O legítimo interesse é uma das 10 hipóteses legais que uma empresa pode utilizar para tratar dados pessoais. Por ser abrangente e subjetiva, sua aplicação na prática demanda a realização de um teste.
O teste é fundamentado nessa tríade: finalidade, necessidade e proporcionalidade.
O primeiro teste é: a finalidade do tratamento é legítima? Ela deve ser real, legal e claramente identificável, não se admitindo interesses ilegais ou puramente especulativos.
O segundo teste é: esse tratamento é necessário para atingir a finalidade? Não se pode utilizar o legítimo interesse se existirem outras maneiras de se chegar no mesmo resultado.
O terceiro teste é: esse tratamento é proporcional? Existem direitos e liberdades fundamentais do titular que prevalecem sobre o interesse legítimo da empresa?
O terceiro é o mais importante. A empresa deve sempre balancear os seus interesses com os interesses dos titulares. O responsável pela decisão na empresa deve se colocar no lugar do titular e pensar se ele teria uma expectativa razoável de que os dados dele seriam tratados daquela maneira. Se não teria, ou se o tratamento causa algum mal injustificado ao titular, provavelmente o direito do titular se sobrepõe ao da empresa, e ela não deve realizar esse tratamento com base no legítimo interesse.