Где проходит граница между 152-ФЗ и GDPR?
«Законный интерес» — одно из самых гибких и при этом самых спорных правовых оснований обработки персональных данных.
Его ценность понятна: в ряде ситуаций он позволяет обрабатывать ПДн без получения согласия, если интерес оператора объективно оправдан и не нарушает права субъекта.
Регулятор в публичных позициях неоднократно подчеркивал: согласие не должно становиться универсальным основанием на всякий случай.
➡️ Закон допускает и другие основания, при условии, что они применяются осознанно и корректно.
В российском праве это прямо закреплено в пункте 7 части 1 статьи 6 152-ФЗ: обработка допустима, если она необходима для осуществления прав и законных интересов оператора или третьих лиц (либо для достижения общественно значимых целей) и при этом не нарушает права и свободы субъекта персональных данных.
💭 Ключевая сложность в отсутствии формализованного теста. Закон требует соразмерности: интерес должен быть реальным, обработка необходимой, объем данных минимально достаточным. Но четкого алгоритма оценки нет. Поэтому на практике границы законного интереса формируются через правоприменение и комплаенс-подходы.
Типовые случаи, где законный интерес обычно считается допустимым:
👆 обеспечение физической и информационной безопасности (пропускной режим, видеонаблюдение в общих зонах)
👆 внутригрупповые и корпоративные процедуры, связанные с управлением, контролем и реализацией прав участников или акционеров
Если посмотреть шире, логика 152-ФЗ и GDPR здесь близка. В обоих режимах законный интерес строится на балансировке интересов оператора и субъекта персональных данных. Но различия кроются в степени формализации.
Европейская модель фактически более документированного теста, учета возражений и прозрачности для субъекта. Если российский подход чаще остается казуистическим: оценка идет как бы по обстоятельствам, то европейская модель чуть более формализована.
Так статья 6(1)(f) GDPR закрепляет, что обработка правомерна, если она необходима для целей законных интересов контролера или третьей стороны, кроме случаев, когда такие интересы перевешиваются интересами или основополагающими правами и свободами субъекта данных.
В отличие от 152-ФЗ, GDPR прямо ограничивает использование этого основания публичными органами при выполнении ими своих задач.
Этот пост — отправная точка. Законный интерес может быть рабочим и безопасным основанием, но только если понимать, где он действительно применим, а где превращается в риск.
