissa on suositeltavaa pohtia siis luovastikin mahdollisia käsittelystä aiheutuvia riskejä. Rekisterinpitäjien ei siis tulisi ottaa tasapainotestiä vain lomakkeentäyttöharjoituksena.

Mitä paremmin ja huolellisemmin asiaa punnitsee sekä dokumentoi arvioinnin tasapainotestiin, sitä varmemmin rekisterinpitäjä voi luottaa johtopäätöksiinsä oikeutetun edun käyttämisestä oikeusperusteena.