En el mes octubre el Comité Europeo de Protección de Datos, anunció las Directrices 1/2024 sobre el tratamiento de los datos personales, que están basados en el artículo 6.1.f) del Reglamento General de Protección de Datos, actualizando y proporcionando clarificaciones respecto a la Opinión 6/2014 de Grupo de Trabajo del artículo 29 (GT 29). Estas Directrices ofrecen unas pautas particulares para guiar a los responsables del tratamiento de datos en la ejecución de la “Prueba de sopesamiento”. Este proceso permite evaluar si el interés legítimo constituye una base jurídica válida para llevar a cabo el tratamiento de datos personales previstos.
Estas razones de actualización se han llevado a cabo con base en la motivación de los cambios de jurisprudencia respecto a la interpretación y aplicación del interés legítimo por parte del TJUE, también por las nuevas prácticas que se están llevando a cabo relacionadas con las nuevas tecnologías y su aplicación en el procesamiento de datos. Todo ello tiene como objetivo proporcionar unas directrices que sean más claras de como determinar si hay interés legítimo, y como evaluarlas en relación con los derechos y libertades fundamentales
Las directrices incluyen el ámbito de aplicación sobre temas clave, tales como: El tratamiento de datos personales de menores, la evaluación de las expectativas razonables de los interesados, tratamiento de datos con fines de publicidad directa y la transferencia de datos personales dentro de los grupos empresariales, así como la prevención de fraudes. Cabe resaltar, que la aplicación del artículo 6.1.f) del RGPD tiene una excepción, este artículo no se aplicará cuando el tratamiento de datos sea realizado por las autoridades públicas en el ejercicio de sus funciones, haciendo referencia al considerando 47 del RGPD establece que será el legislador establecer una base legal que permita a las autoridades públicas tratar los datos personales.
PROPOSICIÓN DEL COMITÉ EUROPEO DE PROTECCIÓN DE DATOS A TRAVÉS DE LA SIGUIENTE METODOLOGÍA RESUMIDA EN TRES FASES.
Este concepto de interés legítimo, se considerará cuando el responsable del tratamiento pueda perseguir este interés en concordancia con las normas establecidas y vigentes en protección de datos y aquella legislación relacionada. Por lo tanto, para que este interés sea legítimo, tiene que ser acorde con el artículo 6.1.f) del RGPD, a su vez se ha tenido en cuenta la reciente sentencia del TJUE sobre esta materia (C-621/22, de 4 de octubre de 2024).
El responsable del tratamiento deberá cumplir con tres condiciones que se deben dar de manera conjunta:
1.- La persecución de un interés legítimo por parte del responsable del tratamiento o de un tercero:
En esta primera fase, se pone de manifiesto la redacción del artículo 6.1.f), es decir para realizar perseguir si es un interés legítimo tiene que darse las condiciones establecidas en el artículo, para ello debe ser lícito respecto a las legislaciones nacionales y de la UE; tendrá que estar articulado de manera específica y clara para que la prueba de sopesamiento pueda llevarse a cabo en comparación con los intereses y los derechos fundamentales del interesado, y sobre todo que sea un interés real y actual, que no sea algo hipotético.
En el caso del tercero, tendrá que cumplir de la misma manera la legitimidad de los intereses utilizando los mismos criterios que el responsable del tratamiento.
2.- La necesidad de procesar datos personales con el fin de perseguir el interés legítimo:
En este concepto de necesidad no se debe interpretar como algo meramente beneficioso o práctico para el responsable del tratamiento, sino que tiene que estar armonizado con el concepto de necesidad de la RGPD, en este caso se exige que sea una interpretación de manera rigurosa con los principios de protección de datos. Por ello, implica que el tratamiento es imprescindible para alcanzar el interés legítimo identificado y no existe una alternativa menos intrusiva para los derechos y libertades del interesado.
Esta fase, podemos relacionarla con el principio de minimización de datos del artículo 5.1.c) del RGPD, exige que los datos que se traten sean apropiados, relevantes y que se limiten a lo indispensable para poder alcanzar los objetivos previstos. En el caso, de que el tratamiento abarque más datos de los que realmente se requieren, no habrá justificación alguna para basarlos en interés legítimo.
