El interés legítimo —Art. 6(1)(f) del RGPD— es la base jurídica más útil y peor entendida del reglamento. Los profesionales del marketing recurren a él porque no exige un banner de consentimiento; las autoridades de control lo examinan con atención porque no puede convertirse en una autorización general. Este artículo explica qué dice realmente el artículo, el test de tres pasos que las autoridades esperan que aplique, un ejemplo práctico para la identificación de visitantes a nivel de empresa y dónde están los límites.
Qué dice realmente el Art. 6(1)(f)
El artículo permite tratar datos personales cuando sea «necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado». Dos palabras soportan la mayor parte del peso: «necesario» y «prevalezcan». El tercer pilar no está escrito, pero se da por supuesto: su interés legítimo debe ser, en sí mismo, lícito. Si falla cualquiera de los tres, la base jurídica no es válida.
La autoridad de control no decide por usted. Usted realiza el análisis, lo documenta y, si se cuestiona el tratamiento, presenta dicho análisis. No hay que presentar solicitudes, registrarse ni obtener aprobación, pero tampoco hay defensa posible si la ponderación no se ha llevado a cabo realmente.
El test de ponderación de tres pasos
Las autoridades europeas de protección de datos coinciden en el mismo marco de tres pasos, denominado en ocasiones LIA (evaluación de intereses legítimos). Es necesario superar todos los pasos.
- Test de finalidad: ¿el interés es lícito, específico y real? Una afirmación genérica como «queremos vender más» no cumple los requisitos. «Identificar las empresas que visitan nuestro sitio web B2B para contactar con el responsable de la toma de decisiones adecuado y ofrecerle información relevante» sí los cumple.
- Test de necesidad: ¿es el tratamiento la forma menos intrusiva de alcanzar la finalidad? Si funcionase un método menos invasivo —analítica agregada, un boletín con suscripción voluntaria o un formulario—, debería darse preferencia a ese método. Que sea necesario significa que no puede conseguirlo razonablemente de otra forma.
- Test de ponderación: ¿prevalecen sobre sus intereses los intereses, derechos y libertades del interesado? Tenga en cuenta sus expectativas razonables, la naturaleza y sensibilidad de los datos, el contexto en el que se recogieron y las salvaguardas que aplique.
Ejemplo práctico: identificación de visitantes a nivel de empresa
Supongamos que una empresa de SaaS B2B que opera en la UE quiere identificar las organizaciones que hay detrás de las visitas a su sitio web: identificación a nivel de empresa, sin cookies ni identificadores personales. Así sería, paso a paso, una LIA defendible.
Paso 1: finalidad
La finalidad es identificar empresas que estén investigando activamente un servicio B2B para enviarles información relevante y específica —un correo electrónico personalizado, un caso de éxito o una invitación a una llamada de quince minutos—. La finalidad es lícita, específica y real. No es una recogida de datos «por si acaso».
Paso 2: necesidad
¿Podría alcanzarse la finalidad de una forma menos invasiva? La analítica agregada responde a «¿cuántas?», pero no a «¿cuáles?», por lo que no puede cumplir la finalidad. Un boletín genérico llega a suscriptores que se han dado de alta por iniciativa propia, pero no a las empresas que están investigando activamente en ese momento. Un formulario solo recoge los datos de la pequeña proporción de visitantes que deciden facilitarlos voluntariamente. La identificación a nivel de empresa, que resuelve la IP y la vincula a una organización sin utilizar ningún identificador personal, es un medio proporcionado y necesario para la finalidad indicada.
Paso 3: ponderación
Expectativas razonables: los visitantes profesionales que consultan el sitio web de un servicio B2B durante su jornada laboral esperan, por lo general, que el operador del sitio sepa que lo ha visitado una empresa —no necesariamente una persona concreta—. Naturaleza de los datos: la entidad identificada es una persona jurídica —una organización—, no una persona física. Sensibilidad: no intervienen categorías especiales de datos. Contexto: los datos se recogieron en el propio sitio web del responsable del tratamiento durante el desarrollo habitual de la actividad empresarial. Salvaguardas: sin cookies, fingerprinting, seguimiento entre sitios ni perfiles del visitante individual; un mecanismo de exclusión accesible para la empresa identificada; un aviso de privacidad público que explique exactamente qué sucede.
