ТЕСТ ПРОПОРЦІЙНОСТІ

Оцінка законного інтересу як законної підстави для обробки персональних даних відповідно до ст. 6 п. 1 літ. f) GDPR

Оператор: Jobiflow s. r. o., ЄДРПОУ: 57 430 501, Dlhé Nivy 420/90, 019 01 Ilava

Дата підготовки: 24.4.2026

Версія: 1.2

Відповідає: Bc. Matúš Jackulík, MBA

Мета документа

Цей документ документує оцінку законного інтересу (legitimate interest assessment, LIA) відповідно до ст. 6 п. 1 літ. f) Регламенту (ЄС) 2016/679 (далі лише „GDPR“) як законної підстави для обробки персональних даних оператором Jobiflow s. r. o. Документ слугує для підтвердження відповідності вимогам GDPR у разі звернення суб’єкта даних відповідно до ст. 21 GDPR (заперечення) або перевірки Управління з питань захисту персональних даних Словацької Республіки.

Документ є внутрішнім документом Jobiflow. Він оприлюднюється лише в обсязі, в якому це є необхідним для опрацювання звернення суб’єкта даних або на запит наглядового органу. Документ підлягає регулярному перегляду щонайменше раз на рік і при кожній зміні діяльності з обробки.

Методика тесту

Тест пропорційності відповідно до настанов Європейської ради із захисту даних (EDPB) та робочої групи WP29 (висновок № 06/2014) проводиться для кожної діяльності з обробки, що ґрунтується на законному інтересі, у три етапи:

• Крок 1 – Тест мети (purpose test): Чи є інтерес Jobiflow справді законним? Чи він чітко визначений, законний і реальний?
• Крок 2 – Тест необхідності (necessity test): Чи є обробка необхідною для досягнення мети? Чи не існує менш інвазивного способу?
• Крок 3 – Тест балансу (balancing test): Чи переважає законний інтерес Jobiflow над інтересами, правами та свободами суб’єктів даних?

Якщо тест проходить усі три кроки, законний інтерес є дійсною законною підставою обробки. Якщо якийсь із кроків не пройдено, необхідно обрати іншу законну підставу (насамперед згоду) або припинити обробку.

Перелік оцінених діяльностей з обробки

На підставі ст. 5 Принципів обробки персональних даних Jobiflow тест пропорційності проводиться для таких діяльностей з обробки, для яких законною підставою є законний інтерес відповідно до ст. 6 п. 1 літ. f) GDPR:

• Тест № 1 – Надання профілю Кандидата Клієнту та управління відгуками на Оголошення
• Тест № 2 – Експлуатація, безпека та захист електронної системи від атак
• Тест № 3 – Статистика та аналіз використання (агреговані дані)
• Тест № 4 – Маркетингова комунікація щодо Клієнтів (soft opt-in)
• Тест № 5 – Здійснення та захист правових вимог.

AI Avatar Інтерв’ю не є предметом цього тесту, оскільки воно не ґрунтується на законному інтересі згідно зі ст. 6 ч. 1 п. f) GDPR, а на явній згоді кандидата згідно зі ст. 6 ч. 1 п. a) та ст. 22 ч. 2 п. c) GDPR. Для AI Avatar Інтерв’ю було проведено окрему оцінку впливу на захист персональних даних (DPIA) згідно зі ст. 35 GDPR, яка становить окремий документ Jobiflow

Тест № 1 – Надання профілю Кандидата Клієнту

КРОК 1: Тест мети

У чому полягає інтерес Jobiflow і Клієнта? Інтерес полягає в тому, щоб дати Клієнту як потенційному роботодавцю можливість оцінити відгук Кандидата на конкретне Оголошення та вирішити щодо подальшого перебігу відбору. Без надання профілю Клієнт не міг би розглянути відгук Кандидата, і весь підбір персоналу був би унеможливлений.

Чи є інтерес законним? Так. Посередництво у вакансіях є легітимною економічною діяльністю, що регулюється, зокрема, Законом № 5/2004 З. з. про послуги зайнятості. Водночас це є реалізацією свободи підприємництва згідно зі ст. 16 Хартії основних прав ЄС.

