Bases legales para el tratamiento de datos en la LGPD

Esta página es una traducción del texto original en portugués, ofrecida para facilitar la lectura. Trata del derecho brasileño. En caso de divergencia, prevalece la versión en portugués. Leer el original en portugués

La LGPD (Ley General de Protección de Datos Personales de Brasil) establece diez bases legales que autorizan el tratamiento de datos personales en Brasil, y conocer cada una de ellas es esencial para cualquier proceso de due diligence en protección de datos.

Qué son las bases legales y por qué importan en la LGPD

Cuando hablamos de tratamiento de datos personales, la primera pregunta que debemos responder es: ¿cuál es la justificación jurídica para recopilar, almacenar, procesar o compartir una determinada información? La Ley General de Protección de Datos Personales (Ley n.º 13.709/2018) incorporó al ordenamiento brasileño un sistema de legitimación basado en bases legales taxativas, enumeradas en su artículo 7.º. Si el tratamiento no encuadra en al menos una de esas hipótesis, cualquier operación será considerada ilícita, con independencia de la buena fe del controlador.

La elección inadecuada de la base legal no es una simple irregularidad formal: contamina toda la cadena de tratamiento y puede convertir operaciones legítimas en violaciones de la LGPD.

En el contexto de la due diligence de datos, la verificación de las bases legales utilizadas por una organización es uno de los pilares del análisis de cumplimiento. Al examinar la situación de una empresa, se comprueba si cada flujo de datos cuenta con una base legal claramente identificada, si esa base fue documentada y si realmente resulta adecuada para la finalidad perseguida. Este análisis no es meramente formal: revela la madurez del programa de gobernanza de datos y puede influir de manera decisiva en las evaluaciones de riesgo en operaciones societarias, fusiones, adquisiciones y alianzas comerciales.

La LGPD no establece jerarquía entre las bases legales. Esto significa que el consentimiento, aunque sea la hipótesis más conocida por el público en general, no es superior ni preferible a las demás. Cada situación concreta exige una evaluación cuidadosa para determinar cuál es la base legal más apropiada, considerando la naturaleza de los datos, la finalidad del tratamiento, el contexto de la relación entre controlador y titular, y los riesgos involucrados.

Las diez bases legales del artículo 7.º de la LGPD

El artículo 7.º de la LGPD enumera diez hipótesis que autorizan el tratamiento de datos personales. A continuación se analiza cada una de ellas, con énfasis en su aplicación práctica durante los procesos de due diligence.

Consentimiento del titular

El consentimiento debe ser libre, informado, inequívoco y otorgado para una finalidad determinada. En los procesos de due diligence se verifica si los mecanismos de obtención del consentimiento son sólidos, si existen registros auditables (por ejemplo, logs de aceptación) y si el titular puede revocar el consentimiento de forma sencilla. Las empresas que dependen exclusivamente del consentimiento para la mayoría de sus operaciones suelen presentar mayor fragilidad operativa, ya que una revocación masiva puede comprometer procesos internos enteros.

Cumplimiento de una obligación legal o regulatoria

Cuando una ley o norma regulatoria exige que determinados datos sean tratados, el controlador no solo puede, sino que debe realizar el tratamiento. Es el caso de las obligaciones laborales (envío de información al eSocial, sistema del gobierno brasileño para la declaración de información laboral, previsional y fiscal), las obligaciones fiscales (conservación de datos con fines tributarios) y las sectoriales (exigencias del Banco Central de Brasil a las instituciones financieras). En la due diligence, mapeamos qué obligaciones legales sustentan los flujos de datos y se verifica si la empresa realmente las cumple o si solo las invoca como justificación genérica.

Ejecución de políticas públicas por la administración pública

Esta base legal está restringida a los órganos y entidades de la administración pública. Autoriza el tratamiento de los datos necesarios para la ejecución de políticas públicas previstas en leyes y reglamentos, o respaldadas en contratos, convenios o instrumentos similares. Para las empresas privadas que mantienen contratos con el poder público, esta base puede ser relevante en operaciones específicas vinculadas a la ejecución de esas políticas.

Realización de estudios por un órgano de investigación

Es aplicable a las entidades que encajan en el concepto de órgano de investigación definido por la LGPD. Siempre que sea posible, debe garantizarse la anonimización de los datos. En las evaluaciones de due diligence de empresas del sector de investigación y desarrollo, se verifica si la anonimización es efectiva y si los protocolos de seguridad cumplen los estándares exigidos.

Ejecución o preparación de un contrato

Esta base legal se aplica cuando el tratamiento de datos es necesario para la ejecución de un contrato del que el titular es parte, o para los procedimientos preliminares relacionados con un contrato solicitado por el titular. Es sumamente común en las relaciones comerciales y de prestación de servicios. En el análisis de due diligence se verifica que la empresa no esté ampliando indebidamente el alcance de esta base legal para justificar tratamientos que van más allá de lo estrictamente necesario para la relación contractual.

Ejercicio regular de derechos en procesos judiciales, administrativos o arbitrales

Esta hipótesis permite tratar datos personales cuando sea necesario para el ejercicio regular de derechos en un proceso. Protege el derecho de defensa y el acceso a la justicia. En la due diligence, esta base suele aparecer en el análisis de los departamentos jurídicos y en la conservación de datos para la defensa en eventuales litigios, práctica conocida como litigation hold.

Protección de la vida o de la integridad física

Es aplicable en situaciones de emergencia en las que el tratamiento de datos es necesario para proteger la vida o la integridad física del titular o de un tercero. Aunque se trata de una base legal de aplicación restringida, es relevante en sectores como la salud y la seguridad.

