Aplicable en España — basado en normativa española (BOE).La base jurídica que permite tratar datos personales cuando una norma con rango de ley lo exige
Resumen rápido: La obligación legal es una de las bases de licitud del tratamiento de datos personales del artículo 6.1.c) del RGPD: el tratamiento solo puede considerarse fundado en el cumplimiento de una obligación legal exigible al responsable, según el artículo 8 de la LOPDGDD, cuando así lo prevea una norma de Derecho de la Unión Europea o una norma con rango de ley.
Definición flash: Tratar datos personales por obligación legal exige que lo prevea expresamente una norma de la UE o con rango de ley (art. 8 LOPDGDD y art. 6.1.c RGPD).
Etiqueta lingüística
La exigencia de "rango de ley" es la clave de esta base de licitud: no basta un reglamento, una ordenanza o una instrucción interna para fundar un tratamiento de datos en obligación legal, sino que la norma habilitante debe tener el rango normativo de una ley (o de Derecho de la Unión), lo que da a esta base de licitud una garantía reforzada frente a habilitaciones administrativas de rango inferior.
Definición técnica
El artículo 8.1 de la LOPDGDD precisa que esa norma con rango de ley podrá determinar las condiciones generales del tratamiento y los tipos de datos objeto de él, así como las cesiones que procedan como consecuencia del cumplimiento de la obligación legal, y que puede además imponer condiciones especiales al tratamiento, como medidas adicionales de seguridad u otras del capítulo IV del RGPD. El artículo 8.2 regula la base de licitud paralela del interés público o ejercicio de poderes públicos: el tratamiento fundado en una misión de interés público o en el ejercicio de poderes públicos conferidos al responsable, conforme al artículo 6.1.e) del RGPD, solo puede considerarse fundado cuando derive de una competencia atribuida por una norma con rango de ley.
Aplicación práctica
En la práctica, cuando una empresa comunica datos de sus trabajadores a la Seguridad Social o a la Agencia Tributaria, no necesita el consentimiento de esos trabajadores: la base de licitud es el cumplimiento de una obligación legal, siempre que exista una norma con rango de ley -en este caso, la normativa de cotización o tributaria- que imponga esa comunicación.
Contexto legal en España
La obligación legal como base de licitud se regula en el artículo 6.1.c) del RGPD y se desarrolla en el artículo 8 de la Ley Orgánica 3/2018 (LOPDGDD), que exige norma con rango de ley y regula, en su apartado 2, la base paralela del interés público.
Normas clave a tener en cuenta
Qué no es / diferencias clave
- Consentimiento
- Cuando el tratamiento se funda en obligación legal (art. 8.1 LOPDGDD), el responsable NO necesita el consentimiento del afectado: la habilitación viene directamente de la norma con rango de ley, no de la voluntad de la persona.
Términos relacionados
Dato de autoridad
El artículo 8.1 de la LOPDGDD exige que la obligación legal derive de «una norma de Derecho de la Unión Europea o una norma con rango de ley».
Preguntas frecuentes sobre obligación legal (base de licitud)
¿Puede un reglamento o una instrucción interna fundar un tratamiento de datos en obligación legal?
No. El artículo 8.1 LOPDGDD exige que la obligación derive de una norma de Derecho de la Unión Europea o de una norma con rango de LEY; un reglamento administrativo de rango inferior no basta.
Autoría y revisión editorial
Contenido elaborado bajo la dirección editorial de DERECHO ABOGADOS, verificando cada norma sobre fuentes oficiales (BOE y jurisprudencia).
Cada norma citada se verifica contra su texto consolidado en el BOE: se comprueba el identificador de la norma, que la redacción sea la vigente y que lo entrecomillado sea literal. Es una verificación editorial, no un visto colegiado. Este contenido es información general y no constituye asesoramiento legal sobre un caso concreto.