Qué es una base jurídica en el RGPD

Saber qué es una base jurídica RGPD evita buscar una etiqueta para justificar una decisión ya tomada. Primero se define la finalidad, después se describe la relación con la persona y solo entonces se elige una de las seis vías del artículo 6. Esa elección condiciona la información que se facilita, determinados derechos y la prueba que debe conservar la organización.

Respuesta rápida Qué es una base jurídica RGPD: el fundamento que permite un tratamiento concreto de datos personales en la Unión Europea. El artículo 6 ofrece seis vías, ninguna universal. Debe elegirse antes de tratar, según finalidad, necesidad y relación real, y documentarse junto con las consecuencias para los derechos ¹.

Última actualización: 26 de agosto de 2026

Seis vías que exigen seis razonamientos

El artículo 6 del RGPD contiene seis bases jurídicas; no son fórmulas intercambiables ni una lista para copiar completa en un aviso de privacidad, porque cada vía exige hechos distintos y una explicación capaz de sostenerse en la operación examinada ¹.

“Necesario” no significa cómodo, barato o habitual: una tienda puede necesitar la dirección para entregar un pedido, pero el seguimiento publicitario posterior no se vuelve contractual porque ambos usos nacieran de la misma compra. Si el objetivo se alcanza razonablemente con menos datos o sin ese tratamiento, la base que depende de necesidad pierde fuerza.

La obligación legal tampoco nace de una política interna. Debe apoyarse en una norma de la Unión o del Estado miembro aplicable al responsable. Del mismo modo, una misión de interés público no se crea porque la actividad parezca útil. El registro identifica la norma y el alcance, no solo el nombre de la base.

La legislación británica vigente añade una vía específica para determinadas finalidades reconocidas. El RGPD de la Unión no contiene esa séptima ruta: en su ámbito siguen existiendo seis bases y todo interés legítimo ordinario conserva el análisis de finalidad, necesidad y ponderación. Esta comparación explica una divergencia actual; no convierte la solución británica en autoridad para el tratamiento europeo.

La finalidad viene antes que la respuesta

La elección empieza desmontando categorías demasiado grandes. “Gestión de clientes” puede ocultar alta, entrega, cobro, atención, prevención de fraude, conservación contable y publicidad. El equipo convierte cada una en una operación observable, porque compartir persona o sistema no convierte varias finalidades en una sola decisión.

Para cada operación escribe una frase verificable: “usar la dirección postal para entregar el pedido solicitado”. A continuación fija datos mínimos, colectivo, destinatarios, duración y consecuencia de no tratar. El resultado permite comprobar necesidad y relación; “datos del CRM para prestar servicios” no permite saber qué se hace ni por qué.

Después se prueba una sola vía. En el mismo pedido, la dirección puede ser necesaria para ejecutar el contrato; la factura puede conservarse porque una norma concreta lo exige; y una detección adicional de fraude puede apoyarse en intereses legítimos únicamente si supera finalidad, necesidad y ponderación. Registrar las seis bases como cobertura elimina la decisión que el artículo 6 exige.

La base queda fijada antes de recoger o reutilizar. Un derecho ejercido no autoriza a cambiarla para conservar el resultado deseado. Si el uso proyectado no encaja, la organización lo detiene o rediseña; no sustituye retrospectivamente una explicación que ya comunicó.

Una finalidad nueva abre otra fila y otro análisis. El correo obtenido para una garantía no queda automáticamente disponible para campañas. Se estudian compatibilidad, expectativas y fundamento, y, si intervienen comunicaciones electrónicas o acceso al dispositivo, se aplican además la Directiva ePrivacy y su transposición nacional ⁵.

Consentimiento e intereses legítimos no son sinónimos

El consentimiento exige una manifestación libre, específica, informada e inequívoca, demostrable por el responsable, y debe poder retirarse en cualquier momento con una facilidad comparable a la de otorgarlo. Condicionar un servicio a un uso accesorio de datos puede impedir que la elección sea libre ².

La retirada detiene el tratamiento futuro basado en el consentimiento, pero no vuelve ilícito lo realizado válidamente antes; si la operación tenía que continuar pese a una negativa, probablemente el consentimiento no describía la relación desde el principio. La solución no consiste en dificultar la retirada ni en cambiar retrospectivamente a otra base.

