La respuesta corta
La Ley 21.719 mantiene el consentimiento como regla general, pero no como la única puerta. Su artículo 13 permite tratar datos sin consentimiento cuando hay una obligación legal, un contrato con el titular, un interés legítimo que no afecte sus derechos, la necesidad de defender un derecho ante tribunales u órganos públicos, o se trata de datos de obligaciones económicas en los términos de la propia ley.
Elegir la base correcta no es un trámite. Define qué debe informar, qué puede hacer la persona y qué tendrá que probar la empresa si alguien reclama. Y el artículo 13 termina con una frase que conviene leer dos veces: el responsable deberá acreditar la licitud del tratamiento.
El consentimiento, bien entendido
El artículo 12 exige mucho al consentimiento. Debe ser libre, informado y específico en cuanto a su finalidad. Debe darse en forma previa y de manera inequívoca: por una declaración verbal, escrita o electrónica, o por un acto afirmativo que muestre con claridad la voluntad del titular. Una casilla premarcada difícilmente cumple ese estándar.
Además, el titular puede revocarlo en cualquier momento y sin expresar causa, usando medios similares a los que usó para darlo. Esos medios deben ser expeditos, fidedignos, gratuitos y estar siempre disponibles. La revocación no tiene efecto retroactivo, pero desde ese momento el tratamiento basado en el consentimiento se acaba.
Por último, corresponde al responsable probar que contó con el consentimiento. Si no guarda registro de cuándo, cómo y para qué lo obtuvo, en la práctica no lo tiene.
La trampa del consentimiento innecesario
La ley contiene una presunción que desarma una práctica muy extendida. Se presume que el consentimiento no fue libre cuando el responsable lo pide en el marco de un contrato o de un servicio en que no es necesario recolectar ese dato. Hay una excepción: cuando quien ofrece el bien o servicio pide como única contraprestación el consentimiento para tratar datos.
Piense en una tienda en línea que, para despachar una compra, exige aceptar también el envío de publicidad a terceros. Para el despacho no necesita consentimiento: le basta el contrato. Y el consentimiento para la publicidad, atado a la compra, se presume no libre.
Hay un segundo problema. Si la empresa funda en el consentimiento un tratamiento que en realidad necesita, como la facturación, y la persona lo revoca, queda en una posición incómoda. Habría sido más sólido apoyarse desde el principio en el contrato o en la obligación legal.
Las otras cinco bases, con ejemplos
El artículo 13 enumera los casos en que el tratamiento es lícito sin consentimiento. Con ejemplos de una empresa común:
- Obligación legal: los datos de los trabajadores que se informan para cumplir deberes laborales, tributarios o previsionales.
- Contrato o medidas precontractuales pedidas por el titular: la dirección de despacho de un cliente, o los datos de quien pidió una cotización. Ojo: si no se llega a contratar, el artículo 14 exige suprimir o anonimizar los datos obtenidos para esas medidas precontractuales.
- Interés legítimo del responsable o de un tercero, siempre que no afecte los derechos y libertades del titular: por ejemplo, ciertos controles para prevenir fraudes en la propia operación. La persona puede exigir siempre que se le informe cuál es ese interés.
- Formulación, ejercicio o defensa de un derecho ante tribunales u órganos públicos: conservar los antecedentes de un cliente para responder una demanda o un reclamo.
- Datos relativos a obligaciones económicas, financieras, bancarias o comerciales, tratados conforme a las reglas especiales que la misma ley establece para ellos.
Cómo se elige, en la práctica
La base se elige por cada finalidad, no por cada persona ni por cada base de datos. Un mismo cliente puede estar en su sistema por contrato, para la facturación por obligación legal y, para recibir publicidad, por consentimiento. Mezclarlo todo bajo una sola base es el origen de buena parte de los problemas.
Un método simple: liste las finalidades de cada área, pregunte para cada una si la empresa podría operar sin ese dato y, si no puede, busque primero la base que no depende de la voluntad de la persona. El consentimiento queda para lo que de verdad es opcional.
Lo que elija tiene que quedar escrito. La política de privacidad debe publicar la base de legitimidad de cada tratamiento y, si se usa interés legítimo, cuál es. Lo explicamos en el artículo sobre la política de privacidad ante la Ley 21.719.
La pregunta no es si pidió consentimiento, sino si puede explicar con qué base trata cada dato y probarlo. Si quiere ordenar ese mapa antes del 1 de diciembre, nuestra auditoría de la Ley 21.719 lo trabaja finalidad por finalidad, sin prometer más de lo que la ley exige.
Preguntas frecuentes
¿Puedo seguir pidiendo consentimiento para todo, por si acaso?+
Puede, pero no es más seguro. Si el dato es necesario para un contrato, la ley presume que el consentimiento pedido en ese contexto no fue libre cuando la recolección no era necesaria, y si el tratamiento sí era necesario, la persona puede revocar el consentimiento y dejarlo a usted sin base. Además, cada consentimiento debe poder probarse, revocarse por medios gratuitos y siempre disponibles, y debe ser específico. Pedirlo para todo multiplica lo que la empresa tiene que administrar sin mejorar su posición.
¿El interés legítimo sirve para cualquier cosa que convenga a la empresa?+
No. El artículo 13 lo admite solo cuando el tratamiento es necesario para satisfacer ese interés y siempre que no se afecten los derechos y libertades del titular. Eso exige ponderar: qué gana la empresa, qué espera razonablemente la persona y qué riesgo corre. La persona puede exigir que se le informe sobre el tratamiento y sobre el interés que lo justifica, y la política de privacidad debe declararlo. Si no puede explicar ese equilibrio por escrito, probablemente esa no es la base correcta.
¿Qué pasa con los datos que ya tengo, reunidos antes de la ley?+
La ley rige desde el 1 de diciembre de 2026 y desde entonces todo tratamiento debe tener una base de licitud que la empresa pueda acreditar. Eso incluye las bases de datos existentes. Revise para cada finalidad si hoy cuenta con un contrato, una obligación legal u otra base del artículo 13, o si depende de un consentimiento que debe poder probar con el estándar del artículo 12. Lo que no tenga base, conviene suprimirlo o anonimizarlo antes de esa fecha.
Donde comprobarlo
Este articulo se apoya unicamente en fuentes oficiales. Si quiere ir al texto original:
Este articulo fue preparado por HM Legal a partir de fuentes oficiales, pero es informacion general y no constituye asesoria legal para un caso concreto. HM Legal es un estudio juridico privado y no tiene relacion con la Policia de Investigaciones, el Ministerio Publico ni la Agencia Nacional de Ciberseguridad.