Pedir una firma, marcar una casilla o incluir una cláusula dentro de un contrato no convierte automáticamente el tratamiento de datos en válido. Para una empresa, el problema no es solamente obtener un “sí”, sino poder demostrar qué se informó, para qué finalidad se pidió la autorización y bajo qué condiciones la persona manifestó su voluntad.

El consentimiento es una base de legitimación, no la única

La LOPDP reconoce varias bases que pueden permitir el tratamiento de datos personales. El consentimiento es una de ellas, pero no debe utilizarse por costumbre cuando la operación se sustenta realmente en una obligación legal, en la ejecución de un contrato, en intereses vitales, en interés público o, cuando corresponda, en interés legítimo. Elegir incorrectamente la base genera documentos incoherentes y dificulta responder ante una auditoría o reclamo.

Qué condiciones debe cumplir un consentimiento válido

Cuando el tratamiento sí depende del consentimiento, este debe ser libre, específico, informado e inequívoco. La persona debe comprender qué datos se utilizarán, quién los tratará, con qué finalidad y qué derechos puede ejercer. En tratamientos de datos sensibles, la exigencia puede ser reforzada y debe revisarse la causal aplicable antes de iniciar el proceso. Una autorización genérica para “todo uso presente o futuro” debilita la trazabilidad del consentimiento.

La empresa debe conservar evidencia de cómo y cuándo lo obtuvo

Un formulario digital debería permitir identificar la versión del aviso presentada, la fecha, la finalidad aceptada y la acción realizada por el titular. En formularios físicos conviene conservar la versión firmada o el soporte equivalente. Si se modifican las finalidades, no basta con actualizar un texto en la página web: debe evaluarse si la base original sigue cubriendo el nuevo uso o si corresponde informar nuevamente y obtener una nueva autorización.

Retirar el consentimiento también debe ser posible

La gestión no termina al captar la autorización. La organización necesita un mecanismo razonable para que el titular pueda revocarla cuando la base del tratamiento dependa de ella. Esto implica conectar formularios, CRM, herramientas de marketing y áreas internas para que una revocatoria no quede registrada únicamente en un correo mientras los datos continúan utilizándose en otros sistemas.

Sin embargo, ¿Sabías que...?

¿Una casilla marcada por defecto demuestra consentimiento?

No es una práctica recomendable para demostrar una manifestación inequívoca. La empresa debería utilizar una acción afirmativa clara y conservar evidencia de la decisión del titular.

¿Puedo pedir un solo consentimiento para contrato, publicidad y cesión a terceros?

Conviene separar finalidades cuando son distintas. Vincular usos opcionales a una autorización general puede afectar la libertad y especificidad del consentimiento y hacer más difícil demostrar qué aceptó realmente la persona.