你可能不知道的正当利益（Legitimate Interest）

• Legitimate interest中文翻译为合法利益或者正当利益。我比较喜欢用正当利益。

• GDPR第6(1)条规定了六种处理个人数据的合法性基础，正当利益是第6(1)(f)条：

  (f) processing is necessary for the purposes of the legitimate interests pursued by the controller or by a third party, except where such interests are overridden by the interests or fundamental rights and freedoms of the data subject which require protection of personal data, in particular where the data subject is a child.

• EDPB对于正当利益有出过专门的指南Guidelines 1/2024 on processing of personal data based on Article 6(1)(f) GDPR：https://www.edpb.europa.eu/system/files/2024-10/edpb_guidelines_202401_legitimateinterest_en.pdf 这个指南在2024年10月8日通过，是理解正当利益的非常重要的资料，也是本篇文章的底子。

• 此外关于正当利益也可以直接听我们的播客“别泄露了”第001、002、004和005期，我们足足讨论了四期~

  

正当利益太好用了，因为构建正当利益并不需要与数据主体的参与。作为对比，“同意”和“合同”都必须由数据主体作出意思表示，并不受数据控制者的意志控制。但正当利益则不同，只要数据控制者能够自圆其说，它是无需越过数据主体一关的。用大白话说，它既可以“做坏事”而不被人发现，也可以以较小的成本干正事儿。这就是为什么数据控制者对于正当利益趋之若鹜。

为了防止对正当利益的滥用，GDPR设定了三个适用条件，三者缺一不可。同时，正当利益的论证主要是通过一份正当利益评估报告（legitimate interest assessment report，一般称为LIA）实现和留痕的。因此，“掌握三个条件的精髓才能写好报告”与“必须要在报告里充分说明如何符合三个条件”相互呼应，下文也是朝着写好LIA的目标行文的。

条件1：存在数据控制者或第三方的合法、明确且实际存在的利益

这一步又可以被断句成两部分：（1）正当利益是控制者或第三方的；（2）正当利益得是合法、明确且实际存在的。

（1）利益相关方

正当利益可以是控制者的利益，也可以是第三方的利益。

• 控制者的正当利益：一般来说，控制者所追求的利益应与其实际从事的活动相关。例如，如果控制者的主营活动是商业活动（很难不是），那么与执法机构共享信息以预防、检测和起诉犯罪行为就不能说是控制者的正当利益，因为这与它的核心经济商业活动无关。

• 第三方的正当利益：EDPB指南给的情形有三种：

• 为了第三者建立、行使或捍卫权利：例如在出租车乘客与scooter车主的案例中，出租车公司是控制者，乘客是数据主体，scooter 车主是第三方。出租车公司为了帮助scooter车主索赔而提供出租车乘客的身份信息，这就是典型的第三方正当利益。

• 为公司治理而披露高管薪资信息：基于透明度和问责目的披露公司高管的薪资信息。这种披露可能主要不是为了控制者自身利益，而是为了信息接收者（如员工或股东）的利益。

• 科研（特别是历史研究）相关：彼时利益不仅属于研究者，也属于全人类但此处需要提示一下，这种科研目的的“第三方利益”需要与GDPR第6(1)(e)的公共利益合法性基础所区别：更广泛的公共利益需要数据控制者被依法授权/要求维护这种公共利益。例如，企业有义务协助执法机构打击特定非法活动，这对于企业而言它向执法机构提供个人数据是为了维护公共利益。
  

除此之外，我最近做的一个关于家用摄像头的合规案中，用的合法性基础也是正当利益：摄像头所摄录的影像可能包括邻居街坊或任何路人，彼时摄像头制造商为数据控制者，但其处理非用户影像数据的合法性基础是基于用户而非自己的利益。

（2）合法、明确且实际存在的利益

 正面解释很难，反面举例可能更容易理解：

• 不合法：“法”是指欧盟法和成员国法。例如，欧盟的烟草产品指令（EU Tabacco Products Directive，2014/40/EU)本来就对电子烟做推广营销，那么为了推销电子烟而向消费者发送营销信息的个人数据处理活动自然就是不合法的。

• 不明确：还是在家用摄像头的案例中，必须要准确表达用户到底有什么利益。如果仅仅写“安全”二字会被认定为不够明确，但如果是“保护财产和其他资产”“保护生命和身体健康”“为破坏篱笆民事索赔收集证据”那就有机会是合格的

