Hai mai pensato che bastasse una clausola generica in privacy policy per inviare newsletter ai tuoi vecchi clienti? O che il legittimo interesse fosse una specie di lasciapassare per fare retargeting, senza la richiesta di consenso?
Se gestisci un ecommerce o lavori in una web agency, è probabile che tu abbia fatto affidamento sul legittimo interesse per trattare i dati personali in modo rapido, flessibile, senza troppe formalità. E magari hai sempre pensato che fosse tutto legittimo. Ma lo è davvero?
Con le nuove Linee guida 1/2024 dell’EDPB, la risposta rischia di essere no. O quantomeno, non sempre.
Nel corso degli anni, molti siti web, anche ecommerce, hanno usato (e in alcuni casi abusato) del legittimo interesse per inviare comunicazioni promozionali ai clienti, analizzare comportamenti di acquisto, tracciare la navigazione degli utenti o arricchire i profili marketing con dati provenienti da fonti diverse. L’uso del legittimo interesse, tuttavia, in alcuni casi è stato una scorciatoia, la scelta di una base giuridica di comodo per evitare di dover gestire i consensi.
Ma il GDPR non funziona così!
L’EDPB lo dice chiaramente: “non si può usare il legittimo interesse solo perché il consenso è scomodo da ottenere o da gestire“. E soprattutto, il fatto che un trattamento sia utile o vantaggioso per il titolare non basta più a renderlo lecito. Serve un bilanciamento serio, trasparente e documentato tra l’interesse dell’azienda e i diritti degli utenti.
Se stai usando questa base giuridica per giustificare attività di marketing, profilazione o analisi, è importante che tu sappia come sono cambiate le regole. Trattare dati in modo scorretto, infatti, può esporre il tuo business a reclami, sanzioni e danni reputazionali. Gli avvocati di Ecommerce Legale, esperti in privacy e GDPR, ti spiegheranno come e quando il legittimo interesse può essere utilizzato, in modo che tu non metta a rischio il tuo business.
Indice
Cosa si intende per legittimo interesse GDPR ecommerce e perché è vantaggioso
Il legittimo interesse è una base giuridica prevista dall’articolo 6 del GDPR (par. 1 lett. f), che permette di trattare dati personali senza consenso se il trattamento è necessario per perseguire un interesse legittimo del titolare o di un terzo. Il trattamento è lecito se non vengono lesi gli interessi o i diritti e le libertà fondamentali dell’interessato.
Il concetto potrebbe sembrarti abbastanza complesso, per cui partiamo da una definizione di legittimo interesse più comprensibile.
Quando si devono trattare dati personali degli utenti, bisogna prima considerare la liceità del trattamento.
Dunque, puoi trattare i dati dei tuoi clienti solo se il trattamento rispetta una delle condizioni stabilite dal GDPR, ossia:
- hai ottenuto il consenso al trattamento da parte dell’interessato per le finalità indicate;
- il trattamento dei dati avviene ai fini dell’esecuzione di un contratto;
- i dati sono necessari all’adempimento di un obbligo di legge che coinvolge il titolare;
- bisogna trattare i dati per il benessere dell’interessato;
- sei costretto a trattare i dati per eseguire un compito di interesse pubblico.
L’ultima di queste condizioni, che prendono il nome di basi giuridiche, poi, è proprio quella relativa all’interesse legittimo, secondo la quale è possibile trattare i dati senza il consenso dell’interessato SOLO in caso di LEGITTIMO INTERESSE DEL TITOLARE. In ogni caso, per utilizzare questa base giuridica, i diritti del titolare e quelli dell’interessato devono essere sempre bilanciati.
Molti ecommerce scelgono il legittimo interesse perché è più flessibile rispetto al consenso. Non devi mostrare banner (nel caso dei cookie), non rischi che l’utente rifiuti, e puoi trattare i dati senza interruzioni. È comodo, ma è anche pericoloso, perché il GDPR ti chiede di documentare attentamente perché ritieni legittimo il tuo interesse e come proteggi i diritti degli interessati.
La realtà è che, spesso, manca una reale valutazione, e il legittimo interesse viene invocato a sproposito.
Per questo motivo, è intervenuto l’EDPB in maniera decisa: il legittimo interesse non è una scappatoia per evitare il consenso. È una base giuridica distinta, che ha limiti precisi e obblighi documentali rigorosi.
Come usare il legittimo interesse in modo lecito: cosa dicono GDPR e Linee guida EDPB
Oggi usare il legittimo interesse richiede più attenzione, più consapevolezza e più trasparenza. Se hai un ecommerce o un sito che gestisce dati personali, puoi ancora basarti su questa base giuridica per molte attività – a patto che rispetti i criteri fissati dall’EDPB.
Il primo passo è chiederti: ho davvero bisogno di questo trattamento per raggiungere i miei obiettivi? Esistono alternative meno invasive? Se la risposta è sì e puoi dimostrarlo, allora devi documentare tutto: l’interesse, la necessità, il bilanciamento e le misure di salvaguardia.
