Interés legítimo

El interés legítimo es una de las seis bases legales del RGPD para el tratamiento de datos personales, recogida en el artículo 6.1.f. Permite el tratamiento cuando resulta necesario para satisfacer un interés lícito del responsable del tratamiento o de un tercero, siempre que los derechos del afectado no prevalezcan. Es la base jurídica habitual de los ficheros de solvencia como ASNEF o BADEXCUG.

Cómo funciona

La aplicación del interés legítimo requiere superar un test de ponderación en tres pasos, que el responsable debe documentar antes de iniciar el tratamiento:

1. Interés legítimo real: la finalidad debe ser lícita, concreta y actual, no hipotética.
2. Necesidad: el tratamiento debe ser adecuado y limitado a lo imprescindible; si existe una alternativa menos intrusiva, debe preferirse.
3. Ponderación: los intereses y derechos del afectado no pueden prevalecer sobre los del responsable. Se valoran la expectativa razonable del afectado, la relación previa, la posibilidad efectiva de oposición y el riesgo concreto derivado del tratamiento.

La ausencia de documentación del test en el momento del tratamiento es causa autónoma de sanción administrativa. La AEPD ha sancionado entidades que invocaron interés legítimo genérico sin acreditar el ejercicio concreto de ponderación.

Marco legal

El art. 6.1.f RGPD se complementa con el considerando 47, que cita expresamente la prevención del fraude y los sistemas comunes de información crediticia como ejemplos de interés legítimo reconocido. En España, el art. 20 de la LOPDGDD presume lícito el tratamiento en ficheros de solvencia cuando concurren los requisitos de su apartado 1: la presunción legal encaja directamente en la base jurídica del interés legítimo (a fecha 2026-04-17).

Cuándo se aplica

En el ámbito de morosidad, el interés legítimo ampara dos tratamientos típicos: la inclusión y consulta de datos en ficheros de solvencia patrimonial, y la cesión de datos a empresas de recobro o gestoras de cartera en el marco de una cesión de créditos. En ambos casos la presunción se rompe si falla cualquiera de los requisitos del art. 20.1 LOPDGDD —deuda cierta, vencida y exigible, requerimiento previo de pago, notificación en 30 días, plazo máximo de cinco años—. Sin esos elementos, el tratamiento pierde amparo y procede la supresión inmediata.

Fuentes

• Reglamento (UE) 2016/679 (RGPD), artículo 6.1.f y considerando 47 — recuperado 2026-04-17
• Ley Orgánica 3/2018 (LOPDGDD), artículo 20 — recuperado 2026-04-17