• 不实际：报社为发行新杂志搭建旧读者数据库，但在创建数据库时，报纸并没有推出新杂志的具体计划，所以该利益不具有现实性。

条件 2：处理个人数据对实现正当利益具备必要性

必要性一直是个虚幻&自由心证的概念。基于EDPB指南似是而非的解释，我愿将必要性分为4个维度：能不能不处理个人数据实现同等目的？能不能处理更少的数据实现同等目的？能不能用更轻度的数据处理方式实现同等目的？能不能用更严格的数据保护手段实现同等目的？如果这四个问题的答案都是否，那么至少可以自我说服。

还是以我近期服务的家用摄像头项目为例，我设计了五个自问自答：

坦白说，在做LIA时，往往起草者心里已经先预设了一个答案（通常是“必要”）再来自圆其说。而目前AI写作功能如此强大，要求它编造一段言之凿凿的必要性论证并非难事，难的还是是否愿意放弃文字游戏对事实诚实。

我举个例子，有的网站会存储消费者的信用卡信息，为的是便于消费者的后续购买服务（将来再下单的时候无需再填写）。因此，网站主张“促进销售”为正当利益而留存消费者的信用卡信息。但事实（= EDPB的官方态度Recommendations 02/2021 on the legal basis for the storage of credit card data for the sole purpose of facilitating further online transactions）是，存储信用卡数据以对于促进销售而言并非必要，毕竟消费者能否再次购买取决于自身选择，而非能否一键下单。

但当我向AI提出这种要求，它给我了一个堪称完美的废卷：

这个答卷逻辑顺畅、思虑全面，而且拽了不少高深莫测的词，非常漂亮。但如果我们跳出文字堆砌，快问快答“保留付款信用卡信息对于促进销售是否真的必要”，可以得到一种更直接、更感性的答案：不必要。而这种漂亮答卷最终不被欧盟监管接受的案例比比皆是（e.g., Meta v Bundeskartellamt）

所以，数据合规从业者还是尽量先诚实地面对处理活动的实际作用与替代可能，再据此判断是否真正需要保留数据把，不要用论证去强行支撑既定结论。

条件 3：通过平衡测试—正当利益没有被数据主体的基本权利、自由或利益所压倒

平衡测试的目的是为了看和控制者或第三人的正当利益相比，是否有更值得保护的利益——数据主体的权益。

测试方法为：确定数据主体的权益→评估处理活动对数据主体的利益影响→比较哪边的利益更重要。

Step1：确定数据主体相关权益

权益，包括权利和利益。权利是指数据主体的基本权利和自由，包括数据保护和隐私权、自由权、表达权、宗教信仰自由权等，可以说每一个权项都很重；利益，是指数据主体可能受影响的其他利益，如经济利益、社会利益和个人利益，每一种都很宽。

Step2: 评估处理对数据主体的影响

这是LIA中最核心的一块。需要结合处理活动所涉及的数据性质、处理方式、处理结果等与数据主体的权益逐一比对，看看是否会对其有所影响。

（1）数据性质

数据性质可以从以下三个方面考虑。当然这并非绝对的，EDPB的态度肯定是分的越细越好（恨不得按字段分析）：

• 特殊类别数据（Art.9）在 GDPR 下受到额外保护。一组数据中只要包含至少一个敏感数据项，就整体被视为敏感数据，且数据是否敏感的判断依据是其是否可能揭示特定类别信息，而不论处理者的意图如何。而特殊类别数据对于数据主体的影响/评估权重更大，需要额外保护。但是，具体怎么个额外保护法，EDPB并没有给出明确的指示【整个LIA就是大型自由心证游戏】

• 与刑事定罪和犯罪相关的个人数据（Art.10）享有额外保护（同上）。

• 考虑数据是更具隐私性（例如金融数据、位置数据等）还是更具公共性（例如职业数据）。一般来说，数据的隐私程度越高，处理对数据主体的潜在负面影响可能越大，在平衡测试中应给予更多权重。当然这种判定需要基于数据主体的视角，而不能是控制者想当然。

（2）处理背景

处理背景是一个更加广阔的概念，包括但不限于：

• 处理的规模和数量：总体数据量、每个数据主体的数据量以及受影响的数据主体数量

• 控制者的地位：雇主-员工关系与服务提供商-客户关系当然是不同的，所以即便是相同的数据字段和处理目的，产生的影响也不同

• 数据与其他数据集结合的可能性

• 数据的可访问性和公开性

• 数据主体的状态（如是否为弱势群体）

（3）后果

Again，处理后果是一个广阔且充满主观色彩的判断。可以说是个“良心活儿”。

除了直接后果，还需要考虑潜在后果。例如，第三方基于处理后的数据所做决策、可能产生的法律效果、对个人的歧视、声誉损害、财务损失，以及对个人自由、安全和身心健康的风险等。

而除了这些可预见的具体不良后果外，还需考虑数据主体因失去对个人信息的控制而可能产生的更广泛的情感影响，如数据主体因被持续监控而产生的心理不适，以及对受保护行为（如研究自由或表达自由）的寒蝉效应。

