Come funziona il test dell'interesse legittimo nel GDPR ai sensi dell'articolo 6(1)(f)

Cosa significa legittimo interesse nel GDPR?

L'articolo 6(1)(f) è la base giuridica del legittimo interesse nel GDPR. Permette al titolare del trattamento di trattare dati personali senza chiedere il consenso, purché il trattamento sia necessario per un interesse perseguito dal titolare o da un terzo e i diritti della persona non prevalgano su quell'interesse. È una delle sei basi giuridiche dell'articolo 6(1) ed è l'unica che obbliga il titolare a pesare il proprio interesse contro quello della persona. Il testo completo, nella versione della Gazzetta ufficiale su EUR-Lex, recita:

(f) il trattamento è necessario per il perseguimento del legittimo interesse del titolare del trattamento o di terzi, a condizione che non prevalgano gli interessi o i diritti e le libertà fondamentali dell'interessato che richiedono la protezione dei dati personali, in particolare se l'interessato è un minore.

Subito sotto l'elenco delle basi giuridiche c'è una seconda frase: "La lettera f) del primo comma non si applica al trattamento di dati effettuato da autorità pubbliche nell'esecuzione dei loro compiti."

Leggi con attenzione la struttura della lettera f). L'interesse è il punto di partenza, "necessario" è una condizione, e l'eccezione, "a condizione che non prevalgano", è il punto in cui avviene la ponderazione. L'articolo non elenca mai quali interessi siano ammessi. Se stai ancora scegliendo tra le basi giuridiche, la panoramica sulle sei basi giuridiche del GDPR mette la lettera f) accanto a consenso, contratto e alle altre.

Cosa aggiunge il considerando 47 all'articolo 6(1)(f)?

Il considerando 47 aggiunge il concetto di aspettative ragionevoli e fa esempi di interessi che contano. I considerando non sono vincolanti di per sé, ma spiegano come si leggono gli articoli, e l'EDPB cita il considerando 47 quando applica l'articolo 6(1)(f). Il considerando 47 si apre così:

I legittimi interessi di un titolare del trattamento, compresi quelli di un titolare del trattamento a cui i dati personali possono essere comunicati, o di terzi, possono costituire una base giuridica del trattamento, a condizione che non prevalgano gli interessi o i diritti e le libertà fondamentali dell'interessato, tenuto conto delle ragionevoli aspettative nutrite dall'interessato in base alla sua relazione con il titolare del trattamento.

Indica poi il rapporto con un cliente o un dipendente come contesto in cui "un tale legittimo interesse potrebbe sussistere", e avverte che "gli interessi e i diritti fondamentali dell'interessato potrebbero in particolare prevalere sull'interesse del titolare del trattamento qualora i dati personali siano trattati in circostanze in cui gli interessati non possono ragionevolmente attendersi un ulteriore trattamento."

Il considerando si chiude con due esempi, formulati in modo diverso per una ragione precisa. La prevenzione delle frodi è affermata con decisione: "Costituisce parimenti legittimo interesse del titolare del trattamento interessato trattare dati personali strettamente necessari a fini di prevenzione delle frodi." Il marketing diretto no: "Può essere considerato legittimo interesse trattare dati personali per finalità di marketing diretto." "Può essere considerato" è un permesso di argomentare, non chiude la questione. Il considerando 49 aggiunge la sicurezza delle reti e dell'informazione, sempre entro i limiti di ciò che è "strettamente necessario e proporzionato".

Cos'è il test in tre fasi per il legittimo interesse?

Il test in tre fasi è il metodo dell'EDPB per verificare l'articolo 6(1)(f), e tutte e tre le fasi devono essere superate. Il Comitato europeo per la protezione dei dati lo ha definito nelle Linee guida 1/2024 sul trattamento dei dati personali fondato sull'articolo 6(1)(f) del GDPR, versione 1.0, adottate l'8 ottobre 2024 e aperte ai commenti pubblici dal 9 ottobre al 20 novembre 2024. La pagina dell'EDPB dedicata alle linee guida riporta ancora la versione 1.0, cioè il testo posto in consultazione. Con le parole del Comitato:

Perché un trattamento possa basarsi sull'articolo 6(1)(f) del GDPR, devono essere soddisfatte tre condizioni cumulative: Primo, il perseguimento di un legittimo interesse da parte del titolare del trattamento o di un terzo; Secondo, la necessità di trattare dati personali per le finalità del legittimo interesse o dei legittimi interessi perseguiti; e Terzo, gli interessi o i diritti e le libertà fondamentali degli interessati non prevalgono sul legittimo interesse o sui legittimi interessi del titolare del trattamento o di un terzo.

