En principio, el RGPD prohíbe el tratamiento de datos personales, a menos que se realice con fines[1] legítimos y legales.
Una finalidad describe un objetivo concreto que debe ser alcanzado por el tratamiento.
Legítimo significa el cumplimiento de la letra de la ley (sin limitarse al RGPD), el espíritu de la ley (por ejemplo, sin explotar las lagunas legales), los valores de la sociedad (como por ejemplo expresados en la Carta Europea de Derechos Fundamentales) y los principios de la ética. En determinados ámbitos de la investigación, el cumplimiento de la ética puede verificarse en procedimientos formales como la aprobación por parte de un comité de ética de la investigación.
La legalidad se define en el artículo 6 del RGPD. En particular, para que el tratamiento sea lícito, sus fines deben corresponder a una de las seis categorías previstas que se denominan base jurídica[2]. Los responsables del tratamiento sólo están autorizados a tratar datos personales si pueden presentar una base jurídica válida.
En términos del problema que aborda la protección de datos, esto significa que la obtención de poder sobre las personas sólo está permitida cuando sirve para fines legítimos de los tipos previstos en el RGPD.
- Véase el artículo 5, apartado 1, letras a) y b) del RGPD. ↑
- Véase el artículo 6, apartado 1, del RGPD. ↑