Evaluarea interesului legitim (LIA)

Evaluarea interesului legitim (LIA) este analiza documentată prin care demonstrezi că poți prelucra date personale în temeiul art. 6 alin. (1) lit. (f) GDPR, fără consimțământ. Parcurge trei pași cumulativi: identifici un interes real, dovedești că prelucrarea este necesară și faci un test de echilibru cu drepturile persoanelor vizate. Dacă un pas cade, temeiul nu se aplică; LIA se face înainte de prelucrare și se păstrează în scris.

Pe scurt

Evaluarea interesului legitim (LIA — Legitimate Interests Assessment) este analiza documentată prin care demonstrezi că poți prelucra date personale în temeiul interesului legitim (art. 6 alin. (1) lit. (f) GDPR), fără consimțământul persoanelor. LIA are trei pași cumulativi: (1) identifici un interes legitim real, (2) demonstrezi că prelucrarea este necesară pentru acel interes și (3) faci un test de echilibru care arată că interesul tău nu este depășit de drepturile și interesele persoanelor vizate. Dacă oricare pas cade, nu poți folosi interesul legitim; iar evaluarea trebuie făcută înainte de prelucrare și păstrată în scris, ca dovadă a conformității.

Cadrul legal

Temeiul „interes legitim" este reglementat direct de GDPR, ca unul dintre cele șase temeiuri de legalitate din art. 6.

Art. 6 alin. (1) lit. (f) GDPR — „prelucrarea este necesară în scopul intereselor legitime urmărite de operator sau de o parte terță, cu excepția cazului în care prevalează interesele sau drepturile și libertățile fundamentale ale persoanei vizate, care necesită protejarea datelor cu caracter personal, în special atunci când persoana vizată este un copil."

Sursa: Regulamentul (UE) 2016/679, art. 6 (accesat 2026-09-07)

Din text rezultă direct structura testului: trebuie să existe un interes legitim, prelucrarea trebuie să fie necesară pentru el, iar acesta nu trebuie să fie depășit de drepturile persoanei. Ultimul paragraf al art. 6 alin. (1) adaugă o limită importantă:

„Litera (f) [...] nu se aplică în cazul prelucrării efectuate de autorități publice în îndeplinirea atribuțiilor lor."

Considerentul (47) explică logica testului de echilibru și introduce criteriul așteptărilor rezonabile:

Considerentul (47) GDPR — interesele legitime pot constitui temei „cu condiția să nu prevaleze interesele sau drepturile și libertățile fundamentale ale persoanei vizate, luând în considerare așteptările rezonabile ale persoanelor vizate bazate pe relația acestora cu operatorul". Tot aici: „Prelucrarea [...] având drept scop marketingul direct poate fi considerată ca fiind desfășurată pentru un interes legitim."

Sursa: Regulamentul (UE) 2016/679, considerentul 47 (accesat 2026-09-07)

Interesul legitim este strâns legat de dreptul la opoziție (art. 21 GDPR): persoana vizată se poate opune „din motive legate de situația particulară în care se află", iar operatorul trebuie să înceteze prelucrarea, cu excepția cazului în care demonstrează „motive legitime și imperioase" care prevalează. Pentru marketing direct, opoziția este absolută și necondiționată (art. 21 alin. (2)).

La nivel național, Legea nr. 190/2018 pune în aplicare GDPR în România și adaugă garanții pentru anumite categorii de date (de exemplu CNP-ul și alți identificatori cu funcție generală), elemente care ridică pragul în testul de echilibru. Autoritatea de supraveghere este ANSPDCP.

Sursa: Legea nr. 190/2018 (accesat 2026-09-07)

Structura oficială a testului LIA în trei pași este detaliată de EDPB în Orientările 1/2024 privind prelucrarea în temeiul art. 6 alin. (1) lit. (f), care înlocuiesc vechiul Aviz WP29 06/2014.

Sursa: EDPB, Guidelines 1/2024 (accesat 2026-09-07)

Explicație detaliată

Evaluarea interesului legitim (LIA) este un exercițiu structurat în trei pași cumulativi: dacă un singur pas nu este trecut, nu poți folosi temeiul interesului legitim și trebuie să cauți alt temei (de regulă consimțământ sau contract). Ordinea contează — parcurgi pașii pe rând.

Pasul 1 — Testul de scop (există un interes legitim?)

