Le regole sul legittimo interesse GDPR hanno una lettura europea definitiva. Il 10 novembre 2026 il Comitato europeo per la protezione dei dati (EDPB) ha adottato la versione finale delle linee guida 1/2024. Sono dedicate alla base giuridica dell’art. 6, par. 1, lett. f), GDPR. La bozza era andata in consultazione nell’ottobre 2024 e aveva raccolto 80 contributi, più della metà da imprese e associazioni di categoria.

Molte startup ed e-commerce analizzano gli acquisti per proporre prodotti simili, controllano le frodi sui pagamenti o portano i dati dei clienti nel CRM del gruppo. Se lo fai anche tu, con ogni probabilità lo fai sul legittimo interesse. Per usarlo serve una valutazione del legittimo interesse, la LIA (dall’inglese Legitimate Interest Assessment). È il documento che dimostra, prima di cominciare, che il trattamento supera tre verifiche.

Le linee guida non hanno forza di legge. Le ha scritte il Comitato che riunisce le autorità di controllo europee, Garante compreso. Per questo, secondo noi, saranno il metro con cui una LIA verrà letta durante un’ispezione o dopo un reclamo. Al 13 novembre 2026 esistono solo in inglese.

Per chi usa già il legittimo interesse significa riprendere le valutazioni fatte. I punti da ricontrollare sono i tre che la versione definitiva ha reso più netti, cioè il peso dell’interesse, le aspettative del cliente e le misure che riducono l’impatto.

1. Linee guida definitive: cosa cambia davvero

L’impianto resta quello della bozza del 2024. Il legittimo interesse regge solo se l’interesse è legittimo, il trattamento è necessario e i diritti della persona non prevalgono, e la verifica va fatta e documentata prima di iniziare. Cambiano tre cose che pesano sulla tua LIA, cioè il peso dell’interesse, il metro delle aspettative e il ruolo delle misure di mitigazione.

Le imprese avevano chiesto un approccio meno restrittivo e modelli di valutazione pronti. Il report sulla consultazione risponde che molte critiche nascevano da fraintendimenti, e per questo non hanno portato modifiche significative. Sono arrivati chiarimenti, esempi, le sentenze della Corte di giustizia uscite dopo la bozza e un allegato con il diagramma della valutazione.

Le novità per chi ha già una LIA sono tre.

• L’interesse ha un peso. Un interesse può essere banale o rilevante, e quel peso entra nel bilanciamento. Un interesse banale giustifica solo un impatto insignificante sulla persona. Lo dice il par. 18, che nella bozza non c’era.
• Le aspettative si misurano sul contesto. La prassi del settore e l’informativa, da sole, non bastano a crearle. L’EDPB ha tenuto questa posizione anche contro le richieste arrivate in consultazione, come spiega il capitolo 3.
• Le misure obbligatorie entrano nel bilanciamento. La bozza escludeva che le misure già dovute per il GDPR, come l’informativa, la sicurezza o la minimizzazione, contassero come mitigazione. La versione definitiva le mette alla base del bilanciamento, e sopra chiede misure ulteriori quando i diritti della persona rischiano di prevalere. Il capitolo 4 spiega come tenerne conto nella LIA.

Le linee guida non fissano un periodo transitorio. Leggono una norma che si applica dal 2018, e per questo, a nostro avviso, vanno applicate da subito anche alle valutazioni già scritte.

Se la LIA non regge, il trattamento resta senza base giuridica. In quel caso, dice l’allegato, si cerca un’altra base, e se non c’è il trattamento non si fa. Un trattamento senza base giuridica viola l’art. 6 GDPR, e rientra nella fascia più alta di sanzioni. Per l’art. 83, par. 5, lett. a), si arriva a 20.000.000 euro o, per un’impresa, al 4% del fatturato mondiale totale annuo dell’esercizio precedente, se superiore.

2. Legittimo interesse GDPR: il test in tre passi

La LIA si fa per ogni trattamento, prima che cominci. Più operazioni sugli stessi dati per lo stesso scopo, come raccoglierli, conservarli e analizzarli, chiedono una valutazione sola, mentre due scopi diversi ne chiedono due.

