El Reglamento General de Protección de Datos (RGPD) obliga a toda empresa que trata datos personales a apoyar cada operación de tratamiento en una base jurídica válida. Elegir mal entre el consentimiento y el interés legítimo no es un error técnico menor: es el origen de las sanciones más frecuentes que la Agencia Española de Protección de Datos (AEPD) impone a empresas de todos los tamaños. La decisión afecta al diseño del negocio, a los contratos con proveedores y al modo en que la empresa puede usar sus propios datos.
El RGPD no establece una jerarquía entre las seis bases jurídicas que contempla. Sin embargo, en la práctica de la empresa, consentimiento e interés legítimo concentran la mayor parte de los conflictos interpretativos. Comprenderlos con precisión es el primer paso para construir un programa de cumplimiento empresa sólido.
El consentimiento es la manifestación de voluntad libre, específica, informada e inequívoca del interesado. Esto significa que una casilla premarcada, un silencio o una aceptación global de condiciones generales no constituyen consentimiento válido. El responsable del tratamiento debe poder demostrar en todo momento que obtuvo ese consentimiento y en qué términos lo hizo. Además, el interesado puede revocarlo con la misma facilidad con que lo otorgó, lo que condiciona toda la arquitectura de datos que se apoya en esta base.
El interés legítimo no requiere la intervención del interesado. Permite tratar datos cuando el responsable o un tercero tiene un interés real y legítimo que, tras la ponderación, no queda desplazado por los intereses o derechos fundamentales del afectado. La trampa para muchas empresas es asumir que el interés legítimo es un "comodín" que evita pedir consentimiento. No lo es. La Ley Orgánica de Protección de Datos y la Comisión Nacional de los Mercados y la Competencia (CNMC) han reiterado en sus resoluciones que el test de ponderación debe estar documentado antes de iniciar el tratamiento, no a posteriori cuando llega la inspección.
¿Qué sucede cuando la empresa elige el interés legítimo para tratar datos de empleados sin ese análisis previo? En nuestra experiencia asesorando a empresas en España, este es el escenario más repetido: la dirección asume que la relación laboral crea un interés legítimo automático para cualquier tratamiento. El Tribunal Supremo ha consolidado el criterio de que la existencia de una relación contractual no dispensa al responsable de documentar el equilibrio de intereses para cada tratamiento concreto.
La adaptación al RGPD exige, por tanto, una decisión fundada en cada tratamiento incluido en el registro de actividades. No basta con una cláusula genérica de privacidad en la página web, ni con mencionar el interés legítimo en el aviso legal sin haber realizado el test de proporcionalidad.
Para que la dirección pueda tomar decisiones informadas, la comparación debe ir más allá de las definiciones. Lo relevante para la empresa es el impacto operativo de cada opción.
| Criterio | Consentimiento | Interés legítimo |
|---|---|---|
| Requisito de acción del interesado | Sí. Acto afirmativo, libre e inequívoco | No. El responsable actúa sin intervención del interesado |
| Documentación previa obligatoria | Registro del consentimiento y condiciones en que se obtuvo | Test de ponderación de intereses documentado antes del tratamiento |
| Derecho de oposición del interesado | Revocación en cualquier momento; efectos inmediatos | Derecho de oposición; el responsable puede continuar si acredita motivos imperiosos |
| Reversibilidad del tratamiento | Alta: la revocación obliga a cesar el tratamiento | Media: la oposición no es automáticamente vinculante |
| Adecuación para marketing directo | Preferible cuando se dispone de base de datos captada con finalidad comercial | Admisible para clientes existentes, con matices y bajo condiciones estrictas |
| Adecuación para tratamientos internos (RRHH, seguridad) | Problemática: el desequilibrio empleado-empleador compromete la libertad | Más adecuada, siempre que el test de ponderación sea favorable y esté documentado |
| Riesgo sancionador si la base es incorrecta | Alto si el consentimiento no cumple los requisitos de validez | Alto si el test de ponderación no existe o no es suficiente |
| Transferencias internacionales de datos | Válido, pero frágil si la revocación interrumpe flujos críticos | Aplicable, con mayor estabilidad operativa si el test es robusto |
| Transparencia informativa | Información previa al momento de obtener el consentimiento | Información en el momento de la recogida o antes del primer contacto con el interesado |
| Coste de mantenimiento | Elevado: gestión de revocaciones, renovaciones periódicas, prueba de obtención | Moderado: el test se elabora una vez y se revisa cuando cambia el tratamiento |
¿Cuándo elegir cada una? La respuesta depende del tipo de relación con el interesado, del propósito del tratamiento y del equilibrio de poder entre las partes. Para campañas de marketing hacia personas que no son clientes, el consentimiento es prácticamente insustituible. Para tratamientos de vigilancia de sistemas o prevención del fraude interno, el interés legítimo es la base más defendible, siempre con el test documentado.