Trebuie să identifici interesul concret pe care îl urmărești. Poate fi al tău (operator), al unui terț sau chiar al publicului. Potrivit EDPB, un interes este „legitim" doar dacă îndeplinește trei criterii cumulative:

• licit — conform cu legea (nu urmărește un scop interzis);
• formulat clar și precis — nu vag („îmbunătățirea afacerii"), ci precis („prevenirea fraudei la plata online");
• real și prezent — un interes actual, nu ipotetic sau speculativ.

Interesele comerciale sunt admise ca interese legitime, dar simpla existență a unui interes comercial nu îți dă undă verde: trebuie să treci și pașii 2 și 3.

Exemple de interese recunoscute uzual: prevenirea fraudei, securitatea rețelelor și a sistemelor IT, marketingul direct către clienți existenți, transmiterea datelor în interiorul unui grup de societăți în scopuri administrative interne, recuperarea creanțelor.

Pasul 2 — Testul de necesitate

Întrebarea este: este prelucrarea chiar necesară pentru atingerea interesului identificat, sau ai putea obține același rezultat cu mai puține date ori prin mijloace mai puțin intruzive? „Necesar" nu înseamnă „util" sau „convenabil". Dacă scopul se poate atinge:

• cu mai puține categorii de date,
• cu date anonimizate/agregate, sau
• fără a prelucra deloc date personale,

atunci prelucrarea nu este necesară și testul cade aici. Necesitatea impune și proporționalitatea cantității de date față de scop (principiul minimizării, art. 5 alin. (1) lit. (c)).

Pasul 3 — Testul de echilibru (balancing test)

Este pasul cel mai complex. Pui în balanță interesul tău legitim cu interesele, drepturile și libertățile fundamentale ale persoanei vizate. Elementele de analizat:

• Natura datelor — date sensibile (art. 9), date financiare/fiscale, identificatori precum CNP, date despre copii → greutate mare de partea persoanei;
• Impactul asupra persoanei — cât de intruzivă este prelucrarea, ce consecințe are (profilare, decizii automate, volume mari, combinarea seturilor de date);
• Așteptările rezonabile — s-ar aștepta persoana, în contextul relației cu tine, ca datele să fie folosite astfel? (criteriul din considerentul 47);
• Garanțiile aplicate — măsuri care reduc impactul: minimizare, pseudonimizare, transparență, un mecanism ușor de opoziție/opt-out, termene scurte de păstrare.

Dacă, după aplicarea garanțiilor, interesul tău nu este depășit de drepturile persoanei, testul e trecut. Dacă echilibrul rămâne fragil sau neconcludent, ori te bazezi pe alt temei (de regulă consimțământ), ori efectuezi o evaluare a impactului asupra protecției datelor (DPIA, art. 35) înainte de a continua.

Documentarea și legătura cu transparența

Cele trei etape trebuie documentate în scris înainte de prelucrare — LIA este o dovadă de conformitate cerută de principiul responsabilității (art. 5 alin. (2)). În plus, atunci când te bazezi pe interes legitim, ești obligat să informezi persoana despre acest temei și despre interesul urmărit (art. 13–14) și să îi asiguri dreptul de opoziție (art. 21).

Aspecte practice

Cum documentezi o LIA — structură minimă

Un document LIA util pentru un control ANSPDCP conține, pe fiecare scop de prelucrare:

1. Descrierea prelucrării — ce date, ale cui, în ce scop, cine are acces, cât timp le păstrezi.
2. Pasul 1 — interesul legitim — formulat clar; de ce e licit, real și prezent; al cui este.
3. Pasul 2 — necesitatea — de ce nu poți atinge scopul cu mai puține date sau altfel.
4. Pasul 3 — echilibrul — natura datelor, impactul, așteptările rezonabile, garanțiile aplicate, concluzia.
5. Decizia și data — rezultatul (interes legitim aplicabil / neaplicabil) și data revizuirii.

Trei exemple aplicate

Marketing direct către clienți existenți. Interes: promovarea produselor proprii către clienți (interes comercial recunoscut, considerentul 47). Necesitate: folosești doar e-mailul din relația contractuală. Echilibru: clientul se poate aștepta la astfel de mesaje, oferi opt-out la fiecare comunicare. ⚠️ Atenție: pentru e-mail/SMS comercial se aplică și regulile de comunicări electronice; opoziția la marketing direct este absolută (art. 21 alin. (2)) — nu o poți refuza.

