EL INTERÉS LEGÍTIMO TRAS LAS DIRECTRICES 1/2024 DEL CEPD

Evolución interpretativa, ponderación de derechos y demostrabilidad de las garantías

Informe jurídico-técnico y académico

13 de noviembre de 2026

Ámbito jurídico: artículo 6.1.f) del Reglamento General de Protección de Datos.

Documentos objeto de comparación:

• Directrices 1/2024 del CEPD, versión 1.0, adoptada el 8 de octubre de 2024 para consulta pública.
• Directrices 1/2024 del CEPD, versión 2.0, adoptada definitivamente el 10 de noviembre de 2026.

Resumen

La adopción definitiva de las Directrices 1/2024 del Comité Europeo de Protección de Datos (CEPD), el 10 de noviembre de 2026, permite examinar la evolución de los criterios interpretativos relativos al interés legítimo como fundamento de licitud del tratamiento de datos personales conforme al artículo 6.1.f) del Reglamento General de Protección de Datos (RGPD).

Este informe analiza comparativamente la versión inicial de octubre de 2024 y la versión definitiva de noviembre de 2026. Su objetivo consiste en identificar las modificaciones relevantes, distinguirlas de los criterios ya existentes y examinar sus consecuencias para la elaboración, revisión y auditoría de evaluaciones del interés legítimo.

El análisis confirma la continuidad de las tres condiciones acumulativas exigidas por el artículo 6.1.f): existencia de un interés legítimo, necesidad del tratamiento y ponderación de los intereses, derechos y libertades fundamentales afectados.

Las precisiones de mayor relevancia se concentran en la consideración de las garantías obligatorias y adicionales, la justificación de su contribución al resultado, las expectativas razonables y la reformulación de las recomendaciones sobre transparencia. La versión definitiva desarrolla también la aplicación contextual del interés legítimo en ámbitos como la prevención del fraude y el marketing directo e incorpora nuevas referencias sobre tratamientos relacionados con modelos de inteligencia artificial.

En particular, la incorporación de la jurisprudencia del Tribunal de Justicia de la Unión Europea (TJUE) sobre la relación entre la Directiva ePrivacy y el RGPD permite delimitar con mayor precisión los supuestos en los que una regulación especial determina las condiciones jurídicas de determinadas comunicaciones electrónicas.

Se concluye que la versión definitiva no introduce un nuevo régimen jurídico del interés legítimo, sino que desarrolla determinados aspectos de su interpretación y aplicación. Desde la perspectiva de la responsabilidad proactiva, el principal desafío profesional consiste en justificar de manera coherente la necesidad, las consecuencias del tratamiento y el efecto de las garantías consideradas en la ponderación.

Palabras clave: interés legítimo; RGPD; CEPD; ponderación; necesidad; expectativas razonables; garantías; responsabilidad proactiva; ePrivacy; marketing directo; auditoría.

1. Introducción

1.1. El interés legítimo como fundamento de licitud

El artículo 6.1.f) del RGPD permite el tratamiento de datos personales cuando resulte necesario para satisfacer intereses legítimos perseguidos por el responsable o por un tercero, siempre que sobre ellos no prevalezcan los intereses o derechos y libertades fundamentales de las personas afectadas que requieran protección de sus datos personales.

Esta formulación exige un examen de las circunstancias concretas del tratamiento.

La existencia de un interés empresarial, comercial, organizativo o de otra naturaleza no basta para justificar por sí sola las operaciones realizadas.

Es necesario determinar si el interés puede considerarse legítimo, si el tratamiento resulta necesario para alcanzarlo y si la ponderación permite sostener que los intereses, derechos y libertades de las personas afectadas no prevalecen.

El CEPD recuerda que el interés legítimo no debe utilizarse como base jurídica residual o de aplicación automática. Su naturaleza abierta no permite eludir los requisitos específicos aplicables ni considerarlo una alternativa menos exigente que otras bases de licitud.

La interpretación de estas condiciones debe realizarse conjuntamente con los principios del artículo 5 del RGPD y las restantes obligaciones que resulten aplicables.

La determinación de la base jurídica corresponde al responsable, que debe identificarla antes de efectuar el tratamiento y poder demostrar la concurrencia de sus condiciones.

Referencia: CEPD, Directrices 1/2024, versión 2.0, apartados 1–11; RGPD, artículos 5, 6 y 24.

1.2. Evolución doctrinal y jurisprudencial

El interés legítimo no constituye una innovación introducida por el RGPD.

Su antecedente inmediato se encuentra en el artículo 7.f) de la Directiva 95/46/CE.

El Dictamen 06/2014 del Grupo de Trabajo del Artículo 29 desarrolló una interpretación sistemática de esta disposición, especialmente respecto de la legitimidad del interés, la necesidad del tratamiento y el equilibrio entre intereses y derechos.

Posteriormente, el TJUE ha contribuido a delimitar las condiciones de aplicación del artículo 6.1.f).

Entre los pronunciamientos más relevantes destacan:

Meta Platforms, C-252/21. Examina, entre otras cuestiones, los requisitos de necesidad y ponderación en el contexto de tratamientos asociados a una plataforma digital y la publicidad personalizada.

SCHUFA Holding, asuntos acumulados C-26/22 y C-64/22. Aporta criterios sobre intereses legítimos, necesidad, conservación de información crediticia y derechos de los interesados. No debe confundirse con el asunto C-634/21, referido a decisiones automatizadas de evaluación de solvencia.

Koninklijke Nederlandse Lawn Tennisbond, C-621/22. Precisa que determinados intereses comerciales pueden constituir intereses legítimos, siempre que sean lícitos y concurran las restantes condiciones del artículo 6.1.f).

