Principios y bases jurídicas

Los principios del artículo 5

• Licitud, lealtad y transparencia.
• Limitación de la finalidad: fines determinados, explícitos y legítimos, sin tratamiento ulterior incompatible.
• Minimización de datos: adecuados, pertinentes y limitados a lo necesario.
• Exactitud: exactos y, si fuera necesario, actualizados.
• Limitación del plazo de conservación: no más tiempo del necesario de forma identificable.
• Integridad y confidencialidad: una seguridad adecuada.
• Responsabilidad proactiva: el responsable responde del cumplimiento y debe poder demostrarlo.

Las seis bases jurídicas

El artículo 6, apartado 1, establece seis bases: consentimiento; contrato; obligación legal; intereses vitales; misión realizada en interés público; e interés legítimo, que las autoridades públicas no pueden invocar para el tratamiento que realicen en el ejercicio de sus funciones. La base debe elegirse antes de empezar a tratar, documentarse y explicarse en la información a los interesados. No debe cambiarse después solo porque la primera opción resulte incómoda.

El consentimiento debe ser libre, específico, informado e inequívoco, mediante una clara acción afirmativa, y tan fácil de retirar como de dar. Cuando hay un desequilibrio claro, como entre empleador y empleado, es poco probable que sea libre. El interés legítimo exige una prueba en tres pasos —finalidad, necesidad y ponderación— que conviene documentar.

Categorías especiales y datos penales

El artículo 9 prohíbe tratar datos que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas o la afiliación sindical, así como datos genéticos, datos biométricos dirigidos a identificar a una persona, datos de salud y datos relativos a la vida u orientación sexual, salvo que se aplique una de las condiciones del artículo 9, apartado 2, como el consentimiento explícito, el Derecho laboral y de la seguridad social, los intereses vitales o un interés público esencial. Los datos penales (artículo 10) requieren la supervisión de una autoridad pública o una base en el Derecho de la Unión o de un Estado miembro. La edad a la que un menor puede consentir servicios en línea va de 13 a 16 años según el Estado miembro (en España, 14).