Il legittimo interesse consente di trattare dati personali quando ricorrono tutte le condizioni dell’articolo 6, paragrafo 1, lettera f), del GDPR. Occorrono un interesse legittimo del titolare o di un terzo, un trattamento necessario per perseguirlo e un bilanciamento dal quale non risultino prevalenti gli interessi o i diritti e le libertà fondamentali della persona. Non è una formula da inserire nell’informativa per evitare di analizzare la finalità.
Questa guida spiega come svolgere e documentare la valutazione, spesso chiamata LIA, e come collegarla alle decisioni operative. Gli esempi sono ipotesi di lavoro: antifrode, sicurezza e marketing non sono categorie automaticamente autorizzate. Il punto di partenza resta il testo del GDPR, insieme alle regole nazionali e di settore pertinenti all’attività concreta.
Stabilire prima se questa base è utilizzabile
L’articolo 6 offre basi diverse, ciascuna con condizioni proprie. Se una norma impone una specifica operazione, analizzate l’obbligo legale; se invocate un contratto, verificate che il trattamento sia oggettivamente necessario alla sua esecuzione e riguardi il rapporto con l’interessato. Il quadro delle basi giuridiche del trattamento aiuta a evitare che il legittimo interesse diventi la scelta predefinita per qualsiasi trattamento difficile da classificare.
Le autorità pubbliche non possono usare questa base nell’esecuzione dei propri compiti. Devono individuare il fondamento pertinente, ad esempio l’obbligo legale o il compito di interesse pubblico nei termini previsti dalla normativa. Non basta trasferire l’attività a un fornitore per rendere utilizzabile una base prima esclusa. Occorre comprendere ruoli e operazioni effettive, anche alla luce del Codice Privacy italiano.
Per dati sanitari o altre categorie particolari, il legittimo interesse non sostituisce una condizione dell’articolo 9. I dati relativi a condanne penali e reati hanno invece il regime dell’articolo 10. Prima di iniziare il bilanciamento, identificate queste limitazioni e gli eventuali obblighi di consenso previsti da altre disposizioni. Una LIA favorevole sul piano generale non supera un divieto o un requisito specifico applicabile al trattamento.
Prima fase: descrivere l’interesse perseguito
La prima domanda riguarda lo scopo: quale interesse concreto intendete perseguire e a chi appartiene? “Migliorare il servizio” è troppo generico per valutare un trattamento. “Individuare tentativi ripetuti di accesso non autorizzato agli account” permette invece di discutere dati necessari, persone coinvolte e conseguenze. Distinguete l’interesse dalla soluzione tecnica proposta: acquistare un sistema di analisi è un mezzo, non la finalità.
L’interesse deve essere lecito e sufficientemente definito, reale e presente, invece di una possibilità puramente ipotetica. Una finalità economica non è esclusa in partenza, ma il vantaggio commerciale non rende automaticamente legittima l’operazione. La Corte di giustizia, nella causa C-621/22, ha chiarito che un interesse commerciale può rientrare nella disposizione, restando necessarie tutte le altre condizioni e la valutazione del caso concreto.
Indicate anche quale effetto avrebbe il mancato trattamento. Una perdita economica dimostrabile, la protezione di un sistema e una comodità organizzativa hanno caratteristiche differenti. Questa descrizione non serve a gonfiare artificialmente il beneficio, ma a rendere confrontabili le alternative. Se la finalità cambia durante il progetto, aggiornatela prima di riutilizzare l’analisi preparata per un’operazione diversa.
Quando l’interesse appartiene a un terzo, identificate il beneficiario e spiegate il collegamento con l’operazione. La richiesta di un partner non dimostra da sola la liceità della comunicazione. Verificate quale interesse concreto viene perseguito, se il destinatario utilizzerà i dati per altri scopi e quali conseguenze derivano dalla perdita di controllo dopo il trasferimento. Questi elementi devono entrare nel confronto, non restare impliciti.
Seconda fase: dimostrare la necessità
Un trattamento utile non è necessariamente necessario. Chiedetevi se lo stesso interesse possa essere perseguito in modo altrettanto efficace attraverso mezzi ragionevolmente disponibili e meno lesivi. Il confronto deve riguardare alternative reali: meno dati, un periodo inferiore, accessi limitati o un metodo che non richieda l’identificazione. Spiegate perché una soluzione viene scartata, evitando di liquidarla con una generica preferenza per l’automazione.
La necessità riguarda ogni elemento del trattamento. Un controllo di sicurezza potrebbe richiedere l’orario di un accesso senza richiedere il contenuto integrale delle comunicazioni. La minimizzazione dei dati aiuta a distinguere ciò che serve da ciò che il programma raccoglie per impostazione predefinita. Valutate separatamente l’insieme di persone osservate, la frequenza, la precisione e la conservazione: ridurre un solo campo non rende proporzionato tutto il sistema.
