Una empresa puede tratar datos sin pedir consentimiento cuando existe otra base legal aplicable a la finalidad concreta. Por ejemplo, ejecutar un pedido solicitado por un cliente no es lo mismo que incorporarlo a una campaña publicitaria. La ausencia de consentimiento no elimina los deberes de información, seguridad, minimización y atención de derechos.
El artículo 7 de la Ley Orgánica de Protección de Datos Personales —LOPDP— prevé ocho bases de legitimación. Elegir correctamente exige examinar cada tratamiento y justificar por qué esa base permite usar los datos necesarios.
Las ocho bases, con ejemplos y límites
- Consentimiento: una persona decide suscribirse a un boletín mediante una acción afirmativa informada. Solo cubre las finalidades autorizadas.
- Obligación legal: la empresa trata información necesaria para cumplir deberes tributarios o de seguridad social. Debe identificar la norma y limitar los datos a lo exigido.
- Orden judicial: atiende un requerimiento de un juez dentro de su alcance, con los principios de protección de datos.
- Misión de interés público o poderes públicos: requiere una competencia atribuida por una norma con rango de ley. Una empresa no la obtiene simplemente calificando su actividad como beneficiosa para la sociedad.
- Medidas precontractuales o contrato: prepara una cotización solicitada por el titular o procesa una compra. No autoriza automáticamente usos publicitarios posteriores.
- Intereses vitales: permite lo necesario para proteger vida, salud o integridad en un supuesto que realmente lo justifique. No equivale a conveniencia comercial.
- Bases de datos de acceso público: exige comprobar que la fuente tenga esa calidad jurídica y respetar finalidad, proporcionalidad e información. Que un dato aparezca en internet no habilita cualquier reutilización.
- Interés legítimo: requiere los supuestos y condiciones de la normativa, además de una ponderación previa favorable. No es una autorización general para el sector público ni para cualquier finalidad privada.
Una misma persona puede tener tratamientos con bases diferentes
Piense en un trabajador. Los datos para gestionar su contrato y obligaciones laborales tienen un análisis distinto del uso opcional de su fotografía en una campaña. Si el empleado retira una autorización válida para esa publicación, ello no impide conservar la información que la empresa deba tratar por una obligación legal concreta.
En una tienda, la dirección de entrega puede ser necesaria para ejecutar el pedido. La fecha de nacimiento para promociones de cumpleaños necesita finalidad y base propias; no debe convertirse en condición para comprar si no resulta necesaria.
Cómo documentar la decisión
- Nombre la finalidad de forma concreta: facturar, entregar, seleccionar candidatos o enviar promociones.
- Determine qué datos necesita y qué obligación o supuesto sostiene su uso.
- Identifique tratamientos de salud, biometría, menores u otras categorías especiales y aplique sus reglas adicionales.
- Refleje la base en el aviso y, cuando corresponda, en el Registro de Actividades de Tratamiento.
- Compruebe conservación, destinatarios y derechos antes de activar el proceso.
Si escoge interés legítimo, la Resolución SPDP-SPD-2025-0041-R exige documentar previamente la ponderación y actualizarla dentro de un año o cuando cambien sus elementos esenciales. Puede profundizar en la guía específica de interés legítimo.
No conviene pedir consentimiento para todo por comodidad: puede inducir a pensar que una obligación legal depende de una autorización que el titular puede retirar. TempoLegal propone revisar el flujo real de datos y usar el RAT para dejar trazabilidad de cada decisión.
Contenido revisado al 12 de octubre de 2026.