TL;DR per il DPO
Il legittimo interesse e' la base giuridica che i titolari scelgono quando non hanno il consenso e non trovano di meglio. E' anche l'unica che richiede di scrivere un ragionamento prima di usarla. Se quel ragionamento non esiste su carta, davanti a un'autorita' la base giuridica semplicemente non c'e'.
Che cosa ha deciso la Corte
Nella causa C-621/22, decisa il 4 ottobre 2024, la federazione olandese di tennis aveva ceduto a due sponsor i dati dei propri soci per finalita' di marketing. La questione posta alla Corte era secca: un interesse puramente commerciale puo' qualificarsi come legittimo interesse ai sensi dell'art. 6, par. 1, lett. f)? La risposta e' stata affermativa, a condizione che l'interesse non sia in contrasto con la legge. E' la parte della sentenza che ha fatto il giro dei convegni.
La parte che quasi nessuno ha letto
Riconoscere che l'interesse e' legittimo significa aver superato la prima delle tre condizioni. Restano le altre due, ed e' li' che si decide tutto: il trattamento deve essere necessario per quell'interesse - cioe' non deve esistere un mezzo meno invasivo per ottenere lo stesso risultato - e l'interesse del titolare non deve essere prevalso dagli interessi o dai diritti e liberta' fondamentali dell'interessato. La Corte ha rimesso il bilanciamento al giudice nazionale, ma ha indicato con chiarezza il criterio che pesa di piu': le ragionevoli aspettative di chi ha fornito i dati.
Il criterio che fa cadere la maggior parte dei casi
Un socio che si iscrive a una federazione sportiva si aspetta che i suoi dati servano a gestire il tesseramento. Non si aspetta di ricevere offerte commerciali da un'azienda con cui non ha alcun rapporto. Quando il trattamento esce dal perimetro di cio' che l'interessato poteva ragionevolmente attendersi al momento della raccolta, il bilanciamento si inclina, e nessuna quantita' di interesse economico lo raddrizza.
Perche' questo riguarda i tuoi clienti anche se non vendono liste
Il legittimo interesse regge trattamenti che nessuno considera controversi: la videosorveglianza aziendale, la prevenzione delle frodi, la sicurezza informatica, il recupero crediti, l'invio di comunicazioni a clienti gia' acquisiti. Sono tutti casi in cui la base giuridica e' probabilmente corretta e in cui, quasi sempre, manca il documento che lo dimostra. La differenza fra i due scenari si vede solo quando arriva una richiesta di accesso o un reclamo.
Che cosa deve contenere la valutazione
Non serve un documento lungo: serve un documento che risponda a tre domande e sia datato. Le linee guida 1/2024 dell'EDPB sul legittimo interesse seguono la stessa struttura in tre fasi, e sono il riferimento su cui un'autorita' misurera' il tuo lavoro.
- Quale interesse persegue il titolare, descritto in concreto e non come formula: non 'finalita' commerciali' ma 'ricontattare i clienti che hanno acquistato negli ultimi ventiquattro mesi per proporre il rinnovo'.
- Perche' il trattamento e' necessario a quell'interesse, e quale alternativa meno invasiva e' stata considerata e scartata: e' la fase che quasi nessuno mette per iscritto ed e' quella che dimostra che una scelta c'e' stata.
- Che cosa poteva ragionevolmente aspettarsi l'interessato al momento della raccolta, e quali garanzie riducono l'impatto su di lui: informativa chiara, tempi di conservazione brevi, opposizione semplice da esercitare.
Due obblighi che seguono la scelta, e che vengono dimenticati
Il primo e' l'art. 13, par. 1, lett. d): quando la base e' il legittimo interesse, l'informativa deve indicare QUALE interesse. Scrivere 'legittimo interesse del titolare' e basta non adempie l'obbligo, ed e' una contestazione facile da muovere leggendo il solo sito. Il secondo e' l'art. 21: il legittimo interesse e' l'unica base giuridica che convive con un diritto di opposizione, e per il marketing diretto quell'opposizione e' assoluta, senza bilanciamento e senza eccezioni.
La prova del nove
Chiedi al cliente di mostrarti, per un trattamento fondato sul legittimo interesse, il documento in cui ha valutato le tre condizioni. Se non esiste, non e' un problema formale da sistemare quando c'e' tempo: e' l'unico elemento che, in caso di reclamo, distingue una scelta ponderata da una base giuridica scelta per esclusione.
Stai cercando un gestionale per il tuo lavoro di DPO?
DPO Workspace e' costruito da un DPO certificato. 30 giorni di prova gratuita.
Inizia gratis
