La limitación de la finalidad obliga a recoger datos personales para fines determinados, explícitos y legítimos y a evitar usos posteriores incompatibles con ellos. Tener los datos en una base de clientes no autoriza a utilizarlos para cualquier proyecto. Antes de cambiar su uso, la organización debe comparar el tratamiento previsto con el contexto de recogida y determinar qué vía jurídica permite realizarlo.
La pregunta no se resuelve simplemente añadiendo otra base de legitimación a una tabla. El artículo 6.4 del RGPD contempla un análisis de compatibilidad y distingue los tratamientos posteriores basados en un consentimiento válido o en una norma con las condiciones que establece. Esta guía ayuda a preparar una decisión documentada sobre un nuevo uso: autorizarlo con sus límites, modificarlo o no iniciarlo.
Qué exige el principio de limitación de la finalidad
El artículo 5.1.b del RGPD exige determinar los fines al recoger la información. Deben ser suficientemente concretos para evaluar la necesidad de los datos, explicar el tratamiento y controlar los usos posteriores. Una categoría como «gestión» puede servir de encabezado, pero necesita desarrollo para que se entienda qué operaciones se realizarán y qué consecuencias tienen para las personas.
La síntesis de principios de la AEPD distingue la determinación de los fines y la prohibición de usos posteriores incompatibles. Un fin explícito no es solo una frase publicada. Debe corresponder a una decisión real que los equipos puedan aplicar. Si el aviso habla de gestionar una consulta, pero los datos se incorporan automáticamente a una campaña de otra empresa, existe una discrepancia que el texto genérico no soluciona. La finalidad debe guiar permisos, comunicaciones, conservación y decisiones de negocio.
La legitimidad incluye el cumplimiento del ordenamiento y la base de legitimación aplicable, pero ambos análisis tienen funciones distintas. Describir el fin no demuestra que exista consentimiento, necesidad contractual o interés legítimo suficiente. Del mismo modo, identificar una base del artículo 6 no elimina la obligación de comprobar si un uso ulterior respeta los límites de la finalidad inicial.
Formular fines que permitan tomar decisiones
Para precisar una finalidad, describa qué acción pretende realizarse y para qué resultado. «Gestionar la entrega del pedido» permite analizar direcciones, contactos y comunicaciones logísticas. «Utilizar los datos para cualquier actividad relacionada con nuestros servicios» deja abierta una extensión difícil de valorar. Una formulación útil permite reconocer también qué queda fuera, sin pretender anticipar todas las posibilidades comerciales imaginables.
Separe finalidades que exigen decisiones distintas. Ejecutar un pedido, cumplir obligaciones contables y enviar publicidad pueden utilizar algunos datos comunes, pero no por ello comparten automáticamente fundamento, conservación o destinatarios. El diseño de la base debe permitir esas diferencias. Un único campo llamado «cliente activo» suele ser insuficiente para decidir qué usos siguen permitidos tras un cambio de situación.
La necesidad contractual debe acreditarse respecto de un contrato con la persona o de medidas precontractuales solicitadas por ella. No basta que una cláusula mencione el uso ni que exista un contrato con un proveedor técnico. Un análisis comercial opcional no se vuelve necesario para ejecutar un pedido por figurar en las condiciones generales. Los ejemplos de consentimiento ayudan a valorar otra posible vía cuando resulte realmente adecuada.
Traslade la decisión al registro de actividades de tratamiento y a la información para los interesados que corresponda. El registro no tiene que contener toda la argumentación de cada proyecto, pero debe enlazar con una descripción coherente. Si tres departamentos usan expresiones diferentes para el mismo tratamiento, aclare sus límites antes de aprobar nuevas reutilizaciones.
Detectar cuándo existe un uso ulterior
No toda modificación técnica introduce una finalidad nueva. Cambiar el formato de un informe o sustituir un proveedor que realiza la misma operación por cuenta del responsable puede mantener el propósito, aunque exija revisar otras obligaciones. En cambio, utilizar datos de atención al cliente para evaluar comportamientos con efectos distintos sobre las personas puede requerir un examen del nuevo fin.
Pregunte qué decisión se tomará con los datos, quién se beneficia, a quién afecta y qué uso no se realizaba antes. Un nuevo destinatario puede ser relevante incluso si el nombre del proyecto no cambia. Del mismo modo, agregar información de varias fuentes puede transformar la capacidad de perfilar a una persona y las consecuencias del tratamiento sin añadir ningún campo visible al formulario original.
