Indice dei contenuti
- Che cos’è la LIA GDPR?
- Che cos’è il legittimo interesse ai sensi del GDPR?
- Quando deve essere redatta una LIA?
- Le Linee guida EDPB 1/2024 sul legittimo interesse
- Che cosa deve contenere una LIA?
- Le fasi del test LIA: come effettuare la valutazione
- Esempi di trattamenti che richiedono una LIA
Che cos’è la Lia (Legitimate Interest Assessment)?
“LIA” è l’acronimo di “Legitimate Interest Assessment”, ossia la Valutazione dell’Interesse Legittimo del titolare del trattamento.
La LIA costituisce lo strumento attraverso il quale il titolare documenta e dimostra che il ricorso al legittimo interesse quale base giuridica del trattamento è conforme all’art. 6, par. 1, lett. f), del GDPR. La predisposizione della LIA documenta le valutazioni effettuate dal titolare del trattamento e rappresenta una misura che attesta la conformità del trattamento, nell’ottica dell’imprescindibile principio di accountability (responsabilizzazione).
Che cos’è l’interesse legittimo ai sensi del GDPR?
Il Regolamento UE 2016/679 (GDPR) individua tra le basi giuridiche il “legittimo interesse” per il trattamento dei dati personali:
L’art 6 par. 1 lettera f) stabilisce: il trattamento è necessario per il perseguimento del legittimo interesse del titolare del trattamento o di terzi, a condizione che non prevalgano gli interessi o i diritti e le libertà fondamentali dell’interessato che richiedono la protezione dei dati personali, in particolare se l’interessato è un minore.
Ciò significa che il titolare può fondare un trattamento sul legittimo interesse quando persegue un interesse reale, concreto e lecito, il trattamento è necessario per il suo perseguimento e, a seguito di un’attenta valutazione, tale interesse risulta prevalente rispetto ai diritti e alle libertà fondamentali degli interessati.
Se la valutazione evidenzia che il trattamento non può essere considerato un interesse legittimo perché ostacola i diritti e le libertà delle persone a cui appartengono i dati personali, sarà necessario individuare un’altra idonea base giuridica oppure rinunciare al trattamento.
Quando deve essere redatta?
La LIA deve essere predisposta ogniqualvolta il titolare intenda fondare un trattamento di dati personali sul legittimo interesse, ai sensi dell’art. 6, par. 1, lett. f), del GDPR.
La scelta di tale base giuridica presuppone infatti l’effettuazione di una valutazione di bilanciamento tra gli interessi perseguiti dal titolare e i diritti e le libertà fondamentali degli interessati.
Il GDPR attribuisce direttamente al titolare la responsabilità di effettuare tale valutazione e di poter dimostrare che il proprio interesse prevale, nel caso concreto, sugli interessi o sui diritti degli interessati.
Il Considerando 47, stabilisce: I legittimi interessi di un titolare del trattamento, compresi quelli di un titolare del trattamento a cui i dati personali possono essere comunicati, o di terzi possono costituire una base giuridica del trattamento, a condizione che non prevalgano gli interessi o i diritti e le libertà fondamentali dell’interessato, tenuto conto delle ragionevoli aspettative nutrite dall’interessato in base alla sua relazione con il titolare del trattamento.
Quando il titolare sceglie di basare un trattamento sul legittimo interesse, non può limitarsi a dichiararlo. Deve verificare che il proprio interesse sia reale e giustificato, che il trattamento sia effettivamente necessario e che non prevalgano i diritti e le libertà delle persone i cui dati vengono trattati.
Linee guida 01/2024 dell’EDPB
Le Linee Guida 01/2024, pubblicate 8 ottobre 2024 dall’European Data Protection Board (EDPB) sulla base giuridica del “legittimo interesse”, sottolineano che la sola individuazione di un interesse legittimo non è sufficiente per invocare l’articolo 6, paragrafo 1, lettera f), del GDPR.