Чи є інтерес конкретним і реальним? Так. Йдеться про ідентифіковану діяльність, що здійснюється під час кожного відгуку Кандидата на Оголошення. Це не гіпотетичний і не спекулятивний інтерес.

Висновок кроку 1: Тест мети виконано.

КРОК 2: Тест необхідності

Чи є надання профілю необхідним для досягнення мети? Так. Без надання принаймні базових даних із профілю та резюме Клієнт не може оцінити придатність Кандидата. Це мінімально необхідний обсяг даних для виконання функції платформи як посередника вакансій.

Чи існує менш інвазивна альтернатива? Ні, практично ні. Альтернативою було б щоразу окремо запитувати згоду в Кандидата при кожному відгуку. Однак такий підхід: (a) не відповідає очікуванням Кандидата, який створив профіль саме з метою шукати роботу, (b) був би надмірно складним і створював би зайві тертя в процесі підбору персоналу, (c) не давав би нічого додаткового з точки зору захисту даних — ті самі дані все одно були б надані.

Мінімізація даних: Клієнту надаються лише ті дані, які Кандидат добровільно зазначив у своєму профілі або резюме. Кандидат має повний контроль над тим, які дані оприлюднює в профілі.

Висновок кроку 2: Тест необхідності виконано.

КРОК 3: Тест збалансованості

Характер даних

Звичайні персональні дані (контактні та ідентифікаційні дані, резюме). Не включає особливі категорії згідно зі ст. 9 GDPR (якщо їх сам Кандидат не зазначить у профілі/резюме, що робить добровільно та на власну відповідальність згідно зі ст. 4.7 Принципів обробки).

Розумні очікування особи, якої стосується

Високі. Кандидат реєструється на платформі з явною метою шукати роботу і знає, що у разі відповіді на Оголошення його профіль буде надано роботодавцю. Ця обставина прозоро зазначена в Політиці обробки, під час реєстрації та під час самої відправки відгуку. Обробка повністю відповідає очікуванням належно поінформованої особи.

Потенційний вплив на осіб, яких стосується

Позитивний або нейтральний. Кандидат отримує можливість подати заявку на запропоновану вакансію, що є його основною метою на платформі. Негативний вплив (наприклад, оприлюднення даних, якими Кандидат не хотів ділитися) мінімізується тим, що Кандидат має повний контроль над вмістом свого профілю.

Гарантії, запроваджені Jobiflow

• Доступ до профілю Кандидата має виключно Клієнт, який є власником Оголошення, на яке Кандидат відреагував (не всі Клієнти).
• Кандидат може будь-коли змінити, деактивувати або видалити свій профіль.
• Кандидат має право заперечити відповідно до ст. 21 GDPR — у такому разі Jobiflow без невиправданої затримки оцінить підстави заперечення і припинить обробку, якщо не доведе вагомих законних підстав.
• Клієнти договірно зобов’язані (через ЗУ та Умови обробки ПД) забезпечувати такий самий рівень захисту.
• Псевдонімізація та шифрування даних відповідно до ст. 32 GDPR.
• Строк зберігання обмежено 3 роками від останньої активності Кандидата.

РЕЗУЛЬТАТ ТЕСТУ 1: Законний інтерес Jobiflow та Клієнта переважає над інтересами, правами і свободами осіб, яких стосується. Обробка на підставі законного інтересу відповідно до ст. 6 п. 1 літ. f) GDPR є допустимою.

Тест № 2 – Експлуатація, безпека та захист системи

КРОК 1: Тест мети

Інтерес Jobiflow: Забезпечити мережеву та інформаційну безпеку Електронної системи, захистити дані всіх користувачів від атак, забезпечити безперервну доступність Сервісу та виконувати обов’язки відповідно до ст. 32 GDPR («безпека обробки»). Обробка даних для цих цілей у преамбулі 49 GDPR прямо визначена як законний інтерес.

Висновок кроку 1: Тест мети виконано.

