Según el artículo 6 del UK GDPR, una organización solo puede usar datos personales si se aplica al menos una base jurídica. El responsable debe decidir cuál se aplica antes de empezar, e informar de ello en su cláusula informativa.
Las bases jurídicas
- Consentimiento. La persona ha aceptado de forma clara.
- Contrato. El uso es necesario para ejecutar un contrato con la persona, o para dar pasos que ella pide antes de firmarlo. Un ejemplo es entregar un pedido.
- Obligación legal. El uso es necesario para cumplir la ley, por ejemplo los registros de nóminas e impuestos.
- Intereses vitales. El uso es necesario para proteger la vida de alguien, como en una urgencia médica.
- Misión pública. El uso es necesario para una tarea de interés público o una función prevista en la ley. Se aplica sobre todo a organismos públicos.
- Intereses legítimos. El uso es necesario para los intereses legítimos de la organización o de un tercero, salvo que prevalezcan los derechos de la persona. La organización debe sopesar ambas partes.
La Data (Use and Access) Act 2025 añade una séptima vía, llamada intereses legítimos reconocidos (recognised legitimate interests). Se refiere a una lista corta de fines fijados por ley, como la prevención del delito y el safeguarding (la protección de personas frente al daño). Su empleador decidirá cuándo usarla. Usted no la elige por su cuenta.
Los datos de categoría especial exigen más
Para los datos de categoría especial (salud, religión, afiliación sindical, etc.), la organización necesita una base jurídica y una condición distinta del artículo 9. Muchas de estas condiciones están recogidas en el Anexo 1 de la DPA 2018. El derecho laboral y la asistencia sanitaria son ejemplos habituales. Por eso conviene tener más cuidado con los historiales de salud, los partes de baja y datos similares.
Cómo es un consentimiento válido
El consentimiento es solo una opción, y a menudo no es la mejor. Cuando se usa, debe ser:
- libre. La persona tiene una elección real. El consentimiento rara vez es libre cuando hay un desequilibrio de poder, por ejemplo de un empleador hacia un empleado;
- específico para un fin claro;
- informado. La persona sabe quién se lo pide y para qué;
- inequívoco, con una acción afirmativa clara. Las casillas premarcadas, el silencio y la inacción no son consentimiento;
- fácil de retirar en cualquier momento, y tan fácil de retirar como de dar.
La organización debe poder demostrar que tiene el consentimiento.
Empleadores y consentimiento
Los datos del personal se usan sobre todo con otras bases, como el contrato (el salario) y la obligación legal (comprobación del derecho a trabajar, impuestos). Un empleador no debe pedir consentimiento cuando el empleado no puede negarse sin temor.
Por qué le importa a usted
Usted no elige la base jurídica. Pero debe conocer lo básico:
- Si un cliente dio su correo electrónico para recibir un recibo, no lo añada a una lista de marketing. Es otra finalidad.
- Si alguien retira su consentimiento, avise de inmediato a la persona adecuada para que se actualice el registro.
- Si un compañero le pide datos de una persona «por curiosidad», no existe ninguna base jurídica para dárselos. Comparta solo los datos que el trabajo requiera.
Lealtad y transparencia
Una base jurídica no basta por sí sola. El uso también debe ser leal y abierto. Las personas no deberían sorprenderse por lo que usted hace con sus datos. Una cláusula informativa explica quién es el responsable, qué datos se usan, para qué, la base jurídica, quién los recibe, cuánto tiempo se conservan y qué derechos tienen las personas. Los empleadores deben ofrecer uno. Si alguien le pregunta dónde encontrarlo, indíquele dónde está.