El Comité Europeo de Protección de Datos (EDPB) ha publicado recientemente un One‑Stop‑Shop Case Digest dedicado al interés legítimo como base jurídica del tratamiento de datos personales en decisiones transfronterizas. Aunque no tiene carácter normativo, su valor práctico es indiscutible: ofrece una radiografía clara y empírica de cómo las autoridades europeas están aplicando —y, sobre todo, limitando— esta base jurídica en la práctica.

La conclusión es contundente: el interés legítimo sigue siendo válido, incluso para fines comerciales, pero ha dejado de ser una vía flexible o automática. El EDPB confirma una aplicación cada vez más estricta del test de tres fases, rechazando de forma sistemática intereses genéricos, análisis ex post, justificaciones basadas en la eficiencia del modelo de negocio o en configuraciones de proveedores externos.

El Case Digest aporta además criterios clave sobre el test de necesidad, la ponderación real de los derechos de los interesados, las expectativas razonables de los usuarios y la admisibilidad del interés legítimo en contextos tecnológicos emergentes como la ciberseguridad, la inteligencia artificial o la prevención del fraude.

Para los responsables del tratamiento, el mensaje es claro: invocar el interés legítimo sin un análisis sólido, documentado y honesto ya no es un riesgo menor, sino una debilidad estructural con potencial impacto en modelos de negocio completos.

Descubre cómo las autoridades están interpretando el interés legítimo y qué riesgos concretos puede generar para tu empresa