In pratica, bisogna informare chiaramente gli utenti su cosa fai con i loro dati e perché. Le informative devono essere comprensibili, specifiche e accessibili. E soprattutto, l’utente va messo nella condizione di esercitare il diritto di opposizione in modo facile e chiaro.
La trasparenza non è solo una questione di forma: è un requisito sostanziale per rendere lecito il trattamento. Anche perché, come chiarisce l’EDPB, se l’utente non è messo in condizione di comprendere cosa accade ai suoi dati, difficilmente si potrà parlare di trattamento lecito. Inoltre, devi effettuare davvero un bilanciamento degli interessi in gioco per valutare se, nonostante la scelta del legittimo interesse come base giuridica, si mantiene alta la sicurezza sui dati personali. In questo può essere di grande aiuto l’assistenza di un avvocato specializzato in privacy policy e legal design, come i professionisti di Ecommerce Legale.
Secondo il GDPR, per usare il legittimo interesse devi superare tre test:
- finalità legittima,
- necessità del trattamento;
- bilanciamento degli interessi.
Nelle Linee guida 1/2024, l’EDPB si sofferma proprio su questi passaggi e chiarisce che non possono essere presi alla leggera o affrontati con un’autovalutazione superficiale: “Il titolare deve effettuare una valutazione concreta e documentata dell’impatto del trattamento sui diritti e sulle libertà degli interessati, considerando la natura del trattamento, il contesto e le aspettative ragionevoli”.
In altre parole, non basta che tu abbia un interesse legittimo come venditore o come proprietario del sito web. Devi dimostrare che il trattamento è strettamente necessario per raggiungere quell’obiettivo e che i diritti dell’utente non vengono compromessi. E va fatto per iscritto, in un documento verificabile, non a parole.
Quali sono le novità delle Linee guida EDPB 1/2024?
Le nuove linee guida non riscrivono il GDPR, ma chiariscono in modo molto dettagliato quando e come puoi usare il legittimo interesse. In particolare:
- nessuna finalità è automaticamente legittima: il fatto che tu abbia un obiettivo economico non significa che puoi trattare i dati senza consenso. Devi dimostrare che l’interesse è concreto, attuale e non in contrasto con le aspettative dell’utente;
- il test di bilanciamento non è facoltativo: ogni titolare deve documentare in modo puntuale le ragioni per cui ritiene legittimo il trattamento, valutando in concreto l’impatto sui diritti e le libertà degli utenti. Questo vale anche per trattamenti apparentemente innocui;
- marketing e profilazione richiedono (quasi sempre) il consenso: secondo l’EDPB, la pubblicità comportamentale, il remarketing e l’uso di tracker per scopi pubblicitari non possono essere basati sul legittimo interesse, ma richiedono il consenso preventivo dell’utente;
- l’aspettativa dell’utente conta: l’EDPB scrive che “Gli interessati non possono ragionevolmente aspettarsi di essere tracciati a fini pubblicitari mentre navigano”. Ciò vuol dire che la percezione del consumatore medio è un parametro chiave per stabilire se il tuo interesse è legittimo o no.
Per farti comprendere meglio cosa rientra nel legittimo interesse e cosa, invece, è escluso, l’EDPB fa una serie di esempi concreti, molti dei quali riguardano proprio il settore ecommerce.
Casi concreti in cui puoi usare o non usare il legittimo interesse GDPR ecommerce
Se raccogli l’indirizzo IP e i dati di navigazione degli utenti per motivi di sicurezza del sito, prevenzione frodi o attacchi informatici, puoi fondarti sul legittimo interesse. Il trattamento è necessario e gli utenti se lo aspettano, anche se non lo vedono.
Quando invii una email promozionale a un cliente che ha già acquistato da te, proponendogli un prodotto simile, puoi usare il legittimo interesse solo se rispetti i requisiti del soft spam e dai sempre la possibilità di disiscriversi.
Al contrario, chi traccia il comportamento dell’utente su più siti e piattaforme, raccogliendo dati per costruire un profilo dettagliato, magari usando tool di terze parti, non può usare il legittimo interesse. In questo caso, l’EDPB è chiaro: “Il trattamento basato su osservazione sistematica e invisibile dell’attività online dell’interessato non può essere giustificato solo con il legittimo interesse”.
Legittimo interesse o consenso? Quale base giuridica scegliere
Il GDPR non dice che il consenso è l’unica base giuridica, ma nel contesto ecommerce è spesso quella più sicura. Quando si parla di pubblicità, profilazione, cookie di terze parti, analytics avanzati o retargeting, il consenso è praticamente obbligatorio. Usare il legittimo interesse per evitare i banner è un rischio elevato e poco difendibile in caso di ispezione o reclamo.
Allo stesso tempo, non bisogna avere paura di usare il legittimo interesse quando è davvero appropriato. Il punto è fare un’analisi seria, personalizzata, documentata con l’aiuto di uno studio legale privacy. È questo l’approccio richiesto dal GDPR e dalle Linee guida EDPB.
Cosa devi fare se usi questa base giuridica
Non basta scrivere “trattiamo i dati perché abbiamo un interesse legittimo” nella privacy policy. Devi dimostrare che hai fatto una valutazione seria, che hai preso misure per proteggere i diritti degli utenti e che sei pronto a documentare tutto.