КРОК 2: Тест необхідності

Без обробки цих даних неможливо: (a) ідентифікувати джерело атак і заблокувати їх, (b) реагувати на інциденти безпеки в реальному часі, (c) виконати обов’язок повідомляти про порушення захисту ПД наглядовому органу протягом 72 годин відповідно до ст. 33 GDPR, (d) розслідувати підозрілу активність на облікових записах. Альтернатива — взагалі не обробляти ці дані — унеможливила б захист самих осіб, яких це стосується.

Висновок кроку 2: Тест необхідності виконано.

КРОК 3: Тест зважування

Розумні очікування

Високі. Кожен поінформований користувач очікує, що платформа впроваджує базові заходи безпеки, включно з логуванням і моніторингом.

Гарантії

• Доступ до логів обмежено обраними працівниками ІТ / команди безпеки.
• Строк зберігання максимум 12 місяців.
• Логи не використовуються для інших цілей (маркетинг, профілювання) — лише для безпеки та експлуатації.
• Псевдонімізація, шифрування в стані спокою та під час передавання.

РЕЗУЛЬТАТ ТЕСТУ 3: Законний інтерес у безпеці однозначно переважає. Обробка є допустимою.

Тест №3 – Статистика та аналіз використання

КРОК 1: Тест мети

Інтерес Jobiflow: Покращувати продукт на основі даних, ухвалювати обґрунтовані рішення щодо розвитку та усувати проблеми з користувацьким досвідом.

Висновок кроку 1: Виконано.

КРОК 2: Тест необхідності

Необхідність: Для агрегованої статистики обробка є необхідною, але з акцентом на мінімізацію. Де це можливо, використовується анонімізація (маскування IP, скорочення ідентифікаторів).

Висновок кроку 2: Виконано з акцентом на анонімізацію.

КРОК 3: Тест зважування

Вплив на суб’єктів даних: Мінімальний. Дані обробляються в агрегованій формі, окремі особи не є ідентифікованими.

Гарантії

• IP-маскування / анонімізація, де це можливо.
• Для аналітичних cookies (Google Analytics, Microsoft Clarity) — обробка лише за згодою користувача.
• Строк зберігання до 13 місяців відповідно до галузевих стандартів.

РЕЗУЛЬТАТ ТЕСТУ 4: Для внутрішньої агрегованої статистики переважає законний інтерес. Для cookies третіх сторін використовується згода.

Тест №4 – Маркетингове спілкування щодо Клієнтів (soft opt-in)

КРОК 1: Тест мети

Інтерес Jobiflow: Підтримувати ділові відносини з існуючими Клієнтами, інформувати їх про нові функції та покращення платформи, які вони можуть використовувати у своєму HR-процесі, та підвищувати їхню залученість і лояльність (upselling і cross-selling).

Законність: § 116 ч. 16 закону № 452/2021 З. з. прямо дозволяє «soft opt-in» прямий маркетинг щодо існуючих клієнтів без їхньої згоди, якщо виконані законодавчі умови. Рецитал 47 GDPR прямо визначає прямий маркетинг як законний інтерес.

Висновок кроку 1: Виконано.

КРОК 2: Тест необхідності

Альтернатива: Альтернативою є явна згода opt-in. Режим soft opt-in є обґрунтованим, оскільки: (a) Клієнт при укладенні договору мав розумне очікування, що його інформуватимуть про свій продукт, (b) йдеться про пряму екстензію виконання договору, (c) проста відписка в кожному e-mail забезпечує контроль суб’єкта даних.

Висновок кроку 2: Виконано.

КРОК 3: Тест балансу

Кумулятивні умови soft opt-in, які Jobiflow має виконувати

• E-mail було отримано у зв’язку з продажем Служби Клієнту.
• Маркетингове спілкування стосується виключно власних подібних продуктів/послуг Jobiflow.
• Під час отримання e-mail Клієнта було проінформовано про маркетингове використання, і йому була надана можливість відмовитися.
• У кожному окремому повідомленні є проста та безплатна можливість відписатися (unsubscribe link).

Вплив на заінтересованих осіб

Низький. Йдеться про B2B-комунікацію щодо осіб, які вже мають із Jobiflow активні ділові відносини. Не контактує з чутливими даними чи чутливими аспектами приватного життя.