Prevenirea fraudei. Interes: reducerea fraudei la plăți (real, licit, precis). Necesitate: analizezi doar tranzacțiile și indicatorii de risc, nu întregul istoric. Echilibru: persoanele se așteaptă la verificări antifraudă; aplici pseudonimizare și acces restrâns.

Securitate IT și supraveghere video. Interes: protecția rețelei/bunurilor. Necesitate: colectezi doar logurile/imaginile strict necesare. Echilibru: zone semnalizate, termen scurt de păstrare, acces limitat. În România, prelucrarea prin supraveghere video este vizată de decizii ANSPDCP dedicate — aliniază LIA la acestea.

Greșeli frecvente

• LIA făcută „de formă", după ce ai început deja prelucrarea. Evaluarea trebuie făcută înainte și datată.
• A confunda „util" cu „necesar". Dacă scopul se atinge cu mai puține date, testul de necesitate cade.
• A folosi interesul legitim pentru date sensibile (art. 9) fără temei suplimentar. Datele speciale cer o excepție din art. 9 alin. (2) — interesul legitim singur nu e suficient.
• A comuta pe interes legitim după ce persoana și-a retras consimțământul. Nu poți schimba oportunist temeiul pentru același scop.
• Autoritățile publice nu pot invoca interesul legitim pentru atribuțiile lor (art. 6 alin. (1) ultim paragraf).
• A uita de copii. Când vizezi minori, drepturile lor cântăresc suplimentar în echilibru.
• A nu revizui LIA. Reevaluează periodic și ori de câte ori se schimbă scopul, datele sau contextul.

Când NU folosi interesul legitim

Dacă echilibrul e neconcludent, dacă prelucrarea e intruzivă și neașteptată, sau dacă vizezi date sensibile ori minori vulnerabili, orientează-te spre consimțământ sau, după caz, spre un DPIA (art. 35) înainte de a continua.

Situații speciale și limitele interesului legitim

Interesul legitim nu este un temei „universal". În mai multe situații, alte reguli îl restrâng sau îl exclud complet, indiferent de rezultatul testului de echilibru. Iată cele mai importante.

Cookie-uri, tracking și regimul e-Privacy

Pentru stocarea sau accesarea informațiilor pe echipamentul terminal al utilizatorului (cookie-uri, pixeli, tracking, fingerprinting) este necesar consimțământul prealabil — art. 5 alin. (3) din Directiva 2002/58/CE (e-Privacy), transpus în România prin art. 4² din Legea nr. 506/2004. Excepție fac doar cookie-urile strict necesare transmiterii comunicării sau furnizării unui serviciu cerut expres de utilizator. O LIA nu poate substitui acest consimțământ, oricare ar fi rezultatul testului de echilibru (e-Privacy este lex specialis).

Ce rămâne posibil pe interes legitim? Prelucrările ulterioare ale datelor deja colectate legal, care nu implică o nouă accesare a terminalului — de exemplu analiza server-side a datelor pe care deja le dețineți în mod legal, sau securitatea rețelei pe baza logurilor proprii de server. Atenție însă: EDPB (Opinion 5/2019) avertizează că, atunci când întreaga operațiune este declanșată de plasarea cookie-ului, consimțământul e-Privacy guvernează și prelucrările conexe.

Sursa: Directiva 2002/58/CE, art. 5(3); Legea nr. 506/2004 (accesat 2026-09-07)

Antrenarea modelelor de inteligență artificială

Prin Avizul EDPB 28/2024 (18 decembrie 2024), interesul legitim poate fi temei atât pentru dezvoltarea (inclusiv web scraping și antrenare pe date publice), cât și pentru implementarea modelelor de IA — dar numai dacă trece testul în trei pași:

• Necesitate — verificați dacă scopul poate fi atins fără date personale, cu mai puține date sau prin mijloace mai puțin intruzive; „date disponibile public" nu înseamnă „necesare".
• Așteptări rezonabile — accesibilitatea publică a datelor nu le face automat „așteptate" a fi folosite pentru antrenarea IA; contează contextul colectării inițiale, relația cu persoana și sursa.