Fase	Domanda	Cosa richiede l'EDPB
1. Legittimo interesse	L'interesse è accettabile in assoluto?	"lecito", "formulato in modo chiaro e preciso" e "reale e attuale, non speculativo" (paragrafo 17)
2. Necessità	Per raggiungerlo servono davvero dati personali?	L'interesse "non può essere perseguito in modo altrettanto efficace con altri mezzi meno restrittivi" per i diritti della persona
3. Bilanciamento	Prevalgono i diritti della persona?	Valuta impatto, natura dei dati, contesto e "ragionevoli aspettative", oltre alle eventuali garanzie

La fase della necessità è un filtro rigido. Se esiste una strada meno invasiva che raggiunge lo stesso obiettivo, il riassunto delle linee guida EDPB dice senza giri di parole che "il trattamento non può essere fondato sull'articolo 6(1)(f) del GDPR." Conteggi aggregati al posto di registri per singola persona, o un indirizzo IP troncato al posto di quello completo, sono il genere di alternative su cui questa fase ti interroga.

L'EDPB respinge anche due abitudini opposte. Il paragrafo 9 afferma che l'articolo 6(1)(f) "non può essere considerato una base giuridica 'predefinita'" e non va visto come una "porta aperta" per legittimare trattamenti che non rientrano in nessun'altra base. Lo stesso paragrafo precisa che non è nemmeno un "ultimo ricorso". Quanto ai tempi, il paragrafo 12 stabilisce che la valutazione "dovrebbe essere effettuata all'inizio del trattamento, con il coinvolgimento del responsabile della protezione dei dati (RPD), se designato, e dovrebbe essere documentata dal titolare del trattamento in linea con il principio di responsabilizzazione sancito dall'articolo 5(2) del GDPR." Un test scritto dopo il lancio non rispetta questo requisito.

Tre passaggi in sequenza

Legittimo interesse individuato

Necessità confermata

Test di bilanciamento superato

Si applica l'articolo 6(1)(f)

Quali diritti conserva la persona con il legittimo interesse?

La persona conserva il diritto di opposizione, che nel trattamento basato sul consenso non ha equivalenti. L'articolo 21(1) del GDPR recita:

L'interessato ha il diritto di opporsi in qualsiasi momento, per motivi connessi alla sua situazione particolare, al trattamento dei dati personali che lo riguardano ai sensi dell'articolo 6, paragrafo 1, lettere e) o f), compresa la profilazione sulla base di tali disposizioni. Il titolare del trattamento si astiene dal trattare ulteriormente i dati personali salvo che egli dimostri l'esistenza di motivi legittimi cogenti per procedere al trattamento che prevalgono sugli interessi, sui diritti e sulle libertà dell'interessato oppure per l'accertamento, l'esercizio o la difesa di un diritto in sede giudiziaria.

Dopo un'opposizione la soglia è quella dei "motivi legittimi cogenti", più alta del normale test di bilanciamento. Per il marketing diretto, l'articolo 21(2) e 21(3) eliminano del tutto il bilanciamento: una volta che la persona si oppone, "i dati personali non sono più oggetto di trattamento per tali finalità." L'articolo 21(4) richiede che il diritto sia portato all'attenzione della persona "in modo chiaro e separatamente da qualsiasi altra informazione", e l'EDPB aggiunge che il titolare deve dire alle persone quali legittimi interessi persegue.

L'articolo 5(3) ePrivacy si applica separatamente dal GDPR?

Sì. L'articolo 5(3) della direttiva ePrivacy disciplina la memorizzazione o la lettura di informazioni sul dispositivo di un utente e si applica in aggiunta al GDPR, non al suo posto. Il testo consolidato della direttiva 2002/58/CE su EUR-Lex recita:

Gli Stati membri provvedono affinché l'archiviazione di informazioni oppure l'accesso a informazioni già archiviate nell'apparecchiatura terminale di un abbonato o di un utente sia consentito unicamente a condizione che l'abbonato o l'utente interessato abbia espresso il proprio consenso, dopo essere stato informato in modo chiaro e completo, a norma della direttiva 95/46/CE, tra l'altro sugli scopi del trattamento. Ciò non impedisce l'eventuale archiviazione tecnica o l'accesso al solo fine di effettuare la trasmissione di una comunicazione su una rete di comunicazione elettronica, o se necessario al fornitore di un servizio della società dell'informazione esplicitamente richiesto dall'abbonato o dall'utente a erogare tale servizio.

