Aristotelis Zervos
Aristotelis Zervos, direttore editoriale di 2B Advice, unisce competenze giuridiche e giornalistiche in Protezione dei dati, IT-Conformità e la regolamentazione dell'IA.
In pratica, il legittimo interesse è spesso la base giuridica „universale“ e allo stesso tempo una delle più soggette a errori. Chiunque utilizzi l'art. 6 comma 1 lett. f GDPR deve chiaramente giustificare in anticipo l'esistenza di un interesse legittimo per il quale il progetto di Elaborazione è necessario a tal fine e perché, alla fine, non esistono diritti prevalenti degli interessati in senso contrario. L'articolo vi guida sistematicamente attraverso il test in tre fasi per la determinazione dell'interesse legittimo, basato sul catalogo di domande del Commissario di Amburgo per la protezione dei dati e la libertà di informazione, e si avvale di esempi pratici (tra cui il marketing diretto e il trattamento dei dati personali). Videosorveglianza), come si possa strutturare, documentare e applicare nella Conformità-venga attuata nella pratica in modo da non dare adito a contestazioni.
L’interesse legittimo come arma universale del GDPR
Art. 6 comma 1 lett. f GDPR fornisce alle aziende e alle autorità una base giuridica flessibile per Elaborazione dati personali, a condizione che interessi legittimi del titolare del trattamento o di un terzo e non sussistano interessi prevalenti o diritti fondamentali degli interessati che lo ostacolino. Tale clausola di bilanciamento richiede tuttavia un’attenta valutazione caso per caso.
Già il Corte costituzionale federale (BVerfG) betonte im Volkszählungsurteil 1983, dass Eingriffe in das Recht auf Autodeterminazione informativa sono ammissibili solo nel prevalente interesse pubblico sulla base di una legge proporzionata. Di conseguenza, il legislatore europeo ha introdotto il test in tre fasi di cui all'art. 6 comma 1 lett. f GDPR che ha lo scopo di garantire che ogni Elaborazione in conformità con la legge e proporzionati all'interesse legittimo.
In pratica, è necessario Persone responsabili verificare preventivamente sulla base della documentazione,
- se esiste un interesse legittimo,
- se il Elaborazione è necessario per questo, e
- se non sia invece vero che prevalgano gli interessi o i diritti fondamentali delle persone interessate.
Il 6 gennaio 2026, il Garante per la protezione dei dati e la libertà di informazione di Amburgo (HmbBfDI) ha pubblicato un questionario che elenca i criteri per ciascuna fase e consente una valutazione strutturata degli interessi in gioco. Di seguito vengono illustrate sistematicamente le tre fasi di valutazione e illustrate con esempi pratici.
Esistenza di un interesse legittimo
Come primo passo, occorre verificare quale sia l'interesse del Persone responsabili o un terzo con il trattamento dei dati previsto. Art. 6 comma 1 lett. f GDPR cita espressamente sia gli interessi propri del responsabile del trattamento sia gli interessi di terzi (persone fisiche o giuridiche, autorità, ecc., cfr. art. 4 n. 10) GDPR). Il fattore decisivo è che si tratti di un interesse „legittimo“. Questo termine deve essere inteso in senso ampio: Può essere di natura giuridica, economica, non materiale o fattuale. In linea di principio, si può prendere in considerazione un'ampia gamma di interessi, come quelli economici (ad esempio, aumento dell'efficienza, riduzione dei costi), di sicurezza (protezione da frodi, furti o attacchi informatici) o sociali/interni (mantenimento della sicurezza della rete, garanzia di qualità, assistenza ai clienti). Tuttavia, devono essere soddisfatti alcuni criteri di qualificazione affinché un interesse sia riconosciuto come „legittimo“:
- Legittimità e conformità alla legge: L’interesse perseguito deve essere legittimo. Gli interessi che violano il diritto vigente dell’UE o di uno Stato membro non sono di per sé legittimi. Ad esempio, un „interesse“ all’utilizzo discriminatorio dei dati o, in generale, Conservazione dei dati in assenza di uno scopo, non è ammissibile.