Гарантії

• Unsubscribe link у кожному e-mail.
• Ведення suppression list — після відписки Клієнта більше не контактують.
• Сегментація за типом Клієнта — newsletter стосується релевантних тем.
• Жодного маркетингу щодо Клієнтів, які під час реєстрації прямо відмовилися від маркетингової комунікації.
• Максимальна частота — 2 e-mail-повідомлення на місяць.

РЕЗУЛЬТАТ ТЕСТУ 5: За умови дотримання всіх кумулятивних умов soft opt-in, законний інтерес переважає. Увага: щодо Учасників (фізичних осіб, які не мають з Jobiflow договору) soft opt-in не застосовується — для їх маркетингового звернення потрібна явна згода згідно зі ст. 6 ч. 1 п. a) GDPR.

Тест № 5 – Застосування та захист правових вимог

КРОК 1: Тест мети

Інтерес: Здатність захищатися від безпідставних вимог третіх осіб і стягувати власні вимоги. Без можливості зберігати доказові матеріали Jobiflow не міг би ефективно захищати свої права та права своїх клієнтів.

Висновок кроку 1: Виконано.

КРОК 2: Тест необхідності

Необхідність: Без збереження релевантних даних Jobiflow не міг би в разі спору довести свою позицію. Альтернативою було б негайне видалення даних після завершення договору, що, однак, унеможливило б захист у межах строку позовної давності.

Висновок кроку 2: Виконано.

КРОК 3: Тест балансу

Розумні очікування: Середньо високе. Поінформований користувач очікує, що договірні дані та комунікація зберігаються певний час і після завершення договору.

Гарантії

• Дані в цьому режимі обробляються обмежено — лише для реалізації/захисту, а не для інших цілей (не маркетинг, не профілювання).
• Строк зберігання обмежується строком позовної давності конкретних вимог (у комерційних відносинах зазвичай 4 роки згідно з § 397 Господарського кодексу; для загальних вимог 3 роки згідно з § 101 Цивільного кодексу).
• Після набрання законної сили завершення спору та спливу строку позовної давності дані безпечно знищуються.
• Доступ до даних у цьому режимі має обмежене коло осіб (юридичний відділ, керівництво, уповноважені юридичні радники).

РЕЗУЛЬТАТ ТЕСТУ 6: Законний інтерес на захист правових вимог переважає. Обробка є допустимою в межах строку позовної давності конкретних вимог.

Загальний висновок тесту пропорційності

На підставі проведених тестів пропорційності констатується, що законний інтерес згідно зі ст. 6 ч. 1 п. f) GDPR є чинною та належною правовою підставою для таких процесів обробки Jobiflow:

• Тест 1 – надання профілю Кандидата Клієнту — ПРОЙДЕНО
• Тест 2 – експлуатація та безпека системи — ПРОЙДЕНО
• Тест 3 – статистика та аналіз — ПРОЙДЕНО для внутрішніх метрик; для сторонніх cookie — згода
• Тест 4 – маркетинг щодо Клієнтів (soft opt-in) — ПРОЙДЕНО за умови дотримання сукупних умов
• Тест 5 – захист правових вимог — ПРОЙДЕНО

Обов’язки Jobiflow у зв’язку з цим тестом

• Опублікувати в Політиці обробки ПД усю релевантну інформацію про обробку на підставі законного інтересу, включно з можливістю заперечення відповідно до ст. 21 GDPR. Виконано (ст. 11.6 Політики).
• Надати суб’єктам даних можливість легко заперечити проти обробки. Виконано через контактні електронні адреси.
• Зберігати цей документ і надавати його на запит наглядового органу або суб’єкта даних (у релевантному обсязі).
• Переглядати цей документ щонайменше раз на рік і при кожній зміні процесу обробки, при розширенні функцій AI, при зміні законодавства або при рішенні EDPB/УООУ, релевантному для одного з тестів.
• У разі запиту на заперечення згідно зі ст. 21 GDPR без зайвого зволікання оцінити підстави заперечення та або припинити обробку, або письмово довести наявність вагомих законних підстав, що переважають над інтересами суб’єкта даних.

Історія ревізій

Jobiflow s. r. o.