Garanțiile pe care EDPB le cere: pseudonimizare și, unde e posibil, date sintetice; filtrarea/excluderea datelor sensibile (art. 9); respectarea robots.txt și a mecanismelor de opt-out la scraping; transparență sporită dincolo de art. 13–14; măsuri la ieșire (output) care împiedică modelul să reproducă date personale. Dacă modelul a fost antrenat pe date prelucrate ilegal, aceasta poate vicia și implementarea ulterioară (excepție: o anonimizare reală).

Sursa: EDPB, Opinion 28/2024 on AI models (accesat 2026-09-07)

Decizii exclusiv automate (art. 22): interesul legitim NU este suficient

Deciziile bazate exclusiv pe prelucrare automată care produc efecte juridice sau afectează semnificativ persoana — de exemplu scoring de credit, filtrare automată a candidaților, blocare antifraudă — sunt permise, potrivit art. 22 GDPR, doar în trei cazuri: consimțământ explicit, necesitate contractuală, sau autorizare prin dreptul UE/național cu garanții. Interesul legitim nu figurează în această listă, deci nu poate fundamenta o astfel de decizie.

Interesul legitim poate acoperi prelucrările din amonte (colectarea, analiza, scoringul ca atare), dar decizia automată propriu-zisă are nevoie de unul dintre cele trei temeiuri ale art. 22 alin. (2). Alternativa practică: introduceți o intervenție umană semnificativă — atunci decizia nu mai este „exclusiv automată", iar interesul legitim redevine posibil pentru prelucrare (cu tot cu testul de echilibru). În toate cazurile rămân obligatorii garanțiile art. 22 alin. (3): dreptul la intervenție umană, la exprimarea punctului de vedere și la contestarea deciziei.

Sursa: Regulamentul (UE) 2016/679, art. 22 (accesat 2026-09-07)

Monitorizarea angajaților (art. 88 GDPR + Legea nr. 190/2018)

În relația de muncă, consimțământul angajatului este de regulă invalid din cauza dezechilibrului de putere (art. 88 GDPR), astfel că monitorizarea (email, trafic internet, GPS, pontaj biometric, supraveghere video) se sprijină frecvent pe interesul legitim. Art. 5 din Legea nr. 190/2018 impune însă garanții cumulative specifice — toate trebuie îndeplinite:

1. interesele legitime ale angajatorului sunt temeinic justificate și prevalează asupra drepturilor angajaților;
2. informarea prealabilă completă și explicită a angajaților;
3. consultarea prealabilă a sindicatului sau a reprezentanților salariaților;
4. subsidiaritate — alte forme mai puțin intruzive nu și-au dovedit anterior eficiența;
5. durata de stocare a datelor este proporțională și nu depășește 30 de zile, cu excepțiile exprese prevăzute de lege.

În context de muncă, testul de echilibru se înăsprește: supravegherea în zone cu așteptare ridicată de intimitate (vestiare, băi, birouri individuale) este, în practica ANSPDCP, greu sau imposibil de justificat.

Sursa: Legea nr. 190/2018, art. 5 (accesat 2026-09-07)

Ce riști: practica de sancționare a ANSPDCP

Amenzile GDPR ajung, potrivit art. 83, până la 10 mil. EUR sau 2% din cifra de afaceri (art. 83 alin. (4)) ori 20 mil. EUR sau 4% (art. 83 alin. (5)). ANSPDCP sancționează frecvent invocarea vagă a interesului legitim, mai ales la supravegherea video:

• Entirely Shipping & Trading — două amenzi a câte 5.000 EUR pentru supraveghere audio-video continuă în birouri, vestiare și sala de mese, plus prelucrarea de date biometrice fără necesitate; interesul legitim a fost respins ca nedemonstrat.
• UTTIS Industries SRL — sancțiune pentru încălcarea art. 12 și art. 5 alin. (1) lit. (c) coroborat cu art. 6 (supraveghere video fără informarea legală).
• Un alt operator a fost amendat cu 2.000 EUR și obligat să demonteze camerele, pentru monitorizare fără informare prealabilă și fără a dovedi că a încercat mijloace mai puțin intruzive.

Tiparul e clar: se sancționează lipsa documentării LIA, a informării și a subsidiarității — nu doar absența în sine a unui temei. La monitorizare sistematică pe scară largă a unei zone accesibile publicului devine obligatorie și o DPIA (Decizia ANSPDCP nr. 174/2018).