Mousse, C-394/23. Analiza las exigencias de necesidad y minimización en la recogida de datos relativos al tratamiento de cortesía de pasajeros. Sus conclusiones son relevantes para interpretar el principio de necesidad y las obligaciones de transparencia, aunque el asunto también comprende el artículo 6.1.b).

La versión definitiva de las Directrices incorpora y sistematiza esta evolución interpretativa.

1.3. Naturaleza jurídica de las Directrices

Las Directrices son orientaciones interpretativas adoptadas por el CEPD en ejercicio de las funciones previstas en el artículo 70 del RGPD.

No constituyen actos normativos vinculantes ni sustituyen la interpretación del Derecho de la Unión efectuada por el Tribunal de Justicia.

No obstante, representan una referencia institucional relevante para la aplicación coherente del RGPD y para la motivación de las decisiones de responsables y autoridades de control.

Por esta razón, el presente informe distingue tres planos:

Obligaciones normativas: exigencias derivadas del RGPD y de otras disposiciones aplicables.

Interpretación institucional: criterios formulados por el CEPD para orientar la aplicación del Reglamento.

Propuestas metodológicas propias: recomendaciones que pueden elaborarse a partir del análisis jurídico para mejorar la calidad de las evaluaciones.

Esta diferenciación evita convertir cualquier recomendación del CEPD o cualquier propuesta profesional en una obligación jurídica autónoma.

2. Objeto y metodología del análisis

El informe persigue tres objetivos.

En primer lugar, identificar las diferencias relevantes entre las versiones de 2024 y 2026.

En segundo lugar, determinar su alcance jurídico y distinguir las modificaciones interpretativas de las continuidades doctrinales.

Por último, analizar las consecuencias justificadas para la elaboración, revisión y auditoría de evaluaciones del interés legítimo.

Se utiliza una metodología jurídico-doctrinal y comparativa basada en el análisis de ambos documentos, su relación con el RGPD y los fundamentos jurisprudenciales relevantes.

Para evitar atribuir carácter novedoso a criterios ya existentes, las diferencias se clasifican en cinco categorías:

Esta clasificación constituye una herramienta analítica propia, no una taxonomía oficial del CEPD.

El estudio se centra en los cambios que tienen mayor relevancia jurídica o práctica. No pretende reproducir exhaustivamente todas las modificaciones editoriales ni atribuir cada una de ellas a una contribución concreta de la consulta pública.

3. Continuidades y cambios entre las versiones de 2024 y 2026

3.1. La permanencia de las tres condiciones acumulativas

La versión definitiva mantiene la estructura de tres condiciones acumulativas del artículo 6.1.f).

La primera exige identificar un interés legítimo perseguido por el responsable o un tercero.

El interés debe ser lícito, suficientemente definido y presente y efectivo.

La segunda condición exige demostrar que el tratamiento resulta necesario para alcanzar el interés identificado.

El apartado 26 de la versión definitiva recuerda que deben examinarse alternativas razonables que permitan alcanzar el objetivo con eficacia equivalente y menor restricción de los derechos y libertades.

La tercera condición exige una ponderación entre el interés perseguido y los intereses, derechos y libertades fundamentales de las personas afectadas.

El apartado 29 identifica como elementos relevantes los intereses y derechos afectados, las consecuencias del tratamiento, las expectativas razonables y el resultado final de la ponderación.

Estas condiciones no pueden sustituirse entre sí.

La existencia de un interés legítimo no acredita automáticamente la necesidad.

Tampoco puede utilizarse una garantía adicional para subsanar la ausencia de una condición jurídica previa.

Referencias: CEPD, Directrices 1/2024, v. 2.0, apartados 6–7, 16, 25–29; TJUE, Meta Platforms, C-252/21, apartado 106.

3.2. Principales diferencias entre las versiones

La comparación permite establecer una conclusión principal.

La versión definitiva no altera las condiciones jurídicas del artículo 6.1.f), pero precisa determinados criterios utilizados para examinar su concurrencia.

Los desarrollos más relevantes para las evaluaciones profesionales se encuentran en la consideración de las garantías, las expectativas razonables y la transparencia de la ponderación.

4. Las garantías en la ponderación: el principal desarrollo interpretativo

La relación entre las medidas que limitan el impacto y el resultado de la ponderación constituye uno de los elementos de mayor interés de la versión definitiva.

La novedad no consiste en que el CEPD introduzca por primera vez las garantías en el análisis, sino en que precisa cómo deben considerarse las medidas obligatorias y las adicionales.

4.1. El criterio del borrador de 2024

El apartado 34 del borrador de 2024 recordaba que el responsable debía cumplir previamente los principios y obligaciones del RGPD.

Ello significaba que determinadas medidas de protección constituían exigencias legales y no podían presentarse automáticamente como garantías extraordinarias.

Posteriormente, los apartados 56 a 58 diferenciaban las medidas mitigadoras adicionales de las obligaciones que el responsable ya debía cumplir.

El apartado 57 subrayaba que las garantías adicionales debían ir más allá de las exigencias legales aplicables.

Entre sus ejemplos se encontraban determinadas facilidades para el ejercicio de derechos que excedían las condiciones ordinarias establecidas en el RGPD.

La finalidad de esta distinción era evitar que el cumplimiento de las obligaciones legales se utilizara por sí solo como elemento capaz de transformar una ponderación desfavorable.

4.2. La precisión introducida en 2026

La versión definitiva articula con mayor claridad dos aspectos.

El apartado 52 establece que la valoración debe tener en cuenta las medidas que limitan el impacto del tratamiento, incluidas aquellas jurídicamente obligatorias.

