Elegir una base de legitimación exige explicar por qué una operación concreta necesita datos personales. No basta con incorporar las seis posibilidades del artículo 6 RGPD a una política de privacidad. La condición invocada debe existir antes del tratamiento, cubrir su finalidad real y poder justificarse con hechos, normas y medidas coherentes.
Esta decisión afecta a la información que recibe la persona, al modo de atender sus derechos y a la posibilidad de continuar una operación cuando cambian las circunstancias. Una misma organización puede utilizar bases distintas para entregar pedidos, conservar facturas, gestionar candidaturas y enviar publicidad. La dificultad consiste en separar esas finalidades y comprobar sus requisitos, no en encontrar una etiqueta que sirva para toda la empresa.
Empezar por la operación y la finalidad
El artículo 6 del RGPD contempla consentimiento, necesidad contractual, obligación legal, intereses vitales, misión de interés público o ejercicio de poderes públicos e interés legítimo. No existe una séptima base consistente en que los datos sean públicos, el proveedor los venda o la dirección considere útil recogerlos.
Conviene describir primero quién trata qué información, sobre quién, para qué resultado y durante cuánto tiempo. «Gestión de clientes» suele ser demasiado amplio: ejecutar una entrega, demostrar el cumplimiento fiscal y analizar preferencias comerciales pueden exigir decisiones diferentes. También hay que distinguir operaciones por cuenta propia de las realizadas siguiendo instrucciones de otro responsable.
La minimización de datos interviene desde este momento. Una base válida para prestar un servicio no autoriza a reunir cualquier información relacionada con el cliente. Si una tienda necesita una dirección para entregar un paquete, eso no demuestra que necesite conocer la profesión del comprador. La necesidad se comprueba respecto de los datos y las operaciones, no únicamente respecto de una finalidad formulada en abstracto.
Consentimiento: una elección que debe poder respetarse
El consentimiento resulta adecuado cuando la persona dispone de una elección real y puede rechazar o retirar su autorización sin consecuencias indebidas. Debe ser libre, específico, informado e inequívoco. Una casilla premarcada o una aceptación genérica de condiciones no demuestra por sí sola esa voluntad. Los ejemplos de consentimiento válido ayudan a separar decisiones opcionales de tratamientos necesarios.
No es una base inferior por naturaleza ni la solución más segura para cualquier supuesto. Su pertinencia depende de la relación y de la operación. Pedir autorización para un boletín voluntario puede tener sentido; presentar como opcional una conservación impuesta por ley crea una expectativa que la entidad no podrá cumplir. También debe evitarse agrupar finalidades independientes cuando la persona podría decidir separadamente.
Las Directrices 05/2020 del CEPD explican las dificultades del consentimiento en relaciones de desequilibrio. En el empleo normalmente no es la base apropiada para tratamientos impuestos al trabajador. Eso no equivale a una prohibición absoluta: una actividad verdaderamente voluntaria, con alternativa equivalente y sin perjuicio, requiere una valoración distinta. Corresponde al responsable demostrar que esa libertad existe.
La retirada debe ser tan fácil como prestar el consentimiento y no afecta a la licitud del tratamiento anterior basado en él. Sí obliga a detener la operación que depende de esa autorización. Si otra información debe conservarse para una finalidad fiscal independiente, habrá que justificar esa conservación con su fundamento propio y limitar sus usos. No basta con renombrar la misma campaña como «interés legítimo» para seguir enviándola.
Contrato: necesidad y relación con el interesado
El artículo 6.1.b permite tratar datos cuando resulte necesario para ejecutar un contrato del que el interesado es parte o aplicar medidas precontractuales solicitadas por él. Importan ambas condiciones: la necesidad y la relación con esa persona. Una cláusula añadida al contrato no convierte automáticamente cualquier análisis comercial en indispensable para prestar el servicio.
En una venta a una persona física, la dirección de entrega puede resultar necesaria para cumplir el pedido. La elaboración de un perfil destinado a vender servicios de terceros exige otro análisis. Si el cliente contractual es una sociedad y los datos corresponden a su persona de contacto, no debe darse por supuesto que esa persona es parte del contrato; habrá que identificar el fundamento aplicable a ese tratamiento profesional.
Las medidas precontractuales deben responder a una solicitud del interesado. Preparar el presupuesto que una persona ha pedido puede encajar en esta base; conservar indefinidamente todos los contactos que visitaron una feria no queda amparado por llamarlos «clientes potenciales». Tras rechazarse una propuesta, deben revisarse las finalidades que justifican conservar información y su plazo.
Tampoco toda facturación se explica exclusivamente por el contrato. Emitir, comunicar o conservar determinados documentos puede obedecer a obligaciones tributarias específicas. Separar esas funciones permite responder correctamente cuando termina la relación comercial: finaliza la prestación, pero pueden subsistir deberes de conservación limitados, sin autorización para reactivar usos publicitarios.