Sursa: ANSPDCP — amendă supraveghere video fără informare, JURIDICE.ro (accesat 2026-09-07)

Interesul legitim al unei terțe părți

Art. 6 alin. (1) lit. (f) admite și interesul legitim al unei terțe părți (divulgare către un creditor, către o autoritate, către o platformă antifraudă comună). Reguli practice: operatorul care efectuează prelucrarea/divulgarea este cel care efectuează și documentează LIA — răspunderea nu se poate delega terțului. În pasul 3 se cântăresc atât interesul terțului (care trebuie să fie licit, clar formulat, real și prezent — EDPB Guidelines 1/2024), cât și drepturile persoanei vizate. Când mai mulți operatori decid împreună scopurile și mijloacele, ei sunt operatori asociați și stabilesc responsabilitățile printr-un acord (art. 26). CJUE a confirmat în C-252/21 (Meta) că interesul unor terți nu poate justifica o prelucrare extinsă atunci când drepturile persoanei prevalează.

Transferul bazei de clienți (M&A, asset deal, insolvență)

Baza de date de clienți este adesea tratată ca activ vandabil. Transferul ei poate fi întemeiat pe interes legitim, dar numai dacă, pe lângă testul în trei pași, este îndeplinită compatibilitatea scopului (art. 6 alin. (4)): continuitatea scopului inițial, așteptările rezonabile ale clienților, informarea lor (art. 13–14) și respectarea dreptului de opoziție (art. 21). C-621/22 (KNLTB) confirmă că interesul comercial poate fi legitim, dar nu dispensează de echilibru. În insolvență (Legea nr. 85/2014), administratorul/lichidatorul judiciar rămâne operator și trebuie să respecte GDPR — datele nu pot fi vândute pentru scopuri incompatibile cu cel inițial.

Date privind condamnările penale (art. 10): temei suplimentar obligatoriu

Interesul legitim nu este niciodată suficient singur pentru prelucrarea datelor privind condamnările penale și infracțiunile. Art. 10 GDPR permite astfel de prelucrări doar sub controlul unei autorități publice sau când sunt autorizate de dreptul UE/național, cu garanții adecvate. Verificările de integritate (background checks) în scop antifraudă sau la angajare pot atinge cazierul judiciar numai în cazurile prevăzute expres de lege (Legea nr. 290/2004 privind cazierul judiciar; pentru autoritățile de aplicare a legii, Legea nr. 363/2018 care transpune Directiva (UE) 2016/680). Simpla LIA nu deschide accesul la aceste date.

Sursa: Regulamentul (UE) 2016/679, art. 10; Legea nr. 363/2018 (accesat 2026-09-07)

Legislație europeană

Interesul legitim este un temei de sursă exclusiv europeană: structura testului LIA decurge direct din GDPR, iar conținutul concret al celor trei pași a fost modelat de jurisprudența Curții de Justiție a Uniunii Europene (CJUE). Secțiunea de față consolidează cadrul UE și adaugă hotărârile CJUE care ghidează aplicarea testului.

Directive și regulamente aplicabile

Temeiul nu vine dintr-o directivă transpusă, ci direct dintr-un regulament de aplicare directă: art. 6 alin. (1) lit. (f) din Regulamentul (UE) 2016/679 (GDPR), completat de considerentul (47) (așteptări rezonabile, marketing direct) și de art. 21 (dreptul la opoziție). Fiind regulament, se aplică identic în toate statele membre — nu există „variantă românească" a temeiului, ci doar garanții naționale adiacente (vezi mai jos). Textul integral al art. 6 și al considerentului 47 este citat în secțiunea Cadrul legal.

Regulamentul (UE) 2016/679, art. 6 alin. (1) lit. (f), considerentul (47), art. 21 — temeiul interesului legitim, așteptările rezonabile, dreptul la opoziție. Sursa: EUR-Lex, CELEX 32016R0679 (accesat 2026-09-07)

Standardul metodologic al testului în trei pași este detaliat de Comitetul European pentru Protecția Datelor (EDPB) în Orientările 1/2024 privind prelucrarea în temeiul art. 6 alin. (1) lit. (f), care înlocuiesc Avizul WP29 06/2014.

