quando si può usare davvero

Una delle convinzioni più diffuse in materia di protezione dei dati personali è che il GDPR imponga di chiedere sempre il consenso dell’interessato. È un’idea talmente radicata da essere diventata quasi un riflesso automatico: se si trattano dati personali, bisogna raccogliere un consenso.
In realtà il consenso rappresenta soltanto una delle sei basi giuridiche previste dall’articolo 6 del Regolamento e, in molti casi, non è neppure quella più appropriata.
Per comprendere il motivo occorre partire da una domanda preliminare: che cos’è, esattamente, una base giuridica? In materia, abbiamo pubblicato la seconda edizione del Manuale operativo del D.P.O. – Aggiornato a Regolamento AI Act, Legge AI e Direttiva NIS2, disponibile su Shop Maggioli e su Amazon.

1. Che cos’è, esattamente, una base giuridica?

La base giuridica costituisce il presupposto che rende lecito il trattamento dei dati personali. In altri termini, rappresenta la ragione giuridica che autorizza il titolare a trattare quei dati. In assenza di una valida base giuridica, il trattamento è illecito, indipendentemente dal fatto che siano state adottate adeguate misure di sicurezza, che sia stata resa un’informativa completa o che il trattamento persegua finalità pienamente condivisibili.
L’articolo 6 del GDPR individua sei diverse basi giuridiche.
Il trattamento può essere fondato sul consenso dell’interessato, sull’esecuzione di un contratto o di misure precontrattuali richieste dall’interessato, sull’adempimento di un obbligo legale, sulla salvaguardia degli interessi vitali della persona interessata o di un’altra persona fisica, sull’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri oppure, infine, sul legittimo interesse perseguito dal titolare del trattamento o da un terzo.
Nessuna di queste basi giuridiche è gerarchicamente superiore alle altre. Il GDPR non invita il titolare a scegliere quella più prudente o quella apparentemente più garantista. Gli impone, semplicemente, di individuare quella corretta in relazione allo specifico trattamento che intende effettuare.
È proprio su questo punto che nasce uno degli equivoci più frequenti.
Il consenso è la base giuridica più conosciuta perché è anche quella più visibile. Richiede una manifestazione di volontà dell’interessato, comporta la raccolta di una prova documentale ed è facilmente percepibile anche da chi non possiede competenze giuridiche. Il legittimo interesse, al contrario, opera prevalentemente “dietro le quinte”. Non richiede una dichiarazione dell’interessato, ma impone al titolare un ragionamento giuridico molto più articolato.
Ed è probabilmente per questa ragione che viene, allo stesso tempo, sopravvalutato e sottovalutato. Da un lato viene considerato una sorta di clausola generale capace di giustificare qualsiasi trattamento; dall’altro viene evitato per il timore che sia troppo rischioso o difficilmente difendibile in caso di controllo.
Entrambe le interpretazioni sono errate. In materia, abbiamo pubblicato la seconda edizione del Manuale operativo del D.P.O. – Aggiornato a Regolamento AI Act, Legge AI e Direttiva NIS2, disponibile su Shop Maggioli e su Amazon.

2. Che cos’è davvero il legittimo interesse

L’articolo 6, paragrafo 1, lettera f), del GDPR consente il trattamento quando esso è necessario per il perseguimento del legittimo interesse del titolare o di un terzo, a condizione che non prevalgano gli interessi o i diritti e le libertà fondamentali dell’interessato.
La disposizione, letta isolatamente, potrebbe apparire estremamente ampia. In realtà la sua applicazione presuppone un percorso argomentativo rigoroso.
Anzitutto occorre individuare un interesse concreto, reale e giuridicamente meritevole di tutela. Non qualsiasi interesse può essere qualificato come legittimo, né è sufficiente richiamarlo in modo generico all’interno dell’informativa.
In secondo luogo, il trattamento deve essere necessario per perseguire quello specifico interesse. Se la medesima finalità può essere raggiunta attraverso modalità meno invasive o facendo ricorso a una diversa base giuridica, il ricorso al legittimo interesse potrebbe non risultare giustificato.
Infine, è necessario verificare che i diritti e le libertà fondamentali dell’interessato non prevalgano sull’interesse perseguito dal titolare. È il cosiddetto bilanciamento degli interessi, che costituisce il vero cuore della disciplina.
Il legittimo interesse non nasce quindi da una scelta discrezionale del titolare, ma dall’esito di un’operazione interpretativa nella quale interessi contrapposti vengono valutati e ponderati alla luce delle circostanze concrete.

