Base jurídica y finalidad: el núcleo de la licitud en RGPD
Uno de los errores más costosos en protección de datos no es técnico: es conceptual. Muchas organizaciones recogen datos “por si acaso”, reutilizan información para fines distintos o confunden consentimiento con “cobertura universal”. El RGPD y la LOPDGDD exigen un criterio sencillo pero exigente: si no puedes justificar por qué tratas un dato y para qué, ese tratamiento no debería existir.
Beneficios de hacerlo bien
- Menos exposición: a menos datos, menor impacto si ocurre una brecha.
- Más calidad: se gestionan mejor los datos cuando el sistema no se llena de información irrelevante.
- Menos conflicto con clientes/usuarios: la transparencia y la coherencia reducen reclamaciones.
- Defensa sólida: ante inspección o reclamación, la empresa puede acreditar licitud (base jurídica) y coherencia (finalidad).
Riesgos típicos (privacidad y vulnerabilidad)
- Recogida excesiva (violación de minimización): pedir DNI, fecha de nacimiento o datos sensibles sin necesidad real.
- Cambio de finalidad sin justificación: usar datos de una compra para campañas agresivas o cesiones no previstas.
- Consentimiento inválido: casillas pre-marcadas, textos confusos o condicionamiento del servicio cuando no es necesario.
- Interés legítimo mal aplicado: invocar interés legítimo sin ponderación real, sin opción efectiva de oposición o sin expectativas razonables del interesado.
- Retención indefinida: conservar datos sin criterios claros aumenta riesgo y puede vulnerar limitación de conservación.
Lo que dicen RGPD y LOPDGDD (en la práctica)
El RGPD exige licitud (art. 6) y respeto a los principios (art. 5), especialmente:
- Limitación de finalidad: datos recogidos para fines determinados, explícitos y legítimos; no tratar de forma incompatible.
- Minimización: adecuados, pertinentes y limitados a lo necesario.
- Limitación de conservación: no más tiempo del necesario.
Bases típicas del art. 6 RGPD:
- Ejecución de un contrato: por ejemplo, gestionar un pedido, una prestación de servicio o soporte.
- Obligación legal: facturación, obligaciones laborales, prevención de riesgos, etc.
- Interés legítimo: cuando existe un interés real del responsable, compatible con expectativas del interesado y con ponderación documentada; debe permitir oposición cuando proceda.
- Consentimiento: libre, específico, informado e inequívoco; fácil de retirar.
- Misión de interés público / poderes públicos (menos frecuente en pymes privadas).
- Intereses vitales (casos excepcionales).
La LOPDGDD complementa y refuerza el marco español, y en la práctica obliga a ser especialmente cuidadosos con consentimiento, comunicaciones comerciales y el modo de articular derechos de las personas.
¿Siempre hay que hacer EIPD?
No siempre. La EIPD (art. 35 RGPD) es obligatoria si el tratamiento puede suponer alto riesgo. La elección de base jurídica por sí sola no activa una EIPD. Lo que la activa suele ser la naturaleza del tratamiento: perfilado intensivo, vigilancia sistemática, grandes volúmenes, datos sensibles, decisiones automatizadas con efectos relevantes, etc.
Pero la decisión (hacer/no hacer EIPD) debe sustentarse en análisis: qué haces, qué tecnología usas, y qué riesgo se genera.
Proporcionalidad: cómo se aterriza
- Mapear la finalidad real: qué problema resuelve el tratamiento y qué resultado busca.
- Definir datos mínimos: si un dato no aporta a la finalidad, se elimina.
- Ajustar base jurídica: contrato si es imprescindible para prestar; obligación legal si lo manda la norma; interés legítimo con ponderación; consentimiento cuando sea realmente libre.
- Diseñar el recorrido: información clara (art. 13/14), plazos de conservación, acceso por rol, trazabilidad si aplica.
- Revisar compatibilidad si se quiere usar para una finalidad nueva: analizar expectativas y equilibrio, o recabar base nueva.
Base jurídica y finalidad no son tecnicismos: son el “por qué” y el “para qué” que justifican todo el sistema. Cuando se hace con rigor, la empresa gana orden, reduce riesgo y mejora su relación con clientes y usuarios. Cuando se improvisa, la organización queda expuesta por duplicado: por vulneración de privacidad y por aumentar el daño potencial ante incidentes.
