「法律依据：控制者的合法利益」。这行字出现在成千上万份处理活动记录和隐私政策里，仿佛是一道已经办妥的手续。事实并非如此。当一笔债务人登记最终闹上法庭——而这类案件越来越多——法官核查的不是贵公司有没有勾上那个框，而是贵公司是否通过、并且能否证明自己通过了一场三重检验。任何一关不过，登记就变成违法的数据处理；而违法处理带来的判赔，参考区间为每位受影响者 3.000 至 10.000 € 另加诉讼费用。
第6条第1款第f项的三重检验
贵公司收款的利益是合法的，这一点没有人争议。真正的问题在别处：这份利益是否足以正当化在信用信息系统（SIC）中登记所造成的声誉损害。法院用三项累积检验来解决这个问题。累积意味着三关都要通过，不存在平均分。
1. 必要性检验
是否存在侵扰更小的替代手段来实现收款？一次正式催告、一轮有据可查的协商、一次针对该欠款的司法请求。如果存在而没有用尽，那么登记就不是必要的，只是省事。而省事不是法律依据。
2. 适当性检验
登记是否真的有助于贵公司所主张的目的？把欠款通报给债务人及其融资方永远不会查询的登记系统，并不能保护任何人的信用，只是一种惩罚。措施必须对所声明的目标切实有效，而不是一种泛泛的施压工具。
3. 狭义相称性检验
把贵公司的商业利益与当事人的权利放上天平，哪一边更重？在金额较小、存在疑问或年代久远的欠款上，司法判断往往是否定的。这种平衡逐案衡量，而应当在登记之前完成衡量的人，正是贵公司。
适用 GDPR 第6条第1款第f项，要求控制者或第三方存在合法利益；要求该处理对于实现所追求的合法利益是必要的；并且要求在对该合法利益……与其对相关利益……所产生影响的权衡中，前者居于优先地位。「译文」
SAP Madrid 148/2026 补充了实践中最刺痛的一点：只有当对当事人的影响相称、且不存在实现同一目的的更温和措施时，控制者的利益才优先。也就是说，法官会主动去找贵公司没有采用的那条替代路径。
「书面」不是一种比喻
多数官司就输在这里。一家企业可能事实上合理地使用了登记系统，仍然被判败诉，原因是它无法在法官面前重建自己声称做过的那次权衡。SAP Madrid 123/2026 把这一点与第5条第2款的问责原则连在一起：只能由控制者自行确定——并证明——处理的合法性与相容性。如果没有一份注明日期、写明衡量了什么、排除了哪些替代方案以及为何排除的文件，贵公司的合法利益就只是一句主张，而不是一份证据。
而没有证据的主张，在判例上处境不佳。早在 SAP Barcelona 72/2021（2021年2月15日）中，法院就已提醒：援引某种利益——哪怕是公共利益——也不能免于让数据处理接受第5条各项原则的检验：
公共利益的存在并不使任何形式的个人数据处理都获得正当性，仍应……遵循前述 GDPR 第5条的各项原则，尤其是目的限制原则与数据最小化原则。「译文」
如果连公共利益都不是通行证，那么收回一张发票的商业利益就更不是了。
突击测验：身份冒用
有一种情形会让检验变得更严格：产生欠款的合同是由冒名顶替者签署的。贵公司登记了被冒用证件的持有人，而此人从未签过任何合同，随后此人提起诉讼。「我们也是欺诈的受害者」这种本能反应，在抗辩中不起作用。GDPR 第82条第3款推定控制者有过错：要免除责任，贵公司必须证明自己采取了足以避免这一身份错误的审慎措施。SAP Madrid 273/2024 对此表述得十分清晰，并进一步指出，处理会让人对当事人处境产生错误认识的不准确数据，本身即违反相关规范。
LOPDP 第20条「信用信息系统」被置于第四编「适用于特定处理的规定」之中，其依据是 GDPR 第6条第2款和第3款赋予成员国的权限。「译文」
从经营角度翻译一下：贵公司在客户开户环节的身份核验措施，不是抽象的合规事务。它们是有朝一日某位被冒名顶替者出现在贵公司催收名册上时，唯一能让贵公司免责的证据。如果今天无法用一页纸把这些措施描述清楚，那就等于没有。
本周该做的决定
给团队三项具体任务：把适用于催收流程的合法利益权衡形成书面文件；以书面方式确定登记之前必须用尽哪些前置步骤；复核签约环节的身份核验措施。法律依据上的失误，同时也是在失信人员登记系统中引发最多判赔的五大错误之一：它很少单独出现，因为不为权衡留下书面记录的公司，通常其余环节也不会留痕。
在下达任何任务之前，先量化。风险敞口测评用十分钟让贵公司直面法官将采用的同一套标准：法律依据、数据质量原则、对客户的告知，以及举证能力。