3. Il legittimo interesse non è una scorciatoia

Proprio perché richiede un’attività di bilanciamento, il legittimo interesse non può essere considerato una soluzione residuale né, tantomeno, una scorciatoia per evitare il consenso.
Nella pratica, invece, si osservano spesso due atteggiamenti opposti.
Alcune organizzazioni ricorrono sistematicamente al consenso anche quando il trattamento potrebbe trovare una base giuridica diversa e più corretta. Altre, al contrario, richiamano il legittimo interesse senza svolgere alcuna reale valutazione, limitandosi a citarlo nell’informativa come se la sua semplice menzione fosse sufficiente a rendere lecito il trattamento.
Nessuno dei due approcci appare coerente con il GDPR.
Il Regolamento non richiede di scegliere la base giuridica più semplice da gestire, ma quella effettivamente pertinente rispetto allo specifico trattamento. Utilizzare il consenso quando non è necessario può risultare tanto scorretto quanto ometterlo quando invece costituisce l’unico fondamento possibile. Se, infatti, il consenso viene richiesto senza che rappresenti la reale base giuridica del trattamento, il sistema rischia di perdere coerenza: da un lato si attribuisce all’interessato un potere di revoca che potrebbe non incidere sulla liceità del trattamento, dall’altro si crea un’apparenza di tutela che non corrisponde alla disciplina effettivamente applicabile.
È proprio questa esigenza di coerenza tra finalità, trattamento e base giuridica a rappresentare uno dei principi fondamentali del GDPR.

4. Quando il legittimo interesse rappresenta la base giuridica più appropriata

Esistono numerose ipotesi nelle quali il ricorso al legittimo interesse non costituisce un’alternativa al consenso, ma la soluzione giuridicamente più corretta.
Si pensi alle attività di prevenzione delle frodi, alla sicurezza delle reti e dei sistemi informatici, alla tutela del patrimonio aziendale, alla difesa di un diritto in sede giudiziaria o alla videosorveglianza installata per esigenze di sicurezza, purché nel rispetto dei principi di proporzionalità e minimizzazione.
Anche nell’ambito delle comunicazioni commerciali rivolte ai clienti già acquisiti possono ricorrere, in presenza dei presupposti previsti dalla normativa di settore, ipotesi nelle quali il trattamento trova il proprio fondamento in un interesse legittimo del titolare piuttosto che nel consenso.
L’elemento comune a tutte queste situazioni non è la tipologia di dato trattato, bensì la presenza di un interesse concreto che, dopo essere stato attentamente valutato, risulta prevalente rispetto all’impatto prodotto sui diritti dell’interessato.