（4）数据主体的合理预期

除了以上三点外，还需要考虑数据主体的合理预期，数据主体是否能理性预期Ta的 这些个人数据会被这位控制者以这样的方式所处理呢？这一点非常重要！评估数据主体的合理预期可以从以下方面入手：

• 数据主体与控制者的关系（如客户与非客户的区别）和关系的密切程度

• 数据收集的地点和背景，服务的性质

• 适用法律的要求

• 数据主体自身的特征（如年龄、是否为公众人物、职业地位以及对基于智识对处理活动的理解和看法等）

这个部分还有两个重要的知识点：

1. 控制者不应基于所有受影响的数据主体都有相同利益的假设来评估相关利益。也就是说，可能同一个处理活动，会因为数据主体的分类不同而得到不同的评估结果。如有迹象表明存在特定的个人利益，或者从客观角度来看所有数据主体不太可能具有相同的利益，就需要个案分析。

2. 数据处理的操作越具有侵入性和针对性，影响评估的颗粒度就得越细致（报告越长）。例如，间歇性抓拍会比持续监控侵入性弱，而在商场（公共区域）的无差别监控会比上班打卡人脸比对的针对性弱。

Step3：平衡测试结果

综合考虑上述所有因素后，会得到平衡测试的结果。此时的做法和一般做PIA无异：

• 如果在评估后发现正当利益没有被数据主体的权益所凌驾，可以顺畅地进行数据处理活动；

• 如果数据主体的权益有轻微“优势”，控制者可以考虑采取缓解措施来限制处理活动对数据主体的影响。但是，这种缓解措施必须是GDPR法定义务之外的，例如允许数据主体在不符合常规条件下行使某些权利。并且，如果采取了缓解措施，需要重新进行平衡测试并且得到第一种结果（↑）才能进行处理。

• 如果数据主体的权益大幅超过了正当利益，基本就是宣告这个合法性基础不能用了，没有抢救的必要。

我稍微整理几个典型场景。这些场景除了我的实践经验外，也都能在各种欧盟官方文本中找到支撑，可以“放心食用”。

直接读法条吧：

GDPR Art.6(1)(f) processing is necessary for the purposes of the legitimate interests pursued by the controller or by a third party, except where such interests are overridden by the interests or fundamental rights and freedoms of the data subject which require protection of personal data, in particular where the data subject is a child.

GDPR Art.6(1)(f) 数据控制者或第三方为追求合法利益目的而进行的必要数据处理，但当该利益与要求对个人数据进行保护的数据主体的利益或基本权利和自由相冲突时，尤其是当该数据主体为儿童时，则不得进行数据处理。

儿童是祖国未来的花朵，天大地大儿童利益最大。所以以正当利益为由处理儿童数据一般是很难通过平衡测试的。特别是在涉及儿童数据的商业化活动（如营销或定向广告）中，儿童利益优先于控制者或第三方利益几乎是一个铁律。

退一万步讲，如果企业真的一意孤行就想用正当利益做合法性基础，做平衡测试的时候需要特别考虑不同年龄组儿童的理解能力和受影响程度。

营销场景是正当利益作为合法性基础使用最广泛的一种。因为这个场景已经写在GDPR recital 47，所以对于控制者而言是很有底气的。

Recital (47) The legitimate interests of a controller, including those of a controller to which the personal data may be disclosed, or of a third party, may provide a legal basis for processing, provided that the interests or the fundamental rights and freedoms of the data subject are not overriding, taking into consideration the reasonable expectations of data subjects based on their relationship with the controller ... The processing of personal data for direct marketing purposes may be regarded as carried out for a legitimate interest.

但——很重要——是：

1. 营销行为并不仅受GDPR的规制，同时需要考虑ePrivacy Directive和DSA的合规要求（超详细解析一键直达e-Privacy Directive、DSA）

2. 需要区分个性化广告和面向个人的直接营销通信。二者都属于广义的营销，直接营销通信一般可以采用正当利益为合法性基础（详情还是看你可能不知道的 | 欧盟直接营销合规），而个性化广告一般不能以正当利益为合法性基础。

这样的分岔是因为个性化广告往往涉及用户画像，这是对个人数据的深度挖掘和分析，因此对于数据主体的影响更加深远。特别是对于那些基于跨网站、跨地域、跨设备或跨服务追踪到的用户画像所作的个性化广告，往往很难通过平衡测试。这一点在Meta v Bundeskartellamt案和TCF字符串案中都有体现。前一阵子很火的星巴克追杀式营销争议如果去到GDPR语境下就不能用正当利益去justify。

因此，如果企业希望在个性化广告场景下以正当利益为合法性基础处理个人数据的，需要做更加严谨、详实的评估。

公司内部行政管理也是正当利益作为合法性基础的高频使用场景。因为这个场景已经写在GDPR recital 48，所以对于控制者而言是很有底气的。

Recital (48) Controllers that are part of a group of undertakings or institutions affiliated to a central body may have a legitimate interest in transmitting personal data within the group of undertakings for internal administrative purposes, including the processing of clients' or employees' personal data. The general principles for the transfer of personal data, within a group of undertakings, to an undertaking located in a third country remain unaffected.

