El interés legítimo constituye una base legitimadora del tratamiento alternativa que podría ser aplicable al uso de los datos recogidos en las redes sociales, aunque las autoridades públicas no pueden basarse en esta base a la hora de actuar. Para que puedan utilizar esta base jurídica, deben cumplirse tres condiciones acumulativas[1]:
- la persecución de un interés legítimo por parte del responsable del tratamiento o del tercero o terceros a los que se comunican los datos,
- la necesidad de tratar los datos personales para los fines del interés legítimo perseguido, y
- la condición de que no prevalezcan los derechos y libertades fundamentales del interesado cuyos datos requieren protección.
Así pues, en principio el interés legítimo podría ser la base jurídica perfecta para el tratamiento en este contexto. Sin embargo, hay algunas buenas razones para considerar que esta base no siempre se aplicará al uso de datos para la investigación científica:
- En primer lugar, el interés legítimo debería aplicarse a todos los corresponsables, en caso de que la corresponsabilidad se aplique al tratamiento. En el caso Fashion ID, el
- En el caso Fashion ID, el TJUE especificó que en tales circunstancias “es necesario que cada uno de esos responsables persiga un interés legítimo […] a través de esas operaciones de tratamiento para que esas operaciones estén justificadas con respecto a cada uno de ellos”.
- – En segundo lugar, los responsables deben poder demostrar que se ha realizado adecuadamente la prueba de sopesamiento (véase la sección “Prueba de sopesamiento” en la parte “Acciones e instrumentos” de estas directrices). Esto significa que los corresponsables son capaces de establecer que el tratamiento es necesario para lograr esos intereses legítimos. Esto es difícil de alcanzar, ya que “necesario” requiere una conexión entre el tratamiento y los intereses perseguidos. Esto significa que debe considerarse si existen otros medios menos invasivos para servir al mismo fin. Del mismo modo, los encargados del tratamiento deben poder demostrar que los intereses legítimos en juego no se ven superados por los intereses o los derechos y libertades fundamentales del interesado. Todo esto es difícil de demostrar, especialmente si hay menores implicados en el tratamiento.[2]
- En tercer lugar, el interés legítimo difícilmente podría aplicarse como base jurídica para el tratamiento legal si dicho tratamiento implica prácticas intrusivas de elaboración de perfiles y rastreo, por ejemplo, las que implican el seguimiento de las personas en múltiples sitios web, ubicaciones, dispositivos, servicios o el corretaje de datos.[3]
- En cuarto lugar, si se trata de datos pertenecientes a sujetos que ya han tenido una relación previa con el investigador e innovador de las TIC a través de la red social, utilizar el interés legítimo como base jurídica parece bastante razonable. No obstante, los responsables deben tener en cuenta si la relación anterior era similar a la que se va a establecer.
Si finalmente se elige el interés legítimo como base jurídica para el tratamiento, Los responsables deberán tener en cuenta que los deberes de transparencia y el derecho de oposición requieren una cuidadosa consideración. Los interesados deben tener la oportunidad de oponerse al tratamiento de sus datos con fines específicos antes de que se inicie el tratamiento. Los usuarios de las redes sociales no sólo deben tener la posibilidad de oponerse al tratamiento cuando accedan a la plataforma, sino que también deben disponer de controles que garanticen que el tratamiento subyacente con fines específicos de sus datos personales no se produzca después de que se hayan opuesto al tratamiento.[4]
| Lista de control: interés legítimo
☐ Los responsables han comprobado que el interés legítimo es la base más adecuada para el tratamiento. ☐ Los responsables han comprobado que el tratamiento es necesario y que no existe una forma menos intrusiva de lograr el mismo resultado. ☐ Los responsables han realizado una prueba de equilibrio y confían en que los intereses de la persona no prevalecen sobre esos intereses legítimos. ☐ Los responsables del tratamiento no utilizan los datos de las personas de forma que les resulte intrusiva o que pueda causarles un perjuicio, a menos que exista una razón muy justificada. ☐ Si los responsables prevén el tratamiento de datos de niños, han puesto especial cuidado en asegurarse de que el interés legítimo es una base de datos adecuada. ☐ Los responsables han tenido en cuenta las salvaguardias para reducir el impacto cuando sea posible. ☐ Los responsables han introducido herramientas adecuadas para garantizar que el derecho de oposición sea fácil de aplicar por los interesados. ☐ Si los responsables del tratamiento han identificado un impacto significativo en la protección de datos personales, han considerado si también necesitan realizar una EIPD. ☐ Los responsables incluyen información sobre sus intereses legítimos en sus políticas de privacidad. |
- Sentencia del TJUE en el caso Fashion ID, 29 julio 2019, C-40/17, para. 95 – ECLI:EU:C:2019:629. ↑
- Véase: Article 29 Working Party Opinion 06/2014 on the concept of legitimate interests of the data controller under Article 7 of Directive 95/46/EC, WP217, 9 April 2014 https://ec.europa.eu/justice/Article-29/documentation/opinion- recommendation/files/2014/wp217_en.pdf ↑
- Article 29 Working Party, Opinion on profiling and automated decision making, WP 251, rev. 01, p. 15, Véase también el Grupo de Trabajo del Artículo 29, Dictamen sobre el interés legítimo, p. 32 y 48: “En general, existe un desequilibrio entre el interés legítimo de la empresa y la protección de los derechos fundamentales de los usuarios, por lo que no debería invocarse el artículo 7, letra f), como fundamento jurídico del tratamiento. El artículo 7(a) sería un motivo más apropiado para ser utilizado, siempre que se cumplan las condiciones para un consentimiento válido». ↑
- Guidelines 8/2020 on the targeting of social media users Version 2.0 Adopted on 13 April 2021, en: https://edpb.europa.eu/system/files/2021-04/edpb_guidelines_082020_on_the_targeting_of_social_media_users_en.pdf, p. 11) ↑