¿Cuándo es lícito el tratamiento de datos personales?

En nuestra interacción en el mundo digital, cada clic genera datos, y saber cuándo es legal tratar información personal no es solo una cuestión técnica o burocrática. Es una obligación que afecta a empresas, profesionales, instituciones públicas y cualquier entidad que maneje datos identificables de personas.

El Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD) establecen los principios que rigen la licitud del tratamiento de datos personales. En este artículo, vamos a explicarte en qué casos es lícito tratar datos, cuáles son las bases legales reconocidas por la normativa y qué consecuencias puede tener hacerlo sin respaldo legal.

La base de todo tratamiento legal de datos

Todo tratamiento de datos personales —desde una simple recogida en un formulario hasta un análisis de perfiles o una campaña de marketing— debe estar amparado por una base legal. Si no existe dicha base, el tratamiento será ilícito, y podrá dar lugar a reclamaciones, sanciones e incluso indemnizaciones.

Por eso, es esencial que cualquier entidad que trate datos personales identifique previamente cuál es la base jurídica que lo justifica, lo documente correctamente y lo comunique de forma transparente al interesado.

¿Qué significa tratar un dato personal?

Antes de entrar en las bases legales, recordemos qué se entiende por tratamiento de datos personales. Según el artículo 4 del RGPD, es:

“Cualquier operación o conjunto de operaciones realizadas sobre datos personales, ya sea por procedimientos automatizados o no”.

Esto incluye, entre otras acciones:

• Recoger
• Registrar
• Organizar
• Almacenar
• Consultar
• Utilizar
• Transmitir
• Suprimir

Es decir, cualquier cosa que hagas con un dato personal entra dentro del concepto de "tratamiento" y debe estar legalmente justificada.

Requisitos de licitud según el RGPD y la LOPDGDD

El RGPD, en su artículo 6, y la LOPDGDD, como complemento nacional, indican que el tratamiento solo será lícito si se cumple al menos una de las bases legales previstas por la normativa.

Estas bases permiten justificar el tratamiento en distintas situaciones, según el contexto y la relación con la persona titular de los datos. A continuación, detallamos las seis bases legales que permiten tratar datos personales de forma lícita.

Las 6 bases legales que hacen lícito el tratamiento de datos personales

1. Consentimiento del interesado

Es probablemente la base legal más conocida, pero también una de las que más requisitos exige. Para que el consentimiento sea válido, debe ser:

• Libre (sin coacción ni condicionamientos)
• Específico (para una finalidad concreta)
• Informado (el usuario debe saber quién trata sus datos, para qué y cómo)
• Inequívoco (debe existir una acción clara que lo demuestre)

Ejemplo práctico: un usuario que marca voluntariamente una casilla para recibir una newsletter ha dado su consentimiento válido.

Importante: el consentimiento puede retirarse en cualquier momento, y si se retira, debe cesar el tratamiento.

2. Ejecución de un contrato

El tratamiento es lícito si es necesario para la ejecución de un contrato en el que el interesado sea parte, o para la aplicación de medidas precontractuales a petición del mismo.

Ejemplo práctico: una tienda online necesita tratar los datos de envío y facturación del cliente para cumplir con la compra.

3. Cumplimiento de una obligación legal

Una organización puede tratar datos personales si el tratamiento es necesario para cumplir con una obligación legal que le sea aplicable, establecida por una ley nacional o de la UE.

Ejemplo práctico: una empresa que entrega los datos de sus trabajadores a la Seguridad Social o a Hacienda.

Aquí no se requiere el consentimiento del interesado, ya que existe una obligación superior.

4. Intereses vitales del interesado o de otra persona

Esta base se utiliza en situaciones excepcionales, donde el tratamiento es necesario para proteger intereses vitales, como la vida o la integridad física de una persona.

Ejemplo práctico: un hospital que trata los datos de un paciente inconsciente en una situación de emergencia.

5. Misión de interés público o ejercicio de poderes públicos

Aplica cuando el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de funciones oficiales atribuidas al responsable del tratamiento.

Ejemplo práctico: una administración pública que gestiona el padrón municipal o un registro oficial.

6. Interés legítimo del responsable del tratamiento

Es una base que permite cierta flexibilidad, pero requiere una evaluación previa para comprobar que el interés legítimo del responsable no vulnera los derechos y libertades del interesado.

Ejemplo práctico: una empresa que utiliza los datos de sus clientes para enviarles ofertas relacionadas con productos similares.

Importante: cuando se invoca el interés legítimo, es recomendable realizar una evaluación de interés legítimo (LIA) para justificarlo adecuadamente.

¿Qué pasa si no existe base legal? Riesgos y sanciones

Tratar datos personales sin una base legal válida supone una infracción grave del RGPD y la LOPDGDD, que puede tener consecuencias importantes:

• Sanciones económicas de hasta 20 millones de euros o el 4% de la facturación global anual.
• Daño reputacional, pérdida de confianza y clientes.
• Reclamaciones por parte de los interesados.
• Acciones judiciales, incluidas indemnizaciones por daños y perjuicios.

Por eso, es imprescindible que cualquier tratamiento de datos esté documentado, evaluado y vinculado a una base de licitud clara y comprobable.

La legalidad como pilar de la protección de datos

La legalidad del tratamiento de datos personales es el primer filtro que debe superar cualquier proyecto, sistema o actividad que implique el uso de información identificable.

El RGPD y la LOPDGDD establecen seis bases legales para hacerlo de forma correcta. Elegir la base adecuada no solo es un requisito legal, sino una muestra de compromiso con la privacidad y los derechos fundamentales de las personas.

Si tienes dudas sobre cómo justificar legalmente el tratamiento de datos en tu empresa o actividad, lo más recomendable es contar con abogados de protección de datos en Granada, que puedan asesorarte para evitar errores, sanciones y malas prácticas.