Datos personales

Los datos personales son, conforme al artículo 4.1 del RGPD, toda información sobre una persona física identificada o identificable. Esta definición es deliberadamente amplia: basta con que una persona pueda identificarse con un esfuerzo razonable, ya sea de forma directa o combinando varios datos.

¿Qué se incluye?

¿Qué queda fuera?

Los datos anonimizados, en los que la vinculación con una persona queda excluida de forma permanente e irreversible, no entran dentro de este concepto. Los datos seudonimizados, en cambio, sí, porque sigue siendo posible reidentificar a la persona mediante una clave, aunque esa clave se guarde por separado.

Categorías especiales: reglas más estrictas

Para datos sensibles como los de salud, origen étnico o afiliación sindical se aplica el artículo 9 del RGPD, con requisitos más exigentes. Una simple ponderación de intereses normalmente no basta; en la mayoría de los casos hace falta un consentimiento explícito o una habilitación legal específica.

La prueba: ¿es identificable la persona?

Lo decisivo no es si tú identificas realmente a una persona, sino si sería posible hacerlo con un esfuerzo razonable, en su caso combinando varias informaciones. Un código postal aislado normalmente no es un dato personal; la combinación de código postal, fecha de nacimiento y profesión sí puede serlo, porque permite acotar a una persona concreta. Esta interpretación amplia es intencionada, para cubrir también las vías indirectas de identificación.

Ejemplo práctico

Una tienda online guarda nombre, dirección de envío y correo electrónico para gestionar un pedido. Los tres son datos personales y deben aparecer en la política de privacidad con su finalidad y base jurídica. Si además guarda el historial de compras para recomendar productos, ese historial también es un dato personal que necesita su propia mención, porque la finalidad del tratamiento es distinta.

Términos relacionados

Este concepto es la base de dos ideas que conviene dominar a continuación: la base jurídica del tratamiento, que justifica por qué puedes tratar cada dato, y la minimización de datos, que limita cuántos datos puedes pedir. Ambos principios trabajan siempre juntos en una política de privacidad bien redactada.

Dónde verlo aplicado

Si gestionas un blog pequeño, revisa nuestro artículo sobre si necesitas política de privacidad con pocas visitas, y compara además la diferencia entre política de privacidad y aviso legal, dos documentos que suelen confundirse precisamente por tratar los datos personales de forma distinta.