Tutela de la salud

Se aplica exclusivamente a procedimientos realizados por profesionales de la salud, servicios de salud o autoridades sanitarias. En los procesos de due diligence de empresas del sector salud, esta base legal exige especial atención, pues con frecuencia involucra datos sensibles, que cuentan con un régimen de protección más riguroso previsto en el artículo 11 de la LGPD.

Interés legítimo del controlador o de un tercero

El interés legítimo es una de las bases legales más flexibles y, precisamente por ello, una de las más complejas de aplicar correctamente. La LGPD exige que el tratamiento se fundamente en finalidades legítimas, consideradas a partir de situaciones concretas, y que se respeten los derechos y las expectativas del titular. En la due diligence se verifica si la empresa realizó la llamada prueba de ponderación (Legitimate Interest Assessment), documentando la finalidad perseguida, la necesidad del tratamiento, el equilibrio entre los intereses del controlador y los derechos del titular, y las salvaguardas adoptadas.

Protección del crédito

Base legal que autoriza el tratamiento de datos con fines de protección del crédito, incluidas las consultas a burós de crédito y los análisis de riesgo. Es particularmente relevante para instituciones financieras, empresas de cobranza y burós de crédito.

Due diligence de datos: cómo evaluar el cumplimiento de las bases legales

En un proceso de due diligence centrado en la protección de datos, el análisis de las bases legales va mucho más allá de verificar que hayan sido indicadas formalmente en un registro de operaciones de tratamiento. Debemos evaluar la coherencia entre la base legal elegida y la realidad operativa del tratamiento. Es habitual encontrar situaciones en las que una empresa declara utilizar el consentimiento como base legal, pero en la práctica no ofrece al titular ninguna opción real de negativa, lo que desnaturaliza por completo la validez de ese consentimiento.

El mapeo de datos (data mapping o Record of Processing Activities) es el documento central de este análisis. En él, cada flujo de datos debe estar asociado a una base legal específica, con su respectiva justificación. Al analizar empresas en procesos de fusión o adquisición, la ausencia de ese mapeo o su desactualización es un indicador significativo de riesgo. Puede revelar exposiciones que afecten el valuation de la operación o que exijan la inclusión de cláusulas de indemnización específicas en el contrato de compraventa.

Otro punto crítico es el análisis de las transferencias internacionales de datos. Cuando se transfieren datos personales a otros países, además de la base legal que autoriza el tratamiento en sí, es necesario verificar si el país de destino ofrece un nivel adecuado de protección o si se adoptaron garantías apropiadas, como las cláusulas contractuales tipo. Esta capa adicional de análisis suele pasarse por alto y puede representar un riesgo regulatorio relevante.

Datos sensibles: el régimen especial del artículo 11

La LGPD establece un régimen diferenciado para el tratamiento de datos personales sensibles, que incluyen información sobre origen racial o étnico, convicción religiosa, opinión política, afiliación a un sindicato o a una organización de carácter religioso, filosófico o político, datos referentes a la salud o a la vida sexual, y datos genéticos o biométricos. El artículo 11 de la Ley restringe las bases legales aplicables y excluye, por ejemplo, el interés legítimo y la protección del crédito.

Tratándose de datos sensibles, el consentimiento debe ser específico y destacado, con indicación clara de las finalidades. Las demás hipótesis autorizantes son más restringidas y están vinculadas a situaciones determinadas por la ley. En los procesos de due diligence, la identificación de flujos que involucran datos sensibles exige una atención redoblada, pues las sanciones por el tratamiento irregular de estos datos tienden a ser más severas y el impacto reputacional es proporcionalmente mayor.

También se verifica si la empresa adopta medidas técnicas y organizativas reforzadas para proteger los datos sensibles, como un control de acceso más restrictivo, cifrado, seudonimización y registros de auditoría específicos. La ausencia de estas medidas, incluso cuando la base legal está correctamente identificada, representa una vulnerabilidad que debe constar en el informe de la due diligence.

Consecuencias prácticas de la elección inadecuada de la base legal

La Autoridad Nacional de Protección de Datos (ANPD) ya ha demostrado, en sus primeras actuaciones de fiscalización, que el análisis de las bases legales es uno de los focos prioritarios de verificación. La elección inadecuada puede acarrear sanciones administrativas que van desde advertencias hasta multas de hasta el 2 % de la facturación de la persona jurídica (limitadas a R$ 50 millones por infracción), además de sanciones como la publicidad de la infracción y el bloqueo o la eliminación de los datos.

Desde un punto de vista práctico, una base legal mal elegida puede generar efectos en cascada. Si una empresa utiliza el consentimiento como base de un tratamiento que sustenta toda una cadena de procesos internos y un grupo significativo de titulares revoca ese consentimiento, la empresa puede verse obligada a interrumpir operaciones esenciales. En cambio, si esa misma empresa hubiera encuadrado correctamente el tratamiento en la base del interés legítimo (cuando corresponda) o en la ejecución de un contrato, la revocación individual no tendría ese efecto disruptivo.

Desde la perspectiva de la due diligence, identificar estas fragilidades antes del cierre de una operación societaria permite que el comprador o inversionista negocie ajustes en el precio, exija planes de remediación como condición previa o incluya cláusulas adecuadas de protección contractual. Por lo tanto, el análisis de las bases legales deja de ser una cuestión puramente regulatoria y pasa a tener un impacto financiero directo en la transacción.

As informações deste artigo são de caráter informativo e não substituem consulta jurídica individualizada. Cada caso possui particularidades que exigem análise específica.