Prima del test l’allegato chiede di descrivere il trattamento, con scopo, mezzi e circostanze, e di verificare che nessuna legge imponga un’altra base giuridica, come accade per le email promozionali. Poi vengono i tre passi, in ordine, e se ne fallisce uno il legittimo interesse non regge.

2.1 Un interesse lecito, chiaro e attuale

L’interesse è il vantaggio che cerchi, ed è più ampio della finalità. Promuovere i tuoi prodotti è un interesse, il marketing diretto è la finalità che lo realizza.

Per superare il primo passo l’interesse deve avere tre caratteristiche, fissate dal par. 16.

• Lecito, cioè non contrario a una norma europea o nazionale. Le linee guida fanno l’esempio di chi vende sigarette elettroniche e vuole mandare promozioni ai clienti. La pubblicità online di quei prodotti è vietata, quindi l’interesse non è legittimo.
• Chiaro, cioè definito abbastanza da poter essere pesato. Una videosorveglianza installata “per il bene della comunità”, senza indicare un problema di sicurezza concreto, non supera il passo.
• Attuale, cioè legato a un’attività in corso o già programmata a breve. Un giornale che conserva i contatti degli ex abbonati per una rivista che non ha ancora deciso di lanciare persegue un interesse ipotetico.

2.2 Necessario vuol dire senza alternative

Il secondo passo è il più stretto. Il trattamento è necessario solo se lo scopo non si raggiunge, con la stessa efficacia e in modo ragionevole, con un mezzo meno invasivo. Il passo si lega alla minimizzazione, il principio dell’art. 5, par. 1, lett. c), GDPR per cui si trattano solo i dati che servono.

L’allegato traduce il passo in quattro domande da mettere per iscritto.

• Il trattamento serve davvero a raggiungere lo scopo?
• Puoi ridurre i dati trattati?
• Puoi ridurre le persone coinvolte?
• Puoi limitare durata e frequenza, per esempio con un’analisi una tantum invece che continua?

Un e-commerce che analizza l’intera cronologia di navigazione per prevenire le frodi, quando gli bastano i dati di pagamento e consegna, si ferma qui.

2.3 Il peso dell’interesse nel bilanciamento

Il terzo passo è il bilanciamento degli interessi. Da una parte c’è il tuo interesse con il suo peso. Dall’altra ci sono i diritti della persona, compresi interessi economici, sociali o personali che vanno oltre la privacy.

L’impatto del trattamento si descrive con gli elementi che le linee guida elencano ai parr. 36-41.

• Natura dei dati, con più cautela per dati finanziari o di localizzazione e meno per quelli legati al ruolo professionale.
• Contesto, cioè quanti dati e quante persone, se i dati si incrociano con altre banche dati e se riguardano minori o persone vulnerabili.
• Conseguenze, dalla perdita economica alla discriminazione, fino all’esclusione da un servizio senza alternative.

Nel bilanciamento entrano anche gli effetti positivi per la persona. Il peso dell’interesse può crescere quando coincide con quello di una comunità più ampia, come può accadere per la prevenzione delle frodi. Se il trattamento presenta un rischio elevato, accanto alla LIA serve la valutazione d’impatto prevista dall’art. 35 GDPR.

Dopo la LIA resta il diritto di opposizione. Chi si oppone per motivi legati alla sua situazione ottiene lo stop del trattamento sui propri dati. Il titolare può proseguire solo se dimostra motivi cogenti, come proteggere i suoi sistemi da un danno grave e immediato. Richiamare la LIA già fatta non basta, precisa il par. 72.

3. Le aspettative non le crea l’informativa

Le ragionevoli aspettative della persona si misurano al momento della raccolta, e servono a evitare che il trattamento la colga di sorpresa.

La versione definitiva fissa due punti. Il fatto che certi dati siano trattati abitualmente nel tuo settore non dimostra che il cliente se lo aspetti, perché conta quello che può giustificatamente attendersi nel contesto concreto. E l’informativa da sola non crea un’aspettativa, anche se tacere un trattamento contribuisce a sorprendere. Sono i parr. 49 e 50.

Le linee guida indicano gli elementi da guardare.

