Adottate le Linee guida 1/2024 dell’EDPB sul trattamento dei dati personali basato sul legittimo interesse

L’8 ottobre 2024 l’European Data Protection Board (EDPB) ha adottato  le Linee guida 1/2024 (in fase di consultazione pubblica fino al 20 novembre p.v.) relative all’uso del legittimo interesse quale base giuridica per il trattamento dei dati personali, ai sensi dell’articolo 6, par. 1, lett. f) del GDPR.

Le Linee guida ribadiscono, in primo luogo, le tre condizioni cumulative che devono essere soddisfatte per invocare il legittimo interesse:

1. Il perseguimento di un interesse legittimo da parte del Titolare del trattamento o di un Terzo
2. La necessità del trattamento dei dati personali per il perseguimento di tale interesse
3. Il bilanciamento degli interessi

Si evidenzia, inoltre, l’importanza della responsabilità del Titolare (cd. principio di Accountability) nel dimostrare la legittimità del trattamento e nel documentare accuratamente il processo di valutazione e bilanciamento degli interessi. Questo approccio rigoroso mira a garantire che il legittimo interesse non venga utilizzato in modo superficiale o strumentale, ma solo quando è giustificato e proporzionato rispetto ai diritti degli interessati

Entriamo maggiormente nel dettaglio.

Perseguimento di un interesse legittimo da parte del titolare del trattamento o di terzi

In primo luogo, sarà necessario verificare se l’interesse perseguito dal Titolare del trattamento possa considerarsi “legittimo”.

Infatti, non tutti gli interessi consentono al Titolare del trattamento di invocare l’articolo 6, par. 1, lett. f) del GDPR quale base giuridica. Nello specifico, siamo in presenza di interessi considerati legittimi solamente quando non sono contrari al diritto dell’UE o degli Stati Membri e quando sono articolati in modo chiaro e preciso, nonché reali e presenti (quindi, non speculativi né ipotetici e preventivi).

Un interesse “legittimo” potrebbe esistere, ad esempio, nel caso in cui vi sia una relazione pertinente e appropriata tra l’interessato e il Titolare del trattamento, ad esempio quando l’interessato è un cliente o è alle dipendenze del Titolare del trattamento. Tuttavia, questo è solo un esempio di quello che può essere un fattore che rende un interesse qualificabile come “legittimo” e non pregiudica l’obbligo del Titolare di valutare e garantire la presenza di tutti i presupposti per invocare l’articolo 6, par. 1, lett. f) del GDPR come base giuridica per le operazioni di trattamento previste.

Analisi della necessità del trattamento per il perseguimento dei legittimi interessi

In secondo luogo, deve essere valutata la necessità del trattamento. In pratica, se l’interesse perseguito dal Titolare del trattamento non può essere ragionevolmente raggiunto in un modo altrettanto efficace con altri mezzi meno invasivi dei diritti e delle libertà fondamentali degli interessati, il trattamento può considerarsi come necessario. Al contrario, se esistono alternative ragionevoli, altrettanto efficaci e meno invasive, il trattamento può non essere considerato necessario.

Test di bilanciamento

In terzo luogo, il Titolare del trattamento deve garantire che non prevalgano gli interessi, i diritti o le libertà fondamentali dell’Interessato. Per valutare ciò, è necessario lo svolgimento di un esercizio di bilanciamento, prima di effettuare l’operazione o le operazioni di trattamento pertinenti ove il Titolare del trattamento terrà conto degli interessi delle persone fisiche, dell’impatto del trattamento e delle loro ragionevoli aspettative, nonché dell’esistenza di garanzie aggiuntive che potrebbero limitare l’impatto sulla persona.

Nello specifico, il Titolare del trattamento deve identificare e descrivere:

• Gli interessi, i diritti e le libertà fondamentali degli interessati
• L’impatto del trattamento sugli interessati, tra cui:

1. la natura dei dati da trattare, quanto più sensibile o privata è la natura dei dati da trattare, tanto più è probabile che il trattamento di tali dati abbia un impatto negativo sull’interessato e tanto maggiore dovrebbe essere il peso ad essi attribuito nella valutazione.
2. il contesto del trattamento
3. eventuali ulteriori conseguenze del trattamento come, ad esempio, esclusione o discriminazione delle persone, diffamazione o, più in generale, situazioni di rischio di menomazione della reputazione, potere negoziale/autonomia dell’interessato nonché la prospettiva di perdite finanziarie patibili dall’interessato oppure l’esclusione da un servizio per il quale non esiste una vera alternativa, e rischi per la libertà, la sicurezza, l’integrità fisica e mentale o la vita delle persone fisiche.

• Le aspettative dell’interessato. Il mero adempimento degli obblighi di informazione di cui agli articoli 12, 13 e 14 del GDPR non è di per sé sufficiente a ritenere che gli interessati possano ragionevolmente aspettarsi un determinato trattamento.
• Il bilanciamento finale dei diritti e degli interessi contrapposti, compresa la possibilità di ulteriori misure attenuanti.

Contesti specifici

Gli orientamenti spiegano, inoltre, in che modo tale valutazione dovrebbe essere effettuata in una serie di contesti specifici, tra cui il caso di prevenzioni delle frodi, marketing diretto, trattamento a fini amministrativi interni e trasmissione dei dati personali alle autorità competenti.

Conclusioni

In conclusione, l’utilizzo della base giuridica del legittimo interesse richiede una valutazione attenta e dettagliata da parte del Titolare del trattamento. È fondamentale che il Titolare dimostri non solo la legittimità dell’interesse perseguito, ma anche la necessità del trattamento e il rispetto dei diritti e delle libertà fondamentali degli interessati. Solo attraverso un’analisi rigorosa e un bilanciamento accurato degli interessi in gioco, il Titolare potrà garantire che il trattamento dei dati personali sia conforme alle disposizioni del GDPR e tuteli adeguatamente i diritti degli individui coinvolti.