Sursa: EDPB, Guidelines 1/2024 (accesat 2026-09-07)

Transpunerea în dreptul român

Regulamentul fiind direct aplicabil, România nu îl „transpune", ci îl pune în aplicare prin Legea nr. 190/2018, care nu modifică testul LIA, dar ridică pragul testului de echilibru pentru anumite prelucrări: folosirea CNP-ului și a altor identificatori naționali cu funcție generală cere garanții suplimentare (art. 4 din lege), iar supravegherea video și prelucrarea la locul de muncă sunt încadrate distinct. Autoritatea de supraveghere este ANSPDCP. Nu există gold-plating care să restrângă temeiul interesului legitim în sine; diferența practică vine din garanțiile naționale care „încarcă" pasul 3 al testului.

Sursa: Legea nr. 190/2018 (accesat 2026-09-07)

Jurisprudență CJUE

Cele patru hotărâri de mai jos formează, împreună, „grila de lectură" a art. 6 alin. (1) lit. (f). Primele două au fost pronunțate sub Directiva 95/46/CE (art. 7 lit. (f) — predecesorul direct al art. 6(1)(f)), dar testul enunțat rămâne pe deplin aplicabil sub GDPR.

Cauza C-13/16, Rīgas satiksme (4 mai 2017) — Curtea a fixat cele trei condiții cumulative care stau la baza testului LIA: (1) un interes legitim al operatorului sau al unui terț, (2) necesitatea prelucrării pentru acel interes și (3) ca drepturile și libertățile persoanei vizate să nu prevaleze. Valorificarea unei creanțe (identificarea autorului unui prejudiciu) este un interes legitim; comunicarea datelor este permisă, dar nu obligatorie. Sursa: CJUE, C-13/16, ECLI:EU:C:2017:336

Cauza C-708/18, TK v Asociaţia de Proprietari bloc M5A-ScaraA (11 decembrie 2019) — trimitere preliminară de la Tribunalul București, direct relevantă pentru România. Supravegherea video în părțile comune ale unui bloc, fără consimțământul locatarilor, pe temeiul interesului legitim (siguranța persoanelor și bunurilor, după furturi repetate), nu este exclusă de dreptul UE dacă îndeplinește condițiile art. 7(f). Curtea a subliniat că interesul legitim trebuie să fie prezent și real, nu ipotetic (pct. 44), că trebuie verificate mijloacele mai puțin intruzive, iar echilibrul concret revine instanței naționale. Sursa: CJUE, C-708/18, ECLI:EU:C:2019:1064 · curia.europa.eu

Cauza C-252/21, Meta Platforms și alții v Bundeskartellamt (4 iulie 2023) — pentru publicitatea personalizată bazată pe combinarea extinsă a datelor, Curtea a reținut că interesele și drepturile fundamentale ale utilizatorului prevalează asupra interesului comercial al operatorului dominant (pct. 117); interesul legitim, de regulă, nu justifică o astfel de prelucrare, iar consimțământul devine temeiul adecvat. Necesitatea „pentru executarea contractului" se interpretează strict. Sursa: CJUE, C-252/21, ECLI:EU:C:2023:537

Cauza C-621/22, Koninklijke Nederlandse Lawn Tennisbond (KNLTB) (4 octombrie 2024) — un interes pur comercial (transmiterea contra cost a datelor membrilor către sponsori) poate constitui interes legitim; noțiunea nu este limitată la interese „prevăzute de lege" (dar trebuie să fie licit). Curtea a reconfirmat însă că testul în trei pași rămâne obligatoriu — comercialul nu scutește de testele de necesitate și echilibru. Sursa: CJUE, C-621/22

Citite împreună, C-621/22 și C-252/21 trasează cei doi poli: interesul comercial este un interes legitim admisibil (pasul 1), dar cu cât prelucrarea este mai intruzivă și mai puțin așteptată (profilare, combinare masivă de date, poziție dominantă), cu atât echilibrul (pasul 3) înclină spre persoana vizată.

Aspecte practice din perspectivă europeană

• Un singur standard în tot SEE. Fiind regulament, testul LIA este identic în toate statele membre; o LIA bine documentată în România este valabilă și pentru prelucrări transfrontaliere, sub controlul autorității principale (mecanismul „ghișeului unic").
• Aliniere la EDPB și CJUE. Ancorează formularea celor trei pași în Orientările EDPB 1/2024 și în hotărârile de mai sus — în special testul „prezent și real, nu ipotetic" (C-708/18) pentru supravegherea video, foarte frecventă în practica ANSPDCP.
• Profilare și platforme dominante. După C-252/21, pentru publicitate comportamentală și profilare extinsă, interesul legitim este un temei fragil; anticipează trecerea la consimțământ și, unde e cazul, un DPIA (art. 35).
• Evoluții legislative. Regulamentul (UE) 2024/1689 (AI Act) și cadrul de e-Privacy pot adăuga cerințe suplimentare pentru prelucrările bazate pe interes legitim (scoring, decizii automate, comunicări electronice) — reevaluează LIA la intrarea lor în vigoare etapizată.