La gestión de las bases jurídicas no es un asunto que se resuelva una sola vez. Cada vez que la empresa diseña un nuevo producto, contrata un proveedor que accede a datos de terceros, implanta un canal de denuncias o inicia una campaña de captación, debe volver a la pregunta: ¿en qué base jurídica se apoya este tratamiento?
En el calendario operativo hay momentos de especial exposición. El primero es el lanzamiento de un nuevo tratamiento. Si la empresa no ha formalizado la base jurídica antes de iniciar la recogida de datos, el tratamiento es ilícito desde el primer instante. La AEPD ha sancionado expresamente este supuesto: el inicio del tratamiento sin base jurídica documentada, independientemente de la intención del responsable.
El segundo momento crítico es la respuesta a los derechos del interesado. Cuando alguien ejerce el derecho de oposición frente a un tratamiento basado en interés legítimo, la empresa dispone de un mes para responder, prorrogable dos meses adicionales en casos complejos. Si la respuesta no llega en plazo o es incorrecta, el interesado puede reclamar ante la AEPD, lo que abre un procedimiento sancionador.
El tercer momento es la notificación de brecha de seguridad. La empresa dispone de 72 horas desde que tiene conocimiento de la brecha para notificarla a la AEPD. Este plazo corre con independencia de si el tratamiento se apoya en consentimiento o en interés legítimo. Sin embargo, la base jurídica incorrecta agrava la valoración de la infracción porque evidencia una deficiencia estructural en el programa de cumplimiento. En nuestra práctica hemos observado que las empresas sin registro de tratamientos actualizado tardan considerablemente más en contener y notificar la brecha dentro del plazo.
El cuarto momento crítico aparece con la implantación de un canal de denuncias. La legislación española sobre protección de los informantes exige que el responsable del canal identifique y documente la base jurídica del tratamiento de datos de denunciantes y denunciados. El uso indiscriminado del interés legítimo en este contexto sin un test de ponderación específico es uno de los errores más frecuentes que encontramos en las auditorías de cumplimiento.
Hemos implantado programas de protección de datos y compliance en empresas tecnológicas, industriales y de salud, y en todos los casos la ausencia de un registro de tratamientos actualizado con la base jurídica correctamente identificada fue el punto de partida de los mayores riesgos detectados.
Muchas empresas llegan a nuestra consulta convencidas de que el interés legítimo es la opción más cómoda porque no requiere interactuar con el interesado. Es un mito frecuente. La realidad es que el test de ponderación del interés legítimo es, en la mayoría de los casos, más laborioso de elaborar correctamente que un formulario de consentimiento bien diseñado.
El test debe acreditar tres elementos de forma sucesiva. Primero, la existencia de un interés real y legítimo del responsable o de un tercero. Segundo, la necesidad del tratamiento: no basta con que el tratamiento sea conveniente o eficiente; debe ser necesario para alcanzar ese interés. Tercero, el equilibrio de intereses: los derechos y libertades fundamentales del interesado no deben prevalecer, teniendo en cuenta las expectativas razonables de aquel en el momento en que se recogieron los datos.
Este tercer elemento es el que genera mayor conflictividad. La AEPD ha considerado en varios procedimientos que la empresa no puede limitarse a afirmar que su interés es legítimo; debe demostrar por qué el interesado, de haber sido consultado, habría podido prever razonablemente ese tratamiento en el contexto de la relación. Cuando esa previsibilidad no existe, el interés legítimo decae.
El compliance penal añade otra dimensión a este análisis. Si el tratamiento de datos forma parte de un sistema de control interno diseñado para detectar infracciones penales en el seno de la organización, la base jurídica y el diseño del tratamiento deben ser coherentes con el modelo de prevención de delitos. Un programa de compliance penal que recoge datos sobre empleados sin una base jurídica robusta puede, paradójicamente, generar responsabilidad adicional para la persona jurídica.
