El interés legítimo en el RGPD: cuándo puede basarse en él y cómo documentarlo

El artículo 6.1.f) permite el tratamiento necesario para la satisfacción de intereses legítimos perseguidos por el responsable o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado, en particular cuando el interesado sea un niño.

La prueba en tres pasos

• Finalidad: ¿existe un interés legítimo? Debe ser lícito, estar claramente definido y ser real, como la prevención del fraude, la seguridad de la red o la mercadotecnia directa dirigida a clientes existentes.
• Necesidad: ¿es el tratamiento necesario para esa finalidad, o podría lograrla con menos datos o de una forma menos intrusiva?
• Ponderación: ¿prevalecen los intereses, derechos y expectativas razonables de la persona sobre los suyos? Tenga en cuenta la naturaleza de los datos, cómo esperaría la persona que se utilizaran y las garantías que usted aplica.

Déjelo por escrito

El principio de responsabilidad proactiva del RGPD (art. 5.2) implica que debe poder demostrar que realizó la prueba. Basta con una breve evaluación del interés legítimo por actividad: el interés, por qué el tratamiento es necesario, la ponderación y las garantías.

Informe a las personas y permítales oponerse

Su aviso de privacidad debe indicar los intereses legítimos en los que se basa (art. 13.1.d)). Las personas tienen derecho a oponerse; en el caso de la mercadotecnia directa, la oposición es absoluta y el tratamiento debe cesar (art. 21.2 y 3).

Cuándo no sirve

Nuestra evaluación RGPD pregunta qué actividades se basan en el interés legítimo y genera una plantilla de evaluación precumplimentada para cada una.

• Las autoridades públicas no pueden basarse en él en el ejercicio de sus funciones.
• Las cookies y otros mecanismos de seguimiento similares con fines analíticos o publicitarios requieren, por lo general, el consentimiento conforme a la normativa sobre privacidad electrónica (ePrivacy), sea cual sea la base jurídica del RGPD.
• Las categorías especiales de datos requieren una circunstancia del artículo 9 además de una base jurídica.