El apartado 53 contempla la posibilidad de introducir garantías adicionales cuando los intereses, derechos y libertades de las personas afectadas parezcan prevalecer.

El apartado 54 desarrolla ejemplos de medidas adicionales.

Finalmente, el apartado 56 señala que, cuando el responsable introduce tales garantías, debe poder demostrar cómo modifican el resultado de la ponderación.

La diferencia es importante.

Las medidas obligatorias forman parte de las condiciones bajo las cuales debe ejecutarse el tratamiento. Si efectivamente limitan sus consecuencias, ese efecto debe considerarse.

Las garantías adicionales pueden reducir todavía más determinadas afectaciones y contribuir a modificar una ponderación inicialmente desfavorable.

Sin embargo, no basta con incorporarlas formalmente: debe explicarse su contribución.

Contraste documental

2024, apartado 57: se acentuaba la distinción entre las medidas obligatorias y las garantías adicionales utilizadas para mitigar impactos.

2026, apartados 52–56: se explicita la consideración del efecto protector de las medidas obligatorias y se desarrolla la necesidad de justificar la contribución de las adicionales.

La evolución no elimina la distinción.

La precisa y facilita su aplicación.

4.3. Ejemplos de garantías adicionales

El apartado 54 de la versión definitiva contempla distintas medidas que pueden resultar relevantes en determinadas circunstancias.

Entre ellas se encuentran las actuaciones voluntarias de transparencia reforzada, la información complementaria sobre el tratamiento, las facilidades adicionales para ejercer derechos y los mecanismos de exclusión que exceden las exigencias legales.

También se contempla establecer períodos razonables entre la recogida y la utilización de los datos, de modo que los interesados puedan ejercer determinados derechos antes de que se produzca la operación prevista.

Estos ejemplos no constituyen una lista obligatoria ni exhaustiva.

Su pertinencia depende de las consecuencias que deban limitarse.

El efecto de una garantía debe analizarse atendiendo al tratamiento concreto y a los derechos afectados.

4.4. La demostrabilidad de las garantías

La precisión del apartado 56 no equivale a establecer una obligación general de cuantificar matemáticamente la eficacia de las medidas.

Las Directrices no imponen una escala de puntuaciones ni una fórmula de ponderación.

La justificación puede apoyarse en evidencias jurídicas, documentales, técnicas u organizativas, según las circunstancias.

Desde una perspectiva metodológica, conviene distinguir cuatro cuestiones:

Existencia: la medida ha sido prevista o establecida.

Implementación: la medida se encuentra efectivamente aplicada.

Efectividad: existen razones o evidencias apropiadas para considerar que limita las consecuencias identificadas.

Contribución: puede justificarse cómo su efecto influye en la ponderación.

Esta clasificación constituye una propuesta analítica propia, no una metodología oficial del CEPD.

Su utilidad consiste en evitar que la mera enumeración de medidas sustituya la justificación de sus efectos.

4.5. La doble contabilización de efectos protectores

La consideración de garantías obligatorias y adicionales introduce una cautela metodológica.

Cuando el efecto de una medida ya ha sido considerado al determinar las características del tratamiento y valorar sus consecuencias, no debería atribuirse nuevamente el mismo efecto protector en otra fase de la evaluación.

Por ejemplo, si la minimización ya ha determinado el alcance de los datos utilizados y sus consecuencias, no resultaría coherente descontar otra vez ese mismo impacto por la mera existencia de una política de minimización.

Esta observación no constituye una regla expresamente formulada por el CEPD.

Es una inferencia metodológica dirigida a preservar la coherencia de la evaluación y evitar que determinadas medidas produzcan artificialmente un resultado favorable.

5. Las expectativas razonables: una valoración contextual

Las expectativas razonables constituyen un elemento relevante de la ponderación.

Su función consiste en valorar aquello que las personas pueden esperar justificadamente respecto del tratamiento de sus datos, atendiendo a las circunstancias concretas.

5.1. La continuidad del criterio

El borrador de 2024 ya advertía que las prácticas habituales de un sector no determinan automáticamente las expectativas razonables de las personas.

Esta posición figuraba expresamente en su apartado 52.

La versión definitiva mantiene ese criterio en el apartado 49 e incorpora la referencia a lo que puede esperarse justificadamente en un contexto específico.

La modificación debe considerarse una precisión interpretativa, no una innovación jurídica completa.

La frecuencia de una práctica no basta para demostrar su razonabilidad.

5.2. Expectativa subjetiva y expectativa jurídicamente razonable

Desde una perspectiva analítica conviene diferenciar:

Expectativa subjetiva: aquello que una persona cree que ocurrirá con sus datos.

Práctica habitual: aquello que suele realizarse en un determinado entorno o sector.

Expectativa jurídicamente razonable: aquello que puede justificarse atendiendo a la relación entre las partes, la finalidad, el contexto y las consecuencias del tratamiento.

Esta clasificación constituye una propuesta conceptual propia.

La evaluación no puede limitarse a constatar la existencia de una determinada práctica ni a examinar exclusivamente el conocimiento subjetivo del interesado.

Debe justificar las circunstancias que permiten considerar razonablemente esperable el tratamiento.

5.3. El ejemplo de las fotografías públicas

El ejemplo 6 de la versión definitiva resulta especialmente ilustrativo.

Una empresa pretende imprimir folletos comerciales utilizando fotografías de rostros disponibles públicamente en internet y redes sociales.

Las imágenes habían sido publicadas por las propias personas representadas.

En las circunstancias descritas, el CEPD considera que esas personas no podían esperar razonablemente que un tercero utilizase y publicase posteriormente sus fotografías con esa finalidad.

