Antonio Tejeda Encinas، الرئيس التنفيذي لشركة Meta Channel Corp، رئيس اللجنة الأوروبية الأمريكية للقانون الرقمي (CEA Digital Law)
1. مقدمة
شهدت معالجة البيانات الشخصية في بيئة الأعمال تحوّلات مهمة مع تطبيق اللائحة العامة لحماية البيانات (GDPR). ومن أكثر المسائل إثارةً للجدل استخدامُ «المصلحة المشروعة» أساسًا قانونيًا لمعالجة البيانات، وهي منظَّمة في المادة 6(1)(f) من GDPR. وقد أثار الحكم الأخير لمحكمة العدل التابعة للاتحاد الأوروبي (CJEU) في القضية C-621/22 نقاشات جديدة حول تفسير هذا المفهوم، ولا سيما في ما يتعلق بالأنشطة التجارية.
يهدف هذا التقرير إلى استكشاف كيفية تفاعل المصلحة المشروعة والمصلحة التجارية في ضوء الاجتهاد القضائي الحديث في الاتحاد الأوروبي. كما يقدّم إرشادات عملية للشركات تمكّنها من ضمان الامتثال التنظيمي دون المساس بأهدافها التجارية.
تُدرج GDPR المصلحة المشروعة ضمن الأسس القانونية لمعالجة البيانات الشخصية، لكنها لا تقدّم تعريفًا مفصّلًا لها. ووفقًا للمادة 6(1)(f)، تكون معالجة البيانات مشروعة إذا جرت لتحقيق «مصالح مشروعة» للمسؤول عن المعالجة أو لطرف ثالث، شريطة ألّا تطغى هذه المصالح على الحقوق والحريات الأساسية للشخص الذي تُعالَج بياناته.
ويعني ذلك أن تحديد ما إذا كانت مصلحةٌ ما مشروعةً يتطلّب تقييمًا سياقيًا يستند إلى مبدأي الواقعية والتحديد. وتقدّم الحيثيات 47 و48 و49 من GDPR توجيهات بهذا الشأن، إذ تشير إلى أن المصلحة المشروعة يجب أن تكون ملموسة وقائمة، لا مجرد افتراض تخميني. وعليه، لا ينبغي الاستناد إلى هذا الأساس القانوني إلا بعد تحليل دقيق للمصالح المعنية.
يمكن أن تشمل المصلحة المشروعة أهدافًا مثل منع الاحتيال، وأمن أنظمة الشبكات، وحماية أصول الشركة. غير أنه عندما يُراد تبرير أنشطة تجارية، كالتسويق أو الإعلان، يصبح التقييم أكثر صرامة، إذ تُراعى عوامل مثل قدرة الأشخاص المعنيين على توقّع المعالجة وشفافية العمليات.
يمكن أن تكون المصلحة التجارية، بمعنى السعي إلى تحقيق مكاسب اقتصادية أو ميزة تنافسية، مقبولةً بموجب GDPR إذا استُوفيت شروط معيّنة. ومع ذلك، أبدت الوكالة الإسبانية لحماية البيانات (AEPD) والمحكمة العليا الإسبانية تحفّظات بشأن تغليب هذه المصالح عندما تتعارض مع الحقوق الأساسية للأفراد.
ففي حكمها رقم 840/2020، أكّدت المحكمة العليا أن الأهداف التجارية لشركةٍ ما لا يمكن أن تتغلّب على حق الفرد في حماية بياناته. وفي المقابل، اعتمد مكتب مفوّض المعلومات في المملكة المتحدة (Information Commissioner’s Office، ICO) نهجًا أكثر مرونة، إذ يسمح ببعض عمليات المعالجة لأغراض تجارية إذا أُجري تقييم صارم للتناسب.
ويتناول حكم محكمة العدل الأوروبية في القضية C-621/22 هذه المسألة، مقدّمًا توجيهات بشأن الحالات التي يمكن فيها اعتبار المصلحة التجارية مشروعة. ففي تلك القضية، كانت المصلحة تتعلق بإحالة البيانات الشخصية لأعضاء اتحاد رياضي إلى أطراف ثالثة لأغراض تسويقية، وهو ما أُثيرت الشكوك حوله لعدم انسجامه مع توقعات أصحاب البيانات.
تنصّ GDPR على أنه لا يجوز الاستناد إلى المصلحة المشروعة أساسًا قانونيًا إلا إذا كانت المعالجة ضرورية فعلًا للهدف المنشود ولم تكن هناك بدائل أقل تدخّلًا. وتعني «الضرورة» أن معالجة البيانات مرتبطة ارتباطًا مباشرًا بتحقيق الغرض، وأن الخيارات الأخرى الأكثر احترامًا للخصوصية غير مجدية.
ويؤكد حكم محكمة العدل الأوروبية في القضية C-621/22 أن على المسؤولين عن المعالجة إثبات أنهم نظروا في بدائل أخرى قبل تبرير المعالجة استنادًا إلى المصلحة المشروعة. كما يجب أن يكون تدخّل المعالجة في حقوق الأشخاص في أضيق الحدود الممكنة، تطبيقًا لمبدأي تقليل البيانات والتناسب.
يتناول الحكم في القضية C-621/22 مسائل جوهرية لفهم نطاق المصلحة المشروعة في سياق GDPR:
1. كيف ينبغي فهم مفهوم «المصلحة المشروعة» بموجب GDPR؟
2. هل يمكن أن تُعدّ مصلحةٌ تجارية بحتة مشروعةً في ظروف معيّنة؟
أوضحت محكمة العدل الأوروبية أن المصلحة المشروعة لا يُشترط أن يكون منصوصًا عليها صراحةً في القانون، لكن يجب أن تمتثل لمبادئ المشروعية وأن تنسجم مع التوقعات المعقولة للأشخاص لحظة جمع بياناتهم. ويعني ذلك أن المعالجة القائمة حصرًا على مصلحة تجارية لا يمكن اعتبارها مشروعة إلا إذا استُوفيت الشروط التالية:
المشروعية: يجب ألّا تخالف المصلحة التجارية أي حكم قانوني نافذ.
الضرورة: يجب أن تكون المعالجة لا غنى عنها لتحقيق الهدف التجاري المنشود.
التناسب: يجب تقييم ما إذا كان الأثر على حقوق أصحاب البيانات في حدّه الأدنى، وما إذا كان ثمة مستوى من التوقعات المعقولة بشأن استخدام بياناتهم لهذا الغرض.
وفي هذه القضية تحديدًا، خلصت محكمة العدل الأوروبية إلى أن بيع البيانات إلى شركة لألعاب الحظ والمراهنات لا ينسجم مع توقعات أصحاب البيانات، مما أبطل الاستناد إلى المصلحة التجارية أساسًا قانونيًا.
