Los responsables del tratamiento deben garantizar un tratamiento necesario y proporcionado que respete los derechos de los interesados, asegurando el cumplimiento con el RGPD.

Al tratar datos personales bajo el Reglamento General de Protección de Datos (RGPD), los responsables del tratamiento deben asegurar que sus actividades sean legales. Específicamente, si se basan en el Artículo 6(1)(f) del RGPD, el tratamiento debe estar basado en un interés legítimo, que está sujeto a tres condiciones acumulativas: la búsqueda de un interés legítimo, la necesidad del tratamiento para lograr este interés, y que los derechos del interesado no prevalezcan sobre el mismo. Se recomienda a los responsables del tratamiento seguir un proceso de tres pasos para determinar si su tratamiento cumple con el RGPD. El CEPD ha publicado recientemente una guía sobre el tratamiento de datos personales en este contexto, que desglosa los factores a considerar al evaluar la aplicabilidad del Artículo 6(1)(f) RGPD como base legal.

Paso 1: Búsqueda de un Interés Legítimo

La primera condición para tratar datos bajo el Artículo 6(1)(f) es que el responsable del tratamiento o un tercero deben perseguir un interés legítimo. El «interés» difiere del «propósito» del tratamiento. Mientras que el interés se refiere al beneficio o interés más amplio en el tratamiento de datos, el propósito es el objetivo específico detrás de la actividad.

Un interés legítimo debe cumplir con tres criterios clave:

1.Legalidad: El interés no debe entrar en conflicto con ninguna ley de la UE o sus Estados Miembros.

2.Claridad: El interés debe estar claramente articulado para facilitar un equilibrio adecuado frente a los derechos del interesado.

3.Realidad: El interés debe ser real y no hipotético, efectivo a la fecha del tratamiento.

Ejemplos de intereses legítimos incluyen la promoción de productos, el acceso a información en línea o incluso la presentación de reclamaciones o la defensa frente a las mismas. Sin embargo, la mera identificación de un interés legítimo no es suficiente. El responsable del tratamiento debe evaluar si el éste es necesario y si los derechos del interesado superan el interés perseguido.

Paso 2: Necesidad del Tratamiento

Una vez que se ha establecido un interés legítimo, el responsable del tratamiento debe evaluar si el tratamiento de datos personales es necesario para lograr ese interés. La necesidad, en el contexto del Artículo 6(1)(f), no se refiere a la conveniencia, sino que significa que el interés no puede lograrse razonablemente por medios menos intrusivos.

El Tribunal de Justicia de la Unión Europea (TJUE) enfatiza que el tratamiento de datos debe adherirse al principio de «minimización de datos» bajo el Artículo 5(1)(c) RGPD. Los datos personales deben ser «adecuados, relevantes y limitados» al propósito del tratamiento. Por lo tanto, si métodos menos invasivos pueden lograr el mismo resultado, el tratamiento de datos no se consideraría necesario.

Este paso es a menudo más fácil de justificar cuando se traten datos en interés propio del responsable del tratamiento. Sin embargo, el tratamiento en interés de un tercero es generalmente más difícil de demostrar como necesario y puede ser inesperado para los interesados.

Paso 3: Evaluación

El paso final es equilibrar los intereses legítimos del responsable del tratamiento o de un tercero frente a los derechos y libertades fundamentales del interesado. Esto implica evaluar:

Los intereses, derechos y libertades del interesado.
El impacto potencial del tratamiento en el interesado, considerando la naturaleza de los datos, el contexto del tratamiento y las posibles consecuencias.
Las expectativas razonables del interesado sobre cómo se utilizarán sus datos.
La posibilidad de medidas de mitigación para minimizar el impacto negativo en el interesado.

El objetivo de esta evaluación es garantizar que el impacto del tratamiento de datos no afecte de manera desproporcionada a los derechos del interesado. Con el RGPD en vigor, ciertas acciones que podrían mitigar el impacto del tratamiento son ahora obligaciones legales para el responsable del tratamiento, como la implementación de medidas de protección de datos y la adhesión a los principios de minimización de datos.