Mikä on LIA? Näin oikeutetun edun tasapainotesti tehdään
Päivitetty · Complian asiantuntijat
LIA tulee englannin sanoista legitimate interest assessment. Suomeksi siitä puhutaan tasapainotestinä tai oikeutetun edun arviointina, ja molemmat tarkoittavat samaa. Sillä osoitetaan, että henkilötietojen käsittely voi perustua tietosuoja-asetuksen 6 artiklan 1 kohdan f alakohdan mukaiseen oikeutettuun etuun.
Moni kirjoittaa tietosuojaselosteeseen oikeusperusteeksi “oikeutettu etu”, mutta ei ole koskaan tehnyt punnintaa. Silloin perustetta on vaikea osoittaa, jos valvoja tai rekisteröity kysyy sitä.
Tasapainotestin kolme vaihetta
1. Onko etu oikeutettu?
Edun pitää olla laillinen, riittävän selkeästi määritelty ja todellinen tässä ja nyt. “Liiketoiminnan kehittäminen” on liian yleinen. “Asiakaspalvelupyyntöjen ohjaaminen oikealle käsittelijälle” on selkeä.
2. Onko käsittely tarpeellista?
Saavutetaanko tavoite vähemmillä tiedoilla tai tavalla, joka puuttuu vähemmän ihmisten oikeuksiin? Jos saavutetaan, käsittely ei ole tarpeellista nykyisessä muodossaan.
3. Syrjäyttävätkö ihmisten oikeudet edun?
Punnitse tämän vaiheen aikana ainakin:
- mitä tietoja käsitellään ja kuinka arkaluonteisia ne ovat
- keiden tietoja ne ovat, esimerkiksi lasten tai työntekijöiden
- osaavatko ihmiset odottaa käsittelyä
- mitä haittaa siitä voi seurata
- mitä suojatoimia voidaan lisätä, kuten rajatut käyttöoikeudet tai lyhyt säilytysaika
Valmis esimerkki: kameravalvonta myymälässä
| Vaihe | Kirjaus |
|---|---|
| Etu | varkauksien ehkäisy ja selvittäminen sekä henkilökunnan turvallisuus |
| Tarpeellisuus | valvonta rajataan myyntitiloihin ja kassoille, ei taukotiloihin |
| Ihmisten oikeudet | asiakkaat osaavat odottaa valvontaa, kun siitä on selvä kyltti; työntekijöiden asema arvioidaan erikseen |
| Suojatoimet | tallenteet säilyvät lyhyen määritellyn ajan, ja niitä katsoo vain nimetty henkilö |
| Johtopäätös | käsittely voi perustua oikeutettuun etuun, kun suojatoimet ovat käytössä |
Esimerkki on yleinen. Oma arvio tehdään aina omien olosuhteiden mukaan, ja kameravalvonta voi vaatia myös vaikutustenarviointia.
Yleisimmät virheet
- Testi tehdään jälkikäteen. Se pitää tehdä ennen käsittelyn aloittamista.
- Etu on kirjattu liian yleisesti. Punnittava ei ole koko liiketoiminta vaan yksi käsittely.
- Vain organisaation näkökulma on mukana. Vaihe 3 kuvaa ihmisten etuja ja odotuksia.
- Vastustamisoikeus unohtuu. Ihmisellä on oikeus vastustaa oikeutettuun etuun perustuvaa käsittelyä, ja se pitää kertoa tietosuojaselosteessa.
- Viranomainen käyttää väärää perustetta. Viranomainen ei voi perustaa tehtäviensä hoitoon liittyvää käsittelyä oikeutettuun etuun.
Tekoäly ja oikeutettu etu
Euroopan tietosuojaneuvosto käsittelee samaa kolmen vaiheen testiä tekoälymalleja koskevassa lausunnossaan. Kun tekoälytyökalu käsittelee työntekijöiden tai asiakkaiden tietoja, tasapainotesti kannattaa tehdä yhdessä tekoälyn tarkistuslistan kanssa.
Usein kysytyt
Mitä eroa on LIA:lla ja vaikutustenarvioinnilla?
LIA selvittää, voiko oikeutettu etu olla käsittelyn peruste. Vaikutustenarviointi arvioi korkean riskin käsittelyn riskit. Sama käsittely voi tarvita molemmat.
Kuinka usein arviointi päivitetään?
Kun käsittely muuttuu, esimerkiksi tarkoitus, tiedot tai järjestelmä vaihtuu. Lisäksi se kannattaa tarkistaa säännöllisesti.
Voiko arkaluonteisia tietoja käsitellä oikeutetun edun perusteella?
Ei pelkästään sen perusteella. Arkaluonteisten tietojen käsittelyyn tarvitaan lisäksi asetuksen 9 artiklan poikkeus.
Lähteet
Tämä ohje on yleistä tietoa, ei oikeudellinen neuvo yksittäiseen tapaukseen.