La prueba del interés legítimo: guía de ponderación para la KVKK y el RGPD
El interés legítimo es una base para tratar datos personales utilizada con frecuencia en la aplicación de la KVKK y del RGPD, pero susceptible de interpretaciones erróneas. Afirmar que «la…
¿Qué contiene este artículo?
El interés legítimo es una base para tratar datos personales utilizada con frecuencia en la aplicación de la KVKK y del RGPD, pero susceptible de interpretaciones erróneas. Afirmar que «la empresa tiene un interés comercial» no basta para que el tratamiento sea lícito.
La evaluación del interés legítimo debe examinar conjuntamente su legitimidad, la necesidad del tratamiento y la ponderación con los derechos y libertades fundamentales del interesado.
Interés legítimo en la KVKK
Según el artículo 5, apartado 2, letra f), de la Ley n.º 6698, los datos personales pueden tratarse sin consentimiento explícito cuando el tratamiento sea necesario para los intereses legítimos del responsable y no perjudique los derechos y libertades fundamentales del interesado.
¿Todo interés comercial es un interés legítimo?
No.
La guía actual de la Autoridad Turca de Protección de Datos Personales establece estos requisitos para el interés legítimo:
- debe corresponder al responsable del tratamiento,
- debe ser actual y legítimo,
- debe ponderarse frente a los derechos y libertades fundamentales del interesado.
Estos requisitos se aplican conjuntamente.
Prueba de ponderación en dos etapas en la KVKK
La guía actual de la institución incluye un enfoque de evaluación en dos etapas.
Etapa 1: ¿Hay interés legítimo?
En primer lugar, se determina si el responsable del tratamiento tiene un interés legítimo real y existente.
Etapa 2: Equilibrio con los derechos y libertades
Se evalúa la posible repercusión en los derechos y libertades fundamentales de la persona afectada.
Prueba de necesidad
Si el fin legítimo puede alcanzarse sin tratar datos personales o mediante un método menos intrusivo, el tratamiento previsto podría no considerarse «necesario».
Por ejemplo, la grabación continua de audio requiere una justificación adicional cuando el vídeo basta para garantizar la seguridad.
Expectativa razonable
Determinar si el interesado puede esperar razonablemente este tratamiento de sus datos en el marco de la relación concreta es una parte importante de la ponderación.
Minimización de datos
Sólo porque está en interés legítimo no significa que la empresa pueda procesar tantos datos como quiera.
El tratamiento debe ser:
- vinculado a la finalidad,
- limitado,
- proporcionado.
Estos límites deben respetarse.
¿Qué es LIA?
El Legitimate Interest Assessment (LIA) es un método práctico para documentar la evaluación del interés legítimo, especialmente en el marco del RGPD.
La legislación del KVKK no regula un formulario estándar obligatorio con el nombre "LIA". Sin embargo, documentar por escrito el interés legítimo y el análisis del equilibrio es una práctica sólida en materia de rendición de cuentas.
Interés legítimo en el RGPD
El RGPD Artículo 6, apartado 1, letra f), acepta los intereses legítimos del responsable del tratamiento o de terceros como base legal en determinadas circunstancias.
Este punto difiere la terminología del texto del KVKK; la disposición del KVKK se centra en el interés legítimo del responsable del tratamiento de datos.
Directrices EDPB 1/2024
En 2024, el EDPB sometió a consulta pública las Directrices 1/2024 sobre el interés legítimo conforme al artículo 6, apartado 1, letra f).
En septiembre de 2026, el trabajo sobre la versión final de estas directrices figura aparentemente entre los temas previstos en el programa de trabajo 2026–2027 del EDPB.
Por ello, la versión de consulta no debe presentarse como unas «directrices finales y vinculantes de 2026».
El enfoque de tres etapas del RGPD
En el marco del RGPD, la evaluación suele seguir estos pasos:
- identificar el interés legítimo,
- evaluar si el tratamiento es necesario,
- ponderarlo frente a los intereses, derechos y libertades del interesado.
La evaluación abarca los tres pasos.
Ejemplo: supervisión del correo electrónico corporativo
El empleador puede tener un interés en la seguridad o la continuidad de la actividad. Sin embargo, también deben evaluarse el alcance del acceso a las comunicaciones de los empleados, la información previa, las alternativas menos intrusivas y los permisos de acceso.
Ejemplo: Cámara
Incluso cuando las cámaras son necesarias para la seguridad, debe evaluarse por separado si grabar audio con ese mismo fin resulta necesario y proporcionado.
Documentación del interés legítimo
Un registro práctico puede incluir:
- finalidad del tratamiento,
- interés legítimo,
- necesidad del tratamiento,
- métodos alternativos,
- categorías de datos procesados,
- razonable expectativa de la persona afectada,
- efectos en los derechos y las libertades,
- medidas de reducción de riesgos,
- Resultado.
Lista de comprobación del interés legítimo
- ¿El interés es real y actual?
- ¿El interés es lícito?
- ¿Es realmente necesario procesar datos personales?
- ¿Existe una alternativa menos intrusiva?
- ¿Cuál es la expectativa razonable del interesado?
- ¿Se ven afectados niños o grupos vulnerables?
- ¿Se ha minimizado la cantidad de datos?
- ¿Se han considerado el derecho de oposición y los demás derechos del interesado?
- ¿Se ha registrado el análisis por escrito?
El enfoque B10
B10 Digital Agency no limita el análisis de las bases de tratamiento a los documentos. Evalúa la actividad real de tratamiento en CRM, analítica, sistemas de empleados, IA y otros flujos de datos mediante un inventario técnico.
Conclusión
El interés legítimo no es una vía para decir «no queremos obtener consentimiento explícito». El tratamiento debe ser necesario y debe establecerse un equilibrio real entre el interés del responsable y los derechos del interesado.
Este contenido es para fines informativos generales; también debe evaluarse la actividad concreta de tratamiento de datos.
Fuentes y documentos relacionados
Estos documentos sirven de referencia para los métodos y las reglas tratados en este artículo.