El interés legítimo del artículo 6.1.f del RGPD permite tratar datos cuando existe un interés legítimo del responsable o de un tercero, el tratamiento resulta necesario para satisfacerlo y no prevalecen los intereses o derechos y libertades fundamentales de las personas afectadas. Son tres condiciones acumulativas. La utilidad comercial de una operación, por sí sola, no demuestra que las cumpla.
La evaluación debe hacerse antes de iniciar el tratamiento y reflejar sus circunstancias reales. Importan los datos utilizados, su procedencia, las expectativas de las personas y las consecuencias previsibles. En España, además, hay reglas específicas sobre contactos profesionales, correo comercial y llamadas. Esta guía explica cómo tomar una decisión documentada y cómo mantenerla válida cuando cambian la actividad o los riesgos.
Situar el interés legítimo entre las bases del RGPD
El RGPD, artículos 5, 6 y 21, proporciona el marco. El interés legítimo es una de las bases de legitimación del tratamiento, junto al consentimiento, la necesidad contractual y otras. No existe una preferencia universal por esta base ni una regla según la cual deba utilizarse cuando obtener consentimiento resulta incómodo. Cada finalidad requiere su propio análisis.
Una relación contractual tampoco ampara cualquier uso posterior. Entregar una compra y elaborar perfiles comerciales son operaciones distintas, aunque utilicen datos de la misma persona. Si se invoca el contrato, la operación debe satisfacer la necesidad contractual exigida por el artículo 6.1.b. Si se propone interés legítimo para otro uso, deben examinarse sus condiciones y la compatibilidad con la finalidad inicial.
La letra f no se aplica al tratamiento realizado por autoridades públicas en el ejercicio de sus funciones. Para esos tratamientos deben identificarse las bases y normas pertinentes, normalmente relacionadas con obligaciones legales o misiones de interés público. La exclusión tiene ese alcance concreto; no debe sustituirse por la afirmación imprecisa de que cualquier entidad vinculada al sector público está siempre excluida de esta base.
Primer paso: identificar un interés lícito y concreto
La primera pregunta es qué interés se persigue y a quién pertenece. Prevenir determinados fraudes, proteger una red o defender una reclamación pueden describir intereses concretos, pero hay que precisar el objetivo. «Mejorar el negocio» es demasiado amplio para explicar por qué se necesitan determinados datos, durante cuánto tiempo o con qué destinatarios.
El interés no tiene que estar expresamente creado por una ley, aunque debe ser lícito. En la sentencia C-621/22, de 4 de octubre de 2024, el TJUE admitió que un interés comercial puede ser legítimo. También exigió comprobar la estricta necesidad y la ponderación en las circunstancias del caso. La sentencia no autoriza de forma general la venta de datos ni toda publicidad sin consentimiento.
Conviene diferenciar el interés del medio elegido. Reducir el fraude es un interés; conservar indefinidamente todos los documentos de identidad es una medida propuesta. Si ambos se describen como si fueran lo mismo, la evaluación ya presupone que esa medida es indispensable. Separarlos permite comparar alternativas y detectar usos añadidos que necesitan una justificación propia.
Segundo paso: demostrar la necesidad
La necesidad requiere examinar si el objetivo puede alcanzarse de forma razonablemente igual de eficaz mediante una alternativa menos restrictiva. No basta con que el tratamiento resulte cómodo, más rentable o técnicamente disponible. Hay que relacionar cada categoría de datos y cada operación con la finalidad, considerando también volumen, frecuencia, destinatarios y conservación.
Supongamos que una tienda quiere detectar accesos fraudulentos a cuentas. Puede comparar un registro limitado de eventos de autenticación con la captura del contenido completo de las sesiones. La evaluación debe explicar qué aporta cada dato a la detección, si es necesario identificar directamente al usuario y cuándo deja de ser útil. Este ejemplo es hipotético: no establece una base automática para cualquier sistema antifraude.
