参考：https://europa.eu/european-union/about-eu/institutions-bodies/court-justice_en

EDP​​Bのソーシャルメディアユーザーのターゲティングに関するガイドライン8/2020では、正当な利益の法的根拠には、目的テスト、必要性テスト、均衡テストという3つの累積的なテストに合格する必要があると説明されています。目的テストは、データ管理者または第三者が追求する正当な利益があるかどうかを検証します。必要性テストは、処理が特定された目的に必要かどうかを検証します。均衡テストは、正当な利益がデータ主体の利益または権利と自由によって上書きされないかどうかを検証します。十分性テストは、正当な利益の法的根拠に必要な3つのテストの1つではありません。十分性テストは、第三国へのデータ転送に関連し、EU内でのデータ処理には関連しません。
参照：
ソーシャルメディアユーザーのターゲティングに関するEDPBガイドライン8/2020、セクション3.2.11、GDPR第6条(1)(f)2、GDPR前文472、IAPP CIPP/E学習ガイド、第3章、セクション3.2.23

GDPRにおける個人データの定義は広範であり、特定された、または特定可能な自然人に関するあらゆる情報が含まれます。つまり、個人データには、氏名、メールアドレス、電話番号、住所、生年月日、人種、性別、政治的意見など、様々な情報が含まれます。GDPRは、あらゆるレベル、プラットフォーム、テクノロジーにおいて個人データを保護し、組織に対し、特定の目的にのみ個人データを処理し、一定期間保管することを義務付けています。
イタリア企業が統計目的で利用する、リンクされていない集計データは、GDPRにおける個人データの定義に該当しない可能性が高いでしょう。集計データとは、個々の記録を識別できなくなるように処理されたデータです。例えば、企業が顧客の名前とメールアドレスを収集し、平均年齢を計算する場合、その結果得られるデータは集計データであり、個人情報ではありません。したがって、この種のデータはGDPRの対象にはなりません。
しかし、これはイタリア企業がこの種のデータをいかなる制限や義務もなく使用できることを意味するものではありません。GDPRは、いかなる形式や方法においても個人データを伴うあらゆる処理活動に依然として適用されます。例えば、イタリア企業がこの種のデータを使用して、顧客の特性や嗜好に基づいて顧客のプロファイルやセグメントを作成する場合でも、GDPRに基づく特定の原則や条件に準拠する必要がある場合があります。例えば、顧客の集計データをマーケティング目的で使用する前に同意を得る必要がある場合や、集計データが正確かつ最新であることを保証する必要がある場合もあります。集計データの保持期間を制限する必要がある場合もあります。また、個人データに関する顧客の権利を尊重する必要がある場合もあります。
参照：
個人データとは何ですか？ | ICO
EU GDPR では何が個人データとみなされますか?
[GDPR 個人データ - どのような情報が対象になりますか?]