¿Qué se considera datos personales según el RGPD?

Solo hay un punto que genera confusión: ¿qué son exactamente los datos personales? ¿Y qué abarca el RGPD?

Al fin y al cabo, no obtener el consentimiento explícito para recopilar datos personales supone incumplir el RGPD. Y eso puede acarrear multas de decenas de millones.

En este artículo explicamos la definición exacta de datos personales según el RGPD, damos algunos ejemplos y analizamos lo que implica esta definición.

Según el RGPD, los datos personales se definen así:

«“Datos personales”: toda información sobre una persona física identificada o identificable (“el interesado”)».

Si le parece vago, es porque lo es.

El RGPD no especifica con precisión qué se considera dato personal. No existe una lista cerrada. Todo depende de cómo se interprete el RGPD.

El reglamento aclara además que solo se aplica cuando una persona puede ser identificada, directa o indirectamente, «en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona».

En esencia, todo lo que tiene que ver con ella. Es de suponer que la norma se redactó de forma deliberadamente vaga para abarcar toda la gama de datos personales que pueden recopilarse. Pero eso hace que incumplir el RGPD sea muy fácil.

Saber cuándo y dónde algo se considera un dato personal no es sencillo.

Para ayudarle, aquí tiene cinco posibles situaciones. ¿Sabría decir qué se considera dato personal en cada una?

1. Tiene una peluquería canina y quiere dar el salto a internet. Crea un sitio web que recopila información sobre direcciones IP e identificadores de cookies. También mantiene un foro en el que la gente habla de todo lo relacionado con los perros, y cada cuenta está vinculada a la raza del perro de su titular.

Respuesta: En este caso, las cookies son sin duda datos personales. En cambio, la raza del perro puede no serlo, ya que no sirve para identificar a la persona en cuestión.

2. Gestiona un foro en el que la gente debate de forma anónima sobre la política local. No se facilita ninguna información sobre la localidad, el nombre, la edad ni la profesión de nadie. Solo figuran sus opiniones políticas.

Respuesta: Aunque las opiniones políticas se expresen de forma anónima, siguen considerándose datos personales. Por tanto, están sujetas al RGPD.

3. Trabaja para una empresa de encuestas en línea. Como parte de la encuesta, recopila información anónima sobre los hábitos de compra de la gente. Esos hábitos se guardan en una base de datos y se utilizan para analizar tendencias.

Respuesta: Como la información de compra ya está anonimizada, el RGPD no es relevante en este caso. Habrá que recabar el consentimiento al principio, pero después no hace falta ninguna otra medida de cumplimiento del RGPD, siempre que no se recopile más información.

4. Crea una aplicación que permite a los usuarios chatear con personas que están cerca. La aplicación recopila datos de localización y guarda las conversaciones incluso después de que la persona haya eliminado la aplicación.

Respuesta: Los datos de localización, el contenido de las conversaciones y cualquier otra información vinculada a la cuenta están cubiertos por el RGPD. Eso significa que el consentimiento y el cumplimiento son imprescindibles. Además, el RGPD establece que los datos personales solo deben conservarse durante el tiempo necesario. Por lo tanto, podría estar incumpliendo el RGPD si conserva los datos mucho después de que alguien haya eliminado la aplicación.

5. Crea un sitio web que permite a la gente transformar fotos de su cara. El sitio permite subir la foto y luego descargar la imagen final. Sin embargo, si el usuario sale de la página, el sitio no recuerda las imágenes subidas anteriormente.

Respuesta: En circunstancias normales, una foto se considera un dato personal. En este caso, sin embargo, como la foto se elimina automáticamente, el propietario del sitio no está sujeto al RGPD por ella. El RGPD solo cubriría información como las cookies recopiladas.

De acuerdo con el RGPD, es fundamental que las organizaciones traten los datos personales con diligencia y cuidado. Las infracciones del RGPD pueden dar lugar a multas elevadas o incluso a acciones judiciales.

Hay dos formas de evitarlo:

1. Anonimización
2. Seudonimización

La anonimización es un concepto que todo el mundo entiende a grandes rasgos. Consiste en eliminar o cifrar los datos personales para que no sea fácil identificar a las personas implicadas. El cifrado resulta especialmente útil, ya que permite sustituir los datos personales por otros datos.

Así, los datos personales pueden transferirse o utilizarse sin tener que preocuparse tanto por las consecuencias de una posible filtración.

La seudonimización funciona de forma parecida. Permite sustituir los datos personales por «identificadores artificiales». De este modo, las empresas pueden analizar los datos recopilados sin arriesgarse a una filtración y sin salirse de los límites del consentimiento del usuario.

Estos son algunos ejemplos de seudonimización:

Este es nuestro repaso completo de lo que se considera dato personal según el RGPD. Si tiene un negocio en línea o recopila datos personales de forma habitual, es probable que el RGPD le afecte. Por eso es importante conocer la legislación aplicable y cómo cumplirla.

Si cree que el RGPD le afecta, le recomendamos encarecidamente leer el propio reglamento de 88 páginas.

Fuentes:

https://www.ucl.ac.uk/data-protection/guidance-staff-students-and-researchers/practical-data-protection-guidance-notices/anonymisation-and#Pseudonymisation
https://www.gdpreu.org/the-regulation/key-concepts/personal-data/
https://www.british-assessment.co.uk/insights/what-is-personal-data-under-gdpr/
https://www.itgovernance.eu/blog/en/the-gdpr-what-exactly-is-personal-data
https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-the-general-data-protection-regulation-gdpr/what-is-personal-data/what-is-personal-data/
https://www.investopedia.com/terms/g/general-data-protection-regulation-gdpr.asp