El artículo 6 plantea una pregunta concreta: ¿qué autoriza esta finalidad específica?
No pregunta qué base parece más segura. El consentimiento no es automáticamente más fuerte que el contrato o la obligación legal. La elección afecta a la información, los derechos, la conservación y la respuesta ante oposición o retirada.
Las seis bases
El artículo 6.1 del RGPD establece:
| Base | Cuándo usarla | Evidencia |
|---|---|---|
| Consentimiento | La persona elige de forma libre, específica, informada e inequívoca | Información mostrada, acción, fecha, alcance y retirada |
| Contrato | El tratamiento es objetivamente necesario para ejecutar un contrato con la persona o medidas precontractuales solicitadas | Contrato o petición y análisis de necesidad |
| Obligación legal | Una norma de la UE o del Estado miembro obliga al responsable | Disposición aplicable y campos o plazo exigidos |
| Intereses vitales | Es necesario para proteger la vida u otro interés vital | Emergencia y motivo por el que otra base no servía |
| Misión pública | Es necesario para una autoridad o misión de interés público establecida por ley | Base normativa y misión definida |
| Interés legítimo | Una finalidad legítima y necesaria no queda anulada por intereses o derechos de la persona | Finalidad, necesidad, ponderación, garantías y oposición |
Las autoridades públicas no pueden usar interés legítimo en el ejercicio de sus funciones. La legislación nacional también concreta obligación legal y misión pública.
Secuencia de decisión
- Define la finalidad sin unir objetivos distintos.
- Identifica datos y operaciones mínimos.
- Comprueba si una norma exige o autoriza.
- Comprueba si es objetivamente necesario para un contrato con la persona.
- Si propones consentimiento, confirma que rechazar sea una opción real.
- Si propones interés legítimo, documenta finalidad, necesidad, ponderación, expectativas, garantías y oposición.
- Registra la decisión antes de tratar.
No cambies de base en silencio porque la elegida sea incómoda. La guía para pymes sobre licitud del CEPD resume la decisión y exige identificar la base antes del tratamiento.
Errores de categoría
- Contrato significa útil para la empresa. Debe ser objetivamente necesario para lo solicitado, no solo aparecer en las condiciones.
- Consentimiento significa aceptar la política. La política informa. El consentimiento elige una finalidad.
- Interés legítimo significa beneficio. Exige necesidad y ponderación, expectativas e impacto.
- Existe alguna obligación. Identifica la disposición concreta.
- El artículo 6 cubre salud. Las categorías especiales necesitan además una condición del artículo 9.
- Una base cubre la empresa. Selecciona por finalidad y, si hace falta, por operación.
Conecta base y controles
Incluye la base en el registro y el aviso. Configura el producto:
- consentimiento con controles granulares y retirada;
- contrato con datos limitados a la prestación;
- obligación legal con alcance y plazo normativos;
- interés legítimo con oposición y revisión ante cambios.
Una base sin apoyo puede hacer ilícito el tratamiento aunque la política esté bien redactada.
GDPR.Direct estructura registros y borradores públicos a partir de las bases elegidas. No determina la base desde el nombre de una función. Solicita revisión cualificada para actividades controvertidas, de alto impacto, con categorías especiales, menores o vigilancia.
Este artículo tiene fines educativos y no constituye asesoramiento jurídico. La versión española necesita revisión de un profesional nativo antes de una publicación regulada.