L'articolo 5(3) non prevede alcuna base giuridica di legittimo interesse. Il principio di partenza è il consenso, con due esenzioni: la trasmissione e ciò che è "strettamente necessario" per un servizio che l'utente ha "esplicitamente richiesto". Nella sentenza Planet49 (C-673/17, 1° ottobre 2019) la Corte di giustizia ha stabilito che questa tutela "si applica a qualsiasi informazione archiviata in tale apparecchiatura terminale, indipendentemente dal fatto che si tratti o meno di dati personali", un passaggio che l'EDPB cita nelle Linee guida 2/2023 sull'ambito tecnico dell'articolo 5(3). Le Linee guida 1/2024 precisano al paragrafo 11 di essere "fatta salva" la direttiva ePrivacy. Quindi un titolare che imposta un cookie non esente ha bisogno del consenso per quel cookie ai sensi dell'articolo 5(3), qualunque base dell'articolo 6 scelga per i dati che ne derivano.

Le analytics di un sito possono basarsi sul legittimo interesse?

Se le analytics di un sito possano basarsi sul legittimo interesse è una questione aperta, e la risposta dipende da quale dei due livelli hai in mente. Il livello del dispositivo è l'articolo 5(3). Il livello del trattamento è l'articolo 6. Uno strumento deve superarli entrambi.

Sul livello del dispositivo, l'EDPB interpreta l'articolo 5(3) in senso ampio. Le Linee guida 2/2023, versione 2.0 adottata il 7 ottobre 2024, affermano al paragrafo 51 che quando un pixel di tracciamento è costruito con una "logica applicativa lato client (di solito un codice JavaScript)", la raccolta degli identificatori "costituisce un 'accesso'". Le autorità nazionali sono andate più in là nella direzione opposta. La CNIL francese sostiene che "a determinate condizioni, i cookie utilizzati per la misurazione dell'audience sono esenti dal consenso", tra cui limitare la finalità alla misurazione dell'audience, troncare "l'ultimo byte dell'indirizzo IP" e fissare a 13 mesi la durata massima dei tracker. Il Regno Unito ha scritto nella legge un'esenzione con opt-out: l'allegato 12 del Data (Use and Access) Act 2025, in vigore dal 5 febbraio 2026, consente a un servizio di archiviare o leggere informazioni "per finalità statistiche sull'utilizzo del servizio allo scopo di migliorarlo" se agli utenti vengono date informazioni chiare e "un mezzo semplice per opporsi". Il Regno Unito è fuori dall'UE, e l'articolo 5(3) in sé non contiene un testo simile.

Sul livello del trattamento, l'EDPB è scettico quando c'è di mezzo il tracciamento. Parlando di marketing diretto, il paragrafo 115 delle Linee guida 1/2024 dice che, dove serve il consenso ai sensi dell'articolo 5(3), il consenso "costituirà probabilmente la base giuridica appropriata sia per l'archiviazione e l'accesso a informazioni già archiviate sul dispositivo dell'utente, sia per il successivo trattamento di dati personali", "precludendo quindi normalmente il ricorso all'articolo 6(1)(f) in questo contesto". Il paragrafo 120 afferma che il test di bilanciamento "difficilmente produrrebbe" un esito positivo per le "pratiche invasive di profilazione e tracciamento a fini di marketing, ad esempio quelle che comportano il tracciamento delle persone su più siti web, luoghi, dispositivi o servizi."

Configurazione	Livello del dispositivo (articolo 5(3))	Livello del trattamento (articolo 6)
Tracciamento cross-site e profilazione pubblicitaria	Consenso	EDPB: il bilanciamento "difficilmente produrrebbe" un esito positivo
Cookie di audience di prima parte, condizioni CNIL rispettate	CNIL: esente; testo dell'articolo 5(3): nessuna esenzione per le analytics	Legittimo interesse sostenibile, test comunque necessario
Nessuna archiviazione né accesso sul dispositivo, trattamento di dati personali	Non si attiva	Legittimo interesse possibile con un test documentato
Nessun dato personale trattato	Dipende dall'accesso al dispositivo	Il GDPR non si applica

Un punto vale per tutte le posizioni: meno identificatori gestisce uno strumento, più semplice diventa ogni passaggio del test, e la domanda se le analytics richiedano il consenso dipende prima di tutto da ciò che lo script fa sul dispositivo. Un banner dei cookie risponde alla questione dell'articolo 5(3). Non risponde a quella dell'articolo 6. Se un IP troncato o un identificatore sottoposto a hash contino ancora come dato personale è un tema a parte, trattato nell'articolo su cosa si intende per PII.

Domande frequenti

Il legittimo interesse è più facile del consenso?

No, secondo l'interpretazione dell'EDPB. Le Linee guida 1/2024 dicono che l'Articolo 6(1)(f) non va scelto "sulla base della percezione che l'Articolo 6(1)(f) GDPR sia meno vincolante delle altre basi giuridiche." Il consenso richiede un opt-in valido. Il legittimo interesse richiede una valutazione documentata in tre parti, fatta prima del trattamento, e il rispetto del diritto di opposizione.

La valutazione del legittimo interesse deve essere messa per iscritto?