La pseudonimizzazione può ridurre determinati rischi, ma non salva automaticamente una finalità illecita o un trattamento superfluo. I dati pseudonimizzati restano personali quando la persona è identificabile secondo i criteri applicabili. Se basta informazione effettivamente anonima, motivate l’eventuale necessità di mantenere l’identificazione. Se occorre un collegamento nominativo solo in presenza di un’anomalia, valutate una separazione coerente con tale esigenza.
Terza fase: valutare l’impatto sulle persone
Il bilanciamento considera interessi, diritti e libertà dell’interessato, non soltanto il rischio di furto dei dati. Un trattamento sicuro può comunque produrre esclusione, sorveglianza invasiva, discriminazione o perdita di controllo. Analizzate natura delle informazioni, quantità, provenienza, combinazioni, destinatari e conseguenze. Prestate particolare attenzione a minori e persone in una posizione di vulnerabilità o dipendenza rispetto al titolare.
Le ragionevoli aspettative dipendono dal contesto e dal rapporto esistente. Un cliente può attendersi controlli proporzionati contro le frodi, ma ciò non autorizza qualsiasi raccolta o comunicazione a terzi. Rendere visibile una clausola nell’informativa non trasforma da solo una pratica inattesa in una pratica ragionevolmente attesa. Considerate come sono stati raccolti i dati e che cosa la persona poteva concretamente comprendere in quel momento.
Valutate anche il possibile errore. Se un sistema segnala impropriamente un cliente come sospetto, chi corregge la valutazione e con quali tempi? Un blocco temporaneo verificabile e un’esclusione automatica duratura hanno impatti differenti. Le misure di protezione devono affrontare queste conseguenze, oltre alla riservatezza. Una possibilità teorica di scrivere all’assistenza non equivale a un meccanismo efficace quando il servizio è essenziale o la decisione urgente.
Usare le misure di protezione senza alterare il test
Le misure possono ridurre l’impatto: limiti di accesso, conservazione breve e motivata, separazione dei dati, controlli umani e procedure di contestazione. Devono però essere reali e verificabili. Indicate chi le attua, dove sono configurate e come vengono controllate. Un impegno non implementato non può essere trattato nella conclusione come se il rischio fosse già ridotto.
Non contate come beneficio aggiuntivo il semplice rispetto di un obbligo che esiste comunque. L’informativa e i diritti non sono concessioni facoltative da offrire in cambio di maggiore invasività. Una possibilità ulteriore di scelta può avere rilievo nel contesto, ma non sostituisce la necessità del trattamento né neutralizza ogni pregiudizio. Il ragionamento deve restare trasparente sui rischi che rimangono.
Se il risultato è negativo, cambiate il progetto o rinunciate al trattamento. Il consenso può essere valutato soltanto quando è effettivamente disponibile, libero, specifico, informato e dimostrabile, e quando tutte le altre regole sono rispettate. Non è un rimedio automatico a posteriori. Gli esempi di consenso aiutano a capire perché una richiesta obbligatoria o priva di scelta reale non risolve un bilanciamento fallito.
Antifrode e sicurezza: esempi da verificare
Immaginate un negozio online che intenda individuare tentativi ripetuti di acquisto con credenziali compromesse. Può descrivere un interesse concreto alla prevenzione delle frodi, ma deve ancora stabilire quali segnali servano e quali persone siano coinvolte. Conservare ogni movimento del cliente su altri siti non discende automaticamente da quell’interesse. Il confronto con controlli meno invasivi appartiene alla valutazione, non a una fase facoltativa successiva.
Supponiamo che il sistema impedisca temporaneamente un’operazione e chieda una verifica aggiuntiva. Esaminate gli errori, l’accessibilità della verifica e le conseguenze per chi non riesce a completarla. Se produce una decisione esclusivamente automatizzata con effetti giuridici o analogamente significativi, occorre analizzare separatamente l’articolo 22 e le sue condizioni. La parola “antifrode” non costituisce un’eccezione generale ai diritti.
Per la sicurezza delle reti, il considerando 49 riconosce il rilievo del trattamento strettamente necessario e proporzionato. Collegate quindi le registrazioni a minacce e controlli identificati, stabilite accessi e durata e verificate l’utilità dei dati. Non equiparate ogni attività di monitoraggio a sicurezza informatica: l’analisi della produttività dei lavoratori o la profilazione commerciale hanno finalità proprie e possono ricadere in ulteriori regole.
Marketing in Italia: conta il canale
Il considerando 47 indica che il marketing diretto può essere un interesse legittimo; non elimina la disciplina delle comunicazioni indesiderate. L’articolo 130 del Codice Privacy disciplina i diversi mezzi. Per le comunicazioni promozionali via posta elettronica, SMS e altri strumenti elettronici contemplati, il consenso costituisce la regola, ferme le specifiche eccezioni. Un indirizzo professionale pubblico non crea un’esenzione generale per il B2B.
Il comma 4 riguarda l’uso delle coordinate di posta elettronica ricevute nel contesto della vendita di un prodotto o servizio per promuovere propri prodotti o servizi analoghi, alle condizioni della disposizione. L’interessato deve essere adeguatamente informato e poter rifiutare l’uso inizialmente e nelle successive comunicazioni, in modo agevole e gratuito. Una richiesta di preventivo non va confusa automaticamente con una vendita conclusa; un prodotto di un partner non diventa un prodotto proprio soltanto perché compare nella stessa campagna.
