Bases legales de la LGPD: cuáles son las 10 y cómo elegir la correcta para tratar datos

Toda empresa trata datos personales todo el tiempo. Registra clientes, homologa proveedores, contrata empleados, lanza campañas de marketing, guarda el CPF (el número de identificación fiscal de las personas físicas en Brasil) de quien emitió una factura. Lo que casi nadie se detiene a preguntar es: ¿con base en qué? Es exactamente eso lo que definen las bases legales de la LGPD (Ley General de Protección de Datos de Brasil). Son la respuesta a una pregunta simple e incómoda: por qué tu empresa puede usar ese dato.

Veo a mucha gente pensando que la LGPD consiste en pedir consentimiento y poner un banner de cookies en el sitio. En la práctica, el problema empieza cuando la empresa descubre que el consentimiento es apenas una de las diez bases legales previstas en la ley, y casi nunca es la más adecuada para el día a día corporativo. Entender las bases legales de la LGPD es lo que separa a una empresa que trata datos con seguridad de una que está expuesta y ni lo sabe.

Qué es una base legal de la LGPD

Una base legal es la justificación jurídica que autoriza el tratamiento de un dato personal. La LGPD parte de un principio directo: ningún dato personal puede tratarse sin una hipótesis legal que sustente ese uso. Tratar, aquí, es casi todo lo que se puede hacer con un dato: recolectar, almacenar, usar, compartir, actualizar, eliminar.

La forma más fácil de entenderlo es pensar así. Antes de usar un dato personal, la empresa necesita responder dos cosas: para qué estoy usando este dato y qué base legal me lo permite. Si no hay una respuesta clara, el tratamiento es irregular, aunque nadie haya reclamado todavía. Y cada finalidad exige su propia base. El correo electrónico que el cliente dejó para recibir la factura no puede convertirse, sin más, en una lista de envío de promociones. Mismo dato, finalidad distinta, base distinta.

Cuáles son las 10 bases legales de la LGPD

El artículo 7 de la LGPD enumera diez bases legales para el tratamiento de datos personales comunes. Conocer las diez ayuda a ver que existe vida más allá del consentimiento.

1. Consentimiento del titular. La persona autoriza de forma libre, informada y para una finalidad específica. Puede revocarse en cualquier momento. 2. Cumplimiento de obligación legal o regulatoria. Cuando otra ley obliga a la empresa a tratar el dato, como conservar información laboral, fiscal y contable. 3. Ejecución de políticas públicas. Aplicable a la administración pública, para políticas previstas en la ley. 4. Realización de estudios por un órgano de investigación. Siempre que sea posible con anonimización de los datos. 5. Ejecución de contrato. Tratar los datos necesarios para cumplir un contrato del cual el titular es parte, o para los procedimientos preliminares a solicitud suya. 6. Ejercicio regular de derechos en procesos judiciales, administrativos o arbitrales. 7. Protección de la vida o de la integridad física del titular o de un tercero. 8. Tutela de la salud, en procedimientos realizados por profesionales de la salud, servicios de salud o autoridad sanitaria. 9. Interés legítimo del controlador o de un tercero, siempre que no prevalezcan los derechos y libertades fundamentales del titular. 10. Protección del crédito, como en las consultas y registros en organismos de protección del crédito.

Fíjate en que el consentimiento es el primero de la lista, pero es solo uno entre diez. En el mundo corporativo, buena parte de los tratamientos se apoya en la ejecución de contrato, el cumplimiento de obligación legal y el interés legítimo.

Cómo elegir la base legal correcta en la práctica

Elegir la base legal no es un ejercicio de encajar la palabra más bonita. Empieza por la finalidad. Primero se define para qué se usará el dato, y después se busca la base que sustenta ese uso. Invertir el orden es el origen de la mitad de los errores que veo.

