¿Qué es el interés legítimo según el RGPD?
El artículo 6.1.f del RGPD permite el tratamiento "necesario para la satisfacción de intereses legítimos" del responsable o de un tercero, siempre que no prevalezcan los intereses o los derechos fundamentales del interesado. Es una de las seis bases jurídicas, junto con el consentimiento, el contrato, la obligación legal, los intereses vitales y la misión de interés público. Ninguna está por encima de las demás, y nuestra guía sobre las 7 condiciones de validez del consentimiento RGPD explica por qué el consentimiento no es automáticamente la opción "más segura".
Las autoridades de control describen el interés legítimo como una prueba en tres pasos, y hay que superar los tres:
- Un interés legítimo. Debe ser lícito, estar claramente definido y ser real, no hipotético. En su sentencia KNLTB de 4 de octubre de 2024 (C-621/22), el Tribunal de Justicia de la UE confirmó que un interés comercial puede ser legítimo.
- Necesidad. El tratamiento debe servir realmente a ese interés, y no debe existir una forma menos intrusiva de alcanzar el mismo objetivo.
- Ponderación. Su interés no debe prevalecer sobre los derechos de las personas afectadas, teniendo en cuenta sus expectativas razonables. La CNIL francesa pone el ejemplo de una red social: la elaboración de perfiles publicitarios puede ir más allá de lo que los usuarios esperan razonablemente.
Esta ponderación se documenta y se menciona en la política de privacidad. El Comité Europeo de Protección de Datos (CEPD) recogió los mismos tres pasos en sus directrices 1/2024 sobre el interés legítimo, adoptadas como borrador el 8 de octubre de 2024 y sometidas a consulta pública.
Interés legítimo o consentimiento: las diferencias clave
Las dos bases no funcionan igual, ni para usted ni para las personas afectadas:
- Quién decide. Con el consentimiento, la persona decide antes de que ocurra nada. Con el interés legítimo, usted decide tras ponderar los intereses, y la persona puede oponerse después.
- Momento. El consentimiento debe obtenerse antes del tratamiento. El interés legítimo permite tratar desde el principio, si la ponderación se sostiene.
- Retirada u oposición. El consentimiento puede retirarse en cualquier momento, con la misma facilidad con que se dio. Con el interés legítimo, las personas tienen derecho de oposición (artículo 21). En la mercadotecnia directa, esa oposición es absoluta.
- Prueba. El consentimiento debe poder demostrarse caso por caso. El interés legítimo se justifica con su análisis documentado.
- Derechos. El derecho a la portabilidad se aplica al consentimiento y al contrato, no al interés legítimo.
- Cambio de base. No puede pasar de una base a otra según le convenga. Si el consentimiento se rechaza o se retira, no puede recurrir al interés legítimo para la misma finalidad.
Este último punto es el que más sitios web pasan por alto. El interés legítimo no es un plan B para los visitantes que han dicho que no.
¿Se puede usar el interés legítimo para las cookies?
Para la mayoría de las cookies, no. A una cookie se le aplican dos normas distintas, y se suman.
La primera es el artículo 5.3 de la directiva ePrivacy, incorporado en España en el artículo 22.2 de la LSSI. Se refiere al hecho de almacenar o leer información en el dispositivo del usuario: cookies, almacenamiento local, píxeles, huella digital. Solo admite dos excepciones: la transmisión de una comunicación y lo estrictamente necesario para un servicio solicitado expresamente por el usuario. Todo lo demás requiere consentimiento previo. El interés legítimo no figura en esa lista. El Tribunal de Justicia confirmó en la sentencia Planet49 (C-673/17, 1 de octubre de 2019) que esta norma se aplica tanto si los datos son personales como si no, y que una casilla premarcada no es consentimiento.
La segunda es el RGPD, que regula lo que hace usted después con los datos personales recogidos. Ahí es donde entran el artículo 6 y el interés legítimo.
Las directrices del CEPD sobre el interés legítimo establecen el vínculo: cuando el artículo 5.3 exige consentimiento para las cookies y rastreadores similares, el consentimiento es probablemente la base jurídica adecuada para el tratamiento posterior, lo que en general excluye el interés legítimo. En la sentencia Meta Platforms de 4 de julio de 2023 (C-252/21), el Tribunal también declaró que los usuarios de una red social no pueden esperar razonablemente que sus datos se utilicen para publicidad personalizada sin su consentimiento.
La guía sobre el uso de cookies de la AEPD sigue la misma línea: fuera de las cookies exceptuadas, la instalación requiere consentimiento. Las únicas cookies que no lo necesitan son las que nuestra guía de cookies estrictamente necesarias detalla con ejemplos. Se trata de una excepción de la LSSI, no de un interés legítimo. La confusión surge porque la base RGPD de los datos contenidos en esas cookies suele ser el interés legítimo o el contrato.
¿Por qué algunos banners muestran una pestaña de "interés legítimo"?
Si alguna vez ha abierto la configuración del banner de un gran medio, habrá visto una lista de socios con dos interruptores: "Consentimiento" e "Interés legítimo", el segundo ya activado. Procede del Transparency and Consent Framework (TCF) de IAB, que permite a los proveedores publicitarios declarar interés legítimo para ciertas finalidades.
