GDPR 第 6 条列出六项处理个人数据的合法性基础：同意、合同需求、法律义务、保护自然人重大利益、公众利益，以及控制者或第三方的合理利益。其中同意、合同需求与合理利益最常用。合理利益（第 6(1)(f) 条）看似灵活，实则边界很窄：企业不仅要证明存在受法律保护的利益，还须证明该利益优先于数据主体的基本权利与自由，并承担举证责任。下面两个案例分别展示了合理利益在定向广告与员工监控场景中被监管否定的过程。
TL;DR
TikTok 宣布自 2022 年 6 月起修改隐私政策，并计划从 7 月 13 日起向年满 18 周岁用户提供定向广告，即基于用户在平台上的行为分析精准投放。TikTok 主张这一处理的依据不是用户同意，而是它与合作伙伴的”合理利益”。
意大利数据保护机构 SA 调查后认为该理由不合法。TikTok 此前将 16 周岁以上用户定向广告的合法性归因于同意，如今又打算改用合理利益，“选择合法性依据—处理数据—投放广告”的逻辑未充分体现，控制者、广告合作伙伴与用户各自追求的合理利益也未澄清；反对权仅引用在通知文末，未清晰指向个性化广告。SA 据此认定，向用户终端设备存储或访问信息，依欧盟 2002/58 指令第 5(3) 条及意大利个人数据保护法第 122 条，唯一合法基础是数据主体同意。SA 还关注到平台未实施适当年龄验证，以合理利益处理数据可能导致向未满 18 岁甚至 14 岁以下儿童投放不当内容广告。
SA 依 GDPR 第 58(2)(a) 条向 TikTok 发出正式警告：若不停止并整改，将承担包括罚款在内的后果。定向广告的合规路径，可进一步参考 出海企业的定向广告隐私合规要点，以及 TikTok 因儿童数据被 处以 3.45 亿欧元罚款的案例。
2021 年 5 月，匈牙利数据保护局对一家汽修店罚款 1300 欧元并限期整改，原因是监控范围不当侵犯员工隐私，且未能证明监控出于企业合理利益。该店安装了六个摄像头，声称目的是保护工具与贵重物品、保障人身与财产安全，且全体员工已书面同意接受监视。
数据保护局指出，由于控制者在隐私政策中声称处理依据并非同意，就应评估合理利益，但它违反第 6(1)(f) 条、未做该评估。控制者本可通过利益平衡证明监控合理——若能证明汽修工作的危险程度与存放资产的价值大于对数据主体权利的影响。此外，为符合第 5(1)(b)(c) 条的目的限制与数据最小化，“办公室/客户休息室”与”厨房”的摄像头拍摄角度必须调整：前者使员工与客户都处于监视之下，后者朝向餐桌而非保险箱，“保护人员生命和财产安全”的抗辩因此不成立。控制者还须依第 13 条修改监控系统的隐私通知，因为其数据处理早在 3 月 5 日就已开始，5 月 8 日才张贴标志，不满足”充分信息”要求。
GDPR 前言第 47～50 段列举了合理利益的范畴，包括市场营销、诈骗预防、国家机关间数据传输、网络信息安全保障，以及向主管部门报告可能的犯罪或公共安全威胁。相比《欧盟数据保护指令》第 7(f) 条，GDPR 新增了直接市场营销作为合理利益。
在实践中，用户同意与合理利益是企业处理个人数据最常用的两项依据。合理利益是同意之外的补充：同意适用于大多数商业使用场景并应优先适用，只有在取得同意极为困难或成本过高等特殊情形下，才转而援引合理利益。而同意本身要求严格——须通过声明或明确的积极行为表达，默认勾选或沉默不构成同意；须自由作出，若拒绝或撤回同意会导致无法使用服务或遭受不利，则同意无效。需要注意的是，若控制者先声称处理基于同意、后又改以其它依据处理，通常不合法，因为这会误导数据主体。
合理利益条款下，数据主体享有相对反对权。当处理出于控制者或第三方的合理利益、且该利益未超越数据主体的基本权利时，数据主体可提出反对，但控制者若有法定理由证明其利益更高、或处理是为法律诉求的提出、执行与辩护，则不受反对影响（第 21(1) 条）。
关键变化在举证责任分配：旧指令要求数据主体证明存在强制法定理由；GDPR 则把举证责任转移给控制者，由其证明存在优先于个人权益的强制法定理由，数据主体只需说明反对的理由，无需证明”强制性”。因此，面向欧洲用户的平台在收集行为数据、投放定向广告前，应完成利益平衡评估并留存举证材料。若最终选择以同意为基础，则须确保同意的取得符合公平与自由的要求——这与 法国 CNIL 处理谷歌 Cookie 同意争议 中体现的思路一致。
