Il Consiglio dell’EDPB (European Data Protection Board) ha posto in consultazione l’aggiornamento delle Linee guida sul trattamento dei dati personali, basato sul legittimo interesse.
Si ricorda che i responsabili del trattamento dei dati possono trattare i dati personali in modo lecito solo se nel caso specifico vi sia una base giuridica che lo consenta: l’interesse legittimo è una delle sei possibili basi giuridiche.
Le presenti Linee guida analizzano dunque i criteri stabiliti dall’art. 6 par. 1, lett. f del GDPR, che i responsabili del trattamento devono soddisfare per trattare legittimamente i dati personali sulla base del legittimo interesse.
Inoltre, prendono in considerazione la recente sentenza della Corte di Giustizia UE in materia (C-621/22, 4 ottobre 2024).
Per poter fare affidamento sul legittimo interesse, il responsabile del trattamento deve soddisfare tre condizioni cumulative:
- il perseguimento di un interesse legittimo da parte del responsabile del trattamento o di terzi: solo gli interessi legittimi, chiaramente e precisamente articolati, reali e presenti possono essere considerati legittimi; ad esempio, tali interessi legittimi potrebbero esistere in una situazione in cui l’individuo è un cliente o al servizio del responsabile del trattamento.
- la necessità di trattare i dati personali ai fini del perseguimento del legittimo interesse: se esistono alternative ragionevoli, altrettanto efficaci ma meno invasive per raggiungere gli interessi perseguiti, il trattamento può non essere considerato necessario; la necessità di un trattamento deve essere esaminata anche in base al principio della minimizzazione dei dati.
- gli interessi o le libertà fondamentali e i diritti delle persone, nel caso specifico, non prevalgono sui legittimi interessi del responsabile del trattamento o di terzi (esercizio di bilanciamento): il responsabile del trattamento deve garantire che il suo legittimo interesse non prevalga sugli interessi, i diritti e le libertà fondamentali dell’individuo; in questo esercizio di bilanciamento, il responsabile del trattamento deve prendere in considerazione gli interessi delle persone, l’impatto del trattamento e le loro ragionevoli aspettative, nonché l’esistenza di garanzie aggiuntive che potrebbero limitare l’impatto sulle persone.
Inoltre, le Linee guida spiegano, con esempi, come questa valutazione debba essere effettuata nella pratica, anche in una serie di contesti specifici come:
- la prevenzione delle frodi
- il marketing diretto
- la sicurezza delle informazioni.
Il documento spiega anche il rapporto tra questa base giuridica e una serie di diritti degli interessati previsti dal GDPR.
Le linee guida saranno sottoposte a consultazione pubblica fino al 20 novembre 2024.
