El interés legítimo en la protección de datos personales

Con la publicación de la nueva ley de protección de datos personales culmina un largo proceso de ocho años. Y con ello, ha comenzado el período de veinticuatro meses de vacancia de la nueva ley, que nos obliga a acelerar el paso en torno a definiciones, criterios, plazos y adecuación de procesos al interior de las corporaciones.

Uno de los cambios esenciales de esta reforma es la incorporación de nuevas bases de licitud que permitirán a los responsables tratar datos de terceros. Entre ellas, destaca el interés legítimo, según el cual será lícito el tratamiento de datos personales sin el consentimiento del titular cuando el tratamiento sea necesario para la satisfacción de intereses legítimos del responsable o de un tercero, siempre que con ello no se afecten los derechos y libertades del titular. Adicionalmente, el titular podrá exigir ser informado sobre el tratamiento que lo afecta y el supuesto interés legítimo que asistiría a quien esté tratando sus datos.

Con todo, la reforma no entrega una definición de interés legítimo. Más bien, lo delimita y lo condiciona a propósito de una restricción binaria: el respeto a los derechos y libertades de las personas. Esta definición no se aparta en demasía de lo dispuesto en el GDPR cuando dispone que tendrá lugar el interés legítimo “siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño”. No satisfecho con lo anterior, el legislador europeo decidió profundizar sobre el punto en el considerando 47, señalando como factor clave las expectativas razonables de los titulares basadas en su relación con el responsable. En este contexto, señala que la existencia de un interés legítimo requerirá una evaluación meticulosa, inclusive si un titular puede prever de forma razonable que pueda producirse el tratamiento con tal fin.

En el marco de nuestro nuevo régimen jurídico, y ante la falta de una definición legal, será fundamental efectuar un análisis exhaustivo de la motivación y necesidad que asiste al responsable y la debida ponderación con el grado de impacto en los derechos y libertades de los titulares.

En tanto, cabe observar el desarrollo jurisprudencial europeo en el cual encontraremos soluciones disímiles. Así, mientras para el GDPR los tratamientos estrictamente necesarios para la prevención del fraude pueden constituir un interés legítimo del responsable, así como el tratamiento con fines de mercadotecnia directa, los fallos no siempre siguen esta línea, sosteniendo que el titular no debería esperar razonablemente que, sin su consentimiento, el operador de una red social trate los datos personales de ese usuario con fines de personalización de la publicidad.

Así, he aquí otro de los desafíos que nos impone la nueva ley. La hermenéutica legal deberá intentar dilucidar estas y otras disyuntivas, y la doctrina tendrá que ilustrar adecuadamente a los tribunales, siendo un rol clave de la Agencia especializada llenar los vacíos legales en virtud de sus potestades interpretativas.