Obligación legal: identificar la norma y sus límites
El artículo 6.1.c requiere que el responsable esté sujeto a una obligación jurídica que haga necesario el tratamiento. El artículo 6.3 exige su fundamento en el Derecho de la Unión o del Estado miembro. En España, el artículo 8 de la LOPDGDD precisa las exigencias de norma europea o norma con rango de ley.
La documentación debería identificar la disposición aplicable, quién es el obligado, qué información exige y para qué operación. Una política corporativa o la preferencia de un cliente no bastan para crear esta base. Tampoco una obligación de comunicar un importe justifica necesariamente entregar el expediente completo del que procede.
En recursos humanos conviven obligaciones laborales, fiscales y de seguridad social con operaciones necesarias para la relación contractual. Esa coexistencia exige delimitar las finalidades, no solicitar una autorización global al trabajador. El análisis de la intimidad y vida privada en el trabajo añade límites relevantes para controles empresariales y dispositivos, aunque exista una base de licitud.
Intereses vitales y misión de interés público
El artículo 6.1.d se refiere a la protección de intereses vitales del interesado o de otra persona física. Su función no es justificar por comodidad cualquier tratamiento sanitario o de seguridad. Ante una emergencia que compromete la vida de alguien puede existir esa necesidad; la gestión rutinaria de historiales o de seguros exige identificar los fundamentos ordinarios correspondientes.
Si se tratan datos de salud, también hay que superar la prohibición del artículo 9. La excepción de intereses vitales del artículo 9.2.c exige que el interesado no esté capacitado, física o jurídicamente, para consentir. La mera presencia de información médica no cumple esa condición. Confundir ambas disposiciones lleva a utilizar una excepción de emergencia para actividades habituales.
El artículo 6.1.e comprende la misión realizada en interés público y el ejercicio de poderes públicos conferidos al responsable. Su fundamento debe cumplir el artículo 6.3; el artículo 8 LOPDGDD exige la competencia atribuida por norma con rango de ley. No está reservado necesariamente a entidades de titularidad pública, pero una empresa privada tampoco puede atribuirse una misión legal porque su actividad beneficie a la sociedad.
La distinción entre LOPDGDD y RGPD resulta útil para localizar esa habilitación española. Debe comprobarse la norma sectorial, las funciones asignadas y la necesidad de los datos. Una administración no puede recurrir al interés legítimo del artículo 6.1.f para el tratamiento efectuado en el desempeño de sus funciones públicas.
Interés legítimo: identificar, comprobar y ponderar
Esta base puede responder a un interés del responsable o de un tercero, pero requiere que el tratamiento sea necesario y que no prevalezcan los intereses o derechos y libertades del interesado. El análisis presta especial atención a los menores. La existencia de una ventaja económica no permite omitir ninguna de esas comprobaciones.
Primero se describe un interés concreto y lícito; después se valoran alternativas que permitan alcanzarlo con menor injerencia; finalmente se ponderan las consecuencias y las expectativas razonables de las personas. Las garantías pueden reducir impactos, pero no convierten en necesario un tratamiento prescindible. La guía sobre interés legítimo desarrolla este análisis con mayor detalle.
Por ejemplo, prevenir accesos fraudulentos puede justificar ciertos registros técnicos, siempre que se delimiten sus datos, usos y conservación. Reutilizar esos mismos registros para evaluar permanentemente el rendimiento de cada trabajador plantea una finalidad y una afectación diferentes. El razonamiento inicial no se traslada automáticamente a ese nuevo uso.
La ponderación debe poder demostrarse. No existe un formulario único que garantice su validez, pero un documento que identifica hechos, alternativas, afectados y salvaguardas permite revisar la decisión. La información al interesado debe especificar los intereses legítimos perseguidos cuando esa sea la base, conforme a los artículos 13 o 14, según corresponda.
Marketing: separar la base del canal utilizado
El RGPD y las normas sobre comunicaciones comerciales responden a preguntas relacionadas pero distintas. Que una campaña pudiera superar una ponderación de interés legítimo no elimina las condiciones legales del envío por correo electrónico. Tampoco puede afirmarse que cualquier contacto comercial, por cualquier canal, exija siempre consentimiento sin examinar su regulación específica.
El artículo 21 de la LSSI exige, para las comunicaciones comerciales electrónicas comprendidas en él, solicitud previa o autorización expresa. Contempla una excepción cuando existe relación contractual previa, el contacto se obtuvo lícitamente y se promocionan productos o servicios propios similares a los contratados. Debe ofrecerse oposición sencilla y gratuita al recoger los datos y en cada comunicación.
