Il legittimo interesse di un’azienda a trattare dati personali, senza necessità del preventivo consenso dell’interessato, deve essere adeguatamente documentato: deve, infatti, essere sempre scritta e aggiornata una LIA (Legitimate Interest Assessment, valutazione del legittimo interesse). Per avvalersi di questa base giuridica alternativa all’assenso, gli operatori devono attestare di avere valutato e bilanciato i diritti di clienti e utenti. Pertanto, quando non è comprovato da idonea documentazione, è illecito il trattamento dei dati personali che un’impresa pretende di basare su un proprio legittimo interesse: ciò perché manca la prova dell’avvenuto svolgimento del necessario bilanciamento delle prerogative aziendali con le opposte esigenze delle persone cui si riferiscono i dati personali.

È quanto si ricava dall’ordinanza-ingiunzione del Garante della privacy n. 237 del 17 aprile 2026, che ha sanzionato Poste Italiane e Postepay per avere messo in piedi, senza una idonea “base giuridica”, un sistema di monitoraggio dell’utilizzo di alcune app da parte dei propri clienti e ciò allo scopo di rilevare eventuali software dannosi. Tale monitoraggio antifrode ha comportato il trattamento di dati personali e, se c’è trattamento di dati personali, il GDPR (Reg. UE 2016/679) esige che sia rispettata una “condizione di liceità” del trattamento st...