Tomo algunos ejemplos que aparecen en cualquier empresa. Cuando registras a un cliente para facturar y entregar un producto, la base suele ser la ejecución de contrato, porque sin ese dato el contrato no avanza. Cuando RR. HH. guarda los datos del empleado para registrarlo en nómina y recaudar las cargas sociales, la base es el cumplimiento de obligación legal. Cuando el área comercial usa el CNPJ (el número de registro de empresas en Brasil) y el contacto de un comprador para un acercamiento B2B, el camino normalmente es el interés legítimo, evaluando si el titular lo esperaba. Y cuando la empresa quiere enviar marketing a una persona física que no es cliente, ahí sí el consentimiento tiende a ser la base adecuada.

Lo que pocos perciben es que la base legal debe decidirse antes de la recolección y quedar registrada. No vale elegirla después, cuando aparece el problema. Una empresa madura puede señalar, para cada campo del maestro y cada uso, qué finalidad y qué base sustentan ese tratamiento. Es lo que la ley llama registro de las operaciones de tratamiento, y es aquí donde la gobernanza de datos entra de lleno.

El consentimiento no es la regla: el error más común

Existe un mito según el cual la LGPD es sinónimo de pedir consentimiento para todo. Ese es el error más caro que veo en las empresas. El consentimiento es una base frágil por naturaleza. Debe ser libre, específico e informado, no puede ser condición para usar un servicio que no depende de ese dato, y el titular puede retirarlo cuando quiera.

Imagina apoyar el registro fiscal de un cliente en el consentimiento. El día que lo revoca, la empresa queda sin base para guardar una información que la legislación tributaria obliga a conservar. Se armó el nudo. Por eso la buena práctica es usar la base que refleja la realidad de ese tratamiento. Si hay contrato, es ejecución de contrato. Si hay una ley que obliga, es obligación legal. El consentimiento queda para los casos en que la persona realmente tiene la libertad de decir sí o no sin perjuicio, como el marketing y las comunicaciones opcionales.

Datos sensibles: un régimen más estricto

La LGPD trata por separado los datos personales sensibles: los que se refieren al origen racial o étnico, la convicción religiosa, la opinión política, la salud, la vida sexual, los datos genéticos y biométricos. Para ellos, el artículo 11 trae una lista propia de hipótesis, más restringida que la de los datos comunes.

La diferencia práctica que más afecta a las empresas es esta: el interés legítimo no vale para datos sensibles. Si tu operación maneja datos de salud, biometría para control de acceso o cualquier información sensible, no puedes apoyarte en la base más cómoda del mundo corporativo. El nivel de exigencia sube, el consentimiento, cuando se usa, debe ser específico y destacado, y el cuidado con la seguridad y la finalidad tiene que ser mayor. Vale la advertencia: antes de definir la base para el tratamiento de un dato sensible, conviene sentarse con el área jurídica o con el encargado de protección de datos (DPO), porque el costo de equivocarse aquí es alto.

Dónde entra la gobernanza de datos

Aquí está la parte que de verdad me interesa. La base legal parece un asunto solo del área jurídica, pero no se sostiene sin datos organizados. Para decir qué base legal se aplica, la empresa necesita saber qué datos personales tiene, dónde están, para qué se usan y quién es responsable de cada uno. Eso es gobernanza de datos, no es un escrito jurídico.

Quien ya participó en un proyecto de adecuación a la LGPD sabe dónde se traba. No se traba en la interpretación de la ley, se traba a la hora de mapear los datos, porque el mismo cliente está registrado en cinco sistemas con cinco versiones distintas, nadie sabe cuál es el registro correcto y el CPF está en un campo de observaciones de texto libre. Sin datos maestros organizados, el mapeo se vuelve adivinanza, y una base legal asignada sobre datos desordenados no protege a nadie.