5. Il ruolo della Legitimate Interest Assessment (LIA)

Proprio perché il legittimo interesse non costituisce una scelta automatica, negli ultimi anni si è progressivamente affermata la prassi di formalizzare il percorso valutativo attraverso una Legitimate Interest Assessment (LIA).
Il GDPR non impone espressamente la redazione di questo documento. Nessuna disposizione del Regolamento richiede al titolare di predisporre una LIA né ne definisce contenuto e struttura. Ciò non significa, tuttavia, che essa rappresenti un semplice esercizio teorico o una buona pratica priva di rilevanza giuridica.
La LIA costituisce, infatti, uno degli strumenti più efficaci per dare concreta attuazione al principio di accountability.
Attraverso questa valutazione il titolare dimostra di avere affrontato il problema nel corretto ordine logico. Non si limita ad affermare che il proprio interesse sia legittimo, ma spiega quale interesse intenda perseguire, per quale ragione il trattamento risulti necessario al suo conseguimento, quali effetti possa produrre nei confronti degli interessati e perché, all’esito di un’attenta ponderazione, ritenga che il proprio interesse non venga superato dai diritti e dalle libertà fondamentali delle persone coinvolte.
La LIA, quindi, non serve a “creare” il legittimo interesse. Il legittimo interesse esiste o non esiste indipendentemente dal documento. La sua funzione è diversa: rendere trasparente il ragionamento che ha condotto il titolare a individuare quella specifica base giuridica e consentire, anche a distanza di tempo, di dimostrare che tale scelta non è stata arbitraria.
Da questo punto di vista la LIA presenta molte analogie con altri strumenti introdotti dal GDPR, come la valutazione d’impatto sulla protezione dei dati (DPIA). In entrambi i casi il legislatore europeo non si limita a prescrivere un risultato, ma pretende che il titolare sviluppi un processo decisionale consapevole, documentato e verificabile.
È proprio questa impostazione a distinguere il GDPR da una disciplina fondata su meri adempimenti formali. Il Regolamento non chiede soltanto di scegliere una base giuridica; chiede di essere in grado di spiegare, motivare e dimostrare perché quella scelta sia corretta.

6. Conclusioni

Il consenso è probabilmente la base giuridica più conosciuta del GDPR perché è quella che richiede un comportamento visibile da parte dell’interessato. Il legittimo interesse è, invece, quella che richiede il maggiore sforzo interpretativo da parte del titolare del trattamento.
Proprio per questo motivo non può essere utilizzato come una formula generica da inserire nell’informativa, né può essere escluso per il solo timore che la sua applicazione risulti più complessa. Entrambi gli approcci finiscono per semplificare eccessivamente una disciplina che, al contrario, è costruita sul principio della responsabilizzazione del titolare.
È significativo osservare come il GDPR non abbia fornito un elenco tassativo dei casi nei quali il legittimo interesse può essere invocato. Il legislatore europeo ha preferito una soluzione diversa, certamente più impegnativa ma anche più coerente con la complessità della realtà: affidare al titolare il compito di valutare, caso per caso, se il trattamento sia realmente necessario e se il proprio interesse possa legittimamente prevalere sui diritti dell’interessato.
In questa prospettiva il legittimo interesse diventa una delle espressioni più evidenti dell’accountability. Il titolare non è chiamato a limitarsi all’applicazione meccanica di una regola predeterminata, ma a esercitare un’autonoma capacità di valutazione giuridica, assumendosi la responsabilità delle proprie decisioni e preparandosi a dimostrarne la correttezza qualora venga chiamato a farlo.
È probabilmente questa la vera chiave di lettura dell’articolo 6 del GDPR. La scelta della base giuridica non rappresenta un adempimento burocratico né una casella da selezionare all’interno di un registro dei trattamenti. Costituisce il primo giudizio di liceità che il titolare è chiamato a formulare prima ancora di iniziare il trattamento dei dati personali.
Ed è proprio da questo giudizio che emerge una delle idee più innovative del Regolamento europeo. La compliance non coincide con la raccolta di documenti o con la compilazione di modelli standardizzati. La compliance nasce dalla capacità di assumere decisioni giuridicamente fondate, di motivarle con rigore e di dimostrarne la ragionevolezza. Il legittimo interesse, più di ogni altra base giuridica, rende evidente questa trasformazione: il GDPR non pretende titolari che conoscano semplicemente le regole, ma organizzazioni capaci di applicarle consapevolmente, esercitando un’autentica responsabilità interpretativa.

Ti interessano questi contenuti?

Salva questa pagina nella tua Area riservata di Diritto.it e riceverai le notifiche per tutte le pubblicazioni in materia. Inoltre, con le nostre Newsletter riceverai settimanalmente tutte le novità normative e giurisprudenziali!
Iscriviti!