Cómo funciona el test del interés legítimo en el RGPD según el artículo 6(1)(f)

¿Qué significa el interés legítimo en el RGPD?

El artículo 6(1)(f) es la base del interés legítimo en el RGPD: permite a un responsable tratar datos personales sin pedir consentimiento, siempre que el tratamiento sea necesario para un interés que persigue el responsable o un tercero y que los derechos de la propia persona no pesen más que ese interés. Es una de las seis bases jurídicas del artículo 6(1), y es la única que obliga al responsable a sopesar su propio interés frente al de la persona. El texto completo, según la versión del Diario Oficial en EUR-Lex, dice:

f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño.

Justo debajo de la lista de bases viene una segunda frase: "Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones."

Lee con atención la estructura de la letra f). El interés es el punto de partida, "necesario" es una condición, y la salvedad, "siempre que sobre dichos intereses no prevalezcan", es donde se hace la ponderación. El artículo nunca enumera qué intereses valen. Si todavía estás eligiendo base, el repaso de las seis bases jurídicas del RGPD pone la letra f) junto al consentimiento, el contrato y las demás.

¿Qué añade el considerando 47 al artículo 6(1)(f)?

El considerando 47 añade la idea de las expectativas razonables y da ejemplos de intereses que cuentan. Los considerandos no son vinculantes por sí solos, pero explican cómo se leen los artículos, y el EDPB cita el considerando 47 cuando aplica el artículo 6(1)(f). El considerando 47 empieza así:

El interés legítimo de un responsable del tratamiento, incluso el de un responsable al que se puedan comunicar datos personales, o de un tercero, puede constituir una base jurídica para el tratamiento, siempre que no prevalezcan los intereses o los derechos y libertades del interesado, teniendo en cuenta las expectativas razonables de los interesados basadas en su relación con el responsable.

Después señala la relación con un cliente o con un empleado como un contexto en el que tal "interés legítimo podría darse", y advierte de que "los intereses y los derechos fundamentales del interesado podrían prevalecer sobre los intereses del responsable del tratamiento cuando se proceda al tratamiento de los datos personales en circunstancias en las que el interesado no espere razonablemente que se realice un tratamiento ulterior."

Dos ejemplos cierran el considerando, y no están redactados igual por casualidad. La prevención del fraude se formula con firmeza: "El tratamiento de datos de carácter personal estrictamente necesario para la prevención del fraude constituye también un interés legítimo del responsable del tratamiento de que se trate." La mercadotecnia directa, no: "El tratamiento de datos personales con fines de mercadotecnia directa puede considerarse realizado por interés legítimo." "Puede considerarse" da permiso para defender el argumento. No lo zanja. El considerando 49 añade la seguridad de la red y de la información, otra vez limitada a lo que se haga "en la medida estrictamente necesaria y proporcionada".

¿Qué es el triple test del interés legítimo?

El triple test es el método del EDPB para comprobar el artículo 6(1)(f), y hay que superar los tres pasos. El Comité Europeo de Protección de Datos lo expuso en sus directrices 1/2024 sobre el tratamiento de datos personales basado en el artículo 6(1)(f) del RGPD, versión 1.0, adoptadas el 8 de octubre de 2024 y sometidas a consulta pública del 9 de octubre al 20 de noviembre de 2024. La página del EDPB para estas directrices sigue mostrando la versión 1.0, el texto de la consulta. En palabras del propio comité:

For processing to be based on Article 6(1)(f) GDPR, three cumulative conditions must be fulfilled: First, the pursuit of a legitimate interest by the controller or by a third party; Second, the need to process personal data for the purposes of the legitimate interest(s) pursued; and Third, the interests or fundamental freedoms and rights of the concerned data subjects do not take precedence over the legitimate interest(s) of the controller or of a third party.