El ejemplo permite comprender una distinción esencial:

La publicación previa de datos personales puede ser relevante para el contexto, pero no constituye por sí sola una autorización general para reutilizarlos ni determina automáticamente una expectativa razonable de reutilización.

Es necesario considerar la finalidad posterior, el ámbito de difusión, la relación entre las partes y las consecuencias.

La disponibilidad pública de los datos no elimina las restantes condiciones de licitud.

5.4. Transparencia y expectativas

El apartado 50 definitivo recuerda que el cumplimiento de las obligaciones informativas de los artículos 12, 13 y 14 no demuestra por sí solo que el tratamiento sea razonablemente esperable.

La información proporcionada constituye una obligación jurídica y puede influir en el contexto.

Pero no convierte automáticamente una operación inesperada en jurídicamente justificada.

En consecuencia, una evaluación no debería limitarse a comprobar que el tratamiento aparece descrito en una política de privacidad.

Debe justificar por qué las personas podían esperarlo razonablemente en las circunstancias concretas.

6. La transparencia de la ponderación: obligaciones y buenas prácticas

La versión definitiva introduce una reformulación relevante sobre la posibilidad de facilitar información relativa al ejercicio de ponderación.

6.1. Diferencia entre ambas versiones

El apartado 68 del borrador de 2024 utilizaba una formulación exigente sobre la necesidad de informar a las personas de que podían solicitar información relativa a la ponderación.

Vinculaba dicha orientación con la transparencia y la responsabilidad proactiva.

El apartado 66 de la versión definitiva emplea un lenguaje diferente.

Considera una buena práctica proporcionar anticipadamente información sobre la ponderación y aconseja informar de la posibilidad de obtener información sobre ella a petición.

La modificación debe calificarse principalmente como un cambio de énfasis interpretativo.

No elimina las obligaciones legales de transparencia.

Tampoco establece una obligación general de entregar íntegramente la evaluación interna.

Contraste documental

2024, apartado 68: formulación de mayor intensidad sobre informar a los interesados de la posibilidad de solicitar información de la ponderación.

2026, apartado 66: diferenciación entre la buena práctica de facilitar información anticipada y la recomendación de informar sobre su obtención a petición.

6.2. Diferenciación de obligaciones

Conviene distinguir tres planos.

Información obligatoria. El responsable debe proporcionar la información exigida por los artículos 12, 13 y 14 del RGPD, incluida la identificación del interés legítimo perseguido cuando corresponda.

Responsabilidad proactiva. Conforme a los artículos 5.2 y 24, debe poder demostrar que concurren las condiciones jurídicas del tratamiento.

Información adicional sobre la ponderación. El CEPD formula determinadas actuaciones como buenas prácticas y recomendaciones, sin establecer un deber autónomo general de entregar el documento íntegro de evaluación.

La información dirigida a los interesados debe ser concisa, transparente, inteligible y fácilmente accesible.

Asimismo, las explicaciones adicionales deberán ajustarse a las circunstancias, los derechos ejercitados y otros intereses jurídicamente protegidos.

La protección de secretos empresariales, la seguridad o los derechos de terceros no constituye una excepción general al cumplimiento de las obligaciones informativas.

6.3. Consecuencia profesional

Resulta conveniente diferenciar la documentación interna y las explicaciones externas.

La primera debe recoger los fundamentos, alternativas, consecuencias, garantías y evidencias que sustentan la decisión.

Las segundas deben permitir comprender adecuadamente la base jurídica y el interés perseguido, facilitando el ejercicio efectivo de derechos sin generar una sobrecarga informativa innecesaria.

7. Prevención del fraude: finalidad, necesidad y consecuencias

El considerando 47 del RGPD reconoce que el tratamiento estrictamente necesario para prevenir el fraude constituye, en principio, una manifestación de interés legítimo.

Sin embargo, ello no significa que cualquier tratamiento destinado genéricamente a combatir conductas fraudulentas resulte automáticamente lícito.

Los apartados 100 a 105 de la versión definitiva desarrollan la aplicación de las condiciones del artículo 6.1.f) en este ámbito.

7.1. La especificidad de la finalidad

El CEPD recuerda que el responsable debe determinar qué modalidad de fraude pretende prevenir y qué datos necesita utilizar.

Una referencia genérica a la prevención del fraude dificulta justificar la necesidad y delimitar el alcance de las operaciones.

Esta exigencia ya estaba presente en el borrador de 2024.

Por tanto, no debe calificarse como una innovación exclusiva de la versión definitiva.

7.2. El peso del interés perseguido

El apartado 104 contempla la relevancia de la gravedad del fraude y sus posibles consecuencias.

El peso del interés puede variar en función de los perjuicios que la actividad fraudulenta pueda causar al responsable, a sus clientes o a terceros.

Sin embargo, esa relevancia no elimina la necesidad ni la ponderación.

El responsable también debe considerar las consecuencias de las medidas preventivas sobre personas que no participan en actividades fraudulentas.

7.3. Ejemplo aplicado

Una entidad pretende analizar determinados indicadores de identidad y transacción para prevenir suplantaciones durante procesos de contratación.

El interés perseguido puede resultar legítimo.

Sin embargo, la evaluación debe identificar la modalidad de fraude, justificar los indicadores utilizados y considerar alternativas razonables igualmente eficaces y menos restrictivas.

También debe examinar las consecuencias de posibles alertas incorrectas sobre personas que realizan operaciones legítimas.

Las medidas de minimización, limitación de conservación o revisión de alertas pueden resultar pertinentes según las circunstancias.

Pero su existencia no garantiza por sí sola un resultado favorable.

