Interés legítimo o consentimiento: qué base de licitud usar bajo la Ley 21.719
El consentimiento no es la única base de licitud ni siempre la mejor. La Ley 21.719 admite varias bases para tratar datos personales: el consentimiento del titular, la necesidad de ejecutar un contrato, el cumplimiento de una obligación legal y el interés legítimo del responsable, entre otras. La regla práctica es elegir la base que corresponde al tratamiento, no la que suena más segura: pedir consentimiento cuando el tratamiento ya se apoya en un contrato genera consentimientos frágiles que el titular puede revocar. El interés legítimo permite tratar datos sin consentimiento cuando existe un beneficio real y proporcionado, pero exige documentar una prueba de ponderación frente a los derechos del titular. Para datos sensibles, como la situación socioeconómica o la salud, el consentimiento explícito es obligatorio y el interés legítimo no sirve. Si además el tratamiento es masivo, se gatilla una EIPD (art. 15 ter).
El tratamiento de datos personales es lícito cuando cuenta con el consentimiento del titular o con otra base habilitante que la ley reconoce, como la necesidad contractual, el cumplimiento de un deber legal o el interés legítimo del responsable ponderado frente a los derechos del titular.
El consentimiento no es el default: la ley tiene varias bases
La antigua Ley 19.628 giraba casi por completo en torno al consentimiento. La Ley 21.719 cambia eso: reconoce que hay tratamientos legítimos que no dependen de que la persona diga que sí, y ofrece un conjunto de bases de licitud. La lógica ya no es "pida permiso para todo", sino "para cada finalidad, tenga una y solo una base válida y documentada".
En la práctica, las bases que usará casi siempre son tres: el consentimiento, la necesidad contractual (el tratamiento es indispensable para ejecutar un contrato con la persona) y el interés legítimo (un interés real del responsable que no atropella los derechos del titular). Existen otras, como el cumplimiento de una obligación legal, pero esas tres cubren la mayoría de los casos de una empresa.
Quien decide qué base aplica es el responsable del tratamiento, no el proveedor que procesa los datos por usted. Esa distinción importa y la desarrollamos en responsable vs encargado: el encargado sigue instrucciones, no elige la base.
| Base de licitud | Cuándo usarla | Ejemplo |
|---|---|---|
| Consentimiento | Cuando no aplica otra base, y siempre para datos sensibles | Newsletter de marketing; tratar datos de salud |
| Necesidad contractual | El dato es imprescindible para ejecutar un contrato con el titular | Dirección de despacho de una compra online |
| Obligación legal | Una ley obliga al responsable a tratar el dato | Datos de nómina para cotizaciones previsionales |
| Interés legítimo | Beneficio real y proporcionado, tras una prueba de ponderación | Prevención de fraude; seguridad de la red |
Cuándo el consentimiento es obligatorio, y cuándo pedirlo es un error
El consentimiento es obligatorio en un caso claro: los datos sensibles. Y aquí Chile tiene una particularidad, porque la "situación socioeconómica" es dato sensible. Para tratar salud, afiliación sindical, datos biométricos o situación socioeconómica, la regla es consentimiento explícito, específico e informado. El interés legítimo no lo reemplaza.
El error frecuente es el contrario: pedir consentimiento para algo que en realidad no lo necesita. Si usted requiere el RUT y la dirección para facturar y despachar un pedido, esa base es la necesidad contractual, no el consentimiento. Si igual pide "acepto el tratamiento de mis datos", se mete en un problema: el consentimiento es revocable. El día que la persona lo revoca, usted se queda sin base para algo que de todas formas tenía que hacer para cumplir el contrato.
Regla simple: no pida consentimiento para datos que ya tiene derecho a tratar por otra base. Cada consentimiento que recoge es algo que después debe poder probar, mantener y respetar si lo revocan.
Necesidad contractual e interés legítimo: para qué sirve cada una
La necesidad contractual cubre lo que es estrictamente indispensable para dar el servicio que la persona le pidió. No cubre lo que a usted le gustaría hacer además. Marca la diferencia entre lo necesario y lo deseable.
El interés legítimo es más flexible, pero tiene un techo: nunca aplica a datos sensibles y nunca puede pasar por encima de las expectativas razonables de la persona. Sirve para casos donde el tratamiento es previsible y proporcionado.
- Necesidad contractual: crear la cuenta, facturar, despachar, cobrar, dar soporte del producto comprado.
- Interés legítimo (típico): marketing directo a clientes propios, prevención de fraude, seguridad de la plataforma, analítica interna agregada.
- Interés legítimo (no aplica): cualquier dato sensible, y la prospección fría a listas compradas de personas con las que no tiene relación.
La prueba de ponderación: cómo se documenta el interés legítimo
El interés legítimo no es una casilla que uno marca. Es una base que hay que justificar por escrito antes de tratar los datos, con lo que suele llamarse prueba o test de ponderación. Es un ejercicio corto pero real, en tres pasos:
Hecha una vez por finalidad y guardada, esta prueba es su defensa si alguien cuestiona el tratamiento. Sin ella, invocar interés legítimo es solo una afirmación sin respaldo.
- Interés: identifique el interés concreto y lícito (por ejemplo, ofrecer productos similares a clientes actuales). Un interés vago no basta.
- Necesidad: verifique que no hay una vía menos invasiva para lograr lo mismo. Si la hay, use esa.
- Ponderación: pese su interés contra los derechos y las expectativas razonables del titular. Si la persona se sorprendería o se sentiría invadida, el interés legítimo no se sostiene.
Por qué elegir bien evita consentimientos que no puede sostener
Un consentimiento que no puede probar, o que la persona ya revocó, equivale a no tener base. Y tratar datos sin base es una infracción, no un detalle formal. Por eso el problema de acumular consentimientos innecesarios no es solo administrativo: cada uno es una obligación que debe custodiar y una base frágil que alguien puede desarmar con un clic.
Elegir bien la base desde el principio reduce esa carga. Si algo se sostiene por necesidad contractual o por interés legítimo bien ponderado, no dependa del sí revocable de nadie. Documente la base que eligió para cada finalidad en su registro de actividades y trátela como parte del cumplimiento, no como letra chica. Así encaja en el orden general que describimos en cómo cumplir la Ley 21.719.
Cuando la base elegida es interés legítimo y el tratamiento es de gran escala, sensible o automatizado, recuerde que además puede gatillar una EIPD del art. 15 ter. Si ese es su caso y prefiere resolverlo con una entrega a precio fijo, para eso existe el EIPD express.
Preguntas frecuentes
¿El interés legítimo sirve para tratar datos sensibles?
No. Para datos sensibles, incluida la situación socioeconómica en Chile, la regla es el consentimiento explícito. El interés legítimo nunca es base válida para datos sensibles, por muy justificado que parezca el interés.
¿Puedo usar interés legítimo para marketing?
Para marketing directo a clientes propios, con frecuencia sí, siempre que haga la prueba de ponderación y respete el derecho de la persona a oponerse. Para prospección fría a listas compradas de personas con las que no tiene relación, el interés legítimo no se sostiene.
¿Tengo que documentar la base de licitud que elijo?
Sí. La base debe quedar registrada por cada finalidad en su registro de actividades de tratamiento. Y si la base es el interés legítimo, la prueba de ponderación debe estar por escrito antes de empezar a tratar los datos, no después.
¿Qué pasa si un cliente revoca su consentimiento?
Debe cesar ese tratamiento específico. Por eso no conviene basar en consentimiento algo que en realidad se sostiene por necesidad contractual o interés legítimo: si eligió bien la base, una revocación no lo deja sin poder operar.