Paso	Pregunta	Qué exige el EDPB
1. Interés legítimo	¿Es aceptable el interés?	"lawful", "clearly and precisely articulated" y "real and present, and not speculative" (apartado 17)
2. Necesidad	¿Hace falta tratar datos personales para lograrlo?	El interés "cannot reasonably be achieved just as effectively by other means less restrictive" de los derechos de la persona
3. Ponderación	¿Prevalecen los derechos de la persona?	Sopesar el impacto, la naturaleza de los datos, el contexto y las "reasonable expectations", además de las garantías que se apliquen

El paso de necesidad es un filtro duro. Si una vía menos intrusiva alcanza el mismo objetivo, el resumen ejecutivo de las directrices del EDPB dice sin rodeos que "the processing may not be based on Article 6(1)(f) GDPR." Los recuentos agregados en lugar de registros por persona, o una dirección IP truncada en lugar de la completa, son el tipo de alternativa por la que pregunta ese paso.

El EDPB también rechaza dos hábitos opuestos. El apartado 9 dice que el artículo 6(1)(f) "cannot be considered as a legal basis 'by default'" y que no debe verse como una "open door" para legitimar tratamientos que no encajan en ninguna otra base. El mismo apartado dice que tampoco es un "last resort". Sobre el momento, el apartado 12 dice que la evaluación "should be made at the outset of the processing, with the involvement of the Data Protection Officer (DPO) (if designated), and should be documented by the controller in line with the accountability principle set out in Article 5(2) GDPR." Un test redactado después del lanzamiento no cumple ese requisito.

Tres puertas en fila

Interés legítimo identificado

Necesidad confirmada

Prueba de ponderación superada

Se aplica el artículo 6(1)(f)

¿Qué derechos conserva una persona bajo el interés legítimo?

La persona conserva el derecho de oposición, algo que el tratamiento basado en el consentimiento no tiene. El artículo 21(1) del RGPD dice:

El interesado tendrá derecho a oponerse en cualquier momento, por motivos relacionados con su situación particular, a que datos personales que le conciernan sean objeto de un tratamiento basado en lo dispuesto en el artículo 6, apartado 1, letras e) o f), incluida la elaboración de perfiles sobre la base de dichas disposiciones. El responsable del tratamiento dejará de tratar los datos personales, salvo que acredite motivos legítimos imperiosos para el tratamiento que prevalezcan sobre los intereses, los derechos y las libertades del interesado, o para la formulación, el ejercicio o la defensa de reclamaciones.

El listón tras una oposición son los "motivos legítimos imperiosos", más alto que la ponderación ordinaria. En la mercadotecnia directa, los artículos 21(2) y 21(3) eliminan la ponderación por completo: en cuanto la persona se opone, "los datos personales dejarán de ser tratados para dichos fines." El artículo 21(4) exige que ese derecho se presente a la persona "claramente y al margen de cualquier otra información", y el EDPB añade que el responsable debe decir qué intereses legítimos persigue.

¿El artículo 5(3) de ePrivacy se aplica aparte del RGPD?

Sí. El artículo 5(3) de ePrivacy regula el almacenamiento o la lectura de información en el dispositivo de un usuario, y se aplica además del RGPD, no en su lugar. El texto consolidado de la Directiva 2002/58/CE en EUR-Lex dice:

Los Estados miembros velarán por que únicamente se permita el almacenamiento de información, o la obtención de acceso a la información ya almacenada, en el equipo terminal de un abonado o usuario, a condición de que dicho abonado o usuario haya dado su consentimiento después de que se le haya facilitado información clara y completa, en particular sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Directiva 95/46/CE. Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación a través de una red de comunicaciones electrónicas, o en la medida de lo estrictamente necesario a fin de que el proveedor de un servicio de la sociedad de la información preste un servicio expresamente solicitado por el abonado o el usuario.

El artículo 5(3) no contiene ningún supuesto de interés legítimo. Su regla por defecto es el consentimiento, y tiene dos excepciones: la transmisión y lo "estrictamente necesario" para un servicio "expresamente solicitado" por el usuario. El Tribunal de Justicia declaró en Planet49 (C-673/17, 1 de octubre de 2019) que esta protección "se aplica a toda información almacenada en dicho equipo, con independencia de si se trata de datos personales o no", un pasaje que el EDPB cita en sus directrices 2/2023 sobre el alcance técnico del artículo 5(3). Las directrices 1/2024 dicen en su apartado 11 que se entienden "without prejudice to" la Directiva ePrivacy. Así que un responsable que instala una cookie no exenta necesita consentimiento para la cookie según el artículo 5(3), sea cual sea la base del artículo 6 que elija para los datos que vengan después.

