Antonio Tejeda Encinas CEO Meta Channel Corp . Presidente de Comite Euro Americano Digital Law

1. Introducción

El tratamiento de datos personales en el entorno empresarial ha sufrido transformaciones importantes con la implementación del Reglamento General de Protección de Datos (RGPD). Uno de los temas más controvertidos es el uso del “interés legítimo” como base jurídica para manejar datos, regulado en el artículo 6.1(f) del RGPD. La reciente sentencia del Tribunal de Justicia de la Unión Europea (STJUE) en el caso C-621/22 ha generado nuevas discusiones sobre la interpretación de este concepto, especialmente en relación con las actividades comerciales.

El propósito de este informe es explorar cómo interactúan el interés legítimo y el interés comercial a la luz de la jurisprudencia reciente en la Unión Europea. Además, se ofrecen pautas prácticas para las empresas, de forma que puedan garantizar el cumplimiento normativo sin afectar sus objetivos comerciales.

2. El Concepto de Interés Legítimo en el RGPD

El RGPD incluye el interés legítimo como una de las bases jurídicas para el manejo de datos personales, pero no proporciona una definición detallada. De acuerdo con el artículo 6.1(f), el tratamiento de datos es legal si se lleva a cabo para satisfacer “intereses legítimos” del responsable del tratamiento o de un tercero, siempre que estos no prevalezcan sobre los derechos fundamentales y las libertades de la persona cuyos datos se tratan.

Esto implica que, para determinar si un interés es legítimo, se requiere una evaluación contextual, basada en los principios de realismo y especificidad. Los considerandos 47, 48 y 49 del RGPD ofrecen directrices, indicando que el interés legítimo debe ser tangible, actual y no meramente especulativo. Así, la aplicación de esta base legal debe realizarse tras analizar cuidadosamente los intereses involucrados.

El interés legítimo puede incluir objetivos como la prevención del fraude, la seguridad de los sistemas de red o la protección de bienes empresariales. Sin embargo, cuando se busca justificar actividades comerciales, como marketing o publicidad, la evaluación se vuelve más estricta, considerando factores como la previsibilidad para los afectados y la transparencia de los procesos.

3. Relación entre Interés Legítimo e Interés Comercial

El interés comercial, entendido como la intención de obtener beneficios económicos o una ventaja competitiva, puede ser aceptable bajo el RGPD si se cumplen ciertos requisitos. Sin embargo, la Agencia Española de Protección de Datos (AEPD) y el Tribunal Supremo de España han expresado reservas respecto a la prevalencia de estos intereses cuando entran en conflicto con los derechos fundamentales de los individuos.

En su sentencia 840/2020, el Tribunal Supremo afirmó que los objetivos comerciales de una empresa no pueden prevalecer sobre el derecho a la protección de datos del individuo. En cambio, la Information Commissioner’s Office (ICO) del Reino Unido ha adoptado un enfoque más flexible, permitiendo ciertos tratamientos con fines comerciales si se realiza una evaluación proporcional rigurosa.

La Sentencia del TJUE en el caso C-621/22 aborda este tema, proporcionando orientación sobre cuándo un interés comercial puede considerarse legítimo. En ese caso, el interés se refería a la cesión de datos personales de los miembros de una federación deportiva a terceros con fines de marketing, lo cual fue puesto en duda debido a la falta de adecuación con las expectativas de los interesados.

4. Necesidad del Tratamiento y Proporcionalidad

El RGPD establece que el interés legítimo puede utilizarse como base legal solo si el tratamiento es realmente necesario para el objetivo planteado y no existen alternativas menos invasivas. La “necesidad” implica que el manejo de datos está directamente vinculado con el logro del propósito y que otras opciones más respetuosas con la privacidad no son viables.

La sentencia C-621/22 del TJUE destaca que los responsables de tratamiento deben demostrar que han considerado otras alternativas antes de justificar el tratamiento basado en el interés legítimo. Asimismo, el tratamiento debe interferir lo menos posible en los derechos de las personas, aplicando principios de minimización y proporcionalidad.

5. Análisis de la Sentencia STJUE en el Asunto C-621/22

La sentencia C-621/22 aborda cuestiones fundamentales para entender el alcance del interés legítimo en el contexto del RGPD:

1. ¿Cómo debe entenderse el concepto de “interés legítimo” bajo el RGPD?

2. ¿Puede un interés puramente comercial calificarse como legítimo en ciertas circunstancias?

El TJUE aclaró que un interés legítimo no requiere estar explícitamente mencionado en la ley, pero debe cumplir con los principios de licitud y ser coherente con las expectativas razonables de las personas en el momento de la recopilación de sus datos. Esto implica que un tratamiento basado exclusivamente en un interés comercial puede ser considerado legítimo solo si se cumplen las siguientes condiciones:

Licitud: El interés comercial no debe infringir ninguna disposición legal vigente.

Necesidad: El tratamiento debe ser indispensable para cumplir con el objetivo comercial planteado.

Proporcionalidad: Se debe evaluar si el impacto en los derechos de los interesados es mínimo y si existe un nivel de expectativas razonables sobre el uso de sus datos para tal fin.

En el caso específico, el TJUE concluyó que la venta de datos a una empresa de juegos de azar no se ajustaba a las expectativas de los interesados, lo que invalidó el uso del interés comercial como base legal.