Il Comitato europeo per la protezione dei dati adotta la versione definitiva delle Linee guida 1/2024: indicazioni operative su valutazione degli interessi, marketing, sicurezza informatica e diritti degli interessati.
Legittimo interesse GDPR: il 10 novembre 2026 l’European Data Protection Board (EDPB) ha adottato la versione definitiva delle Linee guida 1/2024 sul trattamento dei dati personali fondato sull’articolo 6, paragrafo 1, lettera f), del GDPR. Il documento chiarisce le condizioni che consentono ai titolari del trattamento di utilizzare questa base giuridica, con importanti implicazioni per imprese, professionisti e organizzazioni che gestiscono dati personali.
In sintesi
Le nuove Linee guida EDPB, adottate nella versione 2.0 al termine della consultazione pubblica avviata nel 2024, precisano i criteri per utilizzare correttamente il legittimo interesse come base giuridica del trattamento. L’Autorità europea ribadisce la necessità di effettuare una valutazione preventiva articolata in tre passaggi: individuazione dell’interesse perseguito, verifica della necessità del trattamento e bilanciamento con i diritti degli interessati. Particolare attenzione è dedicata al marketing diretto, alla sicurezza informatica, alla prevenzione delle frodi e alla condivisione dei dati nei gruppi societari.
Approfondimento formativo Paradigma
La corretta individuazione delle basi giuridiche del trattamento assume particolare rilevanza anche nell’utilizzo dei sistemi di Intelligenza Artificiale, dove la protezione dei dati personali richiede valutazioni sempre più articolate.
Per approfondire le implicazioni del GDPR nello sviluppo e nell’impiego delle tecnologie AI, Paradigma organizza il 20 novembre un convegno su “I profili data protection dell’Intelligenza Artificiale”, dedicato alle principali questioni giuridiche e operative in materia di protezione dei dati.
Legittimo interesse GDPR: cosa prevedono le Linee guida definitive EDPB
L’articolo 6, paragrafo 1, lettera f), del Regolamento (UE) 2016/679 consente il trattamento dei dati personali quando questo è necessario per il perseguimento del legittimo interesse del titolare o di un terzo, a condizione che non prevalgano gli interessi o i diritti e le libertà fondamentali dell’interessato.
Questa base giuridica riveste un ruolo particolarmente importante nell’attività delle imprese, poiché può trovare applicazione in numerosi contesti organizzativi e commerciali.
La sua utilizzazione, tuttavia, richiede una valutazione puntuale delle circostanze del trattamento.
Con le Linee guida 1/2024, versione 2.0, adottate definitivamente il 10 novembre 2026, l’EDPB fornisce indicazioni interpretative e operative per garantire un’applicazione coerente della disciplina europea.
Il documento tiene conto della giurisprudenza della Corte di Giustizia dell’Unione europea e approfondisce il rapporto tra interesse del titolare, necessità del trattamento e tutela dei diritti delle persone.
Le Linee guida non introducono una nuova base giuridica né modificano direttamente il GDPR, ma chiariscono come applicare correttamente le disposizioni già vigenti.
1. Il legittimo interesse non è una base giuridica utilizzabile automaticamente
Il primo chiarimento riguarda la possibilità di ricorrere al legittimo interesse.
L’EDPB sottolinea che questa base giuridica non deve essere considerata né una soluzione residuale, utilizzabile soltanto quando non risultano applicabili le altre condizioni dell’articolo 6, né una scelta automaticamente preferibile perché ritenuta meno vincolante rispetto al consenso.
L’assenza di consenso, infatti, non rende di per sé legittimo un trattamento.
Per invocare l’articolo 6, paragrafo 1, lettera f), il titolare deve dimostrare l’esistenza di un interesse lecito, chiaramente individuato, reale e attuale.
Non è sufficiente richiamare genericamente esigenze commerciali, organizzative o economiche.
Occorre invece specificare quale interesse viene perseguito e perché il trattamento dei dati personali sia funzionale al suo raggiungimento.
Questa impostazione assume particolare rilevanza per le imprese che utilizzano informazioni personali nelle attività di marketing, gestione della clientela, sicurezza aziendale e organizzazione interna.
2. Il test di bilanciamento: tre condizioni cumulative
Il secondo chiarimento riguarda la metodologia che il titolare deve seguire prima di avviare un trattamento fondato sul legittimo interesse.
L’EDPB ribadisce la necessità di verificare tre condizioni cumulative, attraverso la cosiddetta Legitimate Interest Assessment (LIA).