- Chiarezza e precisione: L'interesse e lo scopo specifico del Elaborazione deve essere formulato in modo concreto e preciso. Nella terza fase, solo un interesse chiaramente definito può essere contrapposto in modo significativo alla Diritti degli interessati valutare attentamente. Indicazioni vaghe o generiche („qualsiasi scopo commerciale“) non sono sufficienti.
- Attualità e attinenza alla realtà: L’interesse deve essere reale e attuale, non meramente speculativo o ipotetico. Un beneficio solo potenziale, che si colloca in un futuro lontano, non giustifica il trattamento dei dati nel presente. Esempio: la conservazione „di riserva“ dei dati dei clienti per idee commerciali future ancora indefinite non costituirebbe un interesse legittimo.
Se tali presupposti sono soddisfatti, si può presumere l’esistenza di un interesse giustificato (cioè legittimo e meritevole di tutela). Esempi tipici si trovano nei considerando: il considerando 47, ad esempio, cita espressamente la pubblicità diretta come un possibile caso di interesse legittimo. Un’impresa può quindi, in linea di principio, presumere che l’interesse per il marketing diretto (in particolare nei confronti dei clienti esistenti) possa essere legittimo.
6 Domande sul legittimo interesse
Qual è l’interesse alla attività di trattamento?
Si tratta del beneficio generale che ci si aspetta dall'attività di trattamento, come la „commercializzazione dei prodotti“. I considerando da 47 a 49 della GDPR contengono esempi di interessi legittimi.
Qual è la finalità specifica del trattamento previsto?
Si tratta dello scopo, ovvero del motivo specifico del trattamento dei dati previsto. Esempio: pubblicità diretta rivolta ai propri clienti tramite corrispondenza postale (ad es. catalogo pubblicitario).
Chi segue l'interesse?
Art. 6 comma 1 lett. f GDPR include i dati propri e di terzi (terzo) Interessi. Per „terzo“ si intende una persona fisica o giuridica, un'autorità pubblica, un'agenzia o un organismo diverso dall'interessato, dal responsabile del trattamento, dall'incaricato del trattamento e dalle persone che, sotto l'autorità diretta del responsabile del trattamento o dell'incaricato del trattamento, sono autorizzate a trattare dati personali, Art. 4 n. 10 GDPR.
L'interesse è legittimo e non viola la normativa vigente?
Non sono ammessi interessi che violino il diritto vigente dell'UE o di uno Stato membro.
L'interesse è formulato in modo chiaro e preciso?
La portata dell’interesse legittimo perseguito deve essere definita in modo chiaro, affinché sia possibile effettuare una ponderazione con gli interessi e i diritti fondamentali dell’interessato nella terza fase.
L'interesse è reale e attuale?
Gli interessi speculativi o ipotetici sfuggono a una valutazione obiettiva e non possono quindi giustificare il trattamento dei dati. Esempio: un Conservazione dei dati per idee imprenditoriali future e non ancora concretizzate.
Necessità del trattamento
Se esiste un interesse legittimo, il secondo passo è quello di Necessità e l'adeguatezza del progetto Elaborazione essere esaminati per il perseguimento di questo interesse. Art. 6 comma 1 lett. f GDPR richiede che il Elaborazione „è “necessario ai fini degli interessi legittimi". Ciò riflette il principio generale di proporzionalità: la misura deve essere adeguata e necessaria per raggiungere l'obiettivo legittimo. E non deve interferire in modo sproporzionato con i diritti degli interessati.
Le domande chiave in questa fase sono: Questi dati specifici sono necessari per lo scopo? E se sì, non esistono mezzi più blandi per realizzare il legittimo interesse in modo altrettanto efficace? La formulazione della GDPR e il principio di Minimizzazione dei dati (Art. 5, comma 1, lettera c)). GDPR) stabiliscono la direzione da seguire: Possono essere trattati solo i dati appropriati, pertinenti e assolutamente necessari. Se esiste un metodo altrettanto efficace ma meno invasivo per l'interessato, questo deve essere scelto. Esempi di mezzi più blandi possono essere Anonimizzazione o Pseudonimizzazione dei dati, l’utilizzo di dati di prova sintetici al posto di dati personali reali o l’analisi limitata di campioni anziché un’indagine completa.