Tras esa ponderación, el interés del responsable del tratamiento en contactar con un responsable de la toma de decisiones para ofrecerle información relevante no queda invalidado, en un caso B2B ordinario, por los intereses, derechos y libertades del interesado. Un tratamiento diferente —por ejemplo, el seguimiento individual o la reutilización de los datos para venderlos a terceros— inclinaría la balanza en sentido contrario: el análisis se refiere específicamente a lo que usted hace en realidad.
Cómo es realmente la documentación
Una LIA defendible es un documento breve y fechado —normalmente de entre dos y cuatro páginas— aprobado y firmado por una persona identificada. A continuación se muestra la estructura que acepta la mayoría de las autoridades europeas de protección de datos.
| Sección | Contenido | Extensión |
|---|---|---|
| Encabezado | Nombre y dirección del responsable del tratamiento, datos de contacto del DPO si lo hubiera y fecha de entrada en vigor | 1 línea cada uno |
| Finalidad | Interés específico, lícito y real: un párrafo | ~100 palabras |
| Necesidad | Alternativas consideradas y motivos por los que no cumplen la finalidad | ~150 palabras |
| Ponderación | Expectativas razonables, naturaleza, sensibilidad, contexto y salvaguardas | ~300 palabras |
| Salvaguardas | Medidas concretas: mecanismo de exclusión, conservación, ausencia de identificadores personales y DPA con los encargados del tratamiento | ~150 palabras |
| Revisión | Aprobado por (nombre y cargo); fecha de la próxima revisión (anual) | 2 líneas |
Qué cambia según el país
El Art. 6(1)(f) es uniforme en toda la UE, pero la dimensión de la privacidad electrónica —en Alemania, el § 25 de la TDDDG— regula si puede almacenar o leer información en el equipo terminal: cookies, almacenamiento local o fingerprinting. La identificación a nivel de empresa sin ningún tipo de almacenamiento en el lado del cliente queda fuera del requisito de consentimiento del § 25; introducir cualquier identificador en el lado del cliente obliga a obtener el consentimiento, con independencia de la base jurídica utilizada conforme al Art. 6.
Cuándo el consentimiento —y no el interés legítimo— es la base correcta
El interés legítimo no sustituye al consentimiento en todos los casos. La base correcta pasa a ser el consentimiento —Art. 6(1)(a)— en al menos tres situaciones B2B habituales.
- Siempre que se almacene o lea información en el dispositivo del visitante más allá de lo estrictamente necesario —una cookie de seguimiento, un identificador en localStorage o una huella digital—, la normativa de privacidad electrónica o el § 25 de la TDDDG exige el consentimiento, con independencia de la base jurídica utilizada conforme al Art. 6.
- El tratamiento de datos personales de personas físicas para publicidad comportamental, elaboración de perfiles entre sitios o reventa a terceros. Estas actividades quedan muy lejos de un interés proporcionado de contacto B2B.
- Los datos de categorías especiales —Art. 9—, como datos de salud, opiniones políticas o datos biométricos, nunca están cubiertos por el interés legítimo ordinario; además de una base del Art. 6, se requiere una base específica del Art. 9.
Lista de comprobación operativa
- Dispone de una LIA escrita y fechada que cubre el tratamiento específico.
- Su aviso de privacidad explica claramente que identifica empresas —no personas— y por qué lo hace.
- Dispone de un mecanismo de exclusión accesible y lo respeta: las empresas se eliminan dentro de un plazo definido y no vuelven a identificarse.
- Ha firmado un DPA con cualquier encargado del tratamiento que tenga acceso a los datos.
- Revisa la LIA anualmente o cuando el tratamiento cambia de manera sustancial.
Este artículo tiene fines educativos y no constituye asesoramiento jurídico. Para obtener una evaluación vinculante de su propio tratamiento, consulte a un profesional jurídico cualificado en su jurisdicción.
Published by
lead.box Team
More articles
Vea lead.box sobre su propio tráfico
Empiece gratis, sin tarjeta ni llamada comercial obligatoria. O reserve una demo guiada de 20 minutos si prefiere un recorrido acompañado.