La comparación también puede cambiar el diseño. Tal vez baste conservar eventos de riesgo durante un periodo justificado, limitar el acceso a un equipo concreto y separar los datos de seguridad de los de marketing. Si una alternativa menos intrusiva cumple el objetivo, documentar que la opción más amplia es «habitual en el sector» no resuelve la falta de necesidad.
Tercer paso: ponderar los efectos sobre las personas
La ponderación examina los intereses, derechos y libertades de los afectados frente al interés identificado. Hay que valorar la naturaleza de los datos, la relación con la organización, las expectativas razonables y las consecuencias posibles. Las personas menores de edad o en situaciones de vulnerabilidad requieren especial atención, como reconoce el propio artículo 6.1.f.
Las expectativas no equivalen a lo que el responsable haya escrito en una cláusula extensa. Una persona puede esperar ciertos controles de seguridad al utilizar una cuenta y no esperar que su actividad se comparta con empresas ajenas para perfilarla. La procedencia pública de un dato tampoco elimina esta evaluación: estar disponible en una página no significa que cualquier reutilización resulte previsible o proporcionada.
El impacto incluye más que pérdidas económicas. Pueden existir exclusión de oportunidades, vigilancia continuada, exposición de relaciones personales o dificultades para corregir una clasificación errónea. La organización debe explicar qué consecuencias son plausibles en su contexto. Es más útil describir un riesgo concreto y su control que asignar una puntuación numérica sin criterios comprensibles.
Las garantías pueden modificar la valoración: acceso limitado, plazos breves justificados, seudonimización, revisión humana o canales eficaces de oposición. Sin embargo, no convierten en lícito un interés prohibido ni hacen necesario un tratamiento que tiene una alternativa adecuada menos intrusiva. La evaluación puede concluir que el proyecto debe reducirse, utilizar otra base válida o no realizarse.
Cómo documentar el LIA sin convertirlo en un formulario vacío
Se denomina habitualmente LIA, por Legitimate Interest Assessment, al análisis documentado. El RGPD no impone un documento con ese nombre ni una plantilla única. La obligación de poder demostrar el cumplimiento deriva de la responsabilidad proactiva. Lo relevante es disponer de una evaluación previa, coherente y suficientemente concreta, no de una firma bajo ocho respuestas genéricas.
Las Directrices 1/2024 del CEPD, versión 1.0, exponen esta metodología. La versión citada fue adoptada para consulta pública el 8 de octubre de 2024; debe identificarse como tal y no presentarse como una versión final posterior. Las condiciones legales proceden del RGPD y de su interpretación judicial, no de la mera existencia del documento orientativo.
Puede utilizarse el siguiente esquema de trabajo, adaptándolo al tratamiento. Las respuestas deben remitir a hechos y decisiones comprobables; el esquema no constituye una conclusión favorable predeterminada.
| Campo del análisis | Información que debe concretarse |
|---|---|
| Operación y finalidad | Qué se hace con los datos, quién decide y qué resultado se busca. |
| Interés | Interés del responsable o tercero, titular del interés y explicación de su licitud. |
| Necesidad | Alternativas examinadas y motivos para descartar las menos intrusivas. |
| Datos y personas | Categorías, fuentes, destinatarios, conservación y colectivos afectados. |
| Expectativas e impacto | Relación previa, usos previsibles y consecuencias materiales o inmateriales. |
| Garantías | Medidas efectivas, responsables de aplicarlas y comprobaciones previstas. |
| Decisión | Resultado razonado, condiciones y operaciones que quedan excluidas. |
| Revisión | Fecha, responsable y cambios que obligan a repetir la evaluación. |
El análisis puede vincularse al registro de actividades de tratamiento, que ofrece una visión organizada de la actividad. Deben coincidir finalidades, destinatarios y plazos. Si el LIA afirma que no hay comunicación a terceros y el contrato técnico permite otros usos, la contradicción requiere resolver el tratamiento real, no añadir una frase tranquilizadora al expediente.
Contactos profesionales: la presunción española tiene límites
El artículo 19 de la LOPDGDD establece una presunción, salvo prueba en contrario, para determinados datos de contacto y del puesto de personas que trabajan en una persona jurídica. Exige limitar los datos a la localización profesional y que la finalidad sea mantener relaciones con esa persona jurídica. No ampara cualquier información sobre la vida de quien ocupa el cargo.