¿Puede la analítica web apoyarse en el interés legítimo?

Si la analítica web puede apoyarse en el interés legítimo es una cuestión abierta, y la respuesta depende de a cuál de dos capas te refieras. La capa del dispositivo es el artículo 5(3). La capa del tratamiento es el artículo 6. Una herramienta tiene que superar las dos.

En la capa del dispositivo, el EDPB lee el artículo 5(3) en sentido amplio. Las directrices 2/2023, versión 2.0 adoptada el 7 de octubre de 2024, dicen en su apartado 51 que cuando un píxel de seguimiento se construye mediante "client-side applicative logic (usually a JavaScript code)", recoger los identificadores "constitutes a 'gaining of access'". Algunos reguladores nacionales han ido en la dirección contraria. La CNIL francesa afirma que "subject to a number of conditions, cookies used for audience measurement are exempt from consent", entre ellas limitar la finalidad a la medición de audiencia, truncar "the last byte of the IP address" y limitar la vida del rastreador a 13 meses. El Reino Unido escribió una exención con opción de oposición en su ley: el anexo 12 de la Data (Use and Access) Act 2025, en vigor desde el 5 de febrero de 2026, permite a un servicio almacenar información o acceder a ella "for statistical purposes about how the service is used with a view to making improvements to the service" si los usuarios reciben información clara y "a simple means of objecting". El Reino Unido está fuera de la UE, y el propio artículo 5(3) no contiene un texto así.

En la capa del tratamiento, el EDPB se muestra escéptico cuando hay seguimiento de por medio. Al hablar de la mercadotecnia directa, el apartado 115 de las directrices 1/2024 dice que, cuando hace falta el consentimiento del artículo 5(3), el consentimiento "will likely constitute the appropriate legal basis both for storing and gaining access to information already stored on the user's device and for the subsequent processing of personal data", "thus normally precluding reliance on Article 6(1)(f) in this context." El apartado 120 dice que la ponderación "would hardly yield" un resultado favorable para las "intrusive profiling and tracking practices for marketing purposes, for example those that involve tracking individuals across multiple websites, locations, devices or services."

Configuración	Capa del dispositivo (artículo 5(3))	Capa del tratamiento (artículo 6)
Seguimiento entre sitios y perfiles publicitarios	Consentimiento	EDPB: la ponderación "would hardly yield" un resultado favorable
Cookies de audiencia propias que cumplen las condiciones de la CNIL	CNIL: exentas; texto del artículo 5(3): sin exención para analítica	Se alega interés legítimo, el test sigue siendo obligatorio
Sin almacenamiento ni acceso en el dispositivo, con tratamiento de datos personales	No se activa	Interés legítimo posible con un test documentado
Sin tratamiento de datos personales	Depende del acceso al dispositivo	El RGPD no se aplica

Hay un punto en el que coinciden todas las partes: cuantos menos identificadores maneja una herramienta, más fácil resulta cada paso del test, y la cuestión de si la analítica necesita consentimiento depende primero de lo que hace el script en el dispositivo. Un banner de cookies responde a la pregunta del artículo 5(3). No responde a la del artículo 6. Si una IP truncada o un identificador con hash siguen siendo datos personales es otra cuestión, tratada en el artículo sobre qué cuenta como PII.

Preguntas frecuentes

¿El interés legítimo es más fácil que el consentimiento?

No, según la lectura del EDPB. Las directrices 1/2024 dicen que el artículo 6(1)(f) no debe elegirse "on the basis of a perception that Article 6(1)(f) GDPR is less constraining than other legal bases." El consentimiento necesita una aceptación válida. El interés legítimo necesita una evaluación documentada en tres pasos, hecha antes del tratamiento, y un derecho de oposición que se respete.

¿Hay que dejar por escrito una evaluación del interés legítimo?

