La diferencia entre consentimiento, interés legítimo y necesidad contractual

La diferencia entre consentimiento, interés legítimo y necesidad contractual

El GDPR no consiste solo en pedir a los usuarios que acepten cookies. Antes de recopilar o utilizar datos personales, una empresa necesita una base jurídica para el tratamiento. Tres bases se confunden especialmente: consentimiento, interés legítimo y necesidad contractual.

Las tres pueden ser válidas en el contexto adecuado, pero no son intercambiables. Elegir la base equivocada puede afectar a lo que informas a las personas, sus derechos y el comportamiento de tu banner de cookies o plataforma de gestión de consentimiento.

---

¿Qué es una base jurídica?

El GDPR exige una base jurídica antes de tratar datos personales. La explicación del European Data Protection Board enumera seis: consentimiento, contrato, obligación legal, intereses vitales, interés público e intereses legítimos. La base debe elegirse según la finalidad, no después de recopilar los datos.

---

Consentimiento

El consentimiento es una aceptación libre, específica, informada e inequívoca del tratamiento. La guía del ICO sobre consentimiento válido explica que necesita una acción afirmativa clara.

Suele ser adecuado cuando existe una elección y control reales: suscripciones de email marketing, cookies analíticas opcionales, cookies publicitarias, píxeles de retargeting, seguimiento conductual, newsletters y compartir datos de forma opcional con herramientas de marketing de terceros.

No debe forzarse, ocultarse en términos ajenos, agruparse ni presumirse por silencio. Casillas premarcadas, lenguaje vago y “al continuar navegando” no son modelos sólidos. Retirarlo debe ser tan sencillo como otorgarlo. CookiePal puede ayudar con banners, análisis y bloqueo automático cuando las cookies no esenciales deben esperar al consentimiento.

---

Interés legítimo

Puede aplicarse cuando la organización tiene un interés genuino y lícito, el tratamiento es necesario para ese fin y los derechos y libertades de la persona no prevalecen. El ICO describe una evaluación de interés legítimo de tres partes: prueba de finalidad, necesidad y equilibrio.

Según el contexto, puede servir para actividades de bajo riesgo como prevención de fraude, seguridad web, administración interna, algunas comunicaciones B2B, analítica limitada o prevención de abusos. No es un atajo para evitar el consentimiento. Las cookies de seguimiento, píxeles publicitarios, retargeting y tecnologías similares todavía pueden requerir consentimiento de cookies aunque consideres que existe interés legítimo bajo GDPR. Además, las personas tienen derecho a oponerse.

---

Necesidad contractual

Se aplica cuando el tratamiento es necesario para ejecutar un contrato con la persona o realizar pasos precontractuales específicos solicitados por ella. La guía del ICO sobre contrato como base jurídica aclara que debe ser realmente necesario para ejecutar el contrato o el paso solicitado.

Ejemplos: dirección para enviar un pedido, datos de pago para completarlo, una cuenta solicitada por el usuario, mensajes de servicio, detalles de reserva o datos de contacto para responder a un presupuesto solicitado. No se debe ampliar a objetivos comerciales generales: un correo de confirmación de pedido no convierte una newsletter promocional en contractualmente necesaria, y las cookies analíticas no son necesarias para leer un sitio web.

---

Comparación

| Base jurídica | Mejor para | Control del usuario | | --------------------- | --------------------------------------------------------- | --------------------- | | Consentimiento | Tratamiento opcional con elección real | Puede retirarlo | | Interés legítimo | Intereses empresariales necesarios, justos y equilibrados | Puede oponerse | | Necesidad contractual | Tratamiento necesario para un contrato o paso solicitado | Vinculado al servicio |

Si el tratamiento es opcional, el consentimiento puede ser adecuado. Si es necesario para un interés equilibrado, el interés legítimo puede encajar. Si es realmente necesario para prestar el servicio solicitado, puede aplicarse la necesidad contractual.

---

Cómo afecta a los banners de cookies

Los banners tratan de cookies y tecnologías similares, no de todo tratamiento de datos personales. Sin embargo, la base del seguimiento sigue siendo importante. Las cookies estrictamente necesarias quizá no requieran consentimiento, pero deben explicarse. La analítica, publicidad, retargeting y creación de audiencias suelen necesitar consentimiento antes de ejecutarse. El chat en vivo o el vídeo integrado también pueden necesitarlo según su funcionamiento.

La guía del ICO sobre cookies señala que se puede exigir consentimiento para almacenar o acceder a información en un dispositivo, salvo exención.

---

Errores comunes

Usar interés legítimo porque las tasas de consentimiento son bajas

Una tasa baja no cambia la base jurídica. Esta depende de la finalidad y el contexto, no del resultado deseado.

Llamar contractual al marketing

Una persona puede necesitar una cuenta o recibo, pero normalmente no necesita emails promocionales ni retargeting para recibir el servicio.

Pedir consentimiento donde no hay elección real

Si el tratamiento es realmente necesario para prestar el servicio, el consentimiento quizá no sea la base adecuada.

Mezclar finalidades

Seguridad, entrega del servicio, analítica, marketing y personalización son finalidades distintas. No las agrupes en una frase vaga.

---

Checklist práctico

Antes de elegir la base, pregunta qué datos se tratan, la finalidad exacta, si es opcional o necesario, si intervienen cookies, si existe elección real y expectativa razonable, si puedes usar menos datos, qué derechos se aplican y si la política de privacidad y el banner reflejan la configuración real.

---

Conclusión

Consentimiento, interés legítimo y necesidad contractual resuelven problemas diferentes. El consentimiento es para una elección genuina; el interés legítimo exige necesidad y equilibrio justo; la necesidad contractual corresponde al tratamiento realmente necesario para un contrato o solicitud. Para cookies, publicidad, analítica y marketing, separa las finalidades y asegúrate de que la explicación, las elecciones y el comportamiento del sitio coincidan.