Invocar el interés legítimo para tratar datos personales

El Reglamento Europeo de Protección de Datos. Reglamento 679/2016, RGPD, en su artículo 6 establece que todo tratamiento deberá basase una de las 6 bases legitimadoras que en él se establece, siendo una de ellas el Interés Legítimo.

Pero, ¿qué es el Interés Legítimo?

Según lo que indica el RGPD en su artículo 6.f., el tratamiento de los datos personales podrá basarse en esta base legitimadora cuando “es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño.”

Como en el propio artículo se indica, el tratamiento debe de suponer un beneficio o un interés para el Responsable del tratamiento o un tercero, siempre y cuando este beneficio o interés prevalezca sobre los derechos y libertades fundamentales del interesado.

¿Qué requisitos debe tener el interés legítimo para poder utilizarlo como base legitimadora?

El interés legítimo deberá ser:

• Lícito, es decir, que no se trata de un tratamiento ilegal o ilícito.
• Real y actual, no pudiendo tratarse de un interés hipotético o futuro.
• Necesario, lo que supondrá que, si el interés perseguido no fuera imprescindible o pudiera alcanzarse llevando a cabo un tratamiento menos intrusivo desde el punto de vista de la privacidad (ej. Conseguir el mismo objetivo sin tratar datos personales), se tendría que optar por esa opción.
• Que no prevalezcan los derechos y libertades de los interesados sobre el interés legítimo perseguido.

Por ello, se recomienda llevar a cabo un Análisis del Interés Legítimo de manera muy detallada, que permita analizar todos estos factores y que ayude a determinar si esta base legitimadora es apta para llevar a cabo este tratamiento o se debe de optar por otra base alternativa (como el consentimiento del interesado) o por no llevar a cabo el tratamiento. Este análisis no está tasado por la normativa y, por tanto, puedes utilizar o elaborar aquél que te permita analizar correctamente estos aspectos. Eso sí, trata de ser lo más exhaustivo y riguroso posible, y argumentar mucho las conclusiones obtenidas, ya que esa será la prueba de probar que efectivamente el Interés Legítimo era una base legitimadora adecuada.

Ahora bien, este análisis no está libre de subjetividad, puesto que está realizado por el propio Responsable del Tratamiento o tercero que va a beneficiarse de llevar a cabo el tratamiento, por tanto, y a fin de tratar de mitigar esa subjetividad lo máximo posible, recomendamos que acuda a terceros ajenos para consultar su criterio (como un despacho de abogados o consultores externos), o a asociaciones de consumidores y usuarios, que permitan ofrecer esa visión más objetiva sobre el análisis realizado y el tratamiento a llevar a cabo.

Tras el análisis realizado, y una vez llegada a la conclusión de que el Interés Legítimo es la base legitimadora adecuada, ¿Qué otros aspectos se deben tener en cuenta?

• El deber de información: Cuando se base un tratamiento en el interés legítimo, se deberá informar de ello a los interesados de manera clara y concisa. Utilizando un lenguaje que les permita comprender la información que se les está trasladando. En cuanto a sobre qué informar, se deberá indicar el tratamiento que se basa en esta base legitimadora, los datos que se van a utilizar para realizarlo, y el beneficio o interés perseguido por el Responsable o por el tercero. 

• El derecho de oposición: cuando un tratamiento se base en el interés legítimo, se deberá facilitar a los interesados oponerse a este tratamiento de manera sencilla. Para ello, se recomienda utilizar técnicas de opt -out, o casillas sin pre-marcar para indicar la oposición, o alguna dirección de correo electrónico al que dirigirse para ejercer este derecho.

Para finalizar, recordar que esta base legitimadora es tan válida como el resto de bases legales establecidas en el RGPD, únicamente se deberá de contar con las garantías adecuadas para poder aplicarlo.

Cristina Giménez Vivancos

Equipo Govertis