El Reglamento General de Protección de Datosrgpd) esboza seis bases jurídicas para recoger y tratar información personal, una de las cuales es el interés legítimo.
A continuación, describo qué es el interés legítimo según la rgpd, cómo funciona y cuándo utilizarlo, y aporto ejemplos para ayudar a su empresa a comprender mejor este requisito legal.
- ¿Qué es el interés legítimo en rgpd?
- Cómo declarar intereses legítimos en virtud de rgpd
- Realización de una evaluación del interés legítimo (EIL) en rgpd
- Ejemplos de intereses legítimos para las empresas
- ¿Se le aplica el tratamiento basado en el interés legítimo de rgpd ?
- rgpd Consentimiento frente a interés legítimo
- Resumen
¿Qué es el interés legítimo en rgpd?
Según el rgpd, el interés legítimo es una de las bases jurídicas para el tratamiento de datos personales. Aparece en el artículo 6, Licitud del tratamiento, y establece lo siguiente:
"El procesamiento es necesario para el interés legítimote interéss perseguidos por el responsable del tratamiento o por un tercero , salvo que sobre dichos intereses prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño".
Esto significa que su empresa puede procesar datos personales sin obtener el consentimiento explícito de los consumidores sólo si tiene una razón genuina y justificable y no se puede aplicar ninguna otra base jurídica para la actividad de procesamiento en cuestión.
Se refiere literalmente a cualquier interés que beneficie a una o más partes implicadas en el tratamiento de datos, y puede ser personal, comercial o incluso social.
Por ejemplo, las entidades podrían utilizarla para procesar datos con el fin de evitar fraudes o robos de identidad o para garantizar el correcto funcionamiento de un sistema de seguridad.
Sin embargo, el tratamiento no puede vulnerar el derecho a la intimidad de los consumidores.
El objetivo es permitir que las empresas traten los datos de la forma que una persona podría esperar razonablemente, al tiempo que se equilibran y respetan los derechos del interesado, lo que suena bastante sencillo.
Pero en mi experiencia como profesional de la privacidad, esta es una de las bases jurídicas más complejas porque la carga de la prueba recae en la empresa.
Si una autoridad de control considera que el razonamiento es insuficiente, podría pedirle que cese el tratamiento o arriesgarse a recibir multas por incumplimiento.
¿Qué no es un interés legítimo según rgpd?
El artículo 6 de la rgpd establece que el tratamiento de datos puede considerarse un interés legítimo,
"...salvo que sobre dichos intereses prevalezcan los intereses o los derechos y libertades derechos y libertades fundamentales del interesado."
Esto significa que el tratamiento no puede considerarse un interés legítimo si atenta contra los derechos y libertades de las personas a las que pertenecen los datos personales.
Al tratarse de una definición tan amplia y sujeta a interpretación, dificulta a las empresas la prueba legal del interés legítimo.
Cómo declarar intereses legítimos en virtud de rgpd
Para declarar legalmente los intereses legítimos como base jurídica del tratamiento de datos, debe informar a los consumidores en su política de privacidad rgpd y describir claramente cuáles son esos intereses.
Debe ser lo más específico posible sobre sus intereses legítimos y la forma en que sus actividades de tratamiento de datos sirven a los usuarios, o de lo contrario las autoridades de control podrían considerar que su razonamiento constituye una violación de la ley.
Realización de una evaluación del interés legítimo (EIL) en rgpd
Para ayudarle a determinar cómo pueden aplicarse los intereses legítimos a sus prácticas de recopilación de datos, le guiaré a través de los pasos para llevar a cabo una evaluación de los intereses legítimos rgpd .
La evaluación del interés legítimo o LIA rgpd es una prueba en tres partes que determina si el interés legítimo se aplica a una situación de tratamiento de datos determinada, tal y como recomienda la Oficina del Comisario de Información del Reino Unido (ICO).
Contiene lo siguiente:
- La prueba de finalidad evalúa si persigue intereses legítimos en el tratamiento de sus datos.
- La Prueba de Necesidad demuestra que el tratamiento de datos es necesario para lograr el fin declarado.
- La prueba de sopesamiento demuestra que dicho interés legítimo no vulnera los derechos o intereses de los interesados afectados.
Propósito de la prueba
La prueba de finalidad pretende determinar si tiene un interés legítimo en el tratamiento de los datos.
Para empezar, identifique las finalidades del tratamiento de datos y evalúe si se trata de un interés legítimo planteándose las siguientes preguntas:
- ¿Por qué quiere procesar los datos de los usuarios?
- ¿Quién se beneficia del tratamiento de datos y de qué manera?
- ¿Qué pasaría si no se procesaran los datos?
- ¿Cumple otras leyes pertinentes sobre privacidad de datos y normas del sector?
- ¿Existen posibles problemas éticos en el tratamiento?
- ¿El tratamiento vulnera algún derecho de los usuarios?
- ¿Espera el interesado dicho tratamiento?
- ¿Cumple el tratamiento una función importante o beneficiosa para la sociedad (por ejemplo, prevención del fraude, seguridad, investigación, etc.)?
- ¿Consideraría el interesado que el tratamiento es razonable y proporcionado?
Una empresa que previene el fraude financiero, por ejemplo, podría afirmar que desea procesar los datos de compra de los usuarios para detectar posibles fraudes; esto beneficia al consumidor y puede realizarse respetando las leyes de privacidad sin obstaculizar ningún derecho.
Asegúrese de llevar un registro de sus respuestas, ya que esto le facilitará completar su aviso de privacidad (un requisito esencial de la rgpd) y demostrar que su interés legítimo es jurídicamente sólido, en caso de que alguna vez se produzca una auditoría de privacidad.
Prueba de necesidad
El objetivo de la prueba de necesidad es determinar si el tratamiento de datos es realmente un componente esencial e inevitable para alcanzar el fin legítimo previsto.
Para determinarlo, resulta útil responder a las siguientes preguntas y, al igual que con la Prueba de Propósito, llevar un seguimiento de las mismas:
- ¿Ayudará realmente el tratamiento de datos a lograr su objetivo declarado?
- ¿Es proporcionado el nivel de tratamiento de datos a la finalidad declarada?
- ¿Existen alternativas menos intrusivas para lograr su propósito?
- ¿Podría alcanzarse el mismo objetivo sin tratar datos personales o tratando menos datos?
- ¿Es proporcionado el alcance del tratamiento de datos al beneficio previsto?
- ¿Existen salvaguardias que puedan reducir la necesidad de determinados tipos de tratamiento?
- ¿El tratamiento afecta a datos sensibles (datos de categoría especial) o a datos de menores? En caso afirmativo, ¿existe una razón imperiosa para el tratamiento?
Por ejemplo, si utiliza plataformas de terceros, como Google Analytics, para hacer un seguimiento del tráfico y la participación, es posible que pueda lograr el mismo propósito analítico recopilando datos agregados en lugar de los datos de usuarios individuales.
En ese caso, el tratamiento no sería necesario, por lo que no debería utilizar el interés legítimo como base jurídica.
Prueba de equilibrio
Por último, la prueba de sopesamiento evalúa si los intereses y derechos fundamentales de los consumidores prevalecen sobre los intereses legítimos de su empresa.
Para ayudarle a determinarlo, responda a las siguientes preguntas:
- ¿Trata algún tipo de datos personales sensibles?
- ¿Tratan datos de niños o menores?
- ¿Es razonable que los usuarios esperen que usted utilice sus datos para los fines declarados?
- ¿Qué impacto tiene el tratamiento de sus datos en las personas?
- ¿Crea el tratamiento riesgos de daño, angustia o discriminación para las personas?
- ¿Es probable que los interesados se opongan al tratamiento y, en caso afirmativo, por qué?
- ¿Ha aplicado salvaguardias suficientes para proteger los derechos y libertades de los interesados? (por ejemplo, anonimización, seudonimización, cifrado, exclusión voluntaria, medidas de transparencia, etc.)
- ¿Pueden los interesados ejercer fácilmente sus derechos (por ejemplo, derecho de oposición, derecho de supresión, derecho de acceso)?
- ¿Consideraría una persona razonable que el tratamiento de datos está justificado a la luz de su impacto potencial?
Para inclinar la balanza a su favor y alegar un interés legítimo para sus actividades de tratamiento de datos, aplique medidas de seguridad adecuadas para proteger los datos personales de los usuarios y sea transparente sobre sus prácticas de recopilación de datos.
Es una buena práctica llevar a cabo esta LIA cuando sea necesario para que pueda demostrar que sus intereses legítimos son válidos de acuerdo con la rgpd.
Ejemplos de intereses legítimos para las empresas
Según los considerandos 47 y 48 de la rgpd, existen algunas situaciones en las que podría aplicarse el interés legítimo, entre las que se incluyen:
- Detección del fraude y prevención de la delincuencia
- Seguridad de las redes y de la información
- Tratamiento de datos de empleados o clientes dentro de un grupo de empresas
- Marketing directo
Para ayudarle a comprender mejor estos casos, he recopilado algunos ejemplos a continuación.
Detección del fraude y prevención de la delincuencia
El tratamiento de datos con fines de detección del fraude y prevención de la delincuencia suele superar la prueba de finalidad, dejando las pruebas de necesidad y equilibrio para casos específicos.
En este caso, deberá explicar en su política de privacidad cómo el tratamiento de los datos de los usuarios contribuirá directamente a la detección y prevención del fraude.
Seguridad de las redes y de la información
Según la introducción del considerando 49 de la rgpd, un interés legítimo preponderante es:
" El tratamiento de datos personales en la medida estrictamente necesaria y proporcionada con el fin de garantizar la seguridad de la red y de la información."
Dado que todos los propietarios de empresas deben supervisar y mantener diligentemente la seguridad de sus plataformas, el tratamiento de datos personales por motivos de interés legítimo podría ser necesario para la investigación de violaciones de datos o para impedir el acceso no autorizado a una red.
El considerando 49 también menciona directamente los casos de la prevención de la distribución de código malicioso y la detención de los ataques distribuidos de denegación de servicio (DDoS).
Tratamiento de datos de empleados y clientes
Los intereses legítimos para el tratamiento de datos de empleados y clientes se abordan en el considerando 48, que establece que:
"Tales intereses legítimos podrían existir, por ejemplo, cuando exista una relación pertinente y adecuada entre el interesado y el responsable del tratamiento en situaciones..."
Entre los casos en los que se aplica el interés legítimo para el tratamiento de datos de empleados y clientes figuran:
- Verificación de antecedentes
- Gestión de emergencias
- Grabaciones de las llamadas de atención al cliente para la gestión de la calidad
Una política de privacidad conforme, en este caso, incluiría la base jurídica pertinente para cada finalidad declarada del tratamiento de datos, como una comunicación adecuada con los candidatos y garantizar la contratación del empleado adecuado.
El interés legítimo también se aplica al tratamiento de los datos de los clientes, que puede ser necesario para prestar sus servicios empresariales, desde la consultoría de negocios hasta la modelización de carteras de inversión.
Intereses legítimos en la mercadotecnia directa
Según una parte del considerando 47 de la rgpd,
"...el tratamiento de datos personales con fines de fines de venta directa puede considerarse realizado por un interés legítimo."
El marketing por correo electrónico y el marketing B2B pueden ser motivos legalmente válidos para el tratamiento de datos, siempre que estas actividades se basen en el interés legítimo o el consentimiento, especialmente cuando ya tenga una relación comercial con los interesados afectados.
No obstante, debe comprobar la legislación nacional de los países en los que desea operar, ya que estas normas pueden diferir en función de las medidas adicionales aplicadas a nivel nacional.
Si esto se aplica a su empresa, debe indicarse claramente en su política de privacidad, junto con una descripción de los derechos de los interesados en materia de marketing directo en virtud de rgpd.
Más concretamente, los titulares de los datos tienen derecho a ser excluidos del marketing directo, y su empresa debe atender estas solicitudes o corre el riesgo de ser sancionada por infringir la ley.
Control de los empleados
En virtud de rgpd , también es posible incluir la supervisión de los empleados como interés legítimo en situaciones muy concretas en las que se mantenga un equilibrio entre las necesidades de la empresa y el derecho a la intimidad del empleado.
Por ejemplo, un empresario puede necesitar acceder a los datos de sus empleados por las siguientes razones:
- Proteger los activos de la empresa
- Mantener y conservar las operaciones
- Garantizar el cumplimiento de las políticas legales y de la empresa
- Prevenir fallos de seguridad
- Salvaguardar la propiedad intelectual
Toda esta información debe recogerse en una política de privacidad que debe presentarse a los empleados.
Cobro de deudas
El cobro de deudas también puede considerarse un interés legítimo en virtud de rgpd si la empresa puede demostrar que el tratamiento de datos es esencial y no vulnera los derechos de privacidad de ninguna persona.
Sin embargo, una empresa puede cobrar deudas que se le adeuden y utilizar datos personales para facilitar este proceso si puede demostrar que el tratamiento es equilibrado y necesario.
También debe divulgarse y explicarse claramente en su aviso de privacidad conforme argpd .
¿Se le aplica el tratamiento basado en el interés legítimo de rgpd ?
Es importante que elija una base jurídica para el tratamiento de sus datos que sea legal, aplicable y demostrable, y la carga de la prueba recae exclusivamente en su empresa.
Para ayudarle a determinar si el tratamiento de datos basado en el interés legítimo de rgpd es aplicable en su caso, he recopilado dos preguntas para que las tenga en cuenta.
¿Es el interés legítimo la base más adecuada para sus actividades de tratamiento de datos?
Si va a invocar el interés legítimo en virtud de la rgpd, debe poder demostrar que no existen otros fundamentos jurídicos más adecuados para sus actividades de tratamiento de datos.
Tenga mucho cuidado en este punto, porque las multas por incumplimiento de la rgpd pueden alcanzar hasta el 4% de su facturación anual bruta o 20 millones de euros (21 millones de dólares), lo que sea más alto.
¿Se tratarán los datos de forma que respondan a las expectativas razonables de los usuarios?
También es importante que su empresa pueda demostrar que sus actividades de tratamiento de datos se realizan de forma que satisfagan las expectativas razonables de sus usuarios.
Según rgpd, los interesados tienen derecho a controlar sus datos personales y el uso que se hace de ellos.
Esto significa que procesar datos de maneras que los usuarios no esperan podría violar la rgpd, incluso si no dejas expresamente claros los derechos de los usuarios sobre sus datos.
Debe utilizar un lenguaje claro en su política de privacidad y evitar jerga compleja o jerga legal para garantizar que los usuarios entienden cómo procesa sus datos.
rgpd Consentimiento frente a interés legítimo
En virtud de rgpd, puede tratar datos personales sin el consentimiento del usuario si se basa en cualquiera de las otras bases jurídicas mencionadas anteriormente.
Sin embargo, el tratamiento de datos basado en el consentimiento es mucho más fácil de demostrar porque requiere obtener el consentimiento afirmativo y expreso del interesado; no es necesario determinar la necesidad del tratamiento.
Si procesa datos personales basándose en el consentimiento, también debe ofrecer a los usuarios opciones de exclusión voluntaria para que puedan retirar su consentimiento fácilmente, tal y como exige rgpd.
Puede utilizar recursos como una plataforma de gestión del consentimiento (CMP) para ayudarle a obtener el consentimiento.
Las soluciones de consentimiento también le ayudan a demostrar más fácilmente que ha obtenido adecuadamente el consentimiento legal de los interesados y les proporciona un medio para cambiar de opinión en cualquier momento.
Si está procesando datos y no está seguro de que sus fines cumplan las normas de necesidad de intereses legítimos, obtener el consentimiento es la opción más segura para el cumplimiento de rgpd .
Resumen
Según la rgpd, el tratamiento de datos basado en el interés legítimo es un proceso complejo.
Su empresa debe realizar una Evaluación del Interés Legítimo rgpd para determinar si sus fines y el tratamiento son necesarios, equilibrados y conformes a la ley.
Pero como esta base jurídica está sujeta a diversas interpretaciones y la responsabilidad de la prueba recae en su empresa, debe asegurarse de que está seguro al citar el interés legítimo en su aviso de privacidad.
Más sobre el autor
Escrito por Natasha Piirainen
Natasha es especialista en contenidos con más de 10 años de experiencia profesional en el desarrollo de contenidosbasados en la investigación. Es licenciada en Filosofía e Inglés por el Wheaton College. En Termly,se centra en las mejores prácticas de privacidad de datos y gestión del consentimiento yes responsable del mantenimiento y la actualización de materialesexhaustivos sobre privacidad de datos .
Más sobre el autor
Revisado por Teodor Stanciu, CIPP/E, CIPM Coordinador Jurídico y DPO
