¿Es el interés legítimo el menos legítimo de los intereses?

Tribuna de Rubén Lahiguera, abogado de ECIJA, para Legal Industry Review.

A punto de finalizar el 2022, a nadie se le escapa que el concepto de “interés legítimo” ha sido uno de los más redundantes en el universo de la protección de datos. Esta base legitimadora se configura como una habilitación que permite a las compañías realizar un tratamiento de datos personales cuando otras bases legitimadoras no resultan aplicables.

Si bien no podemos categorizar este concepto como novedoso, sobre todo considerando el ya lejano 2018, existe todavía cierta incertidumbre sobre su aplicabilidad, sus implicaciones y, sobre todo, sobre su apreciación por parte de las autoridades de control.

Recientemente, conocimos la interposición de una sanción de 30.000 € a un establecimiento hotelero por utilizar, con base en su interés legítimo en la prevención del fraude, una copia escaneada de un pasaporte para verificar, mediante la comprobación de la fotografía, que el titular de la tarjeta que realiza los pagos se corresponde con el titular de la tarjeta magnética que le permite, entre otras cosas, acceder a su habitación. El argumento esgrimido por la autoridad de control recaía en el carácter necesario de este tratamiento para comprobar la identidad del huésped, existiendo otros medios menos intrusivos para su privacidad.

Recurrir al interés legítimo supone realizar una ponderación previa entre los intereses que persigue la compañía y los derechos y libertades de los usuarios y es en este punto donde la cuestión se complica, pues este análisis debe considerar, entre otras, el beneficio o impacto de este tratamiento, sus expectativas y, adicionalmente, los mecanismos que se utilizarán para tratar de equilibrar la balanza en este “choque” de intereses en juego entre compañía y usuario como, por ejemplo, reforzar la transparencia frente a los usuarios a través de las políticas de privacidad.

Otra práctica cuestionada hace algunos meses fue la realizada por el gigante Amazon a la hora de requerir, según su interés legítimo en mantener la integridad de los trabajadores relacionados con su compañía, un certificado de ausencia de antecedentes penales relativos a sus transportistas. Estas (y otras) acciones fueron sancionadas por la AEPD con 2.000.000 de euros.

Finalmente, la publicidad personalizada y las técnicas de perfilados tampoco han escapado al ansiado y controvertido interés legítimo. En este sentido, la red social, Tik Tok, modificó este pasado verano su política de privacidad para recurrir a esta base de licitud en sus técnicas de marketing, prescindiendo, como venía haciendo hasta ahora, del consentimiento de los usuarios. Este cambio provocó el pronunciamiento de algunas autoridades europeas y, específicamente, de la autoridad italiana, la cual inició una investigación para analizar este supuesto.

En definitiva, recurrir al interés legítimo para realizar determinados tratamientos de datos personales supone una evaluación exhaustiva previa a fin de evitar dolores de cabeza y, lo que es más importante, grandes desembolsos económicos si no convencemos a la autoridad correspondiente. Recuerden aquello de que, en ocasiones, lo barato sale caro.