La excepción no autoriza a comprar listas de desconocidos ni a trasladar sin análisis la clientela de otra empresa. Además del cumplimiento del canal, hay que determinar la base del tratamiento, informar y atender los derechos. En mercadotecnia directa, la oposición del interesado obliga a cesar ese tratamiento, incluida la elaboración de perfiles en la medida en que se relacione con dicha mercadotecnia.
Videovigilancia: evitar respuestas universales
La guía de videovigilancia de la AEPD sitúa la videovigilancia para preservar la seguridad de personas, bienes e instalaciones en el interés público del artículo 6.1.e, dentro del marco normativo aplicable. Presentarla siempre como interés legítimo del artículo 6.1.f desconoce ese criterio español. Hay que distinguir la finalidad de seguridad de otros controles, especialmente en el ámbito laboral.
El artículo 22 LOPDGDD impone límites específicos y contempla la supresión de imágenes en el plazo máximo de un mes, con la excepción destinada a acreditar actos contra la integridad de personas, bienes o instalaciones. En ese supuesto prevé su puesta a disposición de la autoridad competente en un máximo de setenta y dos horas desde el conocimiento de la existencia de la grabación. Ese plazo específico no debe confundirse con el de notificación de brechas.
El cartel informativo tampoco agota el análisis. Deben justificarse encuadre, accesos, proporcionalidad y conservación, junto con las reglas laborales cuando procedan. Elegir correctamente la base no hace lícita una cámara ubicada en cualquier lugar ni una vigilancia que exceda su finalidad.
Categorías especiales, datos penales y usos posteriores
Para las categorías especiales de datos, una base del artículo 6 no basta: se necesita una condición del artículo 9.2 y cumplir sus requisitos. Los datos relativos a condenas e infracciones penales tienen el régimen del artículo 10. No deben tratarse como una categoría ordinaria amparada simplemente por la conveniencia empresarial.
La limitación de la finalidad impide reutilizar datos sin examinar el nuevo propósito. Cuando procede el análisis del artículo 6.4, se consideran la relación entre finalidades, el contexto de recogida, la naturaleza de los datos, las consecuencias y las garantías. El precepto contiene condiciones específicas para los tratamientos basados en nuevo consentimiento o en una norma que reúna los requisitos allí previstos; no constituye una autorización general para cualquier reutilización.
Informar de un nuevo propósito antes del tratamiento ulterior, conforme a los artículos 13.3 o 14.4, no sustituye la comprobación de licitud. Tampoco la compatibilidad corrige un consentimiento inválido de origen. Si una organización descubre que carecía de base, debe detener y evaluar la operación afectada, corregir sus efectos y decidir qué actuaciones adicionales corresponden, sin reconstruir una justificación ficticia a posteriori.
Documentar la decisión y conectarla con los derechos
El artículo 30 no enumera la base jurídica entre los campos mínimos del registro del responsable. Incorporarla al registro de actividades de tratamiento, o vincularlo con una evaluación separada, es una medida útil de responsabilidad proactiva. Debe distinguirse esta recomendación del deber expreso de informar sobre la base conforme a los artículos 13 y 14.
Una ficha útil conecta finalidad, operaciones, personas afectadas, fundamento, prueba y derechos aplicables. No se trata de imponer «una finalidad, una sola base» como regla absoluta, sino de evitar una lista intercambiable que impida saber cuál se utiliza realmente. Si concurren fundamentos, deben explicarse sus funciones y límites sin frustrar las expectativas comunicadas al interesado.
Los derechos varían según sus condiciones legales. La portabilidad exige, entre otros requisitos, tratamiento automatizado basado en consentimiento o contrato y se refiere a datos facilitados por el interesado. La oposición por motivos de su situación particular se vincula a las bases de interés público o interés legítimo, mientras que la mercadotecnia directa tiene la regla de cese antes indicada. La supresión tampoco desaparece automáticamente porque se invoque contrato: deben examinarse sus causas y excepciones.
La privacidad desde el diseño permite trasladar estas decisiones a formularios y sistemas: separar campos obligatorios y opcionales, registrar autorizaciones cuando proceda y detener usos tras una retirada. Una revisión mediante una lista de cumplimiento RGPD debe activarse ante cambios relevantes de finalidad, normas, proveedores o datos; una revisión anual puede ser recomendable, pero no es un plazo universal impuesto por el artículo 6.
Las consecuencias de una base inexistente se valoran atendiendo a los hechos y al régimen aplicable. Las sanciones del sector bancario muestran por qué hay que distinguir decisiones iniciales y posteriores resoluciones judiciales; no prueban un ranking general de errores. El marco de sanciones RGPD contiene máximos legales y criterios de graduación, no una tarifa automática por seleccionar una casilla equivocada.