A tal fine, le Linee guida individuano un percorso di verifica articolato in tre passaggi fondamentali:
- Individuare il legittimo interesse, verificando che sia reale, lecito e sufficientemente definito.
- Verificare la necessità del trattamento, accertando che il trattamento dei dati sia effettivamente necessario per perseguire tale interesse.
- Effettuare il test di bilanciamento, valutando se il legittimo interesse prevalga sui diritti e sulle libertà fondamentali degli interessati.
Cosa deve contenere
Il GDPR non prevede un modello standard di LIA né stabilisce un contenuto obbligatorio. Tuttavia, affinché la valutazione sia completa e possa dimostrare il rispetto del principio di accountability, è opportuno che il documento contenga almeno i seguenti elementi:
- una descrizione del trattamento e delle sue finalità;
- l’individuazione dell’interesse legittimo perseguito dal titolare o da un terzo;
- la verifica che il trattamento sia necessario per raggiungere tale interesse;
- una valutazione dell’impatto sui diritti e sulle libertà degli interessati;
- le misure tecniche e organizzative adottate per ridurre i rischi e tutelare i dati personali;
- le conclusioni del bilanciamento, con l’indicazione delle motivazioni che giustificano il ricorso al legittimo interesse.
Fasi del test LIA
L’Information Commissioner’s Office (ICO) del Regno Unito propone un modello di LIA molto pratico che consente di rispondere in modo documentato ad alcune domande fondamentali, ad esempio:
- Qual è il legittimo interesse perseguito?
- Perché il trattamento è necessario per raggiungere tale interesse?
- Quali effetti può avere il trattamento sulle persone interessate?
- Quali misure sono state adottate per ridurre i rischi e proteggere i diritti degli interessati?
- Il bilanciamento finale giustifica il ricorso al legittimo interesse come base giuridica?
In via generale, la LIA è suddivisa in tre fasi principali:
- Il Purpose Test valuta se state perseguendo interessi legittimi nel trattamento dei dati. Tale analisi è volta ad individuare, in modo sufficientemente preciso e dettagliato, il legittimo interesse che si vuole perseguire.
- Il test di necessità Necessity Test dimostra che il trattamento dei dati è necessario per raggiungere lo scopo dichiarato.
- Il test di bilanciamento Balancing Test dimostra che tale interesse legittimo non viola i diritti o gli interessi degli interessati.
Attraverso un’analisi ragionata e documentata, il titolare dimostra che il trattamento è conforme ai requisiti previsti dal GDPR.
Esempi di trattamenti che richiedono LIA
le Linee guida 01/2024 descrivono anche diversi contesti in cui questa base giuridica potrebbe essere invocata, oppure trattamenti che presentano specifiche caratteristiche che vanno necessariamente considerate quando si fa affidamento all’interesse legittimo. Alcuni esempi ricorrenti sono:
- sistemi di videosorveglianza installati per tutelare persone e beni, quando la base giuridica individuata è il legittimo interesse;
- prevenzione delle frodi e tutela del patrimonio aziendale;
- sicurezza delle reti e dei sistemi informatici, compreso il monitoraggio finalizzato alla protezione da accessi non autorizzati o attacchi informatici;
- gestione del contenzioso e difesa di un diritto in sede giudiziaria o stragiudiziale;
- controllo degli accessi a edifici, aree riservate o infrastrutture aziendali;
- marketing diretto nei confronti dei clienti già acquisiti, nei casi consentiti dalla normativa vigente (ad esempio il cosiddetto soft spam, nel rispetto dell’art. 130, comma 4, del Codice Privacy).
In sintesi
La Legitimate Interest Assessment (LIA) è uno strumento fondamentale per tutti i titolari che intendono basare un trattamento sul legittimo interesse. Non si tratta di un semplice adempimento documentale, ma di un processo che aiuta a verificare se il trattamento rispetta i requisiti previsti dal GDPR e a dimostrare la correttezza delle scelte effettuate.
Scopri il servizio di Consulenza GDPR