Întrebări frecvente

Ce înseamnă LIA? LIA (Legitimate Interests Assessment) este evaluarea interesului legitim — analiza documentată în trei pași prin care demonstrezi că poți prelucra date în temeiul art. 6 alin. (1) lit. (f) GDPR, fără consimțământ.

Trebuie să fac LIA în scris? Da, în practică. Deși GDPR nu impune un formular anume, principiul responsabilității (art. 5 alin. (2)) cere să poți demonstra evaluarea. O LIA nedocumentată este, la un control, ca și inexistentă.

Interesul legitim înlocuiește consimțământul? Este un temei alternativ, nu o „scutire". Îl folosești când prelucrarea e proporțională și persoana se poate aștepta la ea; nu îl folosești pentru date sensibile ori prelucrări intruzive și neașteptate, unde se cere consimțământ.

Pot invoca interesul legitim pentru marketing? Da, marketingul direct poate fi interes legitim (considerentul 47), dar persoana se poate opune în orice moment și necondiționat (art. 21 alin. (2)), iar pentru canalele electronice se aplică și reguli suplimentare de opt-in/opt-out.

Ce fac dacă testul de echilibru e neconcludent? Nu te baza pe interesul legitim. Fie ceri consimțământ, fie efectuezi o evaluare a impactului (DPIA, art. 35) și adaugi garanții, fie renunți la prelucrare.

Cât de des revizuiesc o LIA? Periodic și ori de câte ori se schimbă scopul, categoriile de date, tehnologia sau contextul prelucrării. O LIA nu este un document „o dată și gata".

Autoritățile publice pot folosi interesul legitim? Nu, pentru prelucrările din îndeplinirea atribuțiilor lor (art. 6 alin. (1) ultimul paragraf). Ele trebuie să se bazeze pe alt temei (de regulă obligație legală sau interes public).

Pot pune cookie-uri de tracking pe baza interesului legitim? Nu. Pentru stocarea sau citirea de informații pe dispozitivul utilizatorului (cookie-uri, pixeli, fingerprinting) este necesar consimțământul prealabil (art. 5 alin. (3) Directiva 2002/58/CE, art. 4² din Legea nr. 506/2004). O LIA nu poate înlocui acest consimțământ. Interesul legitim rămâne posibil doar pentru prelucrări ulterioare care nu implică o nouă accesare a dispozitivului.

Pot antrena un model de IA pe interes legitim? Da, este posibil potrivit Avizului EDPB 28/2024, dar numai dacă treci testul în trei pași și aplici garanții: excluderea datelor sensibile, respectarea opt-out/robots.txt, transparență sporită și măsuri care împiedică modelul să reproducă date personale.

Pot lua decizii complet automate (scoring, filtrare candidați) pe interes legitim? Nu. Deciziile exclusiv automate cu efect juridic sau semnificativ (art. 22 GDPR) cer consimțământ explicit, contract sau o lege — interesul legitim nu este suficient. Poți folosi interesul legitim pentru prelucrările din amonte sau dacă introduci o intervenție umană semnificativă.

Trebuie să arăt persoanei documentul LIA? Ai obligația să comunici interesul legitim urmărit (art. 13–14), nu neapărat textul integral al evaluării. EDPB și ICO recomandă însă punerea LIA la dispoziție la cerere, ca bună practică; poți redacta secretele comerciale și datele terților.

Pot prelucra date despre condamnări penale pe interes legitim? Nu singur. Datele din art. 10 GDPR (condamnări, infracțiuni) se prelucrează doar sub controlul unei autorități publice sau când o lege UE/națională autorizează expres prelucrarea (în România, de ex. Legea nr. 290/2004 pentru cazierul judiciar).