Conserve la descripción de partida. Para comparar fines necesita conocer qué se informó, con qué base se recogieron los datos y qué restricciones existían. Si solo queda la política de privacidad actual, puede ser difícil reconstruir las expectativas del momento de recogida. Mantener versiones y decisiones relevantes ayuda a evaluar el nuevo uso sin inventar retrospectivamente una finalidad que nunca estuvo definida.
Fines compatibles: el test del art. 6.4
El artículo 6.4 exige considerar, entre otros elementos, la relación entre los fines iniciales y posteriores; el contexto de recogida y la relación con las personas; la naturaleza de los datos, especialmente los de los artículos 9 y 10; las consecuencias posibles; y las garantías, que pueden incluir cifrado o seudonimización. No es una suma automática de puntos ni una autorización basada en marcar cinco casillas.
Examine primero la conexión real entre usos. Un análisis dirigido a comprender fallos de un servicio puede tener una relación más próxima con su prestación que la venta de perfiles a terceros. Pero la proximidad del tema no basta: deben valorarse los demás factores y las condiciones originales. Dos proyectos descritos como «mejora» pueden implicar intrusiones y efectos muy distintos.
El contexto incluye lo que la persona podía razonablemente esperar de la relación. Una relación laboral, sanitaria o de dependencia puede requerir especial atención. No basta afirmar que el uso es habitual en el sector o que aparece en una cláusula extensa. Explique qué se comunicó, qué control tenía la persona y cómo el nuevo tratamiento altera su situación.
La naturaleza y las consecuencias también pueden ser decisivas. Un conjunto aparentemente corriente puede revelar información sensible al combinarse con otros datos. Un análisis agregado sin efectos individuales no plantea las mismas consecuencias que una puntuación utilizada para excluir a alguien de un servicio. Describa tanto el resultado previsto como los errores razonablemente previsibles y a quién perjudicarían.
Las garantías pueden reducir riesgos, pero no convierten cualquier finalidad en compatible. Cifrar una base que se utilizará para un propósito incompatible protege su confidencialidad, no resuelve la desviación. La minimización de datos, la separación de usos y el control de accesos pueden ayudar a rediseñar el proyecto, siempre que el resultado se reevalúe de forma realista.
Qué ocurre si el resultado es incompatible
No puede subsanarse cualquier incompatibilidad seleccionando interés legítimo en un desplegable o redactando una cláusula nueva. El artículo 6.4 distingue el tratamiento ulterior basado en el consentimiento del interesado y el basado en Derecho de la Unión o de los Estados miembros que constituya una medida necesaria y proporcionada para salvaguardar los objetivos del artículo 23.1. Deben cumplirse las condiciones de la vía utilizada.
Cuando se recurra a un nuevo consentimiento, este debe ser libre, específico, informado e inequívoco, y explícito cuando la norma lo exija. Hay que identificar el nuevo uso y permitir una decisión válida. Cambiar unilateralmente la política no equivale a obtenerlo. Tampoco puede darse por hecho que una persona acepta porque no responde a un correo o continúa utilizando un servicio necesario.
Si los datos se recogieron inicialmente con un consentimiento delimitado, no utilice el test de compatibilidad para ampliar sin más lo que se autorizó. Examine el alcance del consentimiento y la necesidad de uno nuevo. La retirada y otras condiciones aplicables también deben respetarse. El análisis no debe diseñarse para eludir una elección que la persona ya ha realizado.
Si no hay una vía válida, el proyecto no debe iniciarse con esos datos personales. Puede ser posible reformular el objetivo, reducir el conjunto, obtener información por otra vía legítima o trabajar con datos verdaderamente anónimos. Cada alternativa necesita su propia comprobación. La seudonimización no equivale a anonimización y no elimina por sí misma el RGPD.
Informar antes del nuevo tratamiento
Los artículos 13.3 y 14.4 prevén información sobre el nuevo fin y la información adicional pertinente antes del tratamiento ulterior, según el origen de los datos y las reglas aplicables. Una finalidad compatible no elimina automáticamente ese deber. Determine quién debe recibir la comunicación, qué debe explicarse y por qué canal resultará comprensible y accesible en el contexto.
