LIA：合法利益评估

LIA 的核心执行标准为法定三步测试法（三重校验机制），三步必须全部通过方可合法使用合法利益依据，任意一步不通过则必须更换其他法律基础或停止数据处理行为。第一步为目的测试（合法性校验），企业需明确自身处理个人数据的目的具备真实、合法、正当的商业或合规利益，禁止以虚假利益、模糊利益、泛化商业需求作为处理依据。该利益必须合法合规、真实存在，不得违背欧盟法律与公序良俗，例如企业风控防欺诈、设备故障溯源、内部运维安全、客户服务质量优化、跨境合规风控等均属于正当合法利益，而无边界营销、批量用户信息爬取、无目的数据归集、超额数据留存等不属于合法利益范畴。第二步为必要性测试（最小必要校验），校验当前数据处理行为是否为实现合法利益的唯一、最小、最低限度手段，判断企业是否存在更少隐私侵害的替代方案。若企业可通过匿名数据、汇总数据、简化字段、缩减范围实现同等业务目的，则当前个人数据处理行为不满足必要性要求，无法适用合法利益依据。该步骤严格贴合 GDPR 数据最小化原则，杜绝企业以合法利益为名超额采集、超限处理、长期留存欧盟个人数据。第三步为平衡测试（权益对冲校验），也是 LIA 最核心、最严格的步骤，需要对冲企业商业利益与数据主体隐私权益，判断企业正当利益是否优先于用户的隐私权利与自由。若数据处理行为对用户隐私影响过大、超出用户合理预期、侵害用户核心权益，即便企业存在合法利益、处理具备必要性，仍无法适用该法律基础。同时需充分考虑用户合理异议权，用户权益优先时必须终止处理或接受用户异议。