О чём эта статья

Статья 6 — шесть оснований законности обработки. Любая обработка данных должна опираться хотя бы на одно из этих оснований. Без основания обработка незаконна (нарушение Art. 5(1)(a) и Art. 6).

6(1) — Шесть оснований

(a) Согласие. Субъект данных дал согласие на обработку для одной или нескольких конкретных целей. Согласие определено в Art. 4(11) и Art. 7.

(b) Исполнение договора. Обработка необходима для исполнения договора, стороной которого является субъект данных, или для принятия мер по запросу субъекта до заключения договора. Покупка в интернет-магазине — пример.

(c) Юридическая обязанность. Обработка необходима для соблюдения юридической обязанности контролёра. Например, налоговая отчётность.

(d) Жизненно важные интересы. Обработка необходима для защиты жизненно важных интересов субъекта или другого физического лица. Применяется в чрезвычайных ситуациях.

(e) Публичный интерес или официальные полномочия. Обработка необходима для выполнения задачи, осуществляемой в публичных интересах или в порядке осуществления официальных полномочий, возложенных на контролёра.

(f) Законные интересы. Обработка необходима для целей законных интересов, преследуемых контролёром или третьей стороной, за исключением случаев, когда эти интересы преобладают интересы или основные права и свободы субъекта данных. Это основание не применяется к обработке, осуществляемой публичными органами.

6(2) — Расширения национальным правом

Государства-члены могут вводить более конкретные положения для адаптации применения правил.

6(3) — Правовая основа для пунктов (c) и (e)

Основание для обработки по пунктам 6(1)(c) «юридическая обязанность» и 6(1)(e) «публичный интерес или официальные полномочия» должно быть прямо установлено:

  • правом Союза, либо
  • правом государства-члена, которому подчиняется контролёр.

Цель обработки определяется именно в этом правовом основании, а для пункта (e) — обработка должна быть необходима для выполнения задачи в публичных интересах или в порядке осуществления официальных полномочий, возложенных на контролёра. Такое правовое основание может содержать конкретные положения, уточняющие применение GDPR: общие условия законности обработки, типы обрабатываемых данных, категории субъектов, получателей данных, цели и сроки хранения, а также конкретные процедуры обработки. Право Союза или государства-члена должно отвечать цели публичного интереса и быть соразмерным преследуемой законной цели.

6(4) — Совместимость целей

При обработке для цели, отличной от первоначальной, контролёр должен учесть:

  • связь между первоначальной целью и новой целью,
  • контекст сбора данных,
  • природу данных (особенно особые категории),
  • возможные последствия для субъекта,
  • наличие надлежащих гарантий, включая шифрование или псевдонимизацию.

Почему это важно для аудита

Art. 6 — первый вопрос при любом нарушении: на каком основании обрабатываются данные? Если контролёр заявляет «законные интересы» (6(1)(f)), но не проводит test of balancing — нарушение. Если заявляет «согласие» (6(1)(a)), но согласие неправильно собрано — нарушение. Большинство AdTech-нарушений — это спор именно об Art. 6.