可不要小瞧这个内部行政管理场景。行政管理所处理的个人数据不仅包括员工个人数据，也可以是客户个人数据。例如，集团公司为了一体化把控服务质量，可能会收集并分析子公司客户的信息。此时是可以用正当利益为合法性基础的。

即便如此，仍然有两个注意事项：

1. 如果这个处理活动本身涉及了跨境，那么跨境该有的合规动作仍是一个也不能少，包括找到跨境传输合规工具（充分性决定/SCC/BCR/认证...）。

2. 处理员工个人数据还需要考虑当地的劳动法或者类似法规为保护员工权益所设定的规则。对于这些规则的分析也需要体现在LIA中。

WP29工作组在 Opinion 2/2017 on data processing at work Adopted on 8 June 2017: Opinion 2/2017 on data processing at work（一个古早但很有用的文件，推荐阅读https://gdpr-text.com/de/guidelines/dataprocessingatwork/）中罗列了很多与员工管理有关的案例（下划线就是公司主张的正当利益），我稍微总结一下：

关于AI模型训练阶段处理个人数据的合法性基础，目前产业界和学界的状态接近于找不到除了“正当利益”外更好的、平衡各方利益的选项。在欧盟立法改革omnibus草案里也已经提出把正当利益作为AI产业（甚至不止于模型训练）中数据处理的合法性基础。

既然不得不用，那剩下的无非是如何把平衡测试做扎实。在这一点上我觉得可以学习LinkedIn的做法，毕竟它的论证已经成功赢得爱尔兰数据保护委员会DPC的认可：

• 提升透明度，让用户了解LinkedIn会把哪些个人数据用于模型训练，并提供退出选项；

• 减少训练模型用的个人数据类型范围和缩小数据抽取的时间窗口（仅使用部分公开个人资料和公开内容而非全部历史数据，也不包含私人消息）

• 不使用18岁以下用户数据用于模型训练

• 通过过滤手段避免将某些敏感页面或群组（比如工会）的数据纳入训练数据范围

• 提供更详细、更全面的GDPR合规文档

此外还有两个大文件也可以参考（=原文誊写至LIA）：

• EDPB关于人工智能模型中个人数据处理的意见 Opinion 28/2024 on certain data protection aspects related to the processing of personal data in the context of Al models

• 英国ICO对生成式人工智能征求意见系列的回应Information Commissioner's Office response to the consultation series on generative Al

  
  

  不可遗漏的告知义务&数据主体行权响应

关于告知义务

无论是使用什么合法性基础，控制者都必须做好告知义务。但如果使用正当利益，GDPR明显对其告知内容和方式有更高标准的要求：

• 控制者应特别告知数据主体处理其基于第6(1)(f)条的正当利益处理个人数据

• 控制者的正当利益具体是什么

• 推荐告知“平衡测试”的相关信息，比如直接公开LIA报告公开或至少公开可以获取LIA报告的路径

此处还有一点需要提示，在平衡测试中考虑数据主体的合理期待与此处告知义务的履行并不是对等的。履行了告知义务并不代表数据主体可以合理地预期特定的处理活动！！

关于数据主体行权响应

和其他任何数据处理活动无异，数据主体享有访问权、反对权、限制处理权、删除权、更正权、遗忘权等多种权利。而在正当利益为合法性基础的背景下，值得单独提出来说明的是反对权。

数据主体有权随时对基于正当利益所做的数据处理活动提出反对。而当其行使反对权时，控制者须证明有压倒性正当理由（overriding compelling legitimate grounds）才能继续处理，否则应停止。所谓压倒性正当理由一般是指那种关键且紧迫的正当利益，EDPB给的示例是【为了保护其组织或系统免受严重的直接伤害或严重影响其业务的严厉处罚】。

也就是说，当处理活动进入“反对权阶段”，双方地位将更加“不平等”，控制者负有较高的举证责任，推翻数据主体反对意见的门槛更高。

另外，响应数据主体的行权要求是控制者的法律义务，不能作为利益平衡中的缓解措施！不过，若控制者在GDPR的最低要求之上增加保障措施，可以算作利益平衡中的额外保护手段。