Bases jurídicas del tratamiento de datos: art. 6 RGPD

Toda actividad de tratamiento de datos personales necesita una base jurídica del art. 6 del Reglamento (UE) 2016/679 (RGPD). Es la primera pregunta antes de cualquier otra consideración: no qué dato quiero usar, sino qué título jurídico me permite tratarlo. Esta guía recoge las seis bases del art. 6.1 RGPD con sus matices, la articulación con el art. 9 (categorías especiales) y el art. 10 (datos penales), la prohibición del interés legítimo para autoridades públicas y la jurisprudencia troncal del TJUE.

Marco normativo

Por qué importa la base jurídica

Las seis bases del art. 6.1 RGPD

"El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:"

Base a) — Consentimiento (art. 4.11 + art. 7 RGPD)

Requisitos acumulativos

Lo que NO es consentimiento RGPD

• Silencio o inactividad.
• Casillas premarcadas (STJUE Planet49, C-673/17).
• "Consentimiento" forzado para acceder al servicio.
• Aceptación genérica de términos y condiciones.

Edad del consentimiento digital (art. 7 LOPDGDD)

El RGPD permite a los Estados miembros fijar edades entre 13 y 16. España opta por 14 años.

Base b) — Contrato (art. 6.1.b)

• Aplica cuando el interesado es parte del contrato o solicita medidas precontractuales.
• Necesidad: el dato debe ser indispensable para el contrato, no útil o accesorio.
• Doctrina TJUE: la "necesidad" se interpreta restrictivamente (STJUE Meta Platforms C-252/21, 2023).

Trampa típica: usar el contrato como base para tratamientos accesorios no esenciales (publicidad, analítica). El TJUE rechaza esta interpretación expansiva.

Base c) — Obligación legal (art. 6.1.c)

• Necesidad de obligación específica del responsable establecida en Derecho de la Unión o de un Estado miembro.
• La norma debe ser clara y precisa, accesible al interesado, previsible.
• En España, el art. 8 LOPDGDD precisa que en obligación legal y misión de interés público debe ampararse en norma con rango de ley cuando así resulte exigible.

Base d) — Intereses vitales (art. 6.1.d)

Aplicación residual. Solo cuando el interesado o un tercero está en riesgo vital concreto y no puede consentir.

Base e) — Interés público o poderes públicos (art. 6.1.e)

Es la base habitual de las Administraciones públicas en el ejercicio de sus competencias.

Ejemplos: Hacienda recauda tributos (Ley General Tributaria), Policía investiga delitos (LECrim + LO 2/1986), Seguridad Social gestiona prestaciones (LGSS).

Base f) — Interés legítimo (art. 6.1.f)

Triple prueba (test de Considerando 47 + STJUE Fashion ID)

Trampa crítica: exclusión para autoridades públicas

"Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones." (art. 6.1 último párrafo RGPD)

Las autoridades públicas deben acudir normalmente a obligación legal (6.1.c) o misión de interés público (6.1.e), no a interés legítimo.

Art. 9 RGPD — Categorías especiales (doble candado)

Si el tratamiento afecta a categorías especiales, no basta una base del art. 6: además hace falta superar la prohibición del art. 9.1 con una excepción del art. 9.2.

Categorías especiales del art. 9.1

Las 10 excepciones del art. 9.2

Art. 10 RGPD — Datos penales

Casos prácticos

Caso 1 — App comercial

Caso 2 — Ayuntamiento

Caso 3 — Empresa con cámaras

Seis trampas reales del examen

1. "Todo se legitima por consentimiento" — Falso. En sector público dominan obligación legal e interés público; en privado, contrato e interés legítimo.
2. "Las autoridades públicas pueden usar interés legítimo" — Falso. El art. 6.1 último párrafo lo excluye expresamente en el ejercicio de sus funciones.
3. "Categorías especiales solo necesitan base del art. 6" — Falso. Doble candado: base del art. 6 + excepción del art. 9.2.
4. "El consentimiento puede ser por silencio" — Falso. Tras Planet49 (C-673/17), exige acto afirmativo claro; no valen casillas premarcadas.
5. "La edad del consentimiento RGPD es 16 años" — Falso. En España, 14 años (art. 7 LOPDGDD); el RGPD permite a Estados entre 13 y 16.
6. "Una vez retirado el consentimiento, todo lo tratado deviene ilícito" — Falso. La retirada no afecta a la licitud anterior, solo a tratamientos posteriores.

Jurisprudencia TJUE relevante

• Planet49 (C-673/17, 2019) — casillas premarcadas no son consentimiento válido.
• Fashion ID (C-40/17, 2019) — responsabilidad compartida y carga de informar.
• Meta Platforms (C-252/21, 2023) — interpretación restrictiva de "necesario para contrato".
• Schrems II (C-311/18, 2020) — transferencias internacionales.
• Bashar Ibrahim (C-205/21, 2024) — sobre datos penales y autoridades policiales.
• TC español varias — sobre habeas data y autodeterminación informativa.

Reformas y novedades 2024-2026

• RGPD Light (Reglamento UE 2024/903) — simplificaciones para pymes.
• Reglamento ePrivacy — en tramitación parlamentaria.
• Reglamento (UE) 2024/1183 eIDAS 2 — identidad digital europea con tratamiento de datos.
• Directiva (UE) 2022/2557 CER + NIS2 — datos en infraestructuras críticas.

Fuentes oficiales

• BOE/DOUE: RGPD — texto oficial.
• BOE: LO 3/2018 LOPDGDD — desarrollo nacional.
• AEPD: bases jurídicas — doctrina nacional.
• STJUE Planet49 C-673/17 — consentimiento válido.
• Directrices CEPD/EDPB sobre consentimiento — interpretación europea.

Posts hermanos

• Brecha de seguridad de datos: plazo de 72 horas
• Identificación personal en la vía pública: art. 16 LOPSC
• DNI, pasaporte y deber de identificación: arts. 8-13 LOPSC
• Despachos de detectives privados: Ley 5/2014
• Temario Policía Nacional 2026
• Competencias CNP vs Guardia Civil

Guía revisada el 27 de mayo de 2026 con el RGPD (UE 2016/679), la LO 3/2018 LOPDGDD, las Directivas UE 2016/680 y 2022/2557, y la jurisprudencia troncal del TJUE (Planet49, Fashion ID, Meta Platforms, Schrems II).