La política de privacidad para una web en España puede formar parte de esa información, pero actualizar una página silenciosamente no siempre basta para comunicar un cambio relevante. La decisión debe tener en cuenta el modo de relación con la persona. Si se requiere consentimiento, el mecanismo de obtención es además una cuestión distinta de la mera publicación del texto.
Explique el cambio de forma concreta. Una persona debe poder entender qué se hará de nuevo con sus datos y cómo le afecta, sin comparar por sí misma dos documentos largos. Evite presentar como obligatorio un uso opcional. Mantenga evidencia proporcionada de la información facilitada y de las decisiones que habilitan el nuevo tratamiento, sin recopilar datos adicionales innecesarios para demostrarlo.
Marketing a clientes: también hay reglas del canal
Utilizar un contacto obtenido para un pedido en una campaña comercial exige analizar tanto el RGPD como la normativa específica del canal. En España, el artículo 21 de la LSSI regula las comunicaciones publicitarias o promocionales por correo electrónico y medios equivalentes. No puede resolverse toda campaña mediante una afirmación genérica sobre interés legítimo para marketing.
La regla prohíbe los envíos que no hayan sido solicitados o expresamente autorizados, con la excepción legal para una relación contractual previa cuando se hayan obtenido lícitamente los datos de contacto y se anuncien productos o servicios de la propia empresa similares a los contratados. Debe ofrecerse la posibilidad de oponerse mediante un procedimiento sencillo y gratuito al recoger los datos y en cada comunicación, en los términos de la norma.
Compruebe esos elementos por campaña. Una empresa del mismo grupo no es automáticamente la misma empresa a estos efectos, y un producto diferente no se vuelve similar porque resulte comercialmente interesante. Además, el derecho de oposición a la mercadotecnia directa debe respetarse. El hecho de conservar un contacto para otra finalidad legítima no permite seguir incluyéndolo en publicidad tras la oposición correspondiente.
No confunda las reglas de correo electrónico con las de llamadas, cookies u otros canales. Cada operación puede necesitar requisitos específicos. Esta guía no pretende resolver todas las normas sectoriales, sino señalar un error frecuente del análisis: considerar que un fin compatible y una base del RGPD bastan siempre para cualquier forma de comunicación comercial.
Cesiones dentro de un grupo y proveedores
Las sociedades de un grupo no disponen de una autorización general para compartir toda la información. Identifique qué entidad recibe los datos, con qué finalidad y en qué papel. Una centralización administrativa concreta y una campaña comercial de otra sociedad requieren decisiones diferentes. El vínculo corporativo es parte del contexto, no una sustitución de la legitimación, la transparencia o la minimización.
Si un proveedor actúa por cuenta del responsable, debe utilizar los datos conforme a las instrucciones y al marco aplicable. Un uso propio del proveedor merece un análisis distinto; no se vuelve compatible solo porque aparezca en una condición estándar. Antes de activar analítica o funciones adicionales, determine si cambian fines, roles, destinatarios o transferencias y qué información o autorización se necesita.
Cuando los datos pasan a otro responsable, cada participante debe examinar sus obligaciones. El emisor no puede justificar la comunicación únicamente porque el receptor diga que dispone de una base. El receptor tampoco obtiene una libertad ilimitada por recibir un fichero de forma legítima. Documente el propósito de la comunicación y los límites del uso que fundamentan la decisión.
El caso especial de la investigación y la estadística
El artículo 5.1.b establece que el tratamiento ulterior para archivo en interés público, investigación científica o histórica o fines estadísticos no se considerará incompatible con los fines iniciales de acuerdo con el artículo 89.1. No es una autorización genérica para cualquier proyecto denominado investigación. Deben examinarse la naturaleza real del trabajo, su legitimación y las garantías exigibles.
El artículo 89.1 exige garantías técnicas y organizativas apropiadas, en particular para aplicar la minimización. Puede incluir seudonimización cuando permita alcanzar los fines, y exige cumplirlos sin identificar a las personas cuando puedan alcanzarse de ese modo. Las condiciones de categorías especiales y las normas nacionales pertinentes siguen siendo relevantes; una etiqueta estadística no las sustituye.
En investigación de salud en España, debe revisarse además la disposición adicional decimoséptima de la LOPDGDD, según el supuesto. No cabe resumirla como permiso universal para reutilizar historias clínicas. El equipo debe identificar el régimen concreto antes de acceder a información, compartirla o definir su conservación.
