¿Cuándo puedo procesar datos personales?

Seis bases legales, y el consentimiento es solo una de ellas

El tratamiento de datos personales está permitido cuando se aplica una de las seis bases legales del artículo 6 del RGPD. El consentimiento es la base más conocida, pero no la única y en la práctica a menudo no la más evidente: un tratamiento también puede ser lícito porque es necesario para la ejecución de un contrato, porque existe una obligación legal, para proteger un interés vital, para el cumplimiento de una misión de interés público, o porque un interés legítimo de la organización prevalece sobre el interés del interesado en no ser tratado.

En una tienda en línea o prestador de servicios suelen aparecer tres de esas bases: el contrato (un cliente realiza un pedido y los datos son necesarios para poder entregar), la obligación legal (una factura que debe conservarse conforme a las normas fiscales), y el interés legítimo (por ejemplo, la seguridad del sitio web o un boletín informativo para clientes existentes). El consentimiento entra en juego cuando ninguna de las otras bases es aplicable, como en el caso del marketing dirigido a personas que aún no son clientes —y en ese consentimiento debe ser específico, libremente dado y demostrable.

Esto se regula en el artículo 6 del RGPD

El artículo 6, apartado 1, del RGPD enumera las seis bases bajo las letras a a f; qué base es aplicable a un tratamiento concreto se deriva de la naturaleza de ese tratamiento en sí y no de una decisión adoptada previamente. La Autoridad de Protección de Datos proporciona orientación adicional en su sitio web sobre la aplicación de estas bases en la práctica.