• Il rapporto, cioè se la persona è cliente o no, e da quanto tempo il rapporto è finito.
• La vicinanza, per esempio un gruppo con un marchio unico, dove lo scambio di dati fra società è più prevedibile.
• Il servizio, perché un cliente abituale si aspetta cose diverse da chi si è solo iscritto alla newsletter.
• Il contratto, le cui clausole sui dati possono incidere sulle aspettative.

L’esempio più netto è un social network gratuito, finanziato con la pubblicità personalizzata. L’utente non può ragionevolmente aspettarsi che i suoi dati siano usati senza consenso per profilarlo.

L’informativa resta indispensabile. L’interesse perseguito va indicato al momento della raccolta, altrimenti il trattamento non è necessario al legittimo interesse. Lo ha stabilito la Corte di giustizia nella sentenza del 9 gennaio 2025, causa C-394/23, Mousse. Le linee guida aggiungono una buona pratica, cioè dire nell’informativa che la sintesi del bilanciamento si può chiedere, o anticiparla in un’informativa a livelli.

Nel rapporto di lavoro il bilanciamento si fa con un metro diverso, perché la posizione del datore pesa, come spieghiamo nella guida: controlli a distanza sui lavoratori.

4. Misure di mitigazione: ora contano tutte

Le misure di mitigazione sono gli accorgimenti che riducono l’impatto del trattamento sulla persona. La versione definitiva le divide in due livelli, e li fa contare entrambi.

Il primo livello è quello che il GDPR già impone, come la protezione dei dati fin dalla progettazione, la minimizzazione, la sicurezza e l’informativa. Il par. 45 dice che l’impatto da pesare è già quello ridotto da questi obblighi. Il par. 52 chiede di tenerne conto nel bilanciamento. La bozza del 2024 diceva l’opposto e li escludeva.

Il secondo livello serve quando i diritti della persona sembrano prevalere. Allora puoi aggiungere misure che vanno oltre la legge, e le linee guida ne danno un elenco non esaustivo.

• Trasparenza ulteriore, con comunicazioni più dettagliate di quelle chieste dagli artt. 13 e 14 GDPR.
• Opposizione senza condizioni, offerta prima che il trattamento cominci.
• Cancellazione su richiesta, anche fuori dai motivi previsti dall’art. 17 GDPR.
• Un intervallo fra la raccolta dei dati e il loro uso, per esempio nel marketing, perché la persona possa esercitare i suoi diritti.

Ogni misura aggiuntiva va motivata. Il titolare deve poter dimostrare come cambia l’esito del bilanciamento, ed è la regola del par. 56.

La linea fra i due livelli resta incerta, e la nota 83 riconosce che dipende spesso dalle circostanze e dal rischio. Per questo nella LIA conviene tenere due elenchi separati, con una riga che spiega l’effetto di ciascuna misura.

5. Marketing, antifrode e AI: dove regge

Il GDPR stesso collega al legittimo interesse il marketing diretto, la prevenzione delle frodi e i trasferimenti di dati nei gruppi.

5.1 Marketing: quando serve il consenso

Il marketing diretto può fondarsi sul legittimo interesse, ma solo dopo aver controllato le leggi che chiedono altro.

• Email, SMS e messaggistica richiedono il consenso preventivo del destinatario. Il legittimo interesse qui non si usa.
• Cookie e tracciamento richiedono il consenso, che di regola copre anche il trattamento successivo dei dati raccolti.
• Email ai tuoi clienti per prodotti analoghi a quelli acquistati si possono mandare senza consenso. Il cliente va informato, alla raccolta e in ogni messaggio, che può opporsi. È l’art. 130, comma 4, del Codice privacy.
• Posta cartacea, come il catalogo spedito a casa, resta fuori dalla direttiva ePrivacy e dal suo consenso, e può reggersi sul legittimo interesse, con la sua LIA.

Sulle email ai clienti la Corte di giustizia ha chiarito un punto. Quando ricorrono le condizioni del cliente già acquisito appena viste, l’invio non deve trovare un’altra base nell’art. 6 GDPR, e quindi non serve una LIA. Lo ha deciso con la sentenza del 13 novembre 2025, causa C-654/23, Inteligo Media.

