Artículo 6 RGPD - Licitud del tratamiento

1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
a) el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño.
Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.
2. Los Estados miembros podrán mantener o introducir disposiciones más específicas a fin de adaptar la aplicación de las normas del presente Reglamento con respecto al tratamiento en cumplimiento del apartado 1, letras c) y e), fijando de manera más precisa requisitos específicos de tratamiento y otras medidas que garanticen un tratamiento lícito y equitativo, con inclusión de otras situaciones específicas de tratamiento a tenor del capítulo IX.
3. La base del tratamiento indicado en el apartado 1, letras c) y e), deberá ser establecida por:
a) el Derecho de la Unión, o
b) el Derecho de los Estados miembros que se aplique al responsable del tratamiento.
La finalidad del tratamiento deberá quedar determinada en dicha base jurídica o, en lo relativo al tratamiento a que se refiere el apartado 1, letra e), será necesaria para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. Dicha base jurídica podrá contener disposiciones específicas para adaptar la aplicación de normas del presente Reglamento, entre otras: las condiciones generales que rigen la licitud del tratamiento por parte del responsable; los tipos de datos objeto de tratamiento; los interesados afectados; las entidades a las que se pueden comunicar datos personales y los fines de tal comunicación; la limitación de la finalidad; los plazos de conservación de los datos, así como las operaciones y los procedimientos del tratamiento, incluidas las medidas para garantizar un tratamiento lícito y equitativo, como las relativas a otras situaciones específicas de tratamiento a tenor del capítulo IX. El Derecho de la Unión o de los Estados miembros cumplirá un objetivo de interés público y será proporcional al fin legítimo perseguido.
4. Cuando el tratamiento para otro fin distinto de aquel para el que se recogieron los datos personales no esté basado en el consentimiento del interesado o en el Derecho de la Unión o de los Estados miembros que constituya una medida necesaria y proporcional en una sociedad democrática para salvaguardar los objetivos indicados en el artículo 23, apartado 1, el responsable del tratamiento, con objeto de determinar si el tratamiento con otro fin es compatible con el fin para el cual se recogieron inicialmente los datos personales, tendrá en cuenta, entre otras cosas:
a) cualquier relación entre los fines para los cuales se hayan recogido los datos personales y los fines del tratamiento ulterior previsto;
b) el contexto en que se hayan recogido los datos personales, en particular por lo que respecta a la relación entre los interesados y el responsable del tratamiento;
c) la naturaleza de los datos personales, en concreto cuando se traten categorías especiales de datos personales, de conformidad con el artículo 9, o datos personales relativos a condenas e infracciones penales, de conformidad con el artículo 10;
d) las posibles consecuencias para los interesados del tratamiento ulterior previsto;
e) la existencia de garantías adecuadas, que podrán incluir el cifrado o la seudonimización.

Considerandos relevantes

Preguntas frecuentes

Respuestas breves a preguntas habituales sobre esta disposición. Constituyen información general y no asesoramiento jurídico.

Según el apartado 1, el tratamiento solo es lícito si se cumple al menos una de seis condiciones, a saber, el consentimiento, la necesidad para la ejecución de un contrato en el que el interesado es parte, el cumplimiento de una obligación legal, la protección de intereses vitales, el cumplimiento de una misión realizada en interés público o el ejercicio de poderes públicos, o los intereses legítimos sobre los que no prevalezcan los intereses o los derechos fundamentales del interesado. La expresión solo será lícito si se cumple indica que cada fin del tratamiento debe corresponderse con una base.

No, no en el ejercicio de sus funciones. El artículo 6, apartado 1, párrafo segundo, excluye la letra f) para el tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones, siendo la razón que corresponde al legislador proporcionarles su base jurídica, normalmente conforme a las letras c) o e) leídas en relación con el apartado 3.

El tratamiento debe ser necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, y sobre dichos intereses no deben prevalecer los intereses o los derechos y libertades fundamentales del interesado, con un peso particular cuando el interesado sea un niño. El considerando 47 cita la mercadotecnia directa como ejemplo de posible interés legítimo, y la invocación de la letra f) activa el derecho de oposición del interesado conforme al artículo 21, apartado 1.

El apartado 3 exige que la base del tratamiento indicado en las letras c) y e) del apartado 1 quede establecida por el Derecho de la Unión o por el Derecho de los Estados miembros que se aplique al responsable del tratamiento, y ese Derecho debe cumplir un objetivo de interés público y ser proporcional al fin legítimo perseguido. El apartado 2 permite además a los Estados miembros mantener o introducir disposiciones más específicas para adaptar el Reglamento respecto de estos dos fundamentos.

Cuando el tratamiento ulterior no esté basado en el consentimiento del interesado ni en el Derecho de la Unión o de los Estados miembros que salvaguarde los objetivos indicados en el artículo 23, apartado 1, el apartado 4 obliga al responsable del tratamiento a valorar la compatibilidad con el fin inicial. La valoración tiene en cuenta, entre otras cosas, la relación entre los fines, el contexto de la recogida, la naturaleza de los datos, en particular las categorías especiales de datos personales del artículo 9 o los datos del artículo 10, las posibles consecuencias para los interesados y la existencia de garantías como el cifrado o la seudonimización.