El Reglamento (UE) 2016/679 General de Protección de Datos (RGPD o Reglamento) requiere que cualquier organización que trate datos de carácter personal determine una base de licitud válida para llevar a cabo cada actividad de tratamiento. El Reglamento establece seis bases de licitud para poder llevar a cabo el tratamiento: consentimiento, ejecución de un contrato, interés legítimo, interés vital, obligación legal e interés público.

Es normal que la mayoría de las organizaciones a día de hoy todavía se preguntan si tienen que recabar el consentimiento para poder tratar los datos de sus clientes. La respuesta es: no necesariamente. Como mencionaré más adelante, el consentimiento es solo una de las seis bases de legitimación para tratar datos personales. Es más, el consentimiento, según se entiende en la nueva norma, difiere de lo que estábamos acostumbrados a aplicar con la Directiva 95/46/CE o la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD), siendo ahora necesario que el mismo se otorgue de forma libre, clara y siendo tan sencillo otorgarlo como retirarlo, y no siendo válidos los consentimientos tácitos o por omisión.

Del mismo modo, el interés legítimo suele plantear serias dudas en cuanto a su aplicación, ya que no solo basta con un análisis previo de viabilidad, sino que se debe realizar una prueba de sopesamiento, y la misma debe ser accesible a los interesados para su consulta. Y si ya cues