Individuazione dell’interesse legittimo
Il titolare deve identificare l’interesse perseguito, chiarendone la natura, la finalità e il fondamento.
L’interesse può appartenere al titolare oppure a un terzo, ma deve essere effettivo e sufficientemente determinato.
Verifica della necessità del trattamento
Occorre dimostrare che il trattamento sia necessario per perseguire l’interesse individuato.
La valutazione richiede di verificare se la stessa finalità possa essere raggiunta attraverso modalità altrettanto efficaci ma meno invasive per gli interessati.
Assume quindi particolare importanza il principio di minimizzazione dei dati, che impone di limitare le informazioni trattate a quelle adeguate, pertinenti e necessarie.
Bilanciamento degli interessi
Il terzo passaggio consiste nel confrontare l’interesse del titolare con gli interessi, i diritti e le libertà fondamentali delle persone coinvolte.
La valutazione deve considerare la natura dei dati, il contesto del trattamento, le conseguenze per gli interessati e le loro ragionevoli aspettative.
Il trattamento può essere fondato sull’articolo 6, paragrafo 1, lettera f), soltanto quando l’interesse perseguito non risulti superato dai diritti e dagli interessi delle persone.
L’EDPB sottolinea che la valutazione deve essere effettuata prima del trattamento e adeguatamente documentata, in coerenza con il principio di accountability.
A supporto delle organizzazioni, il Comitato ha pubblicato anche un diagramma di flusso che illustra i passaggi della procedura LIA e le verifiche da effettuare.
3. Marketing diretto e CRM: il legittimo interesse non sostituisce il consenso quando richiesto
Uno degli aspetti più importanti delle Linee guida riguarda l’utilizzo dei dati personali per finalità di marketing diretto.
L’EDPB chiarisce che il marketing può, in determinate circostanze, costituire un interesse legittimo del titolare, ma questo non significa che qualsiasi trattamento effettuato per finalità promozionali possa essere automaticamente fondato sull’articolo 6, paragrafo 1, lettera f).
Occorre infatti considerare anche le disposizioni della Direttiva ePrivacy e le relative norme nazionali di recepimento.
Per l’invio di comunicazioni commerciali tramite email, SMS e altri strumenti elettronici, la disciplina prevede generalmente il consenso preventivo, fatte salve le eccezioni espressamente previste dalla legge.
In Italia assume particolare rilievo l’articolo 130 del Codice Privacy, anche con riferimento alle condizioni per l’utilizzo dei recapiti di clienti già acquisiti per la promozione di prodotti o servizi analoghi.
Le Linee guida chiariscono inoltre l’importanza delle ragionevoli aspettative dell’interessato, che devono essere considerate nella valutazione del legittimo interesse quando questa base giuridica sia effettivamente utilizzabile.
Un ulteriore elemento riguarda il diritto di opposizione.
Quando i dati personali sono trattati per finalità di marketing diretto, l’interessato può opporsi in qualsiasi momento, senza dover fornire motivazioni.
In questi casi il titolare deve interrompere il trattamento per tali finalità, senza poter invocare motivi legittimi prevalenti per proseguirlo.
Per le imprese che utilizzano CRM, piattaforme di marketing automation, newsletter e database commerciali, le indicazioni dell’EDPB rappresentano un importante riferimento per verificare le basi giuridiche adottate e le procedure di gestione delle richieste degli interessati.
4. Prevenzione delle frodi, cybersecurity e gruppi societari
Le Linee guida approfondiscono alcune situazioni nelle quali il legittimo interesse può assumere particolare rilevanza operativa.
Prevenzione delle frodi
Il trattamento dei dati personali necessario a prevenire fenomeni fraudolenti può, in determinate circostanze, essere fondato sul legittimo interesse.
Occorre tuttavia verificare la proporzionalità delle informazioni raccolte, le modalità del trattamento e gli effetti sui diritti delle persone.
Sicurezza delle reti e dei sistemi informativi
L’EDPB riconosce che la protezione delle infrastrutture informatiche può costituire un interesse legittimo.
Le attività di monitoraggio della sicurezza devono però rispettare i principi del GDPR, soprattutto quando comportano l’analisi di comunicazioni, dati di traffico o altre informazioni personali.
La finalità di cybersecurity non giustifica automaticamente trattamenti estesi o particolarmente invasivi.
Condivisione dei dati nei gruppi societari
Le Linee guida richiamano inoltre il considerando 48 del GDPR, che riconosce la possibilità di individuare un interesse legittimo nella trasmissione di dati personali all’interno di un gruppo di imprese per finalità amministrative interne.
