Artículo 6 del RGPD: licitud del tratamiento

Basta con que se cumpla al menos una de las seis condiciones, y el texto no las ordena: el consentimiento es una base más, no la principal ni la que haya que intentar primero. Tampoco se exige que concurran dos, ni mucho menos las seis a la vez: el artículo 6.1 dice «al menos una».

Cuando la base del tratamiento es una obligación legal o una misión de interés público, la establece el Derecho de la Unión o el del Estado miembro, y ese Derecho tiene que cumplir un objetivo de interés público y ser proporcional al fin legítimo perseguido. El Reglamento no exige un rango normativo concreto ni un informe de la autoridad de control, y pedir el consentimiento de los afectados sería cambiar de base de licitud.

La base contractual cubre dos supuestos: la ejecución de un contrato en el que el interesado es parte y la aplicación de medidas precontractuales a petición de este. Por eso no hace falta que el contrato esté ya celebrado, pero sí que sea el interesado quien pida esas medidas. No se exige consentimiento añadido, que sería otra base distinta, ni autorización de la autoridad de control.

El párrafo segundo del artículo 6.1 excluye expresamente la letra f) para las autoridades públicas en el ejercicio de sus funciones: su tratamiento tiene que apoyarse en otra base, como la misión de interés público o el ejercicio de poderes públicos. Los datos de un niño no excluyen el interés legítimo: son un elemento que pesa en la ponderación («en particular cuando el interesado sea un niño»), no una prohibición.