El riesgo más inmediato es la sanción administrativa. El RGPD establece un régimen de sanciones escalonado, y la AEPD dispone de potestad para imponer sanciones de cuantía significativa cuando la infracción afecta a la licitud del tratamiento. No se trata solo de multas: la invalidación del tratamiento puede suponer la obligación de suprimir datos que la empresa lleva años acumulando.
En el ámbito de las relaciones con terceros, la consecuencia es igualmente grave. Un inversor o comprador que realiza una diligencia debida (due diligence) en una operación de adquisición o inversión examina el registro de tratamientos y la documentación de las bases jurídicas. Un programa de cumplimiento deficiente reduce el valor percibido del activo y puede bloquear la operación o generar ajustes en el precio.
Existe también un riesgo reputacional que, en nuestra experiencia, las empresas medianas suelen subestimar. Una resolución sancionadora de la AEPD es pública. En el sector tecnológico, de salud o financiero, donde la confianza del cliente es un activo central, la publicación de una resolución adversa tiene consecuencias que van más allá de la multa.
Por último, la elección incorrecta de la base jurídica puede inutilizar el modelo de captación de usuarios o de gestión de la base de datos comercial. Si la empresa ha construido su estrategia de marketing sobre un consentimiento que no es válido porque fue obtenido mediante casillas premarcadas o bundling con otras aceptaciones, toda esa base de datos queda contaminada y el tratamiento debe cesar.
La lógica del compliance preventivo es simple. Identificar y corregir una base jurídica incorrecta antes de iniciar el tratamiento cuesta una fracción de lo que cuesta corregirla después de una inspección o una reclamación.
En nuestra experiencia asesorando a empresas en España, el momento en que el asesoramiento produce mayor impacto es el diseño del producto o del proceso. Cuando el equipo jurídico participa en la fase de diseño de una nueva funcionalidad digital, de un programa de retención de clientes o de un sistema de vigilancia de la red, puede incorporar la base jurídica correcta desde el principio. Rediseñar esos sistemas a posteriori, una vez que ya se han capturado datos sobre una base incorrecta, implica purgar bases de datos, reconstruir flujos de consentimiento y, en muchos casos, notificar a los interesados afectados.
El asesoramiento temprano también reduce el riesgo cuando se produce una brecha de seguridad. Una empresa con un registro de tratamientos actualizado, con las bases jurídicas correctamente documentadas y con un protocolo de respuesta puede notificar a la AEPD dentro de las 72 horas y demostrar que la brecha no es consecuencia de una negligencia estructural. Eso tiene un impacto directo en la valoración de la infracción y en la cuantía de la eventual sanción.
¿Cuándo es demasiado tarde para implantar un programa de cumplimiento? En sentido estricto, nunca; pero el coste de la regularización aumenta de forma no lineal con el tiempo transcurrido. Cada mes de tratamiento sin base jurídica válida es un mes de infracción continuada que se computa en la valoración de la gravedad.
El asesoramiento en esta materia debe cubrir, como mínimo, tres planos: la identificación y documentación de las bases jurídicas para cada tratamiento del registro; el diseño de los mecanismos de obtención y gestión del consentimiento cuando esta sea la base elegida; y la elaboración del test de ponderación para cada tratamiento basado en interés legítimo, con revisión periódica cuando las circunstancias cambien.
El siguiente checklist recoge los puntos mínimos que la dirección debe verificar para cada tratamiento de datos en su organización.
La elección correcta de la base jurídica es una decisión que se inserta en un programa más amplio de protección de datos y compliance que incluye la implantación del registro de tratamientos, la redacción de políticas de privacidad y la gestión de incidentes. En empresas con actividad financiera o tecnológica, la adaptación al RGPD confluye con la normativa sectorial específica; si su empresa opera en el ámbito fintech, le recomendamos revisar nuestro análisis sobre fintech y servicios financieros en el contexto del reglamento aplicable. Cuando se produce una brecha de seguridad, la base jurídica incorrecta agrava el expediente sancionador; nuestro recurso sobre preguntas frecuentes sobre brechas de seguridad ofrece una guía práctica de actuación.
Para una primera valoración, escríbanos a info@velardevidal.com.
Plantear mi casoEste contenido es informativo y no constituye asesoramiento jurídico. Para un análisis de su situación, contacte con info@velardevidal.com.