Un altro elemento del Necessità è la limitazione dell'ambito del ElaborazioneLa misura prevista deve essere il più possibile ridotta e mirata. In termini concreti, ciò significa: portata dei dati, gruppo di persone e durata della misura. Elaborazione deve essere ridotto al minimo indispensabile. Occorre inoltre prestare particolare attenzione al periodo di stoccaggio: Dati personali possono essere conservati solo per il tempo necessario al fine perseguito. Un Piano di estinzione con scadenze definite è essenziale. Una volta cessato lo scopo, sussiste l'obbligo di cancellazione (art. 17 cpv. 1 lett. a). GDPR; Considerando 39). Esempio: Con Videosorveglianza di un’area aziendale potrebbe essere la Necessità essere limitate dal fatto che le registrazioni vengono sovrascritte automaticamente dopo un breve periodo di tempo (ad esempio 48 ore), a meno che non sia stato rilevato un evento rilevante ai fini della sicurezza.
Il test di necessità obbliga la persona responsabile a Elaborazione esaminati criticamente.
7 Domande sulla necessità del trattamento
Il trattamento è assolutamente necessario per raggiungere l'interesse o sono possibili anche mezzi più blandi?
Non devono esistere misure più blande o meno invasive. È necessario valutare le alternative. Esempio: Anonimizzazione, Pseudonimizzazione, dati sintetici invece di dati reali.
I dati da trattare vengono limitati alla misura necessaria?
Il principio di Minimizzazione dei dati deve essere osservato, art. 5, comma 1, lett. c. GDPR. Possono essere trattati solo i dati appropriati, pertinenti e necessari per lo scopo specifico. In particolare, il Elaborazione di dati sensibili (art. 9 GDPR) è consentita solo in casi eccezionali, limitati e regolamentati dalla legge (art. 9 par. 2). GDPR) consentito.
Il numero delle persone interessate è limitato al minimo necessario per il raggiungimento dello scopo?
Esempio: limitazione del numero di record, indagini campionarie anziché indagini complete, Anonimizzazione.
L'elaborazione dei dati è una tantum o continua?
Con il continuo Elaborazione deve essere il Necessità essere permanente. Una volta stabilito un interesse legittimo, questo non giustifica automaticamente un trattamento continuo. Elaborazione di dati.
Tutte le fasi di lavorazione sono necessarie ai fini previsti oppure è possibile omettere alcune di esse?
Le fasi di lavorazione devono essere esaminate e valutate singolarmente.
Esiste una politica di cancellazione? È stato definito il periodo di conservazione?
Dati personali possono essere conservati solo per il tempo necessario allo scopo prefissato (Racc. 39 e art. 17 par. 1 lett. a)). 39 e art. 17, par. 1, lett. a) GDPR). Una volta che lo scopo ha cessato di esistere, vi è generalmente un obbligo di cancellazione. D'altro canto, esistono periodi di conservazione previsti dalla legge, ad esempio dal Codice commerciale tedesco (HGB), dal Codice fiscale tedesco (AO), dalla legge tedesca sull'imposta sul reddito (EStG), dalla legge sulla sicurezza sociale o dal Codice industriale tedesco (Gewerbeordnung). Il periodo di conservazione deve essere documentato per ogni categoria di dati e devono essere previsti processi di cancellazione automatica.
Esiste una panoramica dei flussi di dati esistenti e previsti?
Il flusso di dati deve essere Terza parte essere comprensibile e trasparente. Un diagramma del flusso di dati viene utilizzato per la visualizzazione personale e per la rendicontazione e l'illustrazione alla direzione, ai clienti, alle persone interessate, alle autorità di vigilanza, ecc.
Valutazione degli interessi: prevalgono gli interessi delle persone interessate?
Solo quando è stato individuato un interesse legittimo e la misura è stata qualificata come necessaria per questo scopo, si raggiunge la valutazione decisiva ai sensi dell'art. 6 par. 1 lett. f, comma 2. GDPRGli interessi, i diritti e le libertà fondamentali dell'interessato prevalgono sugli interessi del responsabile del trattamento? Questo terzo La seconda fase di revisione garantisce che, anche in caso di obiettivi legittimi e di trattamento dei dati necessario, gli interessi delle persone interessate meritevoli di protezione non vengano compromessi in modo sproporzionato. Ciò comporta una valutazione completa di tutte le circostanze del singolo caso. Il considerando 47, frase 1, sottolinea che si deve tenere conto delle ragionevoli aspettative dell'interessato in base al suo rapporto con il responsabile del trattamento. Di conseguenza, il Elaborazione solo se la bilancia non pende a favore delle parti interessate. In caso contrario, il Elaborazione illegale.
