Artículo 6 del RGPD: licitud del tratamiento

• Tener rango de ley orgánica y contar con un informe de la autoridad de control
• Contar con el consentimiento de los interesados a los que vaya a aplicarse
• Un objetivo de interés público, y ser proporcional al fin legítimo perseguido
• Prever que el responsable designe un delegado de protección de datos

Cuando la base del tratamiento es una obligación legal o una misión de interés público, la establece el Derecho de la Unión o el del Estado miembro, y ese Derecho tiene que cumplir un objetivo de interés público y ser proporcional al fin legítimo perseguido. El Reglamento no exige un rango normativo concreto ni un informe de la autoridad de control, y pedir el consentimiento de los afectados sería cambiar de base de licitud.

• No, porque la base contractual exige que el contrato ya se haya celebrado
• Sí, pero solo con el consentimiento explícito y por escrito del propio interesado
• Sí, siempre que la autoridad de control lo haya autorizado de forma previa
• Sí, si el tratamiento es necesario para aplicarlas a petición del interesado

La base contractual cubre dos supuestos: la ejecución de un contrato en el que el interesado es parte y la aplicación de medidas precontractuales a petición de este. Por eso no hace falta que el contrato esté ya celebrado, pero sí que sea el interesado quien pida esas medidas. No se exige consentimiento añadido, que sería otra base distinta, ni autorización de la autoridad de control.

• En la ejecución del contrato de trabajo del que el trabajador es parte
• En el cumplimiento de una obligación legal aplicable al responsable
• En la satisfacción de intereses legítimos perseguidos por la empresa
• En el consentimiento que el trabajador dio al firmar su contrato

Lo que hace necesario el tratamiento es el deber que la ley impone a la empresa, y para eso el artículo 6.1 tiene su propia condición: el cumplimiento de una obligación legal aplicable al responsable. El contrato de trabajo explica que haya retenciones, pero lo que obliga a comunicarlas es la ley, no la ejecución del contrato. Tampoco depende del interés de la empresa ni de que el trabajador consienta: aunque no consintiera, la obligación seguiría ahí.

• El consentimiento y, solo a falta de él, otra
• Al menos una de ellas, cualquiera
• Al menos dos, y una ha de ser el consentimiento
• Las seis, de forma acumulativa

Basta con que se cumpla al menos una de las seis condiciones, y el texto no las ordena: el consentimiento es una base más, no la principal ni la que haya que intentar primero. Tampoco se exige que concurran dos, ni mucho menos las seis a la vez: el artículo 6.1 dice «al menos una».