TL;DR para el DPD
El interés legítimo es la base jurídica que los responsables eligen cuando no tienen consentimiento y no encuentran nada mejor. Es también la única que exige escribir un razonamiento antes de usarla. Si ese razonamiento no existe sobre el papel, ante una autoridad la base jurídica sencillamente no está.
Qué decidió el Tribunal
En el asunto C-621/22, resuelto el 4 de octubre de 2024, la federación neerlandesa de tenis había cedido a dos patrocinadores los datos de sus socios con fines de marketing. La pregunta al Tribunal era directa: ¿puede un interés puramente comercial calificarse como interés legítimo conforme al art. 6.1.f)? La respuesta fue afirmativa, siempre que el interés no sea contrario a Derecho. Es la parte de la sentencia que dio la vuelta a los congresos.
La parte que casi nadie leyó
Admitir que el interés es legítimo significa haber superado la primera de las tres condiciones. Quedan las otras dos, y ahí se decide todo: el tratamiento debe ser necesario para ese interés - es decir, no debe existir un medio menos invasivo para obtener el mismo resultado - y el interés del responsable no debe prevalecer sobre los intereses o los derechos y libertades fundamentales del interesado. El Tribunal remitió la ponderación al juez nacional, pero señaló con claridad el criterio que más pesa: las expectativas razonables de quien facilitó los datos.
El criterio que tumba la mayoría de los casos
Un socio que se inscribe en una federación deportiva espera que sus datos sirvan para gestionar la afiliación. No espera recibir ofertas comerciales de una empresa con la que no tiene ninguna relación. Cuando el tratamiento sale del perímetro de lo que el interesado podía razonablemente esperar en el momento de la recogida, la ponderación se inclina, y ninguna cantidad de interés económico la endereza.
Por qué esto afecta a sus clientes aunque no vendan listas
El interés legítimo sostiene tratamientos que nadie considera polémicos: la videovigilancia empresarial, la prevención del fraude, la seguridad informática, el recobro, las comunicaciones a clientes ya captados. En todos ellos la base jurídica es probablemente correcta y en casi todos falta el documento que lo demuestra. La diferencia entre ambos escenarios solo se ve cuando llega una solicitud de acceso o una reclamación.
Qué debe contener la evaluación
No hace falta un documento largo: hace falta un documento que responda a tres preguntas y esté fechado. Las Directrices 1/2024 del EDPB sobre interés legítimo siguen la misma estructura en tres fases, y son la referencia con la que una autoridad medirá su trabajo.
- Qué interés persigue el responsable, descrito en concreto y no como fórmula: no 'fines comerciales' sino 'recontactar a los clientes que compraron en los últimos veinticuatro meses para proponer la renovación'.
- Por qué el tratamiento es necesario para ese interés y qué alternativa menos invasiva se consideró y descartó: es la fase que casi nadie pone por escrito y la que demuestra que hubo una elección.
- Qué podía esperar razonablemente el interesado en el momento de la recogida y qué garantías reducen el impacto sobre él: información clara, plazos de conservación breves, oposición fácil de ejercer.
Dos obligaciones que siguen a la elección y se olvidan
La primera es el art. 13.1.d): cuando la base es el interés legítimo, la información debe indicar CUÁL es ese interés. Escribir 'interés legítimo del responsable' y nada más no cumple la obligación, y es un incumplimiento fácil de constatar leyendo solo la web. La segunda es el art. 21: el interés legítimo es la única base jurídica que convive con un derecho de oposición, y para el marketing directo esa oposición es absoluta, sin ponderación y sin excepciones.
La prueba definitiva
Pida al cliente que le enseñe, para un tratamiento basado en el interés legítimo, el documento en que valoró las tres condiciones. Si no existe, no es un formalismo que arreglar cuando haya tiempo: es lo único que, ante una reclamación, distingue una elección meditada de una base jurídica escogida por descarte.
¿Buscas una herramienta para tu trabajo de DPD?
DPO Workspace está creado por un DPD certificado. 30 días de prueba gratuita.
Empieza gratis