Para empresarios individuales y profesionales liberales, la presunción se refiere a su condición profesional, sin entablar una relación con ellos como personas privadas. Por ejemplo, localizar al contacto de compras para gestionar una relación entre organizaciones no equivale a utilizar su móvil personal para ofrecerle un servicio doméstico. La finalidad y la condición en la que se contacta cambian el análisis.
La presunción tampoco elimina las normas especiales del canal. Disponer lícitamente de un correo profesional no autoriza automáticamente a enviar publicidad por email. Deben comprobarse por separado el tratamiento del contacto y la comunicación concreta. Esta separación evita convertir el artículo 19 en una supuesta excepción general para toda prospección entre empresas.
Publicidad por correo y llamadas: no aplicar una regla única
Para correo electrónico y medios equivalentes, el artículo 21 de la LSSI prohíbe las comunicaciones promocionales no solicitadas o expresamente autorizadas, con una excepción condicionada. Esta exige relación contractual previa, obtención lícita del contacto y promoción de productos o servicios de la propia empresa similares a los contratados, además de oposición sencilla y gratuita al recoger los datos y en cada comunicación.
Por tanto, el interés legítimo no sirve para eludir la LSSI. Comprar una lista y añadir un enlace de baja no crea la relación previa exigida por la excepción. Tampoco basta con que otra sociedad del grupo haya contratado anteriormente con la persona. La guía sobre la LSSI y los servicios de la sociedad de la información permite revisar estas reglas sin confundirlas con las bases generales del RGPD.
Las llamadas comerciales con intervención humana tienen su propio marco. La Circular 1/2023 de la AEPD interpreta el artículo 66.1.b de la Ley General de Telecomunicaciones y contempla consentimiento o interés legítimo cuando se cumplan sus condiciones. Exige ponderación previa y establece presunciones y límites; no permite concluir que toda llamada sin consentimiento sea lícita ni que toda prospección telefónica lo requiera sin excepción.
La circular exige, entre otras garantías, identificar al empresario y la finalidad comercial e informar sobre retirada u oposición. Una manifestación inequívoca de rechazo debe atenderse inmediatamente. Los sistemas de exclusión publicitaria se consultan en los casos y términos del artículo 23 de la LOPDGDD. El análisis de sanciones en marketing y publicidad resulta útil para examinar la ejecución de campañas, sin trasladar automáticamente los hechos de un expediente a otro.
Casos que necesitan una evaluación distinta
La seguridad no es una palabra que legitime cualquier vigilancia. En España, la videovigilancia para seguridad se encuadra en su regulación específica, incluido el artículo 22 de la LOPDGDD; no debe presentarse como ejemplo automático del artículo 6.1.f. El análisis debe considerar la finalidad concreta, el ámbito captado y las reglas aplicables, además de información, acceso y conservación.
En el trabajo, la subordinación y las expectativas de privacidad influyen en la ponderación, y pueden concurrir bases y garantías laborales específicas. Una finalidad empresarial de control no autoriza a registrar de forma indiscriminada comunicaciones privadas. Conviene revisar la intimidad de los trabajadores antes de escoger una solución técnica y de declarar que el uso de los dispositivos elimina cualquier expectativa de privacidad.
Si hay categorías especiales de datos, el artículo 6.1.f no basta por sí solo: se necesita también una excepción válida del artículo 9.2 y cumplir las condiciones nacionales pertinentes. Eso no significa que ambas disposiciones sean siempre incompatibles. Por ejemplo, una operación vinculada a reclamaciones puede requerir examinar el artículo 9.2.f junto a la base del artículo 6 que corresponda.
La limitación de la finalidad también sigue siendo aplicable. Si los datos se recogieron para resolver una incidencia, reutilizarlos para analizar hábitos de consumo exige una valoración propia. Un LIA nuevo no borra la información inicial ni convierte automáticamente en compatible cualquier objetivo sobrevenido. Deben revisarse también la transparencia y las restantes condiciones del tratamiento ulterior.
