El Consentimiento no lo es Todo: Bases Legales Para Tratar Datos Personales en tu Empresa

¿De verdad necesitas pedir siempre el consentimiento?

Al hablar de la protección de datos, muchos autónomos y pequeñas empresas creen que el consentimiento es la única manera válida de poder recopilar y tratar datos personales de clientes, empleados o proveedores. Pero esto no es del todo cierto. De hecho, el consentimiento no siempre es la mejor base y a veces ni siquiera vale como base de legitimación, especialmente dentro de la empresa.

¿Qué es una base de legitimación?

Una base de legitimación es, en pocas palabras, el motivo legítimo o base legal por el que una empresa puede tratar datos personales de otras personas sin vulnerar la ley. El RGPD (Reglamento General de Protección de Datos) establece varias opciones para justificar el tratamiento de los datos personales, y el consentimiento es solo una de ellas.

Otras bases legales que puedes usar (y deberías conocer)

Además del consentimiento, existen otras cinco bases de legitimación principales:

• Cumplimiento de un contrato: Si necesitas los datos para cumplir un contrato, puedes tratarlos sin pedir permiso. Ejemplo: los datos de tus clientes para facturarles.
• Obligación legal: Si la ley te obliga, puedes tratar los datos. Ejemplo: pasar datos de empleados a la Seguridad Social.
• Interés legítimo: Cuando tu empresa necesita tratar datos para funcionar, siempre que no se perjudique a la persona. Ejemplo: videovigilancia en la oficina por motivos de seguridad.
• Protección de intereses vitales: En casos de emergencia, como salvar la vida de alguien.
• Interés público o ejercicio de poderes públicos: Aplicable a administraciones y entidades públicas.

¿Por qué el consentimiento no siempre sirve?

A veces el consentimiento no es válido. Por ejemplo, cuando un trabajador firma un documento autorizando a su empresa a tratar sus datos, puede que no lo haga 100% libremente. ¿Por qué? Porque la situación de dependencia y la posibilidad de “decir no” sin miedo a represalias no está realmente presente.
En estos casos, la ley exige que se use otra base de legitimación, como el cumplimiento legal o contractual.

Qué necesitas para cumplir sí o sí

Para no meterse en líos con la Agencia Española de Protección de Datos y cumplir el RGPD, toda empresa debe tener estos dos elementos básicos en cualquier tratamiento de datos personales:

1. Base de legitimación: Elegir y documentar bien la razón legal que permite usar esos datos.
2. Información del artículo 13 RGPD: Informar al interesado, en el mismo momento en que se obtienen los datos, de quién es el responsable del tratamiento, con qué finalidad se recogen, los derechos que tiene, etc.

Sin estos dos requisitos, el tratamiento de datos nunca será correcto, aunque tengas el mejor consentimiento firmado. Puede que se necesiten otros adicionales (por ejemplo, una evaluación de impacto, entre otras), pero esos dos siempre son necesarios, por lo que conviene tenerlos en el punto de mira como requisitos básicos.

¿Te ha quedado alguna duda? ¡Contacta conmigo!

¿Eres autónomo o tienes una empresa y no sabes por dónde empezar? Si la protección de datos te parece un “rollo”, pero no quieres multas ni problemas, contacta conmigo hoy. Te explico de forma directa lo que necesitas, sin tecnicismos y adaptado a tu negocio y te ayudo a cumplir sin complicaciones ni sorpresas.

David Tierno García, Abogado especialista en protección de datos
Te ayudo a cumplir la ley sin perder tiempo ni dinero. Pide tu consulta personalizada.

Este artículo no constituye asesoramiento legal y se recomienda consultar con un profesional para casos específicos.