ARTÍCULO 6, APARTADO 1, LETRA F), DEL RGPD
El interés legítimo como base jurídica
Es común utilizar el interés legítimo como base legal para ciertos tipos de procesamiento de datos personales. El artículo 6, apartado 1, letra f), del RGPD establece la base jurídica «interés legítimo».
Evaluación de intereses legítimos (LIA)
Para determinar si la empresa tiene un interés legítimo o no, la empresa debe llevar a cabo una evaluación de intereses legítimos (LIA). Es importante que la empresa documente el análisis por escrito. A continuación, la empresa podrá tratar los datos personales, siempre que la evaluación de los intereses legítimos demuestre que 1) no prevalecen las libertades fundamentales y los derechos e intereses del interesado para la protección de sus datos personales; y 2) el tratamiento es necesario para los fines del interés legítimo en cuestión.
Analizar el interés de la empresa y del interesado
Una empresa puede basar un tratamiento de datos personales en un interés legítimo como base jurídica, si los intereses de la empresa para el tratamiento superan los intereses del interesado para la protección de sus datos personales. Si prevalecen las libertades fundamentales y los derechos e intereses del interesado en la protección de sus datos personales, la empresa no podrá llevar a cabo el tratamiento sobre la base de esta base jurídica.
Cuanto más sensibles sean los datos personales a los que se refiere el tratamiento, mayor será el interés del interesado en la protección de sus datos personales. Dentro del RGPD, existen cuatro grupos de datos personales sensibles a la privacidad, uno de los cuales constituye datos personales sensibles. En el RGPD, los datos personales sensibles se denominan «categorías especiales de datos personales». El artículo 9 del RGPD establece las categorías especiales de datos personales.
Los siete principios del RGPD
- Principio de legalidad, equidad y transparencia
- Principio de Limitación de Propósito
- Principio de minimización de datos
- Principio de precisión
- Principio de Limitación de Almacenamiento
- Principio de integridad y confidencialidad
- Principio de Rendición de Cuentas
Las empresas pueden utilizar el interés legítimo como base legal para ciertos tipos de procesamiento de datos personales
A continuación se presentan algunos ejemplos de cuándo las empresas pueden utilizar el interés legítimo como base legal para ciertos tipos de procesamiento de datos personales. Sin embargo, es importante saber que el interesado tiene derecho a oponerse al procesamiento basado en un interés legítimo. El artículo 21 del RGPD establece el derecho de oposición del interesado.
Relación comercial entre la empresa y los clientes
Cuando un cliente tiene una relación comercial con una empresa, la empresa generalmente puede procesar ciertos datos personales pertenecientes al cliente por interés legítimo como base legal. Por ejemplo, la empresa puede enviar un correo electrónico a sus clientes anteriores. Esto se hace a menudo cuando la empresa lanza un nuevo producto o servicio. Este tratamiento puede ser llevado a cabo por la empresa sobre la base de su interés legítimo en comercializar los servicios o productos de la empresa.
Transferir datos personales a terceros
Está permitido que una empresa que es el controlador de datos transfiera datos personales a un tercero. Esto se aplica si el tercero tiene un interés legítimo en el procesamiento de los datos personales en cuestión. Sin embargo, la empresa debe conocer la siguiente información antes de transferir los datos personales:
- Por qué se realiza la transferencia.
- Si es realmente necesario.
- Cómo los datos personales serán utilizados por el tercero.
- Justifique la transferencia. Sin embargo, tenga en cuenta que corresponde al tercero determinar cuál de las seis bases legales respaldará su propio procesamiento de los datos personales.
Más ejemplos de cuándo las empresas pueden utilizar el interés legítimo como base jurídica para el tratamiento de datos personales
Grupos
Si una empresa desea transferir datos personales dentro de su grupo por razones administrativas.
Comercialización directa
Marketing directo, como envíos por correo, a clientes anteriores.
Prevención del fraude
Cuando el tratamiento sea necesario para evitar fraudes.
Seguridad de los empleados
Una empresa con empleados puede procesar ciertos tipos de datos personales por razones de seguridad para los empleados. Sin embargo, debe ser claro y justificado.
Objeciones de los interesados
Tenga en cuenta que los interesados tienen derecho a oponerse al tratamiento de sus datos personales sobre la base del interés legítimo como base jurídica. El artículo 21 del RGPD establece este derecho explícito.
Si una empresa envía marketing directo por correo electrónico y el interesado desea que la empresa cese esto, la empresa deberá detener el procesamiento para este propósito con efecto inmediato. Además, la empresa debe informar a los interesados de que tienen este derecho. La empresa debe hacer esto de una manera clara. Si la empresa presta servicios de la sociedad de la información, como las redes sociales, también tendrá una solución técnica para que los interesados puedan formular fácilmente una objeción.
En algunos casos, la empresa puede continuar su procesamiento incluso después de que el interesado haya formulado una objeción. Sin embargo, no es frecuente que esto pueda suceder. Cuando un interesado se opone al procesamiento, la empresa debe realizar un nuevo análisis y una evaluación de los intereses legítimos del procesamiento. Por ejemplo, puede ser permisible continuar el procesamiento si es necesario para defender una reclamación legal.
Preguntas que la empresa debe responder antes de que el procesamiento se base en el interés legítimo como base legal
Aquí hay seis preguntas que una empresa debe revisar y responder antes de procesar datos personales sobre la base de un interés legítimo:
- ¿Es el interés legítimo una base jurídica adecuada en el caso concreto o es más adecuada cualquier otra base jurídica?
- ¿El procesamiento está de acuerdo con RGPD y otras leyes relevantes?
- ¿La empresa tiene que procesar estos datos personales para lograr el objetivo?
- ¿La evaluación de los intereses legítimos muestra que el interés para la empresa es mayor que para el interesado?
- ¿Ha tomado la empresa las medidas organizativas y técnicas adecuadas? Por ejemplo, para proteger los datos personales, reducir los riesgos para los interesados, documentar el análisis, etc.
- ¿Ha informado la empresa a los interesados sobre el tratamiento e incluido cómo pueden oponerse los interesados?
MÁS INFORMACIÓN SOBRE LAS BASES LEGALES Y LEGALES DEL RGPD
El consentimiento como base jurídica para el tratamiento de datos personales
El consentimiento es una base legal relativamente común para apoyar el procesamiento de datos personales. Pero no siempre es apropiado y en algunos casos incluso ilegal. En resumen, el consentimiento de base legal significa que una persona acepta que una empresa procese sus datos personales para un propósito específico. Debe ser consentimiento activo para ser válido. Además, el consentimiento debe ser proporcionado voluntariamente. Un ejemplo de cuando no se permite utilizar el consentimiento como base jurídica es cuando existe una relación de poder desigual entre el responsable del tratamiento y el interesado. Por ejemplo, entre un empleador y un empleado.