Directrices 1/2024 sobre el tratamiento de datos personales basado en el interés legítimo

Nota informativa del área de Protección de Datos de ECIJA Madrid.

El Comité Europeo de Protección de Datos anunció el 9 de octubre la adopción de las Directrices 1/2024 sobre el tratamiento de datos personales basado en el artículo 6, apartado 1, letra f), del Reglamento General de Protección de Datos (“RGPD”). Estas Directrices están abiertas a consulta pública hasta el 20 de noviembre.

Lo que necesitas saber

• Las Directrices del Comité Europeo de Protección de Datos (“CEPD”) actualizan el Dictamen 6/2014 del Grupo de Trabajo del Artículo 29, teniendo en cuenta el RGPD y las interpretaciones del TJUE.
• Proporciona unas orientaciones prácticas y detalladas para ayudar a los responsables del tratamiento a realizar el “ejercicio de ponderación” o “prueba de sopesamiento” para evaluar si el interés legítimo puede invocarse como base jurídica válida para el tratamiento de datos personales pretendido.
• Las Directrices abordan cuestiones como el tratamiento de datos personales de menores, la evaluación de expectativas razonables de los interesados, el tratamiento para fines de publicidad directa, y la transferencia de datos dentro de grupos empresariales.
• Estas Directrices están abiertas a consulta pública hasta el 20 de noviembre.

Las Directrices del Comité Europeo de Protección de Datos (“CEPD”) actualizan el Dictamen 6/2014 del Grupo de Trabajo del Artículo 29, teniendo en cuenta los cambios introducidos por el RGPD y las interpretaciones del Tribunal de Justicia de la Unión Europea (“TJUE”) sobre el interés legítimo como base legal para el tratamiento de datos.

El principal objetivo de estas directrices es ayudar a los responsables del tratamiento a evaluar si el interés legítimo puede invocarse como base jurídica válida para el tratamiento de datos personales pretendido. Para ello, el CEPD proporciona unas orientaciones prácticas y detalladas a la hora de realizar el “ejercicio de ponderación” o “prueba de sopesamiento”, proponiendo la siguiente metodología dividida en tres fases:

(I) Persecución de un interés legítimo por parte del responsable del tratamiento o de un tercero

En esta primera etapa, se debe analizar si el interés perseguido puede considerarse “legítimo”. Para ello, es necesario que cumpla con los siguientes criterios acumulativos: (i) no ser contrario a la legislación de la UE o Estados miembros, (ii) articularse de forma clara y precisa, y (iii) ser un interés real y presente (no especulativo).

Asimismo, el carácter legítimo del interés de un tercero debe evaluarse siguiendo los mismos criterios que se aplican a los intereses propios del responsable del tratamiento.

(II) Analizar la necesidad del tratamiento para perseguir los intereses legítimos

En esta segunda etapa el responsable debe evaluar si, en la práctica, los intereses legítimos del tratamiento de datos que se persiguen no pueden alcanzarse con la misma eficacia por otros medios menos restrictivos para los derechos y libertades fundamentales de los interesados.

La necesidad del tratamiento debe examinarse en relación con el principio de “minimización de datos”, según el cual los datos personales deben ser adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que se traten.

(III) Prueba de sopesamiento

El responsable del tratamiento debe identificar los intereses, derechos fundamentales y libertades de los interesados, teniendo en cuenta que la referencia explícita a los “intereses” proporciona mayor protección al interesado, ya que exige tener en cuenta intereses económicos sociales, personales, etc., y no solo derechos y libertados fundamentales.

Además, el responsable del tratamiento debe analizar la repercusión del tratamiento en los interesados teniendo en cuenta los siguientes aspectos relevantes: (i) naturaleza de los datos que se van a tratar, (ii) el contexto del tratamiento, y (iii) otras consecuencias del tratamiento.

En cuanto a la naturaleza de los datos que se van a tratar, el responsable debe prestar especial atención a factores como, por ejemplo, el tratamiento de datos de categoría especial, datos relativos a infracciones penales, datos más privados (financiero, localización, entre otros) o más bien de carácter público, etc.

Respecto al contexto y los métodos específicos de tratamiento de datos, el responsable del tratamiento debe tener en cuenta, en otras cosas: la magnitud del tratamiento y la cantidad de datos, la relación entre el responsable y el interesado, si los datos personales se van a combinar con otros conjuntos de datos, el grado de accesibilidad, la condición del interesado (por ej.; persona vulnerable), etc.

Las Directrices destacan la importancia de prestar especial atención a las situaciones en las que el interesado es un menor. En estos casos, el responsable del tratamiento debe garantizar, y poder demostrar, que se ha considerado el interés superior del menor y que se han establecido las garantías adecuadas.

Se menciona también la necesidad de evaluar las expectativas razonables del interesado. Para ello, se pueden considerar aspectos como: la relación con el interesado, la proximidad de la relación, el lugar y el contexto, las características del servicio, la edad del interesado, su profesión o el nivel de comprensión y conocimiento del tratamiento previsto.

Si el resultado de esta evaluación es que los intereses legítimos perseguidos prevalecen sobre los intereses, derechos y libertades del interesado, podrá llevarse a cabo el tratamiento previsto. En caso contrario, el responsable podrá considerar la introducción de medidas mitigadoras para limitar el impacto del tratamiento, con vistas a lograr un justo equilibro. Una vez implantadas dichas medidas, deberá realizar de nuevo la prueba de sopesamiento.

En las Directrices también se analiza la relación entre el artículo 6.1.f) del RGPD y los derechos de los interesados. En cuanto a las decisiones automatizadas y la elaboración de perfiles, se indica que la ponderación debe incluir el análisis de aspectos como el grado de detalle y el efecto del perfilado, asegurando que se mantenga la equidad, se evite la discriminación y se garantice la exactitud de los datos. Además, se recuerda que cuando los datos son tratados con fines de publicidad directa, el interesado tiene un derecho específico de oponerse a dicho tratamiento sin necesidad de “sopesar intereses” para evaluar si debe aceptarse la oposición.

Asimismo, las directrices abordan cuestiones como el interés legítimo que puede tener una empresa de un grupo empresarial en transmitir datos personales dentro del grupo de empresas para fines administrativos internos, y el tratamiento de datos personales con fines de prevención del fraude (teniendo en cuenta el especial impacto que este tratamiento puede tener en los interesados).

Por último, se indica que el interés legítimo no se aplicará al tratamiento efectuado por las autoridades públicas en el ejercicio de sus funciones.

Estas directrices coinciden con el criterio seguido por parte del TJUE en su reciente resolución (asunto C-621/22), de fecha 4 de octubre de 2024, en la que resuelve una cuestión prejudicial en la que se plantea si la base legal del artículo 6.1.f) del RGPD puede ser válida para un tratamiento de datos personales con el fin de satisfacer un interés comercial del responsable del tratamiento. En la misma, al margen de las consideraciones sobre el caso concreto, se reitera que la forma en que ha de determinarse la suficiencia de esta base de legitimación exige la realización de un juicio de ponderación, que siga el proceso referido, para valorar si se da una prevalencia de los intereses legítimos del responsable frente a los derechos y libertades del interesado.

Descargar el PDF completo más abajo.