L'EDPB dice che va documentata e richiama il principio di responsabilizzazione dell'Articolo 5(2) GDPR. L'Articolo 5(2) stabilisce che il titolare del trattamento "è competente per il rispetto" dei principi e "in grado di comprovarlo", e un test di bilanciamento non scritto è difficile da dimostrare.

Un'autorità pubblica può usare il legittimo interesse?

Non per i suoi compiti istituzionali. L'Articolo 6(1) afferma che la lettera (f) "non si applica al trattamento di dati effettuato da autorità pubbliche nell'esecuzione dei loro compiti." Queste autorità si basano sull'Articolo 6(1)(e), il trattamento nel pubblico interesse, che richiede un fondamento nel diritto dell'Unione o degli Stati membri.

Il marketing diretto è sempre un legittimo interesse?

No. Il Considerando 47 dice che il marketing diretto "può essere considerato svolto per un legittimo interesse", il che lascia in piedi il test in tre parti. Il marketing via email e SMS rientra anche nell'Articolo 13 della direttiva ePrivacy, che l'EDPB interpreta come un obbligo di consenso preventivo, fuori dall'eccezione per i clienti esistenti.

Il legittimo interesse può sostituire il consenso per i cookie?

No. L'Articolo 5(3) della direttiva ePrivacy fissa una regola di consenso propria per l'archiviazione o la lettura di informazioni su un dispositivo, con le sole esenzioni per la trasmissione e per i casi strettamente necessari. Una base giuridica GDPR ai sensi dell'Articolo 6 copre il trattamento successivo dei dati personali e non sostituisce il consenso richiesto dall'Articolo 5(3).

Le linee guida dell'EDPB sul legittimo interesse sono definitive?

Il testo pubblicato è la versione 1.0, adottata l'8 ottobre 2024 e sottoposta a consultazione pubblica fino al 20 novembre 2024. La pagina dell'EDPB dedicata alle Linee guida 1/2024 elenca ancora la versione 1.0. Controlla quella pagina prima di citare le linee guida in una valutazione formale, perché una versione rivista prenderebbe il suo posto.

Quali esempi di legittimo interesse fa il GDPR?

Il Considerando 47 indica il rapporto con un cliente o un dipendente come contesto in cui può esistere un legittimo interesse, e il Considerando 49 aggiunge la sicurezza delle reti e dell'informazione, limitata a quanto è strettamente necessario e proporzionato. La prevenzione delle frodi ha la formulazione più netta. Il Considerando 47 afferma che "costituisce parimenti un legittimo interesse" e basta. Il marketing diretto ha una formulazione più debole, cioè che "può essere considerato" un legittimo interesse, e lascia al test in tre parti il compito di decidere caso per caso.

Posso oppormi a un trattamento basato sul legittimo interesse?

L'Articolo 21(1) dà alla persona il diritto di opporsi in qualsiasi momento al trattamento basato sull'Articolo 6(1)(f), e il titolare deve smettere a meno che dimostri "motivi legittimi cogenti" che prevalgono sui diritti della persona, una soglia più alta del normale test di bilanciamento. Per il marketing diretto in particolare, gli Articoli 21(2) e 21(3) eliminano del tutto quel bilanciamento. Una volta che la persona si oppone, i dati non possono più essere trattati per quella finalità. L'Articolo 21(4) impone al titolare di segnalare questo diritto in modo chiaro e separato dalle altre informazioni.

Il legittimo interesse si può usare quando nessun'altra base giuridica è adatta?

Il paragrafo 9 delle Linee guida 1/2024 dell'EDPB lo esclude in modo diretto. L'Articolo 6(1)(f) "non può essere considerato una base giuridica 'di default'" e non è una "porta aperta" per i trattamenti che non rientrano in nessun'altra base. Lo stesso paragrafo respinge anche l'abitudine opposta, quella di trattarlo come "ultima risorsa." Ogni uso richiede comunque un proprio test in tre parti, documentato.

I cookie di misurazione dell'audience sono esenti dal consenso?

L'Articolo 5(3) in sé non contiene alcuna esenzione per l'analytics, ma la CNIL francese ne ammette una a determinate condizioni. La finalità resta limitata alla misurazione dell'audience, l'ultimo byte dell'indirizzo IP viene troncato e la durata del tracker è limitata a 13 mesi. Il Regno Unito ha scelto un'altra strada, inserendo un'esenzione con opt-out nell'Allegato 12 del Data (Use and Access) Act 2025, che permette a un servizio di archiviare o consultare informazioni statistiche sull'uso se le persone ricevono informazioni chiare e un modo semplice per opporsi. Quell'esenzione britannica sta fuori dal diritto dell'UE, perché il Regno Unito non ne fa più parte.