Cuestión prejudicial: alcance del interés legítimo bajo el RGPD

En el ámbito de la protección de datos, una de las cuestiones más controvertidas es la de determinar cuándo se pueden tratar datos personales sin el consentimiento de los interesados, con base en un interés legítimo del responsable del tratamiento o de un tercero. El Reglamento General de Protección de Datos (RGPD) establece que este supuesto solo es posible si se cumplen tres requisitos: (i) que el interés legítimo sea lícito; (ii) que el tratamiento sea necesario para la satisfacción de ese interés; y (iii) que no prevalezcan los intereses o los derechos y libertades fundamentales de los interesados. Sin embargo, el RGPD no define qué se entiende por interés legítimo ni cómo se debe realizar la ponderación de los intereses en conflicto.

Esta cuestión ha sido objeto de una sentencia reciente del Tribunal de Justicia de la Unión Europea (TJUE), de 4 de octubre de 2024, en respuesta a una petición de decisión prejudicial planteada por un tribunal neerlandés.

Procedimiento judicial

El litigio se originó por la imposición de una multa a una federación deportiva, la KNLTB, por haber comunicado a título oneroso los datos personales de sus miembros a dos patrocinadores, una empresa de productos deportivos y una empresa de juegos de azar, sin el consentimiento de los interesados y con fines de publicidad y marketing.

La KNLTB alegó que este tratamiento se basaba en un interés legítimo, consistente en crear un vínculo fuerte con sus miembros y ofrecer un valor añadido a su afiliación. La autoridad de protección de datos neerlandesa consideró que este interés no era legítimo, sino meramente comercial, y que no se había respetado el principio de minimización de datos ni las expectativas razonables de los interesados. La cuestión principal giraba en torno a si un interés meramente comercial, como la venta de datos personales a patrocinadores, podía constituir un interés legítimo en el sentido del RGPD.

Cuestiones prejudiciales planteadas al TJUE

El tribunal neerlandés planteó varias cuestiones prejudiciales al TJUE para aclarar el alcance del concepto de "interés legítimo" bajo el artículo 6(1)(f) del RGPD, entre las que destacan:

1. ¿Debe interpretarse el "interés legítimo" como exclusivamente aquellos intereses definidos por ley?
2. ¿Puede un interés puramente comercial, como la venta de datos personales a patrocinadores sin el consentimiento del interesado, constituir un "interés legítimo"?

Conclusiones del Tribunal de Justicia

El TJUE, tras recordar el objetivo del RGPD de garantizar un nivel elevado de protección de los derechos y libertades fundamentales de las personas físicas, en particular de su derecho a la vida privada respecto del tratamiento de los datos personales, ha aclarado los criterios para aplicar el artículo 6(1)(f) del RGPD, que permite el tratamiento de datos personales sin consentimiento cuando sea necesario para la satisfacción de intereses legítimos.

1. El TJUE ha señalado que el concepto de interés legítimo es amplio y no se limita a los intereses consagrados y determinados por una ley, sino que puede abarcar cualquier interés que sea lícito. Así, el TJUE no ha excluido que un interés comercial del responsable del tratamiento, como el de promocionar y vender espacios publicitarios, pueda ser considerado como un interés legítimo, siempre que no sea contrario a la ley. No obstante, el TJUE ha recordado que el responsable del tratamiento debe informar a los interesados de los fines del tratamiento y de la base jurídica del mismo, y que debe probar que los datos se recogen con fines determinados, explícitos y legítimos y que se tratan de manera lícita, leal y transparente.
2. El TJUE ha indicado que el requisito de la necesidad del tratamiento para la satisfacción del interés legítimo implica que el interés legítimo perseguido con el tratamiento de los datos no pueda alcanzarse razonablemente de manera tan eficaz por otros medios menos atentatorios contra las libertades y los derechos fundamentales de los interesados. En este sentido, el TJUE ha subrayado la importancia del principio de minimización de los datos, según el cual los datos personales deben ser adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados. Así, el TJUE ha sugerido que una solución menos lesiva para los interesados sería que el responsable del tratamiento les informase previamente y les preguntase si desean que sus datos se transmitan a terceros con fines de publicidad o de marketing, lo que les permitiría conservar el control sobre la divulgación de sus datos personales y limitarla a lo que sea efectivamente necesario y pertinente.
3. El TJUE ha recordado que el requisito de que los intereses o las libertades y los derechos fundamentales del interesado no prevalezcan sobre el interés legítimo del responsable del tratamiento o de un tercero exige ponderar los derechos e intereses en conflicto, que dependerá de las circunstancias concretas de cada caso. En este contexto, el TJUE ha destacado que se debe conceder especial importancia a la cuestión de si los interesados podían esperar razonablemente, en el momento en que se recopilaron sus datos personales, que estos se divulgasen a terceros con fines publicitarios y de marketing. Además, el TJUE ha señalado que se debe tener en cuenta la naturaleza de los terceros a los que se transmiten los datos, como en el caso de una empresa de juegos de azar y de juegos de casino, cuyas actividades pueden exponer a los interesados a los riesgos vinculados al desarrollo de la ludopatía.

Consideraciones finales

La sentencia del TJUE aporta una mayor claridad sobre los requisitos para justificar el tratamiento de datos personales sin consentimiento con base en un interés legítimo, en particular cuando se trata de un interés comercial del responsable del tratamiento. Sin embargo, el TJUE también subraya que el interés legítimo no es una base jurídica genérica ni automática, sino que requiere una evaluación caso por caso, teniendo en cuenta todos los factores relevantes y respetando los principios y las garantías del RGPD.

En definitiva, el TJUE recalca que el derecho a la protección de los datos personales no es un derecho absoluto, pero tampoco puede sacrificarse en aras de intereses económicos que no sean estrictamente necesarios ni proporcionados.