El EDPB dice que debe documentarse, y cita el principio de responsabilidad proactiva del artículo 5(2) del RGPD. El artículo 5(2) dice que el responsable del tratamiento "será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo", y una ponderación que no está por escrito es difícil de demostrar.

¿Puede una autoridad pública usar el interés legítimo?

No para sus funciones oficiales. El artículo 6(1) establece que lo dispuesto en la letra f) "no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones." Esas autoridades recurren al artículo 6(1)(e), el tratamiento en interés público, que necesita una base en el Derecho de la Unión o de los Estados miembros.

¿La mercadotecnia directa es siempre un interés legítimo?

No. El considerando 47 dice que el tratamiento con fines de mercadotecnia directa "puede considerarse realizado por interés legítimo", lo que deja en pie el triple test. El marketing por correo electrónico y SMS también entra en el artículo 13 de la Directiva ePrivacy, que el EDPB interpreta como una exigencia de consentimiento previo fuera de la excepción de clientes existentes.

¿Puede el interés legítimo sustituir al consentimiento para las cookies?

No. El artículo 5(3) de ePrivacy fija su propia regla de consentimiento para almacenar o leer información en un dispositivo, con solo las excepciones de transmisión y de lo estrictamente necesario. Una base jurídica del RGPD según el artículo 6 cubre el tratamiento posterior de los datos personales y no ocupa el lugar del consentimiento del artículo 5(3).

¿Son definitivas las directrices del EDPB sobre el interés legítimo?

El texto publicado es la versión 1.0, adoptada el 8 de octubre de 2024 y sometida a consulta pública hasta el 20 de noviembre de 2024. La página del EDPB para las directrices 1/2024 sigue mostrando la versión 1.0. Consulta esa página antes de citar las directrices en una evaluación formal, porque una versión revisada la sustituiría.

¿Qué ejemplos de interés legítimo da el RGPD?

El considerando 47 nombra la relación con un cliente o un empleado como un contexto donde podría existir un interés legítimo, y el considerando 49 añade la seguridad de las redes y la información, limitada a lo estrictamente necesario y proporcionado. La prevención del fraude recibe la formulación más firme: el considerando 47 afirma que "constituye también un interés legítimo", sin matices. El marketing directo recibe una formulación más débil, solo que "puede considerarse" un interés legítimo, lo que deja el triple test abierto para cada caso.

¿Puedo oponerme al tratamiento basado en interés legítimo?

El artículo 21(1) da a la persona el derecho a oponerse en cualquier momento al tratamiento basado en el artículo 6(1)(f), y el responsable debe detenerlo a menos que demuestre "motivos legítimos imperiosos" que prevalezcan sobre los derechos de la persona, un umbral más alto que la ponderación ordinaria. Para el marketing directo, los artículos 21(2) y 21(3) eliminan esa ponderación por completo: una vez que la persona se opone, los datos ya no pueden tratarse para ese fin. El artículo 21(4) exige que el responsable señale este derecho de forma clara y separada de cualquier otra información.

¿Puede usarse el interés legítimo cuando ninguna otra base legal encaja?

El párrafo 9 de las Directrices 1/2024 del EDPB lo descarta directamente: el artículo 6(1)(f) "cannot be considered as a legal basis 'by default'" y no es una "open door" para un tratamiento que no encaja en ninguna otra base. El mismo párrafo rechaza también el hábito contrario, tratarlo como un "last resort". Cada uso sigue necesitando su propio triple test documentado.

¿Las cookies de medición de audiencia están exentas de consentimiento?

El propio artículo 5(3) no contiene ninguna exención para las cookies analíticas, pero la CNIL francesa permite una bajo ciertas condiciones: la finalidad se limita a la medición de audiencia, se trunca el último byte de la dirección IP, y la vida del rastreador se limita a 13 meses. El Reino Unido tomó otro camino y escribió una exención de exclusión voluntaria en el Anexo 12 de la Data (Use and Access) Act 2025, que permite a un servicio almacenar o acceder a información estadística sobre el uso si las personas reciben información clara y un medio sencillo para oponerse. Esa exención británica queda fuera del derecho de la UE, ya que el Reino Unido ya no forma parte de ella.