Las autoridades han reaccionado con firmeza. En febrero de 2022, la autoridad belga de protección de datos concluyó que el TCF infringía el RGPD, entre otras razones porque el interés legítimo no podía justificar los tratamientos en cuestión, e impuso a IAB Europe una multa de 250 000 euros. El Tribunal de Justicia confirmó después, en marzo de 2024 (C-604/22), que la cadena TC que genera el framework es un dato personal. La versión 2.2 del TCF eliminó el interés legítimo para las finalidades ligadas a la publicidad y al contenido personalizados. Nuestra guía del TCF 2.2 detalla qué finalidades cambiaron.
Incluso para las finalidades en las que el TCF aún lo admite, almacenar o leer un identificador en el dispositivo sigue sujeto a consentimiento. Un interruptor de "interés legítimo" activado por defecto no cambia nada.
Cuándo funciona el interés legítimo en un sitio web
El interés legítimo es una base jurídica real, solo que no para los rastreadores que requieren consentimiento. En un sitio web típico, encaja con tratamientos que no dependen de almacenar o leer nada no esencial en el dispositivo del visitante:
- Seguridad y prevención del fraude. Registros del servidor, limitación de peticiones, detección de bots, controles antifraude de los pedidos. La CNIL cita la seguridad de la red y la prevención del fraude entre los intereses legítimos habituales.
- Supervisión de errores. Recoger informes de fallos para mantener el servicio estable, limitándose a lo necesario.
- Clientes existentes. Algunas comunicaciones a clientes actuales, dentro de los límites de las normas sobre comunicaciones comerciales electrónicas y con una forma sencilla de oponerse.
- Los datos de las cookies exceptuadas. Cuando una cookie es estrictamente necesaria, por ejemplo para el balanceo de carga o la cesta, la base RGPD de los datos que contiene suele ser el interés legítimo o el contrato.
La medición de audiencia ocupa un lugar aparte. En Francia, la CNIL exime del consentimiento a ciertas herramientas de analítica cuando cumplen condiciones estrictas, como explica nuestro artículo sobre Matomo y la exención de la CNIL. Es una exención de consentimiento, no una autorización general para usar el interés legítimo en analítica.
FlowConsent es un ejemplo concreto de cómo una CMP separa ambas cosas: cada servicio de su catálogo lleva una base jurídica plausible, de modo que una herramienta de seguimiento de errores como Sentry figura como interés legítimo con derecho de oposición, mientras que las herramientas de analítica y publicidad dependen por defecto del consentimiento.
Cómo elegir entre interés legítimo y consentimiento
Un razonamiento sencillo cubre la mayoría de los casos de un sitio web:
- ¿La herramienta almacena o lee algo en el dispositivo? Cookies, almacenamiento local, píxeles, SDK, huella digital. Si no, pase al paso 4.
- ¿Es estrictamente necesaria para el servicio que el visitante ha solicitado? Sesión de inicio, cesta, seguridad, balanceo de carga, registro de su elección sobre cookies. Si es así, el acceso al dispositivo no requiere consentimiento.
- Si no, pida el consentimiento. Analítica, publicidad, retargeting, contenidos de redes sociales integrados y herramientas de A/B testing entran aquí. El botón de rechazo debe ser tan visible como el de aceptación, como explica nuestra guía sobre opt-in y opt-out.
- Para los tratamientos que no acceden al dispositivo, aplique los tres pasos. Si se cumplen, documente el análisis, menciónelo en su política de privacidad y ofrezca una forma sencilla de oponerse.
Antes de elegir, necesita saber qué carga realmente su sitio. Compruebe en 30 segundos qué cookies instala su sitio con el escáner gratuito: una cookie de terceros instalada antes de cualquier elección indica que una herramienta se apoya en una base jurídica que no tiene.
Hay dos errores frecuentes. El primero es clasificar etiquetas de analítica o publicidad como "interés legítimo" en el banner para que se carguen por defecto. El segundo es pedir el consentimiento y, si se rechaza, seguir usando la misma herramienta por interés legítimo. Ambos exponen al mismo tipo de sanción que no tener banner. Si duda sobre qué forma de consentimiento necesita, nuestra guía sobre consentimiento explícito e implícito aclara los términos.
¿Debe rechazar el interés legítimo como visitante?
Si un banner ofrece interruptores de interés legítimo, puede desactivarlos. Así ejerce su derecho de oposición del artículo 21 del RGPD. El sitio sigue funcionando: las cookies estrictamente necesarias no dependen de ese interruptor. Si un editor sigue rastreándole después de su oposición, puede presentar una reclamación ante la AEPD.
Cómo gestiona FlowConsent el interés legítimo y el consentimiento
FlowConsent aplica el consentimiento por defecto a todo servicio que almacene o lea datos en el dispositivo. Las cookies esenciales están activas desde la primera carga; los servicios de analítica, marketing y preferencias quedan bloqueados hasta que el visitante acepta su categoría, y rechazar es tan fácil como aceptar.
Cada servicio del catálogo lleva una base jurídica. Solo aparece una insignia cuando difiere del consentimiento: interés legítimo (con el recordatorio de declararlo y ofrecer un derecho de oposición), contrato o posible exención de la CNIL con su lista de condiciones. Esa base es un punto de partida: la evaluación final corresponde al editor del sitio. Los consentimientos se exportan como prueba y Google Consent Mode v2 está integrado. Encontrará los detalles en la documentación de servicios y bases jurídicas.