Una empresa que calcula tendencias para tomar decisiones comerciales individuales no puede asumir sin análisis que realiza investigación científica o estadística amparada por ese régimen. Describa qué resultados produce y cómo se utilizarán. La función real importa más que el nombre del departamento. Si cambia de un análisis agregado a decisiones sobre personas identificables, reexamine el contexto y los efectos.
Un ejemplo de decisión sobre un nuevo uso
Imagine un servicio de mantenimiento que conserva partes de averías para gestionar reparaciones. Quiere estudiar qué componentes fallan para mejorar la planificación. El expediente debería explicar qué datos necesita el estudio, si puede realizarse sin nombres y cómo se relaciona con el propósito inicial. También debe revisar lo informado, la base original y las consecuencias para los clientes, antes de concluir si el uso resulta admisible.
Después aparece una segunda propuesta: vender a terceros un perfil de la fiabilidad de cada cliente utilizando los mismos partes. No basta copiar la conclusión del primer estudio. Cambian destinatarios, efectos y expectativas, y probablemente la información utilizada para una reparación adquiere un significado distinto. El equipo debe abrir una evaluación nueva y no considerar que «ya estaba autorizado el análisis de datos».
Si se aprueba una versión reducida del primer proyecto, las limitaciones deben implementarse. Separe el conjunto analítico del operativo, restrinja accesos y evite que un informe agregado incluya ejemplos identificables innecesarios. La privacidad desde el diseño ayuda a convertir la decisión en controles. Una conclusión escrita pierde valor si el sistema permite sin revisión la segunda reutilización que no fue aprobada.
Cómo aplicar la limitación de la finalidad en la práctica
Antes de autorizar un uso nuevo, conserve una descripción del origen de los datos, el propósito inicial, el propuesto y la vía jurídica considerada. Añada el razonamiento de compatibilidad cuando corresponda, las garantías, las comunicaciones necesarias y las condiciones de puesta en marcha. Esta estructura es una recomendación operativa, no un modelo documental impuesto literalmente por el RGPD.
Asigne una persona que pueda verificar que el uso real respeta esas condiciones. Si cambia la información, el destinatario o el efecto sobre las personas, determine cuándo debe revisarse la decisión. El checklist de cumplimiento RGPD en España puede servir de apoyo, pero no sustituye el análisis particular. Una aprobación genérica de dirección no elimina las restricciones jurídicas del tratamiento.
Cuando desaparezca una finalidad, revise la conservación de los datos atendiendo a los demás fines legítimos, obligaciones y bloqueos aplicables. No todo debe borrarse simultáneamente, pero tampoco puede mantenerse activo por inercia. El régimen de acceso debe reflejar para qué sigue siendo necesaria cada parte y cuándo dejará de serlo.
Las sanciones y otras medidas correctivas dependen de los hechos y de la decisión correspondiente. No es necesario atribuir a una multa conocida una causa simplificada para explicar el principio. Un expediente sólido demuestra qué decisión se tomó, con qué información y cómo se aplicó, y permite corregir el proceso cuando las circunstancias cambian.
FAQ
¿Un uso incompatible se arregla invocando interés legítimo?
No automáticamente. La compatibilidad y la base de legitimación cumplen funciones distintas. El artículo 6.4 contempla vías específicas relacionadas con un consentimiento válido o una norma que reúna sus condiciones. No puede eludirse una incompatibilidad seleccionando cualquier base nueva ni ampliarse sin más el alcance de un consentimiento previo mediante un test de compatibilidad.
¿Debo informar aunque considere compatible el uso nuevo?
La compatibilidad no elimina por sí sola los deberes de información. Deben examinarse los artículos 13.3 o 14.4, según el caso, y facilitar la información pertinente antes del tratamiento ulterior cuando corresponda. Publicar una cláusula genérica no equivale necesariamente a comunicar el cambio y tampoco sustituye un consentimiento si este es necesario.
¿Pertenecer al mismo grupo permite compartir datos de clientes?
No existe una autorización general por ese motivo. Deben identificarse entidad, finalidad, papel, base jurídica y garantías, además de informar cuando proceda. Un uso administrativo delimitado no justifica automáticamente campañas comerciales de otras sociedades. La decisión debe referirse a la comunicación concreta y a lo que cada receptor hará realmente con los datos.