Le sanzioni dell’autorità di controllo ungherese nei confronti di Forbes hanno fatto emergere in modo piuttosto chiaro la portata dell’obbligo di condurre una corretta valutazione del legittimo interesse. Sebbene l’importo delle sanzioni emesse non sia particolarmente elevato (circa 12 mila euro), le decisioni sono particolarmente rilevanti per gli spunti offerti proprio in relazione agli adempimenti che deve svolgere l’organizzazione che intende adottare il legittimo interesse come base giuridica su cui fondare le proprie attività di trattamento.
I fatti oggetto di investigazione da parte dell’autorità di controllo riguardano le pubblicazioni della versione cartacea e online della rivista Forbes di gennaio 2019, settembre 2019 e gennaio 2020, contenenti la lista dei 50 ungheresi più ricchi e delle maggiori imprese di famiglia. In particolare, è stata oggetto di reclamo la diffusione dei dati personali degli interessati senza che questi siano stati previamente informati e la mancata garanzia di esercizio del diritto di opposizione ai sensi dell’art. 21 GDPR.
Dopo aver compiuto una ricognizione sulla libertà di informazione e sul diritto di cronaca, l’Autorità ha riscontrato che il fatto specifico della pubblicazione della “lista dei ricchi” non va a soddisfare un interesse pubblico, ma può ben essere fondata sul legittimo interesse. Tale fondamento di liceità, però, deve essere adeguatamente documentato in ragione degli obblighi di responsabilizzazione di cui all’art. 24 GDPR, soprattutto nella parte di valutazione e del “three-step-test” attraverso cui si svolgono le valutazioni di scopo, necessità e bilanciamento. Il mancato adempimento di questo specifico obbligo ha comportato ulteriormente una conseguente impossibilità di informare adeguatamente gli interessati circa la possibilità di esercitare i propri diritti (in particolare: il diritto di opporsi all’attività di trattamento), rendendo così fondato il reclamo. Inoltre, viene evidenziato che la valutazione dei “motivi legittimi cogenti per procedere al trattamento” (art. 21.1 GDPR) deve altresì essere documentata facendo riferimento in concreto all’opposizione avanzata dall’interessato (e operando dunque un test individuale), e non può consistere in un rinvio alla valutazione generale della base giuridica.
Nelle proprie decisioni, oltre ad emettere sanzioni, l’Autorità ha ordinato a Forbes di provvedere ad informare gli interessati circa la raccolta dei dati, il legittimo interesse perseguito e la possibilità di esercitare il diritto di opposizione. Inoltre, viene prescritto di condurre una duplice valutazione del legittimo interesse sia come base giuridica per il trattamento svolto sia in riscontro alle richieste di opposizione avanzate dagli interessati.
Alla luce delle argomentazioni così svolte, è chiaro come lo svolgimento delle attività di trattamento sulla base del legittimo interesse comporti dei precisi obblighi di analisi e documentazione in capo al titolare del trattamento, il quale deve affrontare gli adempimenti sempre riferendosi al contesto concreto e tenendo conto delle tutele da garantire agli interessati.