Información y oposición deben funcionar en la práctica
Los artículos 13 y 14 exigen informar de los intereses legítimos perseguidos cuando se utiliza esta base. Expresiones como «tratamos datos por interés legítimo» aportan poco si no permiten entender el interés y la finalidad. La información debe ser accesible y corresponder a lo que sucede, con especial cuidado cuando los datos proceden de terceros y la persona no ha tenido contacto con la organización.
El derecho de oposición del artículo 21 distingue dos situaciones. Fuera del marketing directo, la persona puede oponerse por motivos relacionados con su situación particular. El responsable deja de tratar los datos salvo que acredite motivos legítimos imperiosos que prevalezcan o que el tratamiento sea necesario para formular, ejercer o defender reclamaciones. No basta con reproducir la conclusión inicial sin valorar la situación alegada.
En marketing directo, la oposición impide seguir tratando los datos para esa finalidad, incluida la elaboración de perfiles relacionada con ella. No exige justificar una situación particular. Debe distinguirse el cese del marketing de otros tratamientos que puedan continuar con un fundamento propio, como conservar una factura por obligación legal o mantener los datos mínimos necesarios para respetar la exclusión publicitaria.
El derecho debe mencionarse explícitamente, a más tardar en la primera comunicación, de forma clara y separada. Si no se actúa ante una solicitud, el artículo 12.4 obliga a comunicar sin demora y, como máximo, en un mes, los motivos y las vías de reclamación y recurso. En una campaña, atender efectivamente una oposición no debe aplazarse hasta agotar ese plazo general.
Revisar la decisión cuando cambia el tratamiento
Una evaluación favorable queda vinculada a sus hechos y garantías. Incorporar una nueva fuente, ampliar destinatarios, prolongar la conservación o introducir un perfil puede cambiar el resultado. Es útil fijar responsables y eventos de revisión, además de comprobar que las medidas prometidas siguen activas. No existe una periodicidad anual universal que sustituya la revisión ante cambios relevantes.
Si el proyecto implica un alto riesgo, puede ser necesaria una evaluación de impacto conforme al artículo 35. El LIA y la evaluación de impacto tienen objetos relacionados, pero distintos: justificar una base no agota la evaluación del riesgo del sistema. La lista de comprobación RGPD ayuda a conectar ambos trabajos con contratos, seguridad y derechos.
Una eventual infracción de licitud puede tener consecuencias conforme al régimen de sanciones RGPD, pero el objetivo del análisis es decidir correctamente antes del daño. Un expediente útil conserva también las opciones descartadas y las limitaciones impuestas al proyecto. Eso permite explicar por qué una actividad se autorizó de forma acotada y detectar cuándo la práctica posterior se aparta de aquella decisión.
Preguntas frecuentes
¿Necesito consentimiento si el interés legítimo es válido?
No para el tratamiento correctamente basado en el artículo 6.1.f. Sin embargo, una regla específica puede exigir consentimiento para una operación o canal, como sucede en determinados supuestos de comunicaciones electrónicas. La base general no desplaza esas condiciones.
¿Es obligatorio un documento llamado LIA?
No hay una plantilla legal única ni un nombre obligatorio. Sí debe poder acreditarse una evaluación previa y concreta de las condiciones aplicables. Un documento breve puede ser suficiente si recoge hechos, alternativas y motivos; uno extenso y genérico puede no demostrar nada relevante.
¿La publicidad a clientes siempre es válida?
No. Deben comprobarse el canal, la relación previa, la similitud de la oferta, la obtención del contacto y las posibilidades de oposición, además de los requisitos del RGPD. Ser cliente no implica aceptar cualquier comunicación, cesión o elaboración de perfiles.
¿Un resultado negativo puede resolverse añadiendo una casilla de consentimiento?
No automáticamente. El consentimiento debe ser válido y libre, y tampoco elimina prohibiciones, falta de necesidad para otras bases o incumplimientos de los principios. Puede ser necesario reducir los datos, cambiar el diseño o abandonar la operación propuesta.