Será necesario valorar su efecto y las consecuencias que subsisten.

El ejemplo es ilustrativo y no reproduce una decisión del CEPD.

Su finalidad consiste en mostrar que la evaluación exige justificar operaciones concretas, no únicamente invocar un interés general en prevenir el fraude.

8. Marketing directo: interés legítimo y normativa especial

La versión definitiva desarrolla la aplicación del interés legítimo al marketing directo y precisa su relación con determinadas disposiciones específicas del Derecho de la Unión.

Este desarrollo merece atención porque pone de relieve una cuestión transversal: antes de realizar la ponderación del artículo 6.1.f), es necesario determinar si existe una regulación especial aplicable al tratamiento.

8.1. El concepto de marketing directo

El apartado 109 recuerda que, a efectos del RGPD, el marketing directo no se limita necesariamente a comunicaciones comerciales.

También puede comprender determinadas comunicaciones no solicitadas de partidos políticos, asociaciones y organizaciones benéficas destinadas a promover sus objetivos.

En determinados supuestos puede resultar aplicable el Reglamento (UE) 2024/900 sobre transparencia y segmentación de la publicidad política, cuando la actividad quede comprendida en su ámbito material.

Ello no significa que toda comunicación realizada por una organización política, social o benéfica esté automáticamente sometida a ese Reglamento.

La determinación del régimen aplicable requiere examinar la naturaleza de la actividad.

8.2. La relación entre RGPD y ePrivacy

Los apartados 112 a 116 de la versión definitiva desarrollan las relaciones entre el RGPD y la Directiva 2002/58/CE, conocida como Directiva ePrivacy.

El CEPD recuerda que la invocación del interés legítimo no permite eludir las exigencias específicas aplicables a determinadas comunicaciones electrónicas no solicitadas ni a ciertas técnicas de seguimiento.

El artículo 13 de la Directiva ePrivacy establece un régimen específico para las comunicaciones comerciales electrónicas no solicitadas.

Por otra parte, el artículo 5.3 regula determinadas operaciones de almacenamiento o acceso a información en equipos terminales, con sus correspondientes condiciones y excepciones.

Cuando estas disposiciones resultan aplicables, es necesario examinar sus requisitos antes de considerar las condiciones generales del artículo 6.1.f).

8.3. La sentencia Inteligo Media

La versión definitiva incorpora la sentencia del TJUE de 13 de noviembre de 2025, asunto C-654/23, Inteligo Media.

Esta resolución examina la excepción prevista en el artículo 13.2 de la Directiva ePrivacy.

Dicha disposición permite, bajo determinadas condiciones, utilizar datos electrónicos de contacto obtenidos lícitamente de clientes en el contexto de la venta de un producto o servicio para promocionar productos o servicios propios similares.

Entre sus requisitos se encuentra la posibilidad efectiva de oponerse al uso de esos datos de forma sencilla y gratuita, tanto en el momento de recogida como en cada comunicación posterior cuando el cliente no haya rechazado previamente su utilización.

El TJUE considera que, cuando concurren las condiciones del artículo 13.2 para el envío comprendido en su ámbito, esta disposición, interpretada conjuntamente con el artículo 95 del RGPD, regula específicamente las condiciones jurídicas pertinentes.

En consecuencia, no resulta necesario verificar adicionalmente las condiciones de licitud del artículo 6.1 del RGPD para esa actividad concreta de envío.

Esta interpretación aparece recogida en los apartados 115 y 116 de las Directrices definitivas.

Referencias: TJUE, Inteligo Media, C-654/23, apartados 64–69; CEPD, Directrices 1/2024, v. 2.0, apartados 115–116.

8.4. Alcance de la excepción

La conclusión debe interpretarse de manera delimitada.

El artículo 13.2 constituye una regulación especial para la comunicación comprendida en sus condiciones.

No supone una autorización general para realizar cualquier tratamiento de datos relacionado con actividades de marketing.

La obtención y conservación de datos, su segmentación, la elaboración de perfiles o su utilización posterior para finalidades diferentes pueden constituir operaciones sometidas a requisitos propios del RGPD.

Debe examinarse, asimismo, la normativa nacional de transposición de la Directiva ePrivacy, que puede establecer exigencias específicas en los términos permitidos por el Derecho de la Unión.

Por tanto, el análisis debe distinguir entre el acto de envío amparado por una disposición especial y otras operaciones que puedan desarrollarse dentro de una misma actividad comercial.

La enseñanza principal es que el interés legítimo no constituye una autorización general para realizar actividades de marketing directo.

Antes de efectuar una ponderación es necesario determinar si existe una norma especial que establezca condiciones específicas de licitud, exija consentimiento o excluya la necesidad de aplicar nuevamente el artículo 6.1 para la operación comprendida en su ámbito.

9. Interés legítimo e inteligencia artificial

La versión definitiva incorpora referencias al Dictamen 28/2024 del CEPD sobre determinados aspectos de protección de datos relacionados con los modelos de inteligencia artificial.

El apartado 90 remite a ese Dictamen respecto de la posible aplicación del artículo 6.1.f) a tratamientos efectuados durante el desarrollo y despliegue de modelos.

También se incorpora una referencia a las Directrices 03/2026 sobre extracción de datos de sitios web en el contexto de la IA generativa.

Estas incorporaciones deben considerarse una actualización documental y una conexión entre instrumentos interpretativos.

No establecen una habilitación general para entrenar o desplegar modelos de IA utilizando datos personales sobre la base del interés legítimo.

9.1. Finalidades y necesidad

Las actividades relacionadas con modelos de IA pueden comprender diferentes operaciones y finalidades.

