Artículo 6 del GDPR: seis bases jurídicas, no solo el consentimiento

El artículo 6 del GDPR enumera seis bases jurídicas para el tratamiento de datos personales: consentimiento, contrato, obligación legal, intereses vitales, misión realizada en interés público e intereses legítimos. Muchas personas creen erróneamente que el consentimiento es la única opción, pero solo es una de las seis. Por ejemplo, un empleador que trata datos para gestionar las nóminas no necesita consentimiento: se basa en una obligación legal o en un contrato. La distinción fundamental es que el consentimiento requiere una acción clara y afirmativa del interesado, mientras que las demás bases suelen derivarse de obligaciones legales o necesidades organizativas.

Para eliminar respuestas incorrectas en una pregunta, compruebe primero si el tratamiento es necesario por ley o por un contrato; de ser así, no se necesita consentimiento. En segundo lugar, recuerde que los «intereses vitales» solo se aplican a situaciones de vida o muerte, como la atención médica de urgencia. En tercer lugar, los «intereses legítimos» constituyen la base más amplia, pero no pueden prevalecer sobre los derechos del interesado; suelen abarcar la prevención del fraude o la mercadotecnia directa. Un truco rápido de eliminación: si el supuesto implica a una autoridad pública, probablemente la base sea una «misión realizada en interés público», no el consentimiento.

Para ponerse a prueba, pregúntese: «¿Este tratamiento se realiza debido a una obligación legal, un contrato o una necesidad de salvar una vida?». Si la respuesta es sí, descarte el consentimiento. Como regla mnemotécnica, piense en las seis bases como «C-C-O-I-M-I» (Consentimiento, Contrato, Obligación legal, Intereses vitales, Misión realizada en interés público, Intereses legítimos). Practique asociando cada base a un ejemplo real, como las nóminas (contrato/obligación legal) frente a la suscripción a un boletín informativo (consentimiento).