Datos personales son cualquier información sobre una persona física identificada o identificable. No solo el nombre o el DNI: también una dirección IP, una matrícula, una foto, una voz grabada o un diagnóstico, si permiten saber de quién se trata, directa o indirectamente. Así lo define el artículo 4.1 del RGPD, y de esa definición depende todo lo demás. Si un dato es personal, se aplica el RGPD. Si ya no lo es, la ley deja de protegerlo.
Un ejemplo cotidiano
Una