El concepto de «interés» está estrechamente relacionado con el de «finalidad del tratamiento», aunque se trata de conceptos diferentes. En términos de protección de datos, «finalidad» es la razón específica por la que se tratan los datos y el «interés» es el beneficio que el responsable obtendrá del tratamiento. Pero, ¿qué es el interés legítimo?
El «interés legítimo» es uno de los seis fundamentos jurídicos que permiten el tratamiento de datos personales. Cada uno de ellos tiene sus propios requisitos de aplicabilidad y un mejor encaje según el contexto del tratamiento. Pero entre nosotros, por norma general, el interés legítimo es un as en la manga.
Si deseas aprender más y mejorar profesionalmente en un sector en auge, fórmate con nosotros en el Máster en Protección de Datos y aprende con expertos del sector.
Aplicación del interés legítimo
Sin embargo, su aplicación no siempre es posible. Únicamente lo será cuando el interés legítimo del responsable prevalezca sobre los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales. O, dicho de otra forma, cuando el tratamiento no suponga un perjuicio para el interesado igual o mayor que el beneficio que busca la empresa.
Pero cuidado, para aplicar correctamente esta base jurídica no es suficiente con que el responsable declare (porque “yo lo valgo”) que sobre su interés no prevalecen los derechos y libertades de los interesados, sino que debe seguir una metodología de evaluación concreta que le permita afirmarlo. Pues el resultado de esta evaluación determinará si el interés legítimo (artículo 6.1.f) del RGPD), puede o no utilizarse como fundamento jurídico del tratamiento.
Esta metodología de evaluación del interés legítimo, de conformidad con los criterios definidos por el GT29, consiste en ponderar: la naturaleza y la fuente del interés legítimo perseguido por el responsable del tratamiento, por un lado, y las repercusiones para los interesados, por otro.
Esto significa que el responsable debe coger papel y bolígrafo. Por un lado, tendrá que documentar concretamente cuál es el beneficio que persigue con el tratamiento y cuáles serían los perjuicios derivados de no poder lograr ese objetivo y, lo más importante de todo, si existe una alternativa al tratamiento que le permita igualmente alcanzar ese objetivo.
Por otro lado, el responsable deberá describir el tratamiento de los datos personales necesario para alcanzar ese objetivo, es decir, qué datos tratará, de quién, cómo los ha obtenido y los usos que tiene previstos realizar con ellos. Asimismo, deberá valorar las expectativas de los interesados de que sus datos sean o no objeto del tratamiento. Es decir, si les cogería o no por sorpresa descubrir que la empresa está utilizando sus datos con ese propósito.
Por último, el responsable debe documentar el riesgo al que está exponiendo a los interesados al tratar sus datos personales. Para ello, como en todo análisis de riesgos, se deberán identificar claramente las amenazas a las que está expuesto el tratamiento y los controles específicos aplicados para mitigarlas.
Saber aplicar el interés legítimo es una habilidad imprescindible en todo profesional dedicado a la protección de datos. En primer lugar, porque si lo emplea bien puede sacar a su cliente de un buen problema y, en segundo, porque si lo emplea mal puede meterle en uno peor.
¿Quieres especializarte en Dirección de Compliance y Protección de datos?
El Máster en Dirección de Compliance & Protección de Datos te convertirá en un profesional de alta cualificación con las competencias necesarias para realizar tareas especializadas en dos de las áreas más relevantes tanto para empresas privadas como para administraciones públicas: la protección de datos y el cumplimiento normativo o Compliance.