Practică și opinii

⚠️ Opinie specialistă — Ciprian Timofte, Managing Associate (Țuca Zbârcea & Asociații) Testul de echilibru este partea cea mai complexă și sensibilă a unei LIA. Trebuie evaluat gradul de intruzivitate al prelucrării — dacă se prelucrează date sensibile, date financiare/fiscale, identificatori sau volume mari și seturi combinate de date, se impun garanții suplimentare pentru viața privată. Un element-cheie îl reprezintă așteptările rezonabile ale persoanei vizate, raportate la tipul de date și la relația cu operatorul. Dacă rezultatul LIA rămâne neconcludent, se recomandă efectuarea unei evaluări a impactului (DPIA, art. 35), iar LIA ar trebui revizuită periodic sau ori de câte ori se schimbă condițiile prelucrării. Sursa: „LIAnt pentru interesul legitim", JURIDICE.ro (accesat 2026-09-07)

⚠️ Perspectivă practică — seria avocatnet.ro „Interesul legitim de a prelucra date personale" După ce s-au stabilit existența interesului legitim și necesitatea măsurii, mai trebuie analizată proporționalitatea — echilibrul dintre interesul firmei de a prelucra datele și interesul persoanei de a nu-i fi utilizate. Un punct de plecare util este întrebarea: ce fel de relație există între persoana vizată și firmă? Sursa: avocatnet.ro (accesat 2026-09-07)

Tendința la nivel european. Prin Orientările 1/2024, EDPB a reconfirmat că cei trei pași sunt cumulativi și obligatorii, că interesul trebuie să fie licit, formulat clar și real (nu speculativ), și că interesele comerciale pot fi legitime — fără însă a ocoli testele de necesitate și echilibru. Documentul înlocuiește Avizul WP29 06/2014 și este reperul actual pentru autorități, inclusiv ANSPDCP.

Sursa: EDPB, Guidelines 1/2024 (accesat 2026-09-07)

Referințe

1. Regulamentul (UE) 2016/679 (GDPR) — art. 6 alin. (1) lit. (f) (temeiul interesului legitim), considerentul (47) (așteptări rezonabile, marketing direct), art. 21 (dreptul la opoziție), art. 5 alin. (2) (responsabilitate), art. 13–14 (informare), art. 35 (DPIA). eur-lex.europa.eu, CELEX 32016R0679 (accesat 2026-09-07).
2. Legea nr. 190/2018 privind măsuri de punere în aplicare a Regulamentului (UE) 2016/679 (garanții naționale, inclusiv pentru CNP; ANSPDCP). legislatie.just.ro (accesat 2026-09-07).
3. EDPB — Guidelines 1/2024 on processing of personal data based on Article 6(1)(f) GDPR (testul în 3 pași; înlocuiesc Avizul WP29 06/2014). edpb.europa.eu (accesat 2026-09-07).
4. ⚠️ Ciprian Timofte (Țuca Zbârcea & Asociații), „LIAnt pentru interesul legitim", JURIDICE.ro. juridice.ro (accesat 2026-09-07).
5. ⚠️ avocatnet.ro — seria „Interesul legitim de a prelucra date personale" (evaluare și test de echilibru). avocatnet.ro (accesat 2026-09-07).
6. Directiva 2002/58/CE (e-Privacy), art. 5(3) și Legea nr. 506/2004, art. 4² — consimțământul prealabil pentru stocarea/accesarea informațiilor pe echipamentul terminal (cookie-uri, tracking). eur-lex.europa.eu · legislatie.just.ro (accesat 2026-09-07).
7. EDPB — Opinion 28/2024 on certain data protection aspects related to the processing of personal data in the context of AI models (18 decembrie 2024). edpb.europa.eu (accesat 2026-09-07).
8. Regulamentul (UE) 2016/679 — art. 22 (decizii individuale automate) și art. 10 (date privind condamnările penale și infracțiunile). eur-lex.europa.eu, CELEX 32016R0679 (accesat 2026-09-07).
9. Legea nr. 363/2018 (transpune Directiva (UE) 2016/680) și Legea nr. 290/2004 privind cazierul judiciar — cadrul pentru datele din art. 10 GDPR. legislatie.just.ro (accesat 2026-09-07).
10. Legea nr. 85/2014 privind procedurile de prevenire a insolvenței și de insolvență — cadrul pentru transferul activelor (inclusiv baze de clienți). legislatie.just.ro (accesat 2026-09-07).
11. ⚠️ „ANSPDCP. Amendă GDPR aplicată pentru supraveghere video, fără informarea legală" (cazul UTTIS Industries), JURIDICE.ro. juridice.ro (accesat 2026-09-07).