Respuesta rápida
El Art. 7 contiene diez bases legales para datos personales no sensibles. La empresa no debe escoger la que parezca más cómoda: debe vincular cada finalidad real con la hipótesis que jurídicamente encaje. El consentimiento es solo una de las diez y no debería usarse como base por defecto.
Puntos clave
- Consentimiento no es la base universal.
- Contrato solo cubre tratamiento necesario para la ejecución o medidas solicitadas.
- Obligación legal requiere una obligación real.
- Interés legítimo exige análisis adicional.
- Datos sensibles se analizan bajo el Art. 11.
Qué significa en la práctica
La forma más segura de aplicar este tema es separar tres capas: lo que exige la ley o la regulación, lo que la organización hace realmente y la evidencia que permite demostrar esa decisión. Una política o contrato que no coincide con los sistemas, proveedores y flujos reales crea una falsa sensación de cumplimiento.
Para empresas globales, el análisis también debe considerar dónde están los titulares, qué entidades toman decisiones, qué proveedores reciben datos y qué países participan. La LGPD se aplica a operaciones concretas; por eso un mismo grupo empresarial puede tener respuestas diferentes según producto, finalidad o unidad.
Cómo implementar este tema
- Paso 1. Liste finalidades específicas.
- Paso 2. Identifique categorías de datos y titulares.
- Paso 3. Evalúe la base por actividad.
- Paso 4. Documente razonamiento y restricciones.
- Paso 5. Revise si la base cambia cuando cambia la finalidad.
Después de completar los pasos iniciales, conecte el resultado con el ROPA, el mapa de datos, la matriz de proveedores y el plan de remediación. Si aparece un cambio material —nuevo proveedor, país, finalidad, IA, tipo de dato o incidente— revise nuevamente la decisión.
Errores comunes
- Elegir consentimiento porque parece más seguro.
- Usar contrato para marketing no necesario.
- Invocar obligación legal sin citar la obligación.
- Usar interés legítimo para datos sensibles.
Un error recurrente es tratar el cumplimiento como un documento estático. ANPD y la propia estructura de la LGPD apuntan a una gobernanza continua: registros, medidas, revisión de riesgo y capacidad de demostrar por qué una decisión era razonable en el contexto existente.
Qué debería documentar
| # | Registro | Evidencia mínima |
|---|---|---|
| 1 | Legal-Basis Decision Record | Conserve owner, fecha, evidencia y criterio de revisión. |
| 2 | ROPA | Conserve owner, fecha, evidencia y criterio de revisión. |
| 3 | LIA cuando aplique | Conserve owner, fecha, evidencia y criterio de revisión. |
| 4 | Matriz de finalidades | Conserve owner, fecha, evidencia y criterio de revisión. |
| 5 | Evidencia de consentimiento | Conserve owner, fecha, evidencia y criterio de revisión. |
Relación con otras obligaciones LGPD
Este tema rara vez existe de manera aislada. Revise su conexión con mapeo de datos, ROPA, bases legales, proveedores, seguridad y transferencias internacionales.
Preguntas frecuentes
¿Cuántas bases legales tiene el Art. 7?
Diez para datos personales no sensibles.
¿Consentimiento es obligatorio para marketing?
No en todos los casos; la base depende de la actividad concreta y del análisis aplicable.
¿Interés legítimo sirve para datos sensibles?
No como base del Art. 7; los datos sensibles se rigen por el Art. 11.
Fuentes oficiales principales
Para esta guía se priorizaron fuentes primarias. Consulte siempre la versión vigente antes de tomar decisiones de alto impacto.
Convierta esta guía en un proceso repetible
El Manual de Cumplimiento LGPD en Brasil — Edición 2026 incluye una auditoría de 100 puntos, 16 hojas de trabajo de implementación y una hoja de ruta estructurada de 30 días.
Obtener el Manual · $47