La evaluación debe identificar los tratamientos correspondientes y examinar si concurren las condiciones del artículo 6.1.f).

La utilidad de utilizar grandes cantidades de información para mejorar un modelo no demuestra por sí sola la necesidad jurídica de tratar determinados datos personales.

Deben considerarse alternativas razonables igualmente eficaces y menos restrictivas.

9.2. Expectativas e impactos

La evaluación debe atender a la naturaleza de los datos, su origen, el contexto de recogida y utilización y las posibles consecuencias sobre las personas.

Las operaciones de inferencia y combinación pueden producir efectos que no resultaban evidentes durante la recogida inicial.

También deben examinarse las condiciones de obtención de los datos y las limitaciones aplicables a tratamientos posteriores.

9.3. Límites

El artículo 6.1.f) no sustituye los requisitos específicos que puedan resultar aplicables conforme a otras disposiciones del RGPD.

En particular, deben considerarse las condiciones de tratamiento de categorías especiales de datos, las relativas a decisiones individuales automatizadas y la obligación de realizar una evaluación de impacto cuando concurran sus presupuestos legales.

La adopción de medidas de seguridad o de técnicas de protección de la privacidad no demuestra automáticamente la necesidad o licitud del tratamiento.

10. Demostrabilidad y responsabilidad proactiva

El principio de responsabilidad proactiva establecido en el artículo 5.2 del RGPD exige que el responsable pueda demostrar el cumplimiento de los principios aplicables.

El artículo 24 desarrolla las obligaciones relativas a la adopción y revisión de medidas apropiadas.

En el ámbito del interés legítimo, la demostrabilidad comprende la capacidad de justificar las tres condiciones acumulativas del artículo 6.1.f).

La versión definitiva precisa especialmente la importancia de explicar cómo las garantías adicionales modifican el resultado de la ponderación.

10.1. La documentación no sustituye el juicio jurídico

La existencia de una evaluación formalizada no acredita automáticamente la licitud.

La calidad jurídica de la evaluación depende de la coherencia entre las circunstancias del tratamiento, las condiciones aplicables, los impactos identificados y las razones que sustentan el resultado.

Las matrices pueden facilitar la organización de la información, pero no sustituyen el juicio jurídico.

Tampoco resulta adecuado transformar la ponderación en una operación aritmética mediante la cual cualquier beneficio pueda compensar automáticamente afectaciones a derechos fundamentales.

Las puntuaciones, cuando se utilicen, deben servir de apoyo al razonamiento y no sustituir la motivación jurídica.

10.2. Propuesta de trazabilidad

Desde una perspectiva metodológica, resulta útil diferenciar cuatro dimensiones.

Justificación: fundamentar por qué se considera que concurren las condiciones del artículo 6.1.f).

Implementación: comprobar que las condiciones y medidas previstas se encuentran efectivamente aplicadas.

Verificación: disponer de evidencias apropiadas que sustenten la evaluación y el efecto atribuido a determinadas garantías.

Revisión: reconsiderar el análisis cuando cambien circunstancias relevantes del tratamiento.

Esta arquitectura constituye una propuesta propia de sistematización.

No representa una metodología oficial del CEPD ni un instrumento empíricamente validado.

Su finalidad es mejorar la trazabilidad de las decisiones y facilitar su revisión.

11. Implicaciones para la auditoría y relación con la EIPD

11.1. La auditoría de evaluaciones del interés legítimo

Las precisiones introducidas en la versión definitiva ofrecen criterios útiles para revisar la calidad de las evaluaciones.

La auditoría no debe limitarse a comprobar su existencia formal o la cumplimentación de determinados apartados.

Debe examinar si la fundamentación permite sostener las condiciones del artículo 6.1.f).

Entre los aspectos que merecen especial atención se encuentran:

• La identificación del interés legítimo y su determinación concreta.
• La finalidad y las operaciones implicadas.
• La justificación de la necesidad y el examen de alternativas.
• La identificación de los derechos e intereses afectados.
• La valoración contextual de las expectativas razonables.
• La relación entre las consecuencias del tratamiento y las garantías aplicadas.
• La motivación del resultado final.
• La revisión de la evaluación cuando cambien circunstancias relevantes.

Una evaluación firmada no demuestra por sí sola su corrección jurídica.

Del mismo modo, la ausencia de firma no determina automáticamente su invalidez si existen evidencias suficientes y se cumplen las obligaciones de documentación y demostración aplicables.

11.2. Relación entre LIA y EIPD

La evaluación del interés legítimo y la evaluación de impacto relativa a la protección de datos tienen objetos jurídicos diferentes.

La LIA examina las condiciones del artículo 6.1.f).

La EIPD, cuando resulta exigible conforme al artículo 35, examina los riesgos para los derechos y libertades y las medidas previstas para afrontarlos.

La realización de una EIPD, o la conclusión de que determinados riesgos residuales han quedado suficientemente mitigados, no acredita automáticamente la existencia de una base jurídica válida.

Del mismo modo, una LIA que concluya por la procedencia del interés legítimo no excluye la obligación de efectuar una EIPD cuando concurran sus presupuestos legales.

Ambas evaluaciones pueden compartir información y evidencias.

Sin embargo, sus objetos y conclusiones deben mantenerse diferenciados.

12. Discusión académica

La comparación de ambas versiones no permite afirmar que el CEPD haya establecido un nuevo régimen jurídico del interés legítimo.

Las tres condiciones acumulativas permanecen.

La evolución se concentra en precisiones textuales, desarrollos operativos, cambios de énfasis y referencias jurisprudenciales y documentales posteriores.

