El RGPD solo permite tratar datos personales si se cumple al menos una de seis condiciones, las bases legales del artículo 6.1. Para una web, las dos que más se discuten son el consentimiento y el interés legítimo. La diferencia práctica es esta: el consentimiento lo da la persona y puede retirarlo, mientras que el interés legítimo lo valora el responsable, con una evaluación que debe poder justificar.

Y hay una regla que decide el caso más habitual. Para las cookies que no son estrictamente necesarias, la LSSI exige consentimiento, así que el interés legítimo no sustituye al banner. Aquí verás las seis bases, cuándo encaja cada una, qué obligaciones acompañan al interés legítimo y cómo decidir sin inventar atajos.

El artículo 6.1 del RGPD dice que el tratamiento solo es lícito si se cumple al menos una de estas condiciones:

No hay una base "preferida". El consentimiento no es más válido que las demás, ni el interés legítimo es un cajón de sastre. Cada tratamiento se apoya en la base que le corresponde, y debes poder explicar cuál es y por qué. Para el marco general, consulta la guía completa del RGPD en España.

La letra f) permite el tratamiento cuando es necesario para satisfacer intereses legítimos del responsable o de un tercero, siempre que no prevalezcan los intereses o los derechos y libertades fundamentales del interesado. El propio artículo añade una cautela: hay que tener especial cuidado cuando el interesado es un niño.

El considerando 47 del RGPD explica cómo se valora. El interés legítimo puede ser base jurídica siempre que no prevalezcan los derechos del interesado, teniendo en cuenta las expectativas razonables de las personas basadas en su relación con el responsable. Pone como ejemplo una relación pertinente y apropiada, como cuando el interesado es cliente del responsable.

El mismo considerando dice que la existencia de un interés legítimo requeriría "una evaluación meticulosa", y que hay que analizar si la persona puede prever razonablemente, en el momento y en el contexto de la recogida, que se hará ese tratamiento. Si no lo espera, sus derechos pueden prevalecer.

En la práctica, esa evaluación se suele resumir en tres preguntas:

1. ¿Qué interés persigues y es legítimo?
2. ¿Es necesario tratar esos datos para conseguirlo, o hay una forma menos intrusiva?
3. ¿Qué espera razonablemente la persona y qué impacto tiene en ella?

No existe un formulario oficial único que sustituya a tu análisis. Lo importante es que lo hagas antes de empezar y que quede por escrito.

El consentimiento (art. 6.1.a) es una manifestación de voluntad libre, específica, informada e inequívoca, mediante una declaración o una clara acción afirmativa. La LOPDGDD lo repite en su artículo 6 y añade que, si cubre varias finalidades, debe constar de forma específica e inequívoca que se otorga para todas ellas. Los requisitos completos están en consentimiento RGPD: requisitos de validez.

Con el consentimiento, la decisión es de la persona. Con el interés legítimo, la valoración es tuya. Eso cambia tres cosas:

Elegir el interés legítimo no te libera de obligaciones. Te trae otras.

• Informar. Cuando recoges los datos de la persona y te apoyas en la letra f), el artículo 13.1.d del RGPD exige informar de cuáles son esos intereses legítimos del responsable o del tercero.
• Atender la oposición. El artículo 21.1 da derecho a oponerse en cualquier momento, por motivos relacionados con la situación particular, a un tratamiento basado en el interés legítimo. El responsable deja de tratar los datos, salvo que acredite motivos legítimos imperiosos que prevalezcan o que necesite los datos para reclamaciones.
• Tratar la mercadotecnia directa de forma distinta. Según el artículo 21.2 y 21.3, cuando el tratamiento tiene por objeto la mercadotecnia directa, la persona puede oponerse en todo momento y, si se opone, los datos dejan de tratarse para esos fines.
• Avisar del derecho. El artículo 21.4 pide mencionar explícitamente ese derecho, a más tardar en la primera comunicación, y presentarlo claramente y al margen de otra información.

Esto es lo contrario de "hacemos esto por interés legítimo y ya está". La base se elige y luego se sostiene, con transparencia y con un procedimiento para atender la oposición.

La LOPDGDD concreta un caso. Su artículo 19 presume, salvo prueba en contrario, que el tratamiento de los datos de contacto de las personas que prestan servicios en una persona jurídica se ampara en el interés legítimo. Solo opera si se tratan datos necesarios para la localización profesional y con la finalidad de mantener relaciones con esa persona jurídica. La misma presunción se aplica a empresarios individuales y profesionales liberales en esa condición.

Es una presunción, y con condiciones. No equivale a una autorización general para enviar publicidad. Más detalle en LOPDGDD: qué es y en qué se diferencia del RGPD.

Aquí se acaba la discusión teórica. El artículo 22.2 de la LSSI condiciona el uso de dispositivos de almacenamiento y recuperación de datos, como las cookies, al consentimiento del usuario tras recibir información clara y completa. Las únicas excepciones son el acceso técnico para transmitir una comunicación y lo estrictamente necesario para prestar un servicio expresamente solicitado.