Questa eccezione relativa alla posta elettronica non deve essere estesa indistintamente agli SMS o a qualsiasi comunicazione. Per telefonate con operatore e posta cartacea, occorre verificare il relativo regime, compreso il Registro pubblico delle opposizioni e le ulteriori condizioni applicabili. Una LIA non sostituisce tali verifiche. La valutazione del canale deve precedere l’acquisto di una lista, non seguire il primo reclamo.
Analogamente, il ricorso al legittimo interesse non aggira l’articolo 122 per archiviazione o accesso a informazioni nel dispositivo dell’utente. Il consenso e le eccezioni tecniche previste hanno un proprio ambito. Separate il trattamento successivo dei dati dall’operazione sul dispositivo e verificate entrambi. Parlare genericamente di “cookie di terze parti” o di “profilazione” non basta a individuare il requisito applicabile a ogni tecnologia.
Che cosa conservare nella LIA
Una valutazione utile identifica operazione, interesse, persone e dati coinvolti, alternative considerate, impatti, aspettative, misure e conclusione. Riporta anche data, responsabile della decisione e condizioni che impongono un riesame. Il GDPR non prescrive un modulo universale chiamato LIA, ma i principi di responsabilizzazione richiedono di poter dimostrare la conformità. Un documento vuoto o standardizzato non prova che i tre requisiti siano soddisfatti.
Collegate l’analisi al registro dei trattamenti, alla configurazione effettiva e all’informativa privacy. Gli articoli 13 e 14 richiedono di indicare gli interessi legittimi perseguiti quando questa base viene utilizzata. Non occorre pubblicare indiscriminatamente ogni dettaglio tecnico della valutazione interna, ma l’informazione fornita alla persona deve rappresentare il trattamento reale e non nasconderne gli scopi.
La LIA non sostituisce una valutazione d’impatto quando il trattamento può presentare un rischio elevato. Le due analisi rispondono a domande collegate ma diverse: il fondamento di liceità e la gestione complessiva dei rischi. Se il progetto cambia destinatari, categorie di dati, scala o conseguenze, riesaminate la conclusione. Non esiste un rinnovo automatico del legittimo interesse ottenuto aggiornando soltanto la data sul documento.
Gestire un’opposizione senza automatismi
Per un trattamento basato sull’articolo 6, paragrafo 1, lettera f), l’interessato può opporsi per motivi connessi alla propria situazione particolare. Il titolare deve cessare il trattamento, salvo dimostrare motivi legittimi cogenti prevalenti oppure la necessità di accertare, esercitare o difendere un diritto in sede giudiziaria. La conclusione favorevole della LIA iniziale non risolve automaticamente questa nuova valutazione individuale.
Nel marketing diretto, l’opposizione comporta invece la cessazione del trattamento per tale finalità, compresa la profilazione connessa. Non occorre che la persona dimostri un pregiudizio particolare. Evidenziate il diritto chiaramente e separatamente dalle altre informazioni, al più tardi nella prima comunicazione. Il circuito operativo deve aggiornare campagne, esportazioni e fornitori coinvolti, altrimenti il blocco in un solo sistema può lasciare attivi altri invii.
Conservate soltanto le informazioni giustificate per rispettare l’opposizione, separate dall’uso promozionale. Definite le regole di conservazione anche per questa prova: non occorre trattenere tutto il profilo commerciale per evitare una ricontattazione. Durante la verifica dei motivi prevalenti, considerate inoltre il diritto alla limitazione previsto dall’articolo 18, nelle condizioni applicabili, anziché proseguire senza esaminare la richiesta.
Rispondete senza ingiustificato ritardo e di regola entro un mese. L’eventuale estensione per complessità o numero di richieste richiede informazione e motivi nel primo mese. Se non date seguito alla richiesta, comunicate le ragioni senza ritardo e al più tardi entro un mese dalla ricezione, indicando reclamo e ricorso giurisdizionale. Questa comunicazione iniziale non beneficia dell’estensione generale.
Una decisione che il team può applicare
Prima di avviare il trattamento, fate verificare che le condizioni della LIA corrispondano al sistema reale: dati raccolti, destinatari, tempi e interventi umani. Se il documento ammette solo un accesso ristretto, ma l’applicazione concede l’accesso a tutto il personale, la conclusione si basa su un presupposto falso. Assegnate le correzioni e verificatele prima di considerare la valutazione conclusa.
Quando consultate orientamenti del Comitato europeo per la protezione dei dati, controllate versione, stato e ambito del documento. La chiusura di una consultazione non dimostra da sola l’adozione di una versione definitiva. Il criterio operativo resta verificabile: un interesse preciso, dati necessari, un impatto valutato e misure effettive, con disponibilità a modificare o interrompere il trattamento quando queste condizioni vengono meno.