Dove il legittimo interesse si può usare, decide l’invasività. Le linee guida giudicano “molto improbabile” un esito favorevole per la profilazione che segue le persone fra siti, luoghi, dispositivi o servizi diversi. È più facile giustificare l’invio dello stesso catalogo a tutti i clienti che hanno già comprato prodotti simili. All’opposizione al marketing si dà sempre seguito, senza chiedere motivi, come prevede l’art. 21, parr. 2 e 3, GDPR.

5.2 Antifrode: bisogna dire quale frode

La prevenzione delle frodi è un legittimo interesse quando il trattamento è strettamente necessario. Tocca anche i clienti onesti, e per questo va delimitata.

Le linee guida chiedono di indicare quale attività fraudolenta vuoi prevenire e quali dati ti servono davvero. Un riferimento generico al “contrasto alle frodi” nell’informativa non basta, e lo dice il par. 105. Per un e-commerce significa scrivere se il controllo riguarda le carte di pagamento rubate, i resi fraudolenti o gli account creati in serie per sfruttare i codici sconto.

Più è grave la frode da prevenire, più pesa l’interesse nel bilanciamento. Se il controllo lo impone una legge, la base giuridica diventa l’obbligo legale dell’art. 6, par. 1, lett. c), GDPR.

5.3 AI e trasferimenti nel gruppo

Sull’intelligenza artificiale le linee guida rinviano al parere dell’EDPB 28/2024 del 17 dicembre 2024. Un assistente conversazionale, un sistema di AI antifrode o il rilevamento delle minacce informatiche possono costituire legittimi interessi. Il parere aggiunge indicazioni su necessità, aspettative e misure, come spieghiamo nella guida: addestrare AI con dati personali.

Nei gruppi societari il legittimo interesse può reggere la trasmissione di dati per scopi amministrativi interni. Il caso tipico, al par. 122, è il passaggio dei dati dei clienti dal CRM della controllata a quello centrale per reportistica globale o sicurezza informatica.

Il GDPR riconosce questo interesse al considerando 48, e i test di necessità e di bilanciamento restano da fare.

6. Checklist: otto controlli sulla tua LIA

I controlli che seguono ricalcano l’allegato delle linee guida.

Prima di iniziare

• Interesse – Scrivi l’interesse in una frase, verifica che sia lecito e legato a un’attività in corso o programmata, e indica quanto pesa e chi ne trae vantaggio.
• Necessità – Elenca le alternative meno invasive che hai considerato e perché non bastano, poi riduci dati, persone coinvolte e durata.
• Impatto – Descrivi natura dei dati, scala, incroci con altre banche dati, presenza di minori e conseguenze possibili, positive e negative.
• Aspettative – Valuta cosa può attendersi il tuo cliente nel rapporto concreto con te, a prescindere da cosa fa il settore.

Nel bilanciamento

• Misure – Separa le misure dovute da quelle aggiuntive, e per queste scrivi come cambiano l’esito.
• Documentazione – Data la LIA prima che il trattamento cominci e conservala, perché l’onere di dimostrarla è tuo.

Dopo

• Informativa – Indica al momento della raccolta l’interesse perseguito e il diritto di opposizione, e aggiungi che la sintesi del bilanciamento si può chiedere.
• Riesame – Rifai la valutazione quando cambiano dati, scopi o fornitori, e aggiorna gli accordi con chi tratta i dati per conto tuo. Per quel contratto vale la guida: nomina a responsabile del trattamento e Data Processing Agreement (DPA).

Conclusioni

Le linee guida definitive confermano un impianto che l’EDPB considera già scritto nel GDPR e nelle sentenze della Corte di giustizia. Chi lo aveva scelto come la base giuridica più comoda trova la conferma opposta, perché va valutato trattamento per trattamento, prima di iniziare, e dimostrato per iscritto.

Secondo noi la versione definitiva rende la valutazione più difendibile per chi la documenta bene. Un’impresa che ha in ordine minimizzazione, sicurezza e informative parte infatti da un impatto più basso. È una nostra lettura dei parr. 45 e 52, che l’EDPB non formula in questi termini.

Restano due limiti netti. Le email promozionali seguono le regole sul consenso e sul cliente già acquisito, e la profilazione fra siti e dispositivi difficilmente supera il bilanciamento. Per tutto il resto una LIA scritta bene vale più di prima.

Punti chiave

Fonti e risorse utili