3.- Evaluación de compensación entre los intereses legítimos del responsable del tratamiento con los derechos y libertades del interesado
Esta evaluación de compensación es fundamental, ya que se sopesa los intereses legítimos del responsable frente a los derechos y libertades del interesado. Es conocido también como prueba de equilibrio o prueba de sopesamiento, y el objetivo que tiene es garantizar que por parte del responsable se traten los datos del interesado de una manera justa, proporcional y respetuosa. Tendrá que estar justificado este tratamiento por parte del responsable y asegurar que el impacto que pueda tener no sea desproporcionado con los derechos y libertades del interesado.
Por ello, el responsable del tratamiento tendrá que realizar un análisis de impacto sobre el interesado, considerando en esta evaluación de manera relevante:
- La categoría de los datos procesados, por ejemplo datos sensibles relacionados con el artículo 9 de RGPD como pueden ser a la ideología, étnicos, genéticos, etc… o datos que estén relacionados con menores o personas vulnerables que le causen un perjuicio relevante. Todo ellos requieren una justificación más cualificada.
- Entorno en el que se lleva a cabo el tratamiento, el responsable en esta ocasión tendrá que tener en cuenta la dimensión de del tratamiento de datos, ya que pueden afectar a un gran número de personas y esto requiere una justificación más sólida, la relación que puede haber entre el responsable y el interesado, o también la combinación que puede haber de datos personales entre los generales como pueden ser nombre, dirección, etc… y los datos especiales como de salud, orientación sexual creencias, etc.
- Consecuencia potencial del tratamiento, para evaluar por parte del responsable las posibles repercusiones que se puedan dar y tenerlas en cuenta, como por ejemplo riesgo a exclusión, discriminación o incluso llegar a tener perdidas financieras. Además, de poder ser un posible impacto emocional de manera que el interesado pueda sentirse vigilado de manera constante y esto haga que pueda verse alterada su vida cotidiana y su bienestar.
Con lo expuesto anteriormente, se llevará a cabo el análisis que indicara si prevalece el interés legítimo o si, por el contrario, lo que prevalece son los derechos del interesado. En el caso del primero, el tratamiento estaría justificado y podría llevar a la práctica, sin descuidar la salvaguardia de los derechos del interesado a través anonimización o un acceso restringido a ellos. En el segundo caso, el tratamiento no se podría efectuar, ya que se estaría incumpliendo el artículo 6.1.F) del RGPD.
Como cabe de entender, esta evaluación se tendrá que realizar en la etapa inicial del tratamiento de datos, y si lo hubiera con la presencia del Delegado de protección de datos.
LA RELACIÓN ENTRE EL ARTÍCULO 6.1.F) DEL RGPD Y LOS DERECHOS DEL INTERESADO
En la directriz 1/2024 del CEPD, analiza esta relación, señalando que la toma de decisiones automatizadas o elaboración de perfiles, se considere el nivel de detalle y el impacto que puede tener garantizando la precisión de los datos y evitando la discriminación. Establece también, que cuando este tratamiento de datos se lleve a cabo para fines publicitarios directos, el interesado podrá oponerse a ese tratamiento sin la necesidad de realizar una evaluación de intereses.
El responsable del tratamiento deberá analizar cómo afectará dicho tratamiento a los derechos de los interesados como los derechos de oposición, supresión o como se ha mencionado anteriormente no ser objeto de decisiones automatizadas. Por ello, la importancia de la transparencia del responsable hacia los interesados sobre los fines legítimos que se buscan y como se han considerado sus derechos y libertades a la hora de tomar decisiones.
CONCLUSIONES
Como hemos podido observar a lo largo del texto, las directrices realizadas por el CEPD proporciona un marco claro y detallado para entender como las organizaciones deben aplicar el artículo 6.1.F) en relación con el tratamiento de datos personales, sobre todo en aquella situación donde el interés legítimo se considera como base legal para el tratamiento. Ya que el procesamiento de datos por parte del responsable del tratamiento debe equilibrarse entre el interés legítimo y los derechos y libertades del interesado. De igual manera, se resalta la importancia de que el tratamiento que está basado en el interés legítimo tiene que ser transparente y justificado, aparte de estar documentado de manera correcta y que asegure la protección de los derechos del individuo.
Las directrices destacan la importancia de una aplicación responsable y proporcional del artículo 6.1.F), promueve la transparencia, la protección de datos y los principios fundamentales del RGPD en todas las actividades que estén relacionadas con el tratamiento de datos personales.