Por eso la gestión de datos maestros y la LGPD van de la mano. Cuando la empresa tiene una visión única del cliente, un maestro de proveedores sin duplicados y un diccionario que dice qué significa cada campo, asignar finalidad y base legal deja de ser un rompecabezas. Como abordo en el libro Master Data Management: Fundamentos e Aplicações, publicado por la Editora Brasport (libro en portugués), el dato confiable es requisito previo de cualquier cosa seria que se quiera hacer con datos, y el cumplimiento normativo es una de ellas.

Quién es responsable de la base legal

La definición de la base legal es una decisión compartida, y es ahí donde muchas empresas se pierden, cada uno pensando que es problema del otro. El área jurídica y el encargado de protección de datos (DPO) responden por la interpretación de la ley y por la elección de la hipótesis. Pero quien conoce la finalidad real del tratamiento es el área de negocio, quien sabe dónde vive el dato es el área de datos y de TI, y quien garantiza que ese dato es confiable es la gobernanza de datos. Una base legal correcta sobre un dato erróneo no resuelve nada, y un dato correcto sin base definida tampoco.

Principales dudas sobre las bases legales de la LGPD

¿Cuántas son las bases legales de la LGPD? Son diez para datos personales comunes, previstas en el artículo 7. Para los datos personales sensibles, el artículo 11 trae una lista propia y más restringida de hipótesis.

¿El consentimiento es obligatorio para tratar datos? No. El consentimiento es apenas una de las bases. En muchos casos corporativos, la ejecución de contrato, el cumplimiento de obligación legal y el interés legítimo son más adecuados y más estables que el consentimiento.

¿Puedo usar más de una base legal para el mismo dato? Para la misma finalidad, se elige la base que mejor la sustenta. Lo que ocurre es que el mismo dato puede tener finalidades distintas a lo largo del tiempo, y cada finalidad exige su base. Facturar a un cliente y enviarle marketing son finalidades distintas.

¿Qué es el interés legítimo y cuándo vale? Es la base que permite tratar datos para una finalidad legítima del controlador o de un tercero, siempre que no prevalezcan los derechos del titular. Exige una evaluación de que el tratamiento es esperado y proporcional, y no puede usarse para datos sensibles.

¿Qué pasa si la empresa no tiene base legal para un tratamiento? El tratamiento se considera irregular. Además del riesgo de sanciones de la ANPD (la autoridad de protección de datos de Brasil), existe el riesgo reputacional y la exposición en caso de incidente. En la práctica, tratar datos sin base es operar con un pasivo que solo aparece cuando estalla.

MDM Academy

La MDM Academy es la escuela de gobernanza de datos y datos maestros de 4MDG. Nació de una percepción simple: el mercado necesita personas que entiendan de datos en la práctica, no solo en la teoría, y que sepan conectar el concepto técnico con el impacto en el negocio. LGPD, calidad de datos, registros maestros, MDM y gobernanza son temas que, al final, se encuentran, y eso es lo que la formación busca mostrar.

Si trabajas con registros maestros, cuidas datos de clientes, proveedores o materiales, actúas en compliance o quieres construir una carrera en un área que no deja de crecer, vale la pena conocer la MDM Academy y entrar al Club de los Datos. Es donde intercambiamos experiencia real sobre gobernanza, datos maestros y los problemas que aparecen todos los días dentro de las empresas.

Conclusión

La base legal de la LGPD no es burocracia jurídica, es la pregunta de fondo sobre por qué tu empresa puede usar cada dato que recolecta. Las diez bases del artículo 7 marcan el camino y el consentimiento, al contrario de lo que mucha gente piensa, es la excepción y no la regla en el ambiente corporativo. Lo que sostiene todo esto son datos organizados. Sin saber qué datos tienes, dónde están y para qué sirven, elegir una base legal es adivinar. Con la gobernanza de datos y los datos maestros en orden, el cumplimiento deja de ser un proyecto que asusta y pasa a ser una consecuencia natural de hacer bien la tarea. Y en tu empresa, hoy, ¿alguien puede decir con base en qué se trata cada dato personal?