El interés legítimo como base jurídica en el ámbito comercial en España

El Reglamento General de Protección de Datos (RGPD) reconoce el interés legítimo como una de las bases jurídicas para el tratamiento de datos personales. Sin embargo, no lo define de manera exhaustiva, dejando margen de interpretación que ha sido objeto de debate y análisis.

En esencia, el interés legítimo se refiere a un beneficio o ventaja que una organización o un tercero pueden obtener del tratamiento de datos personales, siempre y cuando este beneficio no vulnere los derechos y libertades de los interesados.

Ejemplos comunes de interés legítimo incluyen la prevención del fraude, la protección contra ciberataques, la preservación de la seguridad en las instalaciones o la optimización de los servicios al cliente. No obstante, aunque el concepto de interés legítimo pueda parecer flexible, su invocación no es automática ni sencilla pues debe superar un análisis de los intereses involucrados (por un lado, los del responsable del tratamiento y, por otro lado, los derechos de los interesados).  

¿Cuándo existe un interés legítimo?

Para determinar si un interés es legítimo, este debe ser lícito, real y actual. Además, el RGPD impone la obligación de realizar una ponderación entre los intereses en juego que evidencie que el interés legítimo prevalece sobre los derechos y libertades de los interesados.

Asimismo, el tratamiento de datos debe ser necesario para alcanzar el objetivo previsto. Si el fin puede lograrse mediante otros medios menos invasivos para la privacidad de los afectados, el interés legítimo no será aplicable. Por lo tanto, los datos objeto de tratamiento deben estar directamente relacionados con la finalidad perseguida y ser proporcionales a la misma.

El interés comercial: un caso particular

El interés comercial, entendido como la búsqueda de beneficios económicos o de una ventaja competitiva, puede, en principio, considerarse un interés legítimo bajo el RGPD si se cumplen con los requisitos arriba expuestos. No obstante, tanto la Agencia Española de Protección de Datos (AEPD) como el Tribunal Supremo de España han mostrado reservas respecto a la prevalencia de los intereses comerciales cuando estos entran en conflicto con los derechos fundamentales de los individuos. En particular, la AEPD ha señalado que, si bien la obtención de un beneficio económico a través de la actividad empresarial puede considerarse un interés legítimo, este nunca debe prevalecer sobre el derecho fundamental a la protección de datos. Otras autoridades de protección de datos han sido incluso más restrictivas, como es el caso de la Autoridad de Protección de Datos de los Países Bajos.

Sin embargo, otras autoridades de protección de datos, como la Information Commissioner’s Office de Reino Unido, han adoptado un enfoque más flexible, permitiendo el tratamiento de datos personales con fines comerciales en base al interés legítimo bajo determinadas condiciones.

Esta divergencia de criterios ha generado cierta inseguridad jurídica y ha puesto de manifiesto la necesidad de una interpretación armonizada a nivel europeo. En este sentido, el Tribunal de Justicia de la Unión Europea (TJUE) dictó una sentencia el 4 de octubre de 2024 que ha aportado claridad sobre la interpretación del interés legítimo en el ámbito de la mercadotecnia.

El caso C-621/22

La Real Asociación de Tenis de los Países Bajos (KNLTB) fue sancionada por la Autoridad de Protección de Datos de Países Bajos al comunicar los datos personales de sus miembros a dos de sus patrocinadores, una empresa de productos deportivos y un proveedor de juegos de azar y de juegos de casino, sin haber obtenido el consentimiento previo de los afectados. Esta cesión de datos se realizó con el objetivo de llevar a cabo acciones promocionales y a cambio de una remuneración económica.

Ante esta sanción, la KNLTB interpuso un recurso alegando que la divulgación de los datos se basaba en un interés legítimo, consistente en crear un vínculo estrecho entre dicha asociación y sus miembros y en aportar valor añadido a sus miembros en forma de descuentos y ofertas. El Tribunal de Primera Instancia de Ámsterdam decidió suspender el procedimiento y plantear una serie de cuestiones prejudiciales al TJUE con el objetivo de determinar si la cesión de datos personales con fines comerciales, a cambio de una remuneración económica, puede estar justificada en un interés legítimo.

Decisión del TJUE

En esencia, el TJUE ha aclarado que el mero hecho de que el interés perseguido tenga un objetivo comercial no excluye que pueda ser considerado un interés legítimo. Sin embargo, para que así sea, es indispensable que dicho interés sea lícito, es decir, que no contravenga ninguna ley, y que se cumplan todos los demás requisitos establecidos en el RGPD. Además, recuerda que el interés legítimo no necesita estar expresamente consagrado en una ley, y se remite al RGPD donde expresamente se contempla la finalidad de marketing directo como interés legítimo que puede perseguir un responsable del tratamiento.

Respecto a la necesidad del tratamiento de datos personales para satisfacer el interés legítimo alegado, el TJUE subraya la importancia de analizar este aspecto a la luz del principio de minimización de datos. Este principio exige que los datos personales sean adecuados, pertinentes y limitados a lo necesario para los fines perseguidos. En este caso, el TJUE cuestiona si el interés legítimo de la asociación podría haberse alcanzado de forma igualmente eficaz mediante otros medios menos intrusivos para los derechos y libertades de los afectados. En particular, señala que la asociación podría haber informado y consultado a sus miembros sobre este tratamiento de datos, lo que hubiera resultado en una injerencia menor en los derechos y libertados de los interesados.

En cuanto a la ponderación de los intereses, un punto clave de la sentencia es el análisis de las expectativas razonables de los interesados. Para este tribunal resulta difícil considerar que, al unirse a un club deportivo, sus miembros puedan esperar que sus datos personales sean comercializados con fines publicitarios y de marketing, especialmente cuando se trata de sectores como el juego. Estas actividades, aunque a priori legales, se desarrollan en un contexto que no guarda una relación directa con la finalidad para la cual se recabaron los datos (la práctica deportiva).

En conclusión, si bien el TJUE no descarta la posibilidad de considerar un interés comercial como  interés legítimo, enfatiza la necesidad de una evaluación rigurosa de la necesidad y proporcionalidad del tratamiento de datos personales, atendiendo a las circunstancias específicas del caso concreto.

Comentario de Osborne Clarke

Esta sentencia, si bien no revolucionaria, aporta claridad y seguridad jurídica en el ámbito empresarial. Su principal relevancia reside en que el máximo tribunal europeo ha confirmado de manera explícita que los intereses puramente comerciales pueden ser considerados legítimos y pone de relieve que la interpretación tanto de la Autoridad de Protección de Datos de Países Bajos como de la AEPD, así como de nuestro Tribunal Supremo de España es excesivamente restrictiva.

Las empresas que operan en la Unión Europea apreciarán la seguridad jurídica que aporta esta sentencia, permitiéndoles desarrollar su actividad con una mayor certeza sobre los límites y alcances del tratamiento de datos con fines comerciales en base al interés legítimo. No obstante, es importante recordar que este concepto no es absoluto y debe aplicarse caso por caso. La ponderación de los intereses sigue siendo clave para determinar si el tratamiento de los datos es proporcional y necesario para el fin previsto.