Legittimo interesse secondo il GDPR: i 3 passaggi di verifica

Il legittimo interesse è la base giuridica a cui molte imprese si appoggiano nel marketing e nelle vendite. Sembra comoda, perché non servono né banner né firma. È però anche la base che richiede più lavoro proprio: deve verificare da sé, bilanciare da sé e poter documentare il risultato. Questo articolo spiega la regola, i tre passaggi di verifica e gli ostacoli tipici.

Cosa dice la regola

L'art. 6, par. 1, lettera f GDPR consente un trattamento di dati personali se è „necessario per il perseguimento del legittimo interesse del titolare del trattamento o di terzi“. Ciò vale solo a condizione che non prevalgano gli interessi o i diritti fondamentali dell'interessato che richiedono la protezione dei suoi dati. Le autorità pubbliche non possono invocarla nello svolgimento dei loro compiti. Il testo è nel GDPR su EUR-Lex.

La base è una delle sei di pari rango. Non ha priorità sul consenso e non è una rete di sicurezza quando il consenso manca. Dove la legge richiede un consenso per un'operazione, la lett. f non può sostituirlo. Ciò vale soprattutto per l'accesso al dispositivo terminale, maggiori dettagli in Consenso o legittimo interesse: come decidere.

I tre passaggi di verifica

La Corte di giustizia dell'Unione europea verifica la regola in tre fasi, che devono essere tutte soddisfatte. L'ha formulato così, tra l'altro, nella sentenza del 4 ottobre 2024 (CGUE, C-621/22, Koninklijke Nederlandse Lawn Tennisbond).

Fase 1: l'interesse. Deve essere lecito, chiaramente indicato e realmente presente. Nella sentenza citata la CGUE ha chiarito che anche un interesse economico può essere un legittimo interesse, finché non viola il diritto. Il considerando 47 cita espressamente il marketing diretto come possibile legittimo interesse.

Fase 2: la necessità. Qui si chiede se esista un mezzo meno invasivo. Se raggiunge un obiettivo con meno dati, deve usare meno dati. Se Le basta l'azienda, non Le serve una persona. È il principio di minimizzazione dei dati dell'art. 5, par. 1, lett. c GDPR.

Fase 3: il bilanciamento. Mette a confronto il Suo interesse con gli interessi degli interessati. Secondo il considerando 47 il criterio sono le ragionevoli aspettative degli interessati, che derivano dal loro rapporto con Lei. Chi è cliente si aspetta una newsletter su prodotti simili. Chi ha visitato una pagina una sola volta non si aspetta un dossier. Quanto più sensibili i dati e più profonda l'ingerenza, tanto più probabilmente il bilanciamento va a Suo sfavore.

Esempi da marketing e vendite

I casi seguenti mostrano l'ampiezza. Se reggano nel singolo caso dipende dalle circostanze. La valutazione non è una garanzia.

• Pubblicità postale ai clienti esistenti. È spesso ritenuta sostenibile, perché i clienti se lo aspettano. Deve inoltre essere conforme al diritto della concorrenza.
• Prevenzione delle frodi e sicurezza informatica. Il considerando 47 cita la prevenzione delle frodi come legittimo interesse. Le imprese vi fondano spesso i registri per la difesa dagli attacchi.
• Attribuzione dell'azienda sul sito web. Chi cerca solo il titolare di rete di un indirizzo IP tratta pochi dati e ha uno scopo chiaro. Se un indirizzo IP sia personale nel caso concreto lo spiega Indirizzo IP e GDPR: è un dato personale?.
• Profili di singole persone da dati acquistati. Qui il bilanciamento diventa difficile, perché gli interessati non se lo aspettano.

Per il contatto dopo una visita al sito, al GDPR si aggiunge il diritto della concorrenza. Cosa vale in proposito per ciascun paese è in Cold calling nel B2B: cosa è consentito in DE, AT e CH.

Documentazione: l'onere della prova è Suo

Ai sensi dell'art. 5, par. 2 GDPR deve poter dimostrare il rispetto dei principi. Per la lett. f ciò significa in pratica:

1. Indichi l'interesse in una frase.
2. Annoti perché non si può fare con meno dati.
3. Scriva il bilanciamento con gli argomenti principali, con data e responsabile.
4. Inserisca il trattamento nel Suo registro ai sensi dell'art. 30 GDPR, se è obbligatorio.
5. Indichi il legittimo interesse nell'informativa sulla privacy. L'art. 13, par. 1, lett. d GDPR richiede, con questa base, l'indicazione degli interessi.
6. Riverifichi il bilanciamento se cambiano scopo, dati o tecnica.

Opposizione ai sensi dell'art. 21

Chi si basa sulla lett. f deve riconoscere un diritto di opposizione. Vi sono due casi (art. 21 GDPR):

• Opposizione generale (par. 1). La persona può opporsi per motivi connessi alla sua situazione particolare. Deve allora cessare il trattamento, a meno che non dimostri motivi legittimi cogenti che prevalgono.
• Opposizione al marketing diretto (parr. 2 e 3). Qui non serve alcuna motivazione. Dopo un'opposizione i dati non possono più essere trattati per la pubblicità.

Ai sensi del par. 4 deve richiamare espressamente questo diritto al più tardi alla prima comunicazione, in modo comprensibile e separato da altre informazioni.

Domande frequenti

Con il legittimo interesse non serve informare gli interessati? Sì, serve. Gli obblighi di informazione ai sensi degli artt. 13 e 14 GDPR valgono anche allora. Con questa base si aggiunge che deve indicare i legittimi interessi.

Il legittimo interesse basta per cookie e script di tracciamento? Per l'accesso al dispositivo terminale di norma no. Qui vale in Germania il § 25 TDDDG e in Austria il § 165 Abs. 3 TKG 2021, entrambi richiedono in linea di principio un consenso. La base del GDPR riguarda solo il trattamento successivo. Maggiori dettagli in § 25 TDDDG: cookie e tracciamento in Germania.

Devo mettere per iscritto il bilanciamento? Il GDPR non prescrive una forma fissa. A causa dell'obbligo di prova dell'art. 5, par. 2 la documentazione scritta è però la via sicura.