Questo vuol dire:
- fare un test di bilanciamento reale, che metta nero su bianco il tuo interesse e l’impatto sui diritti dell’utente;
- valutare se serve una DPIA (valutazione d’impatto sulla protezione dei dati) che includa “misure tecniche e organizzative adeguate a minimizzare i rischi per l’interessato”;
- documentare tutto con un registro dei trattamenti aggiornato;
- informare chiaramente gli utenti attraverso la privacy policy, spiegando perché stai trattando i dati, su quale base giuridica, per quanto tempo e con quali garanzie.
Entriamo un attimo nel dettaglio e analizziamo questi passaggi.
Come si fa un test di bilanciamento valido?
Il test di bilanciamento non è una formalità, ma un’analisi concreta che deve:
- identificare l’interesse legittimo;
- verificare la necessità del trattamento;
- analizzare l’impatto sull’utente;
- adottare misure di mitigazione;
- documentare tutto.
Solo con questa analisi puoi dimostrare di aver rispettato il principio di accountability previsto dall’art. 5.2 del GDPR.
E, invece, quando serve la DPIA?
Una valutazione d’impatto sulla protezione dei dati (DPIA) è obbligatoria quando un trattamento “può presentare un rischio elevato per i diritti e le libertà delle persone fisiche”. Secondo le Linee guida WP29, serve quasi sempre in caso di profilazione su larga scala, osservazione sistematica del comportamento online, uso di tecnologie nuove o innovative, combinazione di dati di natura diversa.
L’informativa privacy deve essere aggiornata e precisa. Quando usi il legittimo interesse, devi spiegare esattamente la tipologia di interesse perseguito e perché ritieni che prevalga sui diritti dell’interessato, quali sono le garanzie adottate e come esercitare il diritto di opposizione.
L’EDPB sottolinea che l’utente deve poter “comprendere facilmente” perché vengono trattati i suoi dati e su quale base. L’informativa non può limitarsi a dire “per interesse legittimo”, ma deve motivare e contestualizzare.
Le norme sul legittimo interesse si applicano anche ai marketplace e alle piattaforme. Chi gestisce un marketplace online – sia come proprietario della piattaforma sia come venditore affiliato – deve prestare particolare attenzione. Il trattamento dei dati può avvenire sia per finalità proprie, sia per conto terzi (es. fornitori logistici, partner di pagamento, servizi di marketing). In questi casi, ogni attore coinvolto deve avere una propria base giuridica documentata.
Uso improprio del legittimo interesse: rischi e sanzioni
Il Garante per la protezione dei dati personali ha già sanzionato aziende che hanno usato impropriamente il legittimo interesse per giustificare attività di marketing, profilazione e retargeting. Anche perché molti titolari si limitano a indicare genericamente questa base giuridica, senza specificare nulla e senza fare una reale valutazione.
Il risultato è una violazione del principio di trasparenza, del principio di liceità e dell’accountability. In pratica, un trattamento illegittimo, che può portare a sanzioni GDPR fino a 20 milioni di euro o al 4% del fatturato annuo.
Ma il danno maggiore è spesso reputazionale. Gli utenti oggi sono molto più consapevoli dei propri diritti e non esitano a fare segnalazioni al Garante, a disiscriversi o a non acquistare più da un brand che li ha tracciati senza motivo.
Adegua il tuo ecommerce alle nuove Linee guida sul Legittimo interesse con Ecommerce Legale
Il legittimo interesse resta una base giuridica potente, ma non improvvisabile. Le nuove Linee guida 1/2024 dell’EDPB ci ricordano che nel trattamento dei dati personali non basta più essere furbi, bisogna essere responsabili. Se gestisci un ecommerce, questa è un’opportunità per rivedere le tue prassi, distinguerti per correttezza e costruire una relazione trasparente con i tuoi clienti.
Ecommerce Legale è lo studio legale specializzato in diritto digitale e data protection, che può aiutarti a valutare quando e come usare correttamente il legittimo interesse nel tuo progetto digitale.
Contattaci per una consulenza, ci occuperemo di:
- rivedere la tua informativa privacy, chiarendo meglio la base giuridica per ciascuna finalità;
- controllare che ogni trattamento basato sul legittimo interesse sia documentato;
- valutare la necessità del consenso dove le linee guida lo impongono;
- formare il tuo team, i responsabili del trattamento e i consulenti marketing;
- valutare, dove necessario, una DPIA per trattamenti ad alto rischio.
Nel team di Ecommerce Legale conosciamo bene le esigenze di chi vende online, ma anche le pretese sempre più stringenti della normativa. Ti aiutiamo a capire quando puoi usare il legittimo interesse, quando serve il consenso e come aggiornare privacy policy, cookie banner e contratti con fornitori o consulenti marketing.
Evita rischi inutili e costruisci una strategia di trattamento dati che funzioni davvero, sia per il business che per la legge. Scrivici oggi stesso e prenota la tua call conoscitiva gratuita: ti aiuteremo a far crescere il tuo ecommerce in modo sicuro, legale e sostenibile.
Floriana Capone
L’Avvocato dell’Ecommerce
