用途：当控制者依据 GDPR 第 6(1)(f) 条以正当利益作为处理个人数据的合法性基础时，须在处理开始前开展并记录正当利益评估（LIA）。该评估由三项依次进行的测试组成，源自第 6(1)(f) 条措辞及 WP29 第 06/2014 号意见。任一测试不通过，即不能依赖正当利益，须另寻合法性基础或停止处理。
主要能力： 一、目的测试：确认控制者或第三方是否存在真实、合法且明确表述的利益，需具体、非假设、符合数据主体合理预期，并记录为一句非专家也能理解的表述。常见正当利益包括欺诈预防、向现有客户直接营销、网络与信息安全、集团内行政目的传输、报告可能的犯罪行为或公共安全威胁。 二、必要性测试：判断具体处理是否为实现该利益所必需，而非利益本身是否必要。考察能否不处理个人数据、能否用更少数据、能否采用侵入性更低的方法（匿名化、聚合、假名化、更短保留期、更有限共享、技术访问限制），以及处理范围是否与利益重要性相称。 三、平衡测试：权衡控制者利益与数据主体的利益、基本权利和自由。需评估利益性质、对数据主体的影响（身体、物质、财务损害，社会不利或歧视，失去控制，声誉与心理影响）、合理预期、额外保障措施，以及第 21 条反对权机制。
使用方式：按目的、必要性、平衡三部分依次评估并记录结果；文档须包含评估元数据（日期、评估人、处理活动、RoPA 引用）、各测试的分析与结论、总体结论、承诺的保障措施、反对权实现方式及复审计划。
适用场景：欺诈预防、信息安全、现有客户直接营销、集团内行政传输等以正当利益为依据的处理活动。
限制：任一测试失败即不得依赖正当利益；涉及敏感数据、弱势群体、大规模监控、画像或自动化决策时更易偏向数据主体。出现处理范围、目的或数据类别重大变化、与数据主体关系变化、引入新技术、监管指引或执法行动、数据主体投诉等触发条件时应重新评估，并至少每年定期复审。资料未提供具体价格、平台或安装命令。