La condivisione di informazioni tra società appartenenti al medesimo gruppo, anche attraverso sistemi CRM centralizzati, richiede comunque una valutazione delle condizioni concrete del trattamento.
L’appartenenza allo stesso gruppo societario non costituisce quindi un’autorizzazione generale alla libera circolazione dei dati personali.
5. Diritti degli interessati, trasparenza e accountability
Il quinto chiarimento riguarda il rapporto tra legittimo interesse e diritti riconosciuti dal GDPR.
L’EDPB ribadisce che il titolare deve garantire un’informativa trasparente, indicando le finalità del trattamento, la base giuridica utilizzata e gli interessi legittimi perseguiti.
Un ruolo particolarmente importante è attribuito al diritto di opposizione previsto dall’articolo 21 del GDPR.
Quando il trattamento si fonda sul legittimo interesse, l’interessato può opporsi per motivi connessi alla propria situazione particolare.
In questi casi il titolare può proseguire il trattamento soltanto se dimostra l’esistenza di motivi legittimi cogenti prevalenti oppure la necessità del trattamento per l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria.
Resta distinta la disciplina dell’opposizione al marketing diretto, che non richiede una nuova valutazione degli interessi contrapposti.
Le Linee guida esaminano inoltre il rapporto con il diritto di accesso, cancellazione, rettifica, limitazione del trattamento e con le disposizioni sulle decisioni automatizzate.
L’EDPB richiama l’importanza di procedure aziendali che consentano di gestire effettivamente queste richieste, evitando che la scelta della base giuridica si traduca in una limitazione delle garanzie riconosciute alle persone.
Le implicazioni per DPO, Legal, Compliance e funzioni aziendali
La versione definitiva delle Linee guida EDPB offre alle imprese l’occasione per verificare la corretta impostazione dei trattamenti fondati sul legittimo interesse.
In particolare, le organizzazioni possono valutare l’opportunità di:
- Riesaminare le basi giuridiche utilizzate per le principali attività di trattamento.
- Verificare l’adeguatezza e la documentazione delle valutazioni LIA.
- Aggiornare, ove necessario, informative privacy e registri delle attività di trattamento.
- Controllare le procedure di gestione delle opposizioni e delle richieste di cancellazione.
- Valutare i trattamenti realizzati attraverso CRM, strumenti di sicurezza informatica e sistemi condivisi tra società del gruppo.
Per i Data Protection Officer, le funzioni Legal e Compliance e i responsabili dei processi aziendali, l’elemento centrale è la capacità di dimostrare la correttezza delle valutazioni effettuate.
La documentazione della procedura LIA non deve essere considerata un semplice adempimento formale, ma uno strumento di analisi e governo dei rischi connessi al trattamento dei dati personali.
Il legittimo interesse come scelta di governance e responsabilità
L’adozione definitiva delle Linee guida EDPB 1/2024 conferma il ruolo centrale del principio di accountability nel sistema europeo di protezione dei dati.
Il titolare del trattamento deve essere in grado non soltanto di individuare una base giuridica, ma anche di dimostrare perché questa sia appropriata rispetto alle finalità perseguite e alle caratteristiche del trattamento.
L’applicazione del legittimo interesse richiede quindi competenze giuridiche, capacità di valutazione dei rischi e un efficace coordinamento tra le funzioni aziendali.
In questa prospettiva, la formazione specialistica rappresenta uno strumento essenziale per accompagnare imprese e professionisti nella corretta interpretazione delle indicazioni europee e nella loro applicazione operativa.
La conformità al GDPR non si esaurisce nella scelta della base giuridica: richiede la capacità di motivarla, documentarla e verificarne nel tempo l’adeguatezza.
Fonti ufficiali
- EDPB – Guidelines 1/2024 sul legittimo interesse, versione definitiva 2.0 del 10 novembre 2026
- EDPB – Allegato operativo: Legitimate Interest Assessment (LIA) Flowchart
- EDPB – Pagina ufficiale delle Linee guida 1/2024
- EUR-Lex – Regolamento (UE) 2016/679 (GDPR)
- Normattiva – D.Lgs. 196/2003, Codice Privacy
Newsletter Paradigma
Vuoi ricevere i prossimi aggiornamenti relativi all’area Data protection?
Novità normative, nuove iniziative e approfondimenti, nella tua casella di posta elettronica. Puoi disiscriverti in qualsiasi momento.