Antes de lanzar, el equipo ensaya una negativa inicial y una retirada posterior en todos los sistemas implicados, incluidos proveedores y audiencias derivadas; si la actividad continúa porque una copia no recibió el cambio o porque el servicio penaliza el rechazo, la elección ofrecida no funciona como el registro afirma y el diseño debe corregirse antes de tratar.

Los intereses legítimos requieren siempre una prueba escrita de tres partes: primero se formula un interés lícito, real y específico; después se demuestra que el tratamiento contribuye a ese objetivo y que no existe una alternativa razonable menos intrusiva; por último se ponderan el impacto, las expectativas, la vulnerabilidad, la naturaleza de los datos y las salvaguardas ^3,4.

“Nuestro interés comercial” no completa la prueba: un interés comercial puede ser legítimo y aun así perder frente a la persona, especialmente cuando intervienen menores, datos íntimos, seguimiento inesperado o desequilibrio de poder. Minimización, plazos breves, transparencia, oposición accesible y exclusión de determinados perfiles pueden modificar el resultado si funcionan realmente.

La conclusión debe mostrar también qué hechos la harían cambiar, quién vigila esos hechos y cómo una persona puede oponerse en la práctica, porque una ponderación favorable en papel deja de sostener el tratamiento cuando aumenta la escala, se añade perfilado, cambia el origen de los datos o una salvaguarda prometida no llega a producción.

La diferencia continúa después de empezar. La retirada obliga a cesar el uso futuro sustentado en consentimiento. Una objeción a intereses legítimos activa el análisis del artículo 21; en marketing directo, la oposición exige cesar esa finalidad. Ambos recorridos necesitan controles distintos aunque compartan un centro de preferencias.

Los datos sensibles necesitan otra condición

Las categorías especiales incluyen datos de salud, origen racial o étnico, opiniones políticas, religión, afiliación sindical, genética, biometría usada para identificar, vida sexual u orientación sexual; una base del artículo 6 sigue siendo necesaria, pero no basta, pues debe existir también una condición aplicable del artículo 9 ¹.

Los datos relativos a condenas e infracciones penales siguen el artículo 10 y las reglas que este exige, por lo que no deben agruparse bajo una etiqueta informal y darse por cubiertos con el mismo razonamiento. El registro muestra la clase de datos, la base, la condición adicional y las salvaguardas sin confundir esos niveles, además de indicar quién comprobó que ambos niveles permanecen vigentes.

La base modifica los derechos del tratamiento

Todos los tratamientos deben respetar licitud, lealtad, transparencia, minimización, exactitud, limitación del plazo, seguridad y responsabilidad proactiva. La base no sustituye esos deberes, aunque sí influye en algunos derechos y en la explicación que recibe la persona.

Con consentimiento debe existir una retirada practicable. Con intereses legítimos o misión de interés público cobra especial relevancia la oposición. La portabilidad se vincula a determinados tratamientos automatizados basados en consentimiento o contrato. Una solicitud de supresión puede tener un resultado distinto cuando una obligación legal exige conservar parte de la información.

El aviso de privacidad nombra la base de cada finalidad y, si se invocan intereses legítimos, identifica esos intereses. Una lista genérica de las seis bases no informa: traslada al lector una decisión que correspondía tomar al responsable.

En España, la Agencia Española de Protección de Datos (AEPD) es el contacto nacional competente; en asuntos transfronterizos puede operar el mecanismo de ventanilla única y la autoridad principal se determina conforme al RGPD. El enlace facilita contacto, pero las afirmaciones compartidas de este artículo descansan en las fuentes europeas de la lista.

Un registro convierte la elección en una decisión utilizable

La prueba útil no es una conclusión jurídica aislada. Es un registro que permite a otra persona entender qué se hace, por qué, con qué datos y qué debe suceder cuando cambian las circunstancias. Puede integrarse en el registro de actividades de tratamiento si la relación entre finalidad y base queda inequívoca.

El registro enlaza la evidencia que sostiene la conclusión: contrato, disposición que crea una obligación, evaluación de intereses legítimos o versión y mecanismo del consentimiento. Debe permitir saber qué uso detener ante una retirada, qué análisis revisar ante una objeción y qué datos continúan siendo necesarios.

La revisión se activa al cambiar finalidad, datos, destinatarios, perfilado, canal o relación con las personas. Una comprobación periódica identifica además usos que el inventario ya no refleja. Para empezar, elija una operación real y complete los siete campos: si nadie puede escribir una finalidad concreta o explicar por qué se usa un dato, todavía no existe base defendible.