La principal aportación para la práctica profesional reside en la mayor claridad sobre las garantías y la necesidad de justificar cómo las medidas adicionales influyen en el resultado.

Sin embargo, esta exigencia no convierte la demostrabilidad en una condición autónoma que sustituya la legitimidad del interés, la necesidad o la ponderación.

Tampoco establece una obligación general de cuantificar los efectos de todas las garantías.

Las expectativas razonables continúan siendo un criterio jurídico contextual.

La práctica habitual del sector, la disponibilidad pública de los datos o el cumplimiento formal de las obligaciones de información no bastan, por sí solos, para demostrar que un tratamiento pueda esperarse justificadamente.

La reformulación relativa a la transparencia permite diferenciar las obligaciones establecidas por el RGPD de las recomendaciones institucionales para facilitar información adicional sobre la ponderación.

Por su parte, la evolución en materia de marketing directo muestra la importancia de identificar el régimen jurídico aplicable antes de invocar el interés legítimo.

La sentencia Inteligo Media pone de relieve que determinadas operaciones pueden encontrarse específicamente reguladas por la Directiva ePrivacy y que, en los términos delimitados por el TJUE, no procede reiterar para el acto de envío el examen de las bases jurídicas generales del artículo 6.1.

Finalmente, las referencias a modelos de IA recuerdan que las particularidades tecnológicas no eliminan las exigencias jurídicas generales.

Desde una perspectiva académica, estas precisiones permiten desarrollar una línea de investigación sobre la calidad y trazabilidad de las evaluaciones.

La hipótesis de que una metodología que relacione explícitamente consecuencias, garantías y evidencias pueda mejorar la consistencia de las decisiones resulta plausible.

No obstante, su validación requeriría una investigación independiente.

El objeto del presente informe es jurídico-doctrinal: identificar la evolución interpretativa y delimitar sus consecuencias justificadas para la práctica profesional.

13. Conclusiones

Primera. Continuidad del régimen jurídico. La versión definitiva de las Directrices 1/2024 mantiene las tres condiciones acumulativas del artículo 6.1.f). No introduce una nueva base de licitud ni altera la estructura normativa del interés legítimo.

Segunda. Diferente alcance de las modificaciones. La comparación revela continuidades, precisiones textuales, desarrollos operativos, cambios de énfasis y actualizaciones documentales. No toda diferencia de redacción constituye una innovación jurídica.

Tercera. Garantías y demostrabilidad. La versión definitiva precisa la consideración del efecto de las medidas obligatorias en la valoración del impacto y desarrolla la exigencia de justificar cómo las garantías adicionales modifican una ponderación inicialmente desfavorable. Esto no implica una obligación general de cuantificación ni permite subsanar el incumplimiento de otras condiciones.

Cuarta. Expectativas razonables. La práctica sectorial, la disponibilidad pública de los datos o el cumplimiento formal de las obligaciones informativas no acreditan por sí solos que un tratamiento pueda esperarse justificadamente. La evaluación requiere una valoración contextual.

Quinta. Transparencia. La versión definitiva modera la formulación sobre la comunicación de información relativa a la ponderación, diferenciando obligaciones legales y buenas prácticas, sin eliminar los deberes de información y responsabilidad proactiva.

Sexta. Aplicaciones contextuales y normativa especial. La prevención del fraude, el marketing directo y los tratamientos relacionados con modelos de IA exigen identificar finalidades y operaciones concretas. La relación ePrivacy–RGPD demuestra, además, que determinadas actividades están sujetas a reglas especiales que deben examinarse antes de invocar el interés legítimo.

Séptima. Calidad de las evaluaciones. La concurrencia de las condiciones jurídicas debe justificarse mediante una argumentación coherente con las características del tratamiento. Las matrices, puntuaciones y herramientas de evaluación pueden facilitar ese análisis, pero no sustituir el juicio jurídico.

Octava. Implicaciones para la auditoría. La evaluación debe permitir reconstruir las razones de la decisión, las consecuencias identificadas, las garantías consideradas y las evidencias disponibles. La trazabilidad constituye una herramienta útil para reforzar la calidad de las evaluaciones sin convertir la documentación en un fin en sí mismo.

14. Consideración final

La adopción definitiva de las Directrices 1/2024 no representa un cambio de paradigma en la aplicación del interés legítimo.

Su importancia reside en precisar determinados aspectos de una evaluación que, desde su fundamento normativo, siempre ha exigido algo más que identificar un interés del responsable y afirmar su legitimidad.

El tratamiento debe resultar necesario y superar una ponderación que considere los intereses, derechos y libertades de las personas afectadas.

La versión definitiva aporta claridad sobre el papel de las garantías y exige justificar cómo las medidas adicionales pueden modificar el resultado.

También recuerda la importancia de las expectativas razonables, desarrolla determinadas aplicaciones contextuales y permite distinguir con mayor precisión las obligaciones de transparencia de las buenas prácticas recomendadas.

La incorporación de la jurisprudencia relativa al marketing directo demuestra, además, que no siempre procede comenzar por una evaluación del artículo 6.1.f). En determinados supuestos, una normativa especial establece las condiciones jurídicas aplicables a una operación específica.

Desde la perspectiva de la responsabilidad proactiva, la principal consecuencia de esta evolución no consiste en multiplicar formularios, matrices o documentos.

Consiste en mejorar la calidad de la argumentación y la coherencia de las evidencias utilizadas para justificar las decisiones.

La evaluación del interés legítimo no debe concebirse como un formulario destinado a confirmar una decisión previamente adoptada, sino como un ejercicio jurídico destinado a determinar si el tratamiento puede justificarse conforme al RGPD.