La giurisprudenza (in particolare la Corte di giustizia dell’Unione europea e i tribunali nazionali) e le autorità di vigilanza hanno elaborato numerosi criteri che confluiscono nella ponderazione degli interessi. Sulla base di tali criteri viene effettuata una valutazione complessiva. Nessun criterio isolato è determinante di per sé; occorre piuttosto effettuare una valutazione globale degli interessi in gioco. Gli interessi legittimi del titolare del trattamento vengono contrapposti alle limitazioni subite dagli interessati. In definitiva, tale valutazione è simile a un esame di proporzionalità in senso stretto (ponderazione tra la gravità dell’intervento e l’importanza della finalità). Il considerando 47 precisa che le autorità non dovrebbero fare ricorso all’articolo 6, paragrafo 1, lettera f), quando si tratta dell’adempimento dei loro compiti pubblici. In caso contrario, vale quanto segue: quanto più rilevante è l’interesse e quanto minore è l’entità dell’intervento, tanto più è probabile che prevalga l’interesse del titolare del trattamento.
Suggerimento di lettura: Valutazione intelligente dell’impatto sulla protezione dei dati in Ailance
Diritti, libertà e interessi fondamentali degli interessati
Quali diritti fondamentali delle persone interessate sono coinvolti?
Diritto di Privacy, protezione dei dati, non discriminazione, libertà e sicurezza, libertà di espressione e di informazione, libertà di pensiero, di coscienza e di religione, libertà di riunione e di associazione, divieto di discriminazione, diritto di proprietà o diritto all’integrità fisica e psichica, ecc.
Vengono lesi i diritti fondamentali delle persone interessate?
Tra questi figurano la libera circolazione delle merci, la libera circolazione dei lavoratori, la libertà di stabilimento, la libera prestazione dei servizi, la libera circolazione dei capitali e dei pagamenti ai sensi del TFUE.
Oltre ai diritti e alle libertà fondamentali, vengono presi in considerazione anche gli „interessi“ delle persone interessate?
Questo include tutti gli interessi che sono messi a repentaglio dalla Elaborazione potrebbe essere compromesso.
- Interessi finanziari: ad esempio, protezione dagli effetti sugli investimenti, sulle opportunità di guadagno, sulla previdenza pensionistica, sulle valutazioni di solvibilità e sulla copertura assicurativa.
- Interessi sociali: ad esempio, tutela della sfera sociale, danni alla reputazione, discriminazione, contatti indesiderati
- Interessi personali: ad esempio, la tutela della sfera intima e Privacy trattando i dati in relazione alla vita sessuale o all'orientamento sessuale di una persona
Tipo di dati personali
Che tipo di dati devono essere elaborati?
In quale veste sono coinvolte queste persone? Esempio: a titolo personale o professionale.
Si tratta di categorie particolari di dati personali (art. 9 GDPR)?
Tra questi dati sensibili figurano in particolare:
- Origine etnica e razza
- opinioni politiche
- convinzioni religiose o ideologiche
- Appartenenza sindacale
- Dati genetici e biometrici (ad es. impronte digitali)
- Dati sulla salute
- Dati sulla vita sessuale o sull'orientamento sessuale di una persona
In caso di trattamento di questi dati, gli interessi potenziali delle persone interessate hanno generalmente un peso elevato nel processo di ponderazione. Inoltre, i requisiti di cui all'art. 9 par. 2 GDPR essere soddisfatti. Anche se un'eccezione ai sensi dell'art. 9, par. 2, del Codice Civile non è stata rispettata. GDPR la ponderazione degli interessi di cui all'art. 6 par. 1 lett. f GDPR Tuttavia, il risultato è favorevole agli interessi della persona interessata (cfr. CGUE del 21 dicembre 2023 (causa C-667/21)).
Si tratta di dati provenienti da bambini?
