Toda empresa que trate datos personales debe valorar siempre cuál es la base jurídica adecuada para el tratamiento previsto. Muchos directivos oyen «interés legítimo» y piensan que es un atajo para evitar el consentimiento. Un error en este punto expone a la organización a medidas de aplicación de la normativa, sanciones económicas y daños reputacionales. Conforme al RGPD (artículo 6), ambas son bases jurídicas válidas para el tratamiento de datos personales, pero funcionan de forma muy distinta.
Esto es lo que los directivos necesitan saber.
Consentimiento frente a interés legítimo: la diferencia esencial
El consentimiento significa que la persona interesada acepta de forma activa: libre, específica, informada e inequívoca (art. 4.11 RGPD).
El interés legítimo significa que usted cuenta con una razón genuina y real para tratar los datos, y que esa razón se sostiene al ponderarla frente a los derechos de la persona interesada. Esto exige una evaluación cuidadosa por parte del responsable del tratamiento. Si su organización decide por qué y cómo deben tratarse los datos personales, es el responsable del tratamiento.
Para determinar si un tratamiento concreto puede basarse en el interés legítimo, los responsables deben evaluar y documentar cuidadosamente, antes de llevar a cabo las operaciones de tratamiento correspondientes y no después, si se cumplen las condiciones pertinentes.
Tres condiciones que deben cumplirse todas (art. 6.1.f RGPD)
Para poder basarse en el interés legítimo como base jurídica, deben cumplirse las tres condiciones siguientes.
1. La existencia de un interés legítimo
El responsable del tratamiento o un tercero deben tener un interés legítimo en tratar los datos. No existe una lista cerrada de lo que constituye un interés legítimo. El RGPD no define el concepto, por lo que, en principio, puede considerarse una amplia gama de intereses. La Comisión Europea ofrece estos ejemplos típicos:
- cuando el tratamiento tiene lugar en el marco de una relación con un cliente
- cuando los datos personales se tratan con fines de mercadotecnia directa (nota: los canales electrónicos y postales reciben un trato distinto)
- para prevenir el fraude o garantizar la seguridad de las redes y de la información de sus sistemas informáticos
2. El tratamiento debe ser necesario
Un tratamiento solo es «necesario» si el mismo objetivo no puede alcanzarse razonablemente por otros medios menos invasivos para los derechos y libertades de las personas. Si existe una alternativa menos invasiva para la privacidad, no puede ampararse en el interés legítimo.
3. La ponderación de intereses
Los derechos y libertades de la persona interesada no deben prevalecer sobre su interés legítimo. Esta condición exige una ponderación de intereses, cuyo resultado dependerá de las circunstancias concretas de cada caso. Pregúntese si las personas esperarían razonablemente que sus datos se utilizaran de esta manera, y si podría sorprenderles o perjudicarles.
Documéntelo: la Evaluación de Interés Legítimo (EIL)
Una vez analizadas las tres condiciones anteriores, debe dejar constancia de su análisis en una Evaluación de Interés Legítimo (Legitimate Interest Assessment, LIA). Aunque el término «Legitimate Interest Assessment» no aparece como tal en el propio RGPD, el Comité Europeo de Protección de Datos (CEPD) deja claro que documentar su análisis es necesario para demostrar el cumplimiento del principio de responsabilidad proactiva (art. 5.2 RGPD). Debe recoger su finalidad, por qué el tratamiento es necesario y por qué su interés prevalece sobre el impacto en las personas afectadas. Debe completarse antes de iniciar el tratamiento, no a posteriori, y reevaluarse cada vez que cambien las circunstancias.
La EIL es la prueba de que usted abordó la decisión de forma responsable y conforme a la ley, y no debe tratarse como un mero formalismo.
Sus obligaciones clave al basarse en el interés legítimo
Elegir el interés legítimo como base jurídica conlleva responsabilidades continuas.
- Informe a las personas interesadas en su política de privacidad de que se basa en el interés legítimo, cuál es ese interés y cómo pueden oponerse.
- Deje de tratar los datos si alguien se opone. En el caso de la mercadotecnia directa, este derecho es absoluto conforme a los artículos 21.2 y 21.3 RGPD. Aunque una ponderación previa hubiera concluido que existe un interés legítimo, este queda sin efecto en cuanto una persona interesada se opone al tratamiento de sus datos con fines de mercadotecnia directa.
- Suprima los datos cuando se lo soliciten y cuando ya no sean necesarios. El interés legítimo no justifica una conservación indefinida. Los datos deben eliminarse cuando dejen de ser necesarios para la finalidad para la que se recogieron.
La regla de la mercadotecnia directa: el canal importa
La base jurídica en la que puede apoyarse depende del canal que utilice.
- Correo postal: el interés legítimo puede aplicarse, siempre que disponga de una fuente de datos lícita e incluya una opción de exclusión (opt-out) clara en cada envío.
- Correo electrónico, SMS y llamadas automatizadas: se requiere consentimiento. Por lo general, el interés legítimo no resulta aplicable (salvo excepciones limitadas, como el «soft opt-in» en relaciones ya existentes con clientes). La Directiva ePrivacy (2002/58/CE) se aplica además del RGPD y prevalece para estos canales.
Una reflexión final
El interés legítimo (art. 6.1.f RGPD) es una de las seis bases jurídicas de igual rango para el tratamiento de datos personales. No debe tratarse como un último recurso ni elegirse bajo la suposición de que resulta más sencillo que las demás (Directrices del CEPD, 2024). Optar por él exige una evaluación cuidadosa, informada y documentada.
Bien utilizado, el interés legítimo es una base jurídica potente y flexible. Utilizado con descuido, se convierte en un riesgo.
Este artículo tiene fines meramente informativos y no constituye asesoramiento jurídico. Consulte a su delegado de protección de datos o a su asesoría legal antes de tomar decisiones sobre la base jurídica de su tratamiento. Para más información, escríbame un comentario o un mensaje, estaré encantada de ayudar.