Il legittimo interesse ex art. 6, par. 1, lett. f) GDPR è una base giuridica valida solo se superata la cosiddetta balancing test: l’interesse del titolare deve prevalere sui diritti e le libertà dell’interessato. Usarlo come scappatoia al consenso, senza documentare il bilanciamento, espone il titolare a sanzioni fino al 4% del fatturato globale annuo o 20 milioni di euro. Ogni studio legale che tratta dati di clienti, controparti o testimoni deve valutare caso per caso se questa base regge o se serve un’altra legittimazione.
Punti chiave
- Punto 1 — Il legittimo interesse GDPR richiede una balancing test documentata prima del trattamento, non dopo.
- Punto 2 — Usarlo per finalità di marketing diretto senza opt-out attivo è una violazione accertata dal Garante.
- Punto 3 — Lo studio legale che tratta dati di controparti può fondarsi sul legittimo interesse, ma deve verbalizzarlo.
Se il tuo studio usa il legittimo interesse come base giuridica per trattare dati senza troppo pensarci, stai correndo un rischio concreto. Il Garante per la protezione dei dati personali ha già sanzionato titolari che hanno invocato l’art. 6, par. 1, lett. f) GDPR in modo generico, senza documentare il bilanciamento tra i propri interessi e i diritti dell’interessato. La sanzione massima per scelta errata della base giuridica arriva al 4% del fatturato mondiale annuo o 20 milioni di euro, si applica il maggiore dei due importi.
L’occasione per fare chiarezza arriva da un’analisi pubblicata da Diritto.it, che ripercorre le condizioni effettive in cui il legittimo interesse regge come base giuridica e i casi in cui invece cede davanti al test di bilanciamento previsto dal Regolamento UE 2016/679.
Il contesto normativo
L’art. 6, par. 1, lett. f) GDPR consente il trattamento quando è necessario per il perseguimento del legittimo interesse del titolare o di terzi, purché non prevalgano gli interessi o i diritti fondamentali dell’interessato. Il considerando 47 del GDPR precisa che il marketing diretto può costituire legittimo interesse, ma non automaticamente: serve comunque il test di bilanciamento. Il Comitato europeo per la protezione dei dati (EDPB) ha adottato le Linee guida 1/2024 proprio per standardizzare i criteri della balancing test, distinguendo tre fasi: identificazione dell’interesse legittimo, necessità del trattamento, bilanciamento con i diritti dell’interessato. A livello nazionale, il Garante italiano ha sanzionato nel 2023 un operatore di telemarketing per aver invocato il legittimo interesse in assenza di qualsiasi documentazione del bilanciamento, applicando una sanzione di 300.000 euro.
Cosa cambia per lo studio
- Prima di invocare il legittimo interesse, redigi un documento interno di balancing test: elenca l’interesse perseguito, verifica che il trattamento sia strettamente necessario a raggiungerlo e valuta se l’interessato potrebbe ragionevolmente aspettarsi quel trattamento. Senza questo documento, la base giuridica non regge in sede ispettiva.
- Distingui i trattamenti: per i dati dei clienti con contratto in corso usa preferibilmente l’art. 6, par. 1, lett. b) GDPR (esecuzione del contratto). Il legittimo interesse è più appropriato per trattamenti residuali come la gestione dei dati di ex clienti per finalità difensive o la conservazione di dati di controparti.
- Per il marketing verso clienti esistenti puoi invocare il legittimo interesse, ma devi garantire un meccanismo di opt-out semplice e immediato in ogni comunicazione. Il mancato opt-out trasforma il trattamento in illecito anche se la base era teoricamente corretta.
- Aggiorna l’informativa privacy dello studio: deve indicare esplicitamente quali trattamenti si fondano sul legittimo interesse e descrivere in sintesi il bilanciamento effettuato. Un’informativa che scrive solo “legittimo interesse” senza dettagli non soddisfa l’art. 13, par. 1, lett. d) GDPR.
- Se assisti clienti titolari del trattamento, verifica i loro registri delle attività ex art. 30 GDPR: la colonna “base giuridica” deve riportare il legittimo interesse con riferimento al documento di balancing test, non una dicitura generica.
Attenzione a
Il rischio più frequente è usare il legittimo interesse come alternativa comoda al consenso, specialmente quando il consenso sarebbe difficile da ottenere. Questo ragionamento è esattamente quello che il Garante e l’EDPB contestano: la difficoltà di raccogliere il consenso non trasforma automaticamente un trattamento in legittimo interesse. Se l’interessato non si aspetterebbe ragionevolmente quel trattamento, la base giuridica non regge a prescindere dalla comodità operativa.
Secondo rischio: trattare dati di categorie particolari ex art. 9 GDPR (salute, orientamento politico, dati biometrici) confidando nel legittimo interesse. Per queste categorie l’art. 9 GDPR prevede un regime autonomo e più restrittivo: il legittimo interesse dell’art. 6 non è sufficiente. Servono le condizioni specifiche dell’art. 9, par. 2, e nella maggior parte dei casi anche il consenso esplicito.
Domande frequenti
Quando si può usare il legittimo interesse al posto del consenso GDPR?
Il legittimo interesse ex art. 6, par. 1, lett. f) GDPR si può usare quando il titolare ha un interesse reale e concreto, il trattamento è strettamente necessario per raggiungerlo, e gli interessi dell’interessato non prevalgono. Non basta che il consenso sia scomodo da raccogliere: serve una balancing test documentata che dimostri il bilanciamento favorevole al titolare.
Uno studio legale può usare il legittimo interesse per trattare dati di controparti?
Sì, in linea di principio. Il trattamento di dati di controparti per finalità difensive o di gestione del contenzioso può fondarsi sul legittimo interesse, poiché l’interessato può ragionevolmente aspettarsi che i propri dati siano usati in questo contesto. Lo studio deve comunque documentare il bilanciamento e fornire l’informativa ex art. 13 o 14 GDPR.
Cosa rischia chi usa il legittimo interesse senza balancing test documentata?
Rischia una sanzione amministrativa fino al 4% del fatturato globale annuo o 20 milioni di euro, si applica il maggiore. Il Garante italiano ha già comminato sanzioni nell’ordine di centinaia di migliaia di euro per uso generico del legittimo interesse senza documentazione. In sede ispettiva, l’assenza del documento di bilanciamento equivale a mancanza della base giuridica.
Fonte di riferimento: Diritto.it