Privacy: il Comitato Europeo per la Protezione dei Dati Personali emana delle Linee Guida sul c.d. “legittimo interesse”

Il GDPR, il Regolamento europeo 679/2016, applicabile in Italia dal 2018, sancisce che il trattamento dei dati personali è lecito solo se, e nella misura in cui, ricorra almeno una delle condizioni previste all’art. 6 (con riferimento al trattamento dei dati particolari, quelli che volgarmente vengono chiamati “dati sensibili” si applica, invece, l’art. 9 dello stesso Regolamento).

Il consenso dell’interessato (così definito il soggetto a cui si riferiscono i dati personali) è la condizione più nota, tuttavia il GDPR individua altri presupposti, senza disporli gerarchicamente. Tra questi vi è il “perseguimento del legittimo interesse del titolare del trattamento o di terzi, a condizione che non prevalgano gli interessi o i diritti e le libertà fondamentali dell’interessato che richiedono la protezione dei dati personali, in particolare se l’interessato è un minore”, perifrasi che viene comunemente riassunta nell’espressione “legittimo interesse”. 

Alla luce delle difficoltà interpretative, e anche per evitare che tale base giuridica (sinonimo di condizione di liceità) venga impiegata per giustificare ogni trattamento di dati personali non coperto da altra condizione di liceità, il Comitato Europeo per la Protezione dei Dati Personali (di seguito anche “EDPB”) ha ritenuto opportuno intervenire. Così, in data 8 ottobre 2024, l’EDPB – che si ricorda essere l’organismo dell’UE incaricato dell’applicazione del GDPR, composto dal responsabile di ciascuna Autorità Garante nazionale e dal Garante Europeo per la protezione dei dati – ha adottato le Linee Guida 1/2024 sul trattamento dei dati personali basato sull’articolo 6(1)(f) del GDPR, che rimarranno in consultazione pubblica fino al 20 novembre 2024.

Tra gli elementi salienti di tale documento, l’EDPB afferma che, al fine di basare il trattamento sulla base giuridica del legittimo interesse, un titolare del trattamento (es. una società) deve rispondere positivamente a tutte e 3 le seguenti domande:

1. Esiste un interesse legittimo del titolare o di una terza parte? 

   In primis, l’EDPB sottolinea che non tutti gli interessi possono essere considerati legittimi. Come regola generale, tale interesse deve essere correlato alle attività concretamente svolte dal titolare del trattamento e non deve essere contrario al diritto dell’UE o degli Stati membri. In tale prospettiva, l’interesse deve essere chiaro e precisamente articolato e deve essere effettivo alla data del trattamento dei dati personali.

2. Il trattamento dei dati personali è realmente necessario per il perseguimento del legittimo interesse del titolare o della terza parte?

   In secondo luogo, l’EDPB afferma che nel valutare se il trattamento è davvero necessario, il titolare (es. la società) è tenuto ad esaminare se l’interesse legittimo perseguito possa essere raggiunto con altri mezzi meno restrittivi dei diritti e delle libertà fondamentali delle persone. Il trattamento dei dati personali deve, dunque, essere effettuato solo nella misura in cui è strettamente necessario ai fini dell’interesse individuato. Nell’effettuare tale valutazione, il titolare deve, inoltre, esaminare se i dati sono rilevanti per la finalità perseguita e limitati a quanto necessario per raggiungere tale finalità. 

3. L’interesse legittimo del titolare o del terzo è prevalente rispetto agli interessi o ai diritti e alle libertà fondamentali degli interessati (i soggetti a cui si riferiscono i dati personali)?

   Infine, l’EDPB ricorda che per applicare la base giuridica in oggetto, il titolare è chiamato a verificare che non vi sia un diritto/interesse prevalente del soggetto interessato, tenendo conto delle ragionevoli aspettative di costoro in base al loro rapporto con il titolare e delle misure di attenuazione che limitano l’impatto del trattamento. 

In conclusione, alla luce di quanto qui evidenziato, si evince l’importanza di una corretta valutazione circa l’interesse che porta il titolare a trattare i dati personali degli interessati, che deve necessariamente tenere conto anche delle aspettative degli interessati.