L'interesse superiore del bambino deve essere una considerazione primaria in tutte le misure che lo riguardano. A questo proposito, devono essere presi in considerazione tutti i diritti, non solo quelli relativi alla protezione dei dati, cfr. la Raccomandazione n. 38 sulla protezione dei dati. 38 sulla GDPR.
Si tratta di dati relativi a condanne penali e reati ai sensi dell’art. 10 del GDPR?
Anche questi dati (compreso il certificato di buona condotta) sono particolarmente degni di tutela. A Elaborazione deve avvenire solo sotto controllo ufficiale o se è consentito dal diritto dell'Unione o nazionale.
Si tratta di dati privati?
Alcuni dati sono considerati particolarmente sensibili o privati dagli interessati, anche se ciò non è specificamente menzionato nell'art. 9 del GDPR. GDPR o Art. 10 GDPR sono elencati. Esempio: dati finanziari, di localizzazione o familiari.
Aspettative ragionevoli degli interessati (considerando 47, primo comma, del GDPR)
Dove e quando vengono raccolti i dati?
Un'indicazione a favore della persona interessata sussiste se i dati vengono utilizzati per uno scopo completamente nuovo, irriconoscibile o che va oltre lo scopo originario e la persona interessata non poteva ragionevolmente aspettarsi il trattamento dei dati al momento della raccolta (si veda anche l'art. 6, par. 4). GDPR).
Come vengono raccolti i dati?
Quali tecnologie e metodi vengono utilizzati? Queste pratiche sono generalmente conosciute e trasparenti per le persone interessate? Esempi: Sondaggi online, Concorsi, Web scraping.
In che modo viene garantita la trasparenza del trattamento dei dati nei confronti degli interessati?
Il Obbligo di informazione ai sensi degli artt. 13 e 14 GDPR devono essere osservati. Queste informazioni devono essere fornite direttamente al momento della raccolta dei dati. In caso contrario, la liceità del Elaborazione già a causa della mancanza di Trasparenza.
Esiste una relazione con le persone interessate?
Se esiste già una relazione tra l'interessato e il responsabile del trattamento, ciò aumenta la prevedibilità del trattamento dei dati, considerando 47, paragrafo 2, della direttiva. GDPR. Esempio: il colpiti La persona è già cliente.
Quanto è estesa la raccolta dei dati e quante persone sono coinvolte?
Maggiore è la portata del trattamento dei dati, maggiore è il rischio che i diritti degli interessati vengano lesi.
Quali sono i possibili effetti negativi del trattamento sui soggetti interessati?
Se un Valutazione d'impatto sulla protezione dei dati o è stata effettuata un'analisi dei valori soglia?
Esistono effetti positivi del trattamento sui soggetti interessati?
Se il Elaborazione nell'interesse oggettivo e presunto dell'interessato. Esempi: Risparmio di tempo, vantaggi finanziari.
Le persone interessate perdono il controllo sull'utilizzo dei propri dati personali?
Esistono misure di protezione per ridurre al minimo le ripercussioni? Le persone interessate possono, se necessario, adottare autonomamente delle misure di protezione?
Chi elabora i dati? Quante persone hanno accesso?
Quali sono le qualifiche delle persone o delle aziende che trattano i dati? I dati sono trattati in modo confidenziale? Esistono restrizioni all'accesso ai sensi dell'art. 32, comma 4? GDPR?
Esempi di bilanciamento degli interessi
Pubblicità diretta ai clienti esistenti:
Un'azienda vorrebbe utilizzare i dati dei clienti per Pubblicità per prodotti simili. Interesse: marketing efficace (interesse economico legittimo, considerando 47). Dati: Nome e indirizzo. I dati normali sono già stati raccolti nell'ambito del rapporto con il cliente. NecessitàLa spedizione non è possibile senza questi dati; mezzi più blandi potrebbero essere. Consenso, Tuttavia, la legge riconosce che l'azienda ha un interesse legittimo a fare pubblicità diretta ai clienti esistenti. Considerazioni: A causa del rapporto commerciale, i clienti hanno una certa aspettativa di ricevere occasionalmente Pubblicità e l'intervento è limitato a una pubblicità letteraria moderata. Inoltre, viene offerta chiaramente un'opzione di opt-out. Risultato: di norma, in questo caso prevalgono gli interessi dell'azienda. Elaborazione è ammissibile.