La Guía de cookies de la AEPD lo traduce así (p. 23): para las cookies no exceptuadas es necesario "en todo caso" obtener el consentimiento. Dicho de otro modo, no puedes decidir que tus cookies de analítica o de publicidad se amparan en el interés legítimo y saltarte el aviso. Para esas cookies, la base es el consentimiento y se pide antes de instalarlas.

La guía no trata el interés legítimo (no aparece en su texto), así que no hay una posición de la AEPD en ese documento que podamos citar sobre el tema. Lo que sí dice con claridad es lo que hace falta para el consentimiento: clara acción afirmativa, rechazar al mismo nivel que aceptar y que seguir navegando no vale. Todo esto lo ves resumido en la guía de cookies de la AEPD.

Hay un matiz que conviene separar. La LSSI regula el acceso al dispositivo, y el RGPD regula el tratamiento posterior de los datos. Una cookie exceptuada no necesita consentimiento para instalarse, pero si luego se tratan datos personales, hace falta una base del artículo 6 para ese tratamiento.

El correo electrónico publicitario tiene su propia regla. El artículo 21 de la LSSI prohíbe enviar comunicaciones comerciales por correo electrónico o medios equivalentes sin solicitud o autorización expresa. Hay una excepción cuando existe una relación contractual previa, los datos se obtuvieron de forma lícita y los productos o servicios son similares, siempre con un procedimiento sencillo y gratuito para oponerse, en la recogida y en cada comunicación.

Por eso no basta con que el considerando 47 diga que la mercadotecnia directa puede considerarse realizada por interés legítimo. Para el correo electrónico, la LSSI añade su propio requisito.

1. ¿Lo exige una ley o un contrato? Si el tratamiento es necesario para ejecutar un contrato (b) o cumplir una obligación legal (c), usa esa base.
2. ¿Instalas o lees algo en el dispositivo de la persona? Si es una cookie no exceptuada, la base es el consentimiento, por la LSSI.
3. ¿Puedes defender que el tratamiento es necesario, esperable y poco intrusivo? Si es así y no hay una norma que exija consentimiento, el interés legítimo es una opción, con su evaluación por escrito.
4. ¿La persona no lo esperaría, o es un menor, o es un perfilado intenso? Entonces el consentimiento suele ser la vía más segura.

Recuerda que la LOPDGDD fija en 14 años la edad desde la que un menor puede consentir (art. 7). Si trabajas con menores, esa es una razón más para ser prudente con el interés legítimo.

Documenta la decisión, aplícala de forma coherente y refléjala en tu política de privacidad. Para organizar todo el trabajo, sigue la lista de adecuación al RGPD de una web.

1. Usar el interés legítimo para saltarse el banner de cookies. La LSSI exige consentimiento.
2. No informar del interés legítimo. El artículo 13.1.d lo exige.
3. Ignorar la oposición. Debes poder atenderla en cualquier momento.
4. Cambiar de base legal a mitad de camino sin documentarlo. La base se elige al inicio del tratamiento y se explica.

Una CMP puede ayudarte con la parte de cookies, que es donde el consentimiento es obligatorio. Prueba AdOpt gratis durante 30 días.

• LOPDGDD: qué es y en qué se diferencia del RGPD
• Adecuación al RGPD de una página web: lista de comprobación

Son seis y están en el artículo 6.1: consentimiento, ejecución de un contrato, obligación legal, intereses vitales, misión de interés público o ejercicio de poderes públicos, e intereses legítimos. El tratamiento solo es lícito si se cumple al menos una, y debes saber cuál aplica a cada tratamiento.

Es la base de la letra f) del artículo 6.1: el tratamiento necesario para satisfacer intereses legítimos del responsable o de un tercero, siempre que no prevalezcan los derechos y libertades del interesado. El considerando 47 pide una evaluación meticulosa, que tenga en cuenta las expectativas razonables de la persona.

No para las cookies que no son estrictamente necesarias. El artículo 22.2 de la LSSI exige consentimiento, y la Guía de cookies de la AEPD lo recoge: para las cookies no exceptuadas es necesario obtenerlo "en todo caso". El interés legítimo no sustituye al banner.

Informar de cuáles son esos intereses (art. 13.1.d del RGPD), atender el derecho de oposición (art. 21.1) y, si es mercadotecnia directa, dejar de tratar los datos cuando la persona se oponga (art. 21.2 y 21.3). También debes hacer y documentar la evaluación de si tu interés prevalece.

Depende de la LSSI. Su artículo 21 prohíbe el correo comercial sin autorización expresa, salvo la excepción de la relación contractual previa para productos similares y con opción sencilla y gratuita de oposición. El considerando 47 del RGPD no elimina ese requisito de la ley española.

¿Dudas sobre qué base aplicar en tu web? Habla con el equipo de AdOpt y lo vemos juntos.