El EDPB ha publicado su Guía 1/2024 sobre el tratamiento de datos de carácter personal con base en el Interés legítimo. Tal y como establece el Reglamento General de Protección de Datos, las compañías pueden, en su condición de responsables, tratar los datos personales de sus titulares siempre que exista una de las bases jurídicas que legitiman dicho tratamiento y que vienen reguladas en el artículo 6 del citado RGPD (licitud del tratamiento), siendo el interés legítimo una de ellas (artículo 6.1.f), “el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales”.
Así, esta Guía analiza los requisitos que se deben cumplir para que los responsables puedan tratar los datos conforme a esta normativa y sobre la base de su interés legítimo.
De este modo, tal y como se establece en el documento, se debe dar cumplimiento a las siguientes condiciones, de forma cumulativa (y que deben ser evaluadas por el responsable en caso de fundamentar su tratamiento en esta base legitimadora):
1. La existencia de un verdadero interés legítimo por parte del responsable del tratamiento o de un tercero. En este sentido, se indica en la Guía que no cualquier interés del responsable puede ser considerado como un “interés legítimo”, sino sólo aquellos que estén relacionados con sus actividades principales y no sean contrarios a la normativa (como, por ejemplo, el envío de comunicaciones comerciales a clientes, la prevención del fraude, la cesión de información entre empresas del mismo grupo con fines de administración interna, etc.), debiendo estar articulados, adicionalmente, de forma clara y precisa.
2. Que el tratamiento sea, efectivamente, necesario para lograr el interés legítimo. Los responsables deben evaluar si el interés legítimo puede lograrse por otros medios menos restrictivos de los derechos y libertades fundamentales de las personas, esto es, si existen alternativas razonables, igual de eficaces. Y ello es así debido a que, si estas alternativas existiesen, el tratamiento de los datos puede no ser considerado necesario.
3. Los intereses o las libertades y derechos fundamentales de las personas no prevalecen sobre los intereses legítimos del responsable. Los responsables deben tener en consideración los intereses de las personas, el impacto que el tratamiento puede tener en los titulares o sus expectativas razonables, analizando si existen garantías adicionales que pudieran limitar estos impactos.
Adicionalmente, en la guía se analizan, entre otras cuestiones, la información que debe facilitarse a los titulares de datos, los derechos que asisten a estos en relación con esta base legitimadora o la realización de perfilados.