Videosorveglianza di un negozio:
Il gestore di un negozio installa telecamere di sorveglianza nel punto vendita per prevenire i furti. Finalità: tutela della proprietà, sicurezza dei dipendenti e dei clienti (interesse legittimo). Dati: Registrazioni video di tutti i presenti nel negozio (potenzialmente molti Parti interessate, dati comportamentali in parte sensibili; eventualmente anche dipendenti = particolari esigenze di protezione secondo la giurisprudenza del BVerfG nei rapporti di lavoro). Necessità: Potrebbero essere sufficienti alternative come un aumento del personale o etichette di sicurezza? In caso contrario, è Videosorveglianza in linea di principio idonea come ultima risorsa. Valutazione: in questo caso occorre verificare con attenzione: la misura lede il diritto a Privacy dei clienti. Mitigazione attraverso Trasparenza (cartelli informativi), angoli di ripresa limitati (nessuna sorveglianza di aree private come i servizi igienici) e brevi periodi di conservazione sono importanti. Se il negozio si trova in una zona ad alto tasso di furti e la sorveglianza avviene durante l'orario di apertura, l'interesse dell'esercente (protezione da danni significativi) potrebbe quasi superare l'interesse del cliente a non essere osservato mentre fa acquisti.. A condizione che non sia possibile una soluzione meno invasiva. Se tuttavia venissero effettuate riprese continue senza preavviso o venissero sorvegliate anche aree che Privacy godere (ad es. spogliarsi), i Diritti degli interessati predominano chiaramente e la Elaborazione sarebbe inammissibile. Anche le aspettative dei dipendenti sono rilevanti ai sensi del diritto del lavoro: La sorveglianza occulta sarebbe sproporzionata, mentre le telecamere aperte possono essere ammesse con il consenso del comitato aziendale se non vi è una pressione permanente di stress/monitoraggio. I tribunali (compresa la Corte costituzionale federale) richiedono una rigorosa proporzionalità e il rispetto dei diritti dei dipendenti.
Interesse legittimo come base giuridica
Da questi esempi emerge chiaramente che la ponderazione degli interessi richiede una valutazione individuale. Piccoli cambiamenti nei fatti (diversa quantità di dati, contesto diverso) possono modificare il risultato. Pertanto, la ponderazione deve avvenire in modo concreto e documentato per ogni singola attività di trattamento. Se i diritti degli interessati vengono compromessi in modo significativo, si raggiunge il limite di ciò che è ammissibile. A quel punto prevalgono i Diritti degli interessati e l'art. 6 par. 1 lett. f GDPR non fornisce una base di legittimazione.
Al contrario, se il test in tre fasi è stato eseguito e documentato con cura, l'art. 6 cpv. 1 lett. f GDPR fornire una base giuridica affidabile in molte situazioni.
Fonte: Questionario per la valutazione degli interessi ai sensi del GDPR dell’HmbBfDI
Implementare l'elaborazione in modo intelligente con Ailance
Desiderate effettuare la verifica in tre fasi ai sensi dell'art. 6 cpv. 1 lett. f GDPR non solo in modo corretto, ma anche verificabile e scalabile. Incluso un sistema pulito Documentazione, revisione del flusso di lavoro e rivalutazione periodica? Ailance vi supporta nell'ottimizzazione dei processi per Trasparenza, Contraddizione (Art. 21 GDPR) e Cancellazione (Art. 17 GDPR) in modo efficiente.
Organizzate una demo di Ailance e scoprire come potete interessi legittimi documentare in modo conforme alle norme di revisione e garantire la protezione dei datiConformità rafforzare in modo sostenibile.
Aristotelis Zervos è direttore editoriale di 2B Advice, avvocato e giornalista esperto di protezione dei dati, GDPR, IT-Conformità e la governance dell'IA. Pubblica regolarmente articoli approfonditi sulla regolamentazione dell'IA, GDPR-Conformità e la gestione dei rischi. Per saperne di più su di lui, visitate il suo Pagina del profilo dell'autore.
German 
English 
Italian 
French