La base de legitimación es el fundamento legal que permite tratar datos personales: consentimiento, contrato, obligación legal, intereses vitales, misión de interés público o interés legítimo, según el artículo 6 del RGPD, más los supuestos propios del artículo 7 de la LGPD de Brasil. Todo tratamiento necesita una, elegida antes de empezar y registrada. El selector compara las bases con tu escenario y, si aplica el interés legítimo, arma la prueba de tres pasos (LIA).
Cómo usar
- Describe la actividad de tratamiento, la ley aplicable y la finalidad principal.
- Responde si hay contrato, obligación legal, misión pública o intereses vitales involucrados.
- Indica si la persona espera el uso, si puede negarse y si hay datos sensibles o de menores.
- Para el interés legítimo, describe el interés, la necesidad, el impacto y las salvaguardas.
- Lee la base sugerida, las alternativas, las bases descartadas y la LIA; exporta en DOCX, PDF o CSV.
Qué pide cada campo
| Campo | Qué completar |
|---|---|
| Actividad de tratamiento | Qué se hace con los datos y para qué, en una frase. |
| Ley aplicable | El RGPD rige en Europa; la LGPD, para tratamientos en Brasil. Muchas empresas necesitan ambas. |
| Finalidad principal | |
| ¿El tratamiento es necesario para ejecutar un contrato con la propia persona (o medidas previas)? | |
| ¿Una ley o regulación obliga a la organización a realizar este tratamiento? | |
| ¿Es una misión de un organismo público o la ejecución de una política pública? | |
| ¿Sirve para proteger la vida o la integridad física de alguien? | |
| Situaciones previstas solo en la LGPD (opcional) | Marca las que correspondan al tratamiento. |
| ¿La persona espera, de forma razonable, que sus datos se usen así? | |
| ¿La persona puede negarse sin sufrir perjuicio? | Si negarse le cuesta el servicio, el empleo o un beneficio, el consentimiento no es libre. |
| ¿Hay desequilibrio de poder (empleador, organismo público)? | |
| ¿Involucra categorías especiales de datos? | Salud, biometría, origen racial o étnico, religión, opiniones políticas, afiliación sindical, vida sexual o datos genéticos. |
| ¿Involucra datos de niños, niñas o adolescentes? | |
| Interés perseguido (para la prueba de interés legítimo) | Qué beneficio concreto trae el tratamiento a la organización, a terceros o a la propia persona. |
| ¿Existe una forma menos invasiva de lograr la misma finalidad? | |
| Impacto probable sobre las personas | |
| Salvaguardas ya previstas (opcional) |
Ejemplo
Una tienda en línea ficticia quiere analizar los pedidos para frenar fraudes con tarjetas de terceros, bajo el RGPD y la LGPD. Como el cliente no puede negarse a la verificación, el consentimiento queda descartado. El selector sugiere el interés legítimo (RGPD art. 6(1)(f); LGPD art. 7, IX) con adecuación alta, porque la verificación es esperada, tiene impacto bajo y cuenta con minimización, conservación corta y aviso claro. La LIA concluye que la base se sostiene con salvaguardas.
Cuándo usar
- Antes de lanzar un producto, una campaña o un nuevo uso de datos de clientes.
- Al armar o revisar el registro de actividades de tratamiento.
- Cuando el equipo recurre al consentimiento por costumbre y hay que comprobar si es libre.
- Para documentar la prueba de interés legítimo que la autoridad de control o la ANPD pueden pedir.
Preguntas frecuentes
¿Cuáles son las bases de legitimación del RGPD?
El artículo 6(1) del RGPD enumera seis: consentimiento, ejecución de un contrato, obligación legal, intereses vitales, misión de interés público e interés legítimo. Todo tratamiento necesita al menos una, elegida antes de empezar.
¿El consentimiento es siempre la base más segura?
No. Solo es válido si la persona puede negarse sin perjuicio, y puede retirarse en cualquier momento. En una relación laboral o cuando el servicio depende del tratamiento, rara vez es libre y otra base suele ser más adecuada.
¿Qué es la prueba de interés legítimo (LIA)?
Es la evaluación en tres pasos que respalda el interés legítimo: finalidad (¿el interés es legítimo y concreto?), necesidad (¿hay una forma menos invasiva?) y ponderación (¿prevalecen los derechos de la persona?). Conserva el registro, porque la autoridad puede pedirlo.
¿Puedo usar el interés legítimo para categorías especiales de datos?
En el RGPD, además de una base del artículo 6, necesitas una condición del artículo 9(2), como el consentimiento explícito. En la LGPD de Brasil, el interés legítimo no está disponible para datos sensibles (artículo 11).
¿En qué se diferencian el RGPD y la LGPD?
El RGPD tiene seis bases en el artículo 6. La LGPD tiene diez en el artículo 7, con protección del crédito, tutela de la salud, estudios por organismos de investigación y ejercicio regular de derechos. El selector muestra la referencia de ambas leyes cuando eliges las dos.
¿Qué certificación de DPCert cubre este tema?
La DPAI (Data Protection & AI Professional) evalúa las bases jurídicas y el interés legítimo en su dominio de fundamentos de protección de datos, junto con los derechos de los titulares, la responsabilidad proactiva y las brechas.
¿El resultado es asesoría legal?
No. Es una herramienta educativa que ordena el análisis y el registro. La elección final de la base jurídica debe validarla el delegado de protección de datos y el área jurídica, según las normas vigentes.