Законный интерес как основание для обработки персональных данных

Однако применение законного интереса как основания для обработки ПДн требует точности и глубокого понимания. Ошибка грозит крупными штрафами и репутационными потерями. В этой статье мы разберем, как безопасно использовать этот юридический инструмент, опираясь на законодательство и официальную позицию регуляторов.

Что такое законный интерес и почему его боятся?

Согласно пункту 7 части 1 статьи 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», обработка персональных данных возможна без согласия субъекта для осуществления законных интересов оператора или третьих лиц, если при этом не нарушаются права и свободы субъекта персональных данных.

Законный интерес — это не абстракция. Это конкретная, законная потребность оператора в обработке данных для реализации своего права, при условии, что не нарушаются права и свободы субъекта данных.

Почему же его используют так редко?
Проблема в оценочном характере этого основания. Закон не содержит исчерпывающего списка случаев его применения, что создает правовую неопределенность. Операторы часто предпочитают более «безопасные» основания:

• Согласие субъекта.

• Исполнение договора.

• Исполнение обязанности, предусмотренной законом.

Но за этой «безопасностью» скрываются риски: утомление пользователей и невозможность решить многие бизнес-задачи. Пора начать использовать законный интерес правильно.

Трехступенчатая оценка: обязательная проверка перед применением законного интереса

Эксперты сходятся во мнении: применение законного интереса требует проведения обязательной Оценки применимости законного интереса. Это последовательная трехэтапная проверка.

Несоблюдение условий любого из трех этапов делает использование законного интереса невозможным

Этап 1: Допустимость законного интереса как основания обработки

Сначала нужно убедиться, что закон вообще разрешает использовать законный интерес для вашего процесса обработки. Федеральное законодательство прямо запрещает его применение в ряде случаев:

• Обработка специальных категорий данных. Речь идет о данных о здоровье, расовой, национальной принадлежности, религиозных и философских убеждениях (ч. 2 ст. 10 152-ФЗ).

• Обработка данных о судимости (ч. 3 ст. 10 152-ФЗ).

• Маркетинговые контакты с помощью средств связи. Для рассылок SMS и email, а также для звонков с рекламными предложениями требуется предварительное согласие субъекта (ч. 1 ст. 15 152-ФЗ). Законный интерес здесь не применим.

• Принятие решений на основе исключительно автоматизированной обработки, порождающих юридические последствия для субъекта (ст. 16 152-ФЗ).

• Передача персональных данных работника третьим лицам без его согласия, если это прямо не предусмотрено Трудовым кодексом РФ или иным федеральным законом (ст. 88 ТК РФ).

Этап 2: Идентификация законного интереса через субъективное право

Это ключевой этап. Оператор должен четко сформулировать, какое именно субъективное право он реализует. Это не может быть размытая «цель развития бизнеса».

Что такое субъективное право?
Субъективное право — это конкретная, юридически защищенная мера возможного поведения конкретного лица. Проще говоря, это то, что вы имеете право делать в силу такой возможности, предусмотренной договором, законом или иным правовым актом.

Законный интерес — это потребность в реализации этого субъективного права.

Примеры правильного или неправильного определения субъективного права в рамках законного интереса:

Размытый интерес (НЕ ПОДХОДИТ):

❌ «Улучшение качества обслуживания»
❌ «Развитие бизнеса»
❌ «Повышение лояльности клиентов»

Конкретное субъективное право (ПОДХОДИТ):

✅ Организация видеонаблюдения для предотвращения краж (право на защиту своего имущества)
✅ Аналитика данных для оптимизации бизнес-процессов (право на осуществление предпринимательской деятельности)
✅ Обеспечение информационной безопасности и расследование инцидентов (право на защиту от мошеннических действий)

Этап 3: Исключение риска нарушения прав субъекта

Это самый сложный этап. Оператор должен доказать, что его законный интерес превалирует над правами и свободами субъекта данных. Обработка не должна представлять повышенного риска.

Какие сценарии обработки считаются высокорисковыми?

• Трансграничная передача данных в страны, не обеспечивающие адекватную защиту.

• Распространение данных (предоставление неограниченному кругу лиц).

• Обработка данных несовершеннолетних.

• Обработка значительного объема данных (например, более 100 000 субъектов).

• Сценарии, где обработка может повлечь:

  • Причинение вреда жизни и здоровью.

  • Существенное ухудшение материального положения.

  • Нарушение тайны частной жизни.

Как снизить риски?
Оператор вправе принять митигирующие меры — действия, снижающие риски для субъекта. Например, для видеонаблюдения это:

• Размещение предупреждающих табличек.

• Ограничение зоны обзора камер.

• Сокращение сроков хранения записей.

• Строгий контроль доступа к архиву видеозаписей.

Документирование и бремя доказывания

Помните: в соответствии с частью 3 статьи 9 152-ФЗ, бремя доказывания наличия законного интереса лежит на операторе. Если Роскомнадзор или суд запросит обоснование, у вас на руках должны быть документы.

Рекомендуется надлежащим образом документировать проведение оценки:

1. Включите в Политику обработки персональных данных описание процессов, где используется законный интерес и его обоснование.

2. Утвердите внутренний акт, например «Отчет об оценке», в котором пошагово зафиксируете прохождение всех трех этапов.

Отсутствие документации равносильно отсутствию правового основания. Это прямая дорога к административной ответственности по ст. 13.11 КоАП РФ.

Выводы и заключение

Законный интерес — это не лазейка в законе, а полноценное и гибкое основание для обработки персональных данных. Его грамотное применение позволяет бизнесу работать эффективно, не нарушая закон.

Однако его использование требует серьезной внутренней работы, взвешенного подхода и глубокого понимания как буквы закона, так и принципов защиты прав субъектов. Игнорирование трехступенчатой оценки и отказ от документирования — это серьезный риск.

Не откладывайте на потом. Проведите инвентаризацию ваших процессов обработки данных сегодня. Оцените, где вы можете заменить «шаблонные» согласия на продуманный и документально обоснованный законный интерес. Это не просто соблюдение закона — это шаг к зрелой и ответственной цифровой культуре вашей организации.

При подготовке статьи использовался Аналитический материал RPPA «О методологии оценки применимости законного интереса как основания обработки персональных данных» (Авторы: К. Зюбанов, Г. Сабиров; Рецензенты: Н. Дмитрик, А. Мунтян, А. Партин)