Esta es la enseñanza principal que puede extraerse de la evolución interpretativa del CEPD y el criterio que debería orientar la elaboración, revisión y auditoría de las evaluaciones profesionales.

Referencias normativas, institucionales y jurisprudenciales

A. Normativa

[1] Unión Europea. Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, General de Protección de Datos. Especialmente artículos 5, 6, 12–15, 17, 21, 22, 24, 25, 35, 70 y 95.
https://eur-lex.europa.eu/eli/reg/2016/679/oj?locale=es

[2] Unión Europea. Carta de los Derechos Fundamentales de la Unión Europea. Especialmente artículos 7, 8 y 52.
https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=CELEX:12012P/TXT

[3] Unión Europea. Directiva 2002/58/CE del Parlamento Europeo y del Consejo, de 12 de julio de 2002, sobre privacidad y comunicaciones electrónicas. Especialmente artículos 5.3 y 13.
https://eur-lex.europa.eu/eli/dir/2002/58/oj?locale=es

[4] Unión Europea. Reglamento (UE) 2024/900 del Parlamento Europeo y del Consejo, de 13 de marzo de 2024, sobre transparencia y segmentación de la publicidad política.
https://eur-lex.europa.eu/eli/reg/2024/900/oj?locale=es

B. Documentos institucionales

[5] Comité Europeo de Protección de Datos (2024). Guidelines 1/2024 on processing of personal data based on Article 6(1)(f) GDPR. Versión 1.0, adoptada el 8 de octubre de 2024 para consulta pública.
https://www.edpb.europa.eu/system/files/2024-10/edpb_guidelines_202401_legitimateinterest_en.pdf

[6] Comité Europeo de Protección de Datos (2026). Guidelines 1/2024 on processing of personal data based on Article 6(1)(f) GDPR. Versión 2.0, adoptada el 10 de noviembre de 2026.
https://www.edpb.europa.eu/system/files/2026-11/edpb_guidelines_202401_legitimateinterest_v2_en.pdf

[7] Grupo de Trabajo del Artículo 29 (2014). Opinion 06/2014 on the notion of legitimate interests of the data controller under Article 7 of Directive 95/46/EC. WP217, 9 de abril de 2014.

[8] Comité Europeo de Protección de Datos (2024). Opinion 28/2024 on certain data protection aspects related to the processing of personal data in the context of AI models. 17 de diciembre de 2024.
https://www.edpb.europa.eu/system/files/2024-12/edpb_opinion_202428_ai-models_en.pdf

[9] Comité Europeo de Protección de Datos (2020). Guidelines 4/2019 on Article 25 Data Protection by Design and by Default. Versión 2.0, 20 de octubre de 2020.

[10] Comité Europeo de Protección de Datos (2026). Guidelines 03/2026 on web scraping in the context of generative AI. Versión 1.0, 7 de julio de 2026, citada en las Directrices 1/2024, versión 2.0.

C. Jurisprudencia

[11] TJUE. Sentencia de 4 de julio de 2023, asunto C-252/21, Meta Platforms y otros. ECLI:EU:C:2023:537. Especialmente apartados 106–126.

[12] TJUE. Sentencia de 7 de diciembre de 2023, asuntos acumulados C-26/22 y C-64/22, SCHUFA Holding. ECLI:EU:C:2023:958. Especialmente apartados 75, 83, 88, 92 y 111–112.

[13] TJUE. Sentencia de 4 de octubre de 2024, asunto C-621/22, Koninklijke Nederlandse Lawn Tennisbond. ECLI:EU:C:2024:858.

[14] TJUE. Sentencia de 11 de diciembre de 2019, asunto C-708/18, Asociaţia de Proprietari bloc M5A-ScaraA. ECLI:EU:C:2019:1064.

[15] TJUE. Sentencia de 4 de mayo de 2017, asunto C-13/16, Rīgas satiksme. ECLI:EU:C:2017:336.

[16] TJUE. Sentencia de 9 de enero de 2025, asunto C-394/23, Mousse. ECLI:EU:C:2025:2.

[17] TJUE. Sentencia de 13 de noviembre de 2025, asunto C-654/23, Inteligo Media. ECLI:EU:C:2025:871. Especialmente apartados 64–69.
https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:62023CJ0654

[18] TJUE. Sentencia de 18 de junio de 2026, asunto C-484/24, NTH Haustechnik. ECLI:EU:C:2026:496.

Nota metodológica final

El presente informe constituye un análisiscomparativo basado en las versiones 1.0 y 2.0 de las Directrices 1/2024, el RGPD y la jurisprudencia pertinente.

Las propuestas relativas a la trazabilidad, la clasificación de garantías, la prevención de la doble contabilización y la mejora de la documentación de evidencias son desarrollos analíticos propios.

Se diferencian de las obligaciones establecidas por el RGPD y de las orientaciones expresamente formuladas por el CEPD.

El estudio no presenta esas propuestas como instrumentos empíricamente validados ni atribuye causalmente las modificaciones documentales a contribuciones específicas de la consulta pública.

Fuentes electrónicas verificadas: 13 de noviembre de 2026.

Autor y responsable editorial: Leocadio Marrero Trujillo.
El enfoque, la arquitectura, los criterios de análisis y las conclusiones de este artículo han sido definidos y validados por el autor. Durante su elaboración se han utilizado herramientas de inteligencia artificial generativa como apoyo para la estructuración, reformulación, edición y creación de determinados elementos gráficos.

El contenido ha sido sometido a revisión humana sustantiva, comprobación de fuentes y validación jurídica y técnica. El autor ha aprobado la versión definitiva y asume íntegramente la responsabilidad editorial sobre su contenido