Evaluación del Interés Legítimo
1.- Breve explicación
El interés legítimo es una de las bases legales para el tratamiento de datos personales que proporciona el RGPD. Según la letra f) del apartado 1 del artículo 6, el tratamiento será lícito cuando «sea necesario para los fines de los intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, salvo cuando los intereses o los derechos y libertades fundamentales del interesado prevalezcan sobre los intereses o libertades fundamentales del interesado que requieran la protección de los datos personales, en particular cuando el interesado sea un niño».
Asimismo, es interesante recurrir también a las opiniones manifestadas por el Grupo de expertos del artículo 29 (GT29), en aras de clarificar cuál es el ecosistema que envuelve la base del interés legítimo. En este sentido, destaca su opinión en el Dictamen 06/2014 donde podremos estudiar el modo en que se debe aplicar el interés legítimo.
En primer lugar, el GT29 nos dice que el interés legítimo no debe utilizarse como un último recurso para evitar bases de tratamiento más apropiadas que ésta, pero más exigentes en términos de requisitos exigibles (como el consentimiento). O dicho de otro modo, el GT29 nos está avisando de que el interés legítimo está para ayudar, y no para utilizarlo como si de un fraude de Ley se tratase, evitando recurrir al consentimiento del afectado en casos en los que, necesariamente, dicho consentimiento debe existir.
En segundo lugar, y para evitar el efecto pernicioso del que nos está alertando, nos informa que será condición indispensable realizar una ponderación de intereses, o juicio de proporcionalidad, entre el interés del Responsable del Tratamiento, y los derechos y libertades del afectado.
Podéis encontrar más información sobre el interés legítimo en el fantástico post titulado “En defensa del interés legítimo” de nuestro colaborador habitual Pablo García-Girón Pérez.
2.- Legislación aplicable
- REGLAMENTO (UE) 2016/679 de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (Reglamento general de protección de datos o RGPD). Artículo 6 Licitud del tratamiento
- Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales. Disposición adicional décima. Comunicaciones de datos por los sujetos enumerados en el artículo 77.1.
Modelo – Evaluación del Interés Legítimo
.Para garantizar la legalidad del tratamiento basado en un interés legítimo, es necesario evaluar si es aplicable. La evaluación del interés legítimo ayudará a asegurar y demostrar el cumplimiento de acuerdo con el principio de rendición de cuentas. La evaluación del interés legítimo se divide en tres partes:
1. Test de finalidad
2. Test de necesidad
3. Test de equilibrio
PARTE 1:
Test de finalidad
Debe evaluar si existe un interés legítimo para el tratamiento.
- ¿Por qué se quieren tratar los datos?
- ¿Qué beneficios espera obtener del tratamiento?
- ¿Algún tercero se beneficia del tratamiento?
- ¿Existen beneficios públicos más amplios para el tratamiento?
- ¿Qué tan importantes son los beneficios que ha identificado?
- ¿Cuál sería el impacto si no pudieras seguir adelante con el tratamiento?
- ¿Estás cumpliendo con alguna norma específica de protección de datos que se aplique al tratamiento (por ejemplo, requisitos de elaboración de perfiles o legislación sobre privacidad electrónica)?
- ¿Está cumpliendo con otras leyes relevantes?
- ¿Cumple con las directrices de su industria o con los códigos de práctica?
- ¿Existen otras cuestiones éticas en el tratamiento?
PARTE 2:
Test de necesidad
Debe evaluar si el tratamiento es necesario para el objetivo que ha identificado.
- ¿Este tratamiento realmente le ayudará a lograr la finalidad perseguida?
- ¿Es el tratamiento proporcional a este fin?
- ¿Se puede lograr la misma finalidad sin el tratamiento?
- ¿Puede lograr la misma finalidad tratando menos datos o tratando los datos de otra manera más obvia o menos intrusiva?
PARTE 3:
Test de equilibrio
Es necesario considerar el impacto en los intereses, derechos y libertades de las personas y evaluar si esto prevalece sobre sus intereses legítimos.
Recuerde que debe llevar a cabo una evaluación del impacto de la protección de datos (EIPD) antes de utilizar el test de equilibrio si el tratamiento lo requiere de acuerdo con la lista de comprobación de selección del EIPD. El EIPD evaluará los riesgos con más detalle.
Naturaleza de los datos personales
- ¿Se trata de datos de categoría especial o de datos sobre delitos penales?
- ¿Se trata de datos que la gente considera particularmente «privados»?
- ¿Está procesando datos de menores o datos relativos a otras personas vulnerables?
- ¿Se trata de datos sobre personas en su capacidad personal o profesional?
Expectativas razonables
- ¿Tiene usted una relación existente con el interesado?
- ¿Cuál es la naturaleza de la relación y cómo ha utilizado los datos en el pasado?
- ¿Recogió los datos directamente del interesado?
- ¿Qué información se les dió en ese momento?
- Si usted obtuvo los datos de un tercero, ¿qué información se dió a los interesados acerca de la reutilización por parte de terceros para otras finalidades?
- ¿Está información cubre el tratamiento por parte de su organización? ¿Hace cuánto tiempo recopiló los datos?
- ¿Hay algún cambio en la tecnología o el contexto desde entonces que afecte las expectativas de los interesados?
- ¿Se entiende ampliamente la finalidad y el método de su intención?
- ¿Tiene intención de tratar los datos de forma nueva o innovadora?
- ¿Tiene alguna evidencia sobre las expectativas, por ejemplo, de estudios de mercado, grupos focales u otras formas de consulta?
- ¿Existen otros factores en las circunstancias particulares del tratamiento que supongan que el tratamiento sería esperado por el interesado?
Impacto probable
- ¿Cuáles son los posibles impactos del tratamiento en los interesados?
- ¿Perderán los interesados el control sobre el uso de sus datos personales?
- ¿Cuál es la probabilidad y severidad de cualquier impacto potencial?
- ¿Es probable que algunos interesados se opongan al tratamiento o lo encuentren intrusivo?
- ¿Se explicaría el proceso de tratamiento a las personas?
- ¿Puede adoptar alguna medida de protección para minimizar el impacto?
- ¿Pueden ofrecer a los interesados la opción de no participar?
Decisión
- ¿Puede utilizar el interés legítimo para este tratamiento?
- ¿Tiene algún comentario que justifique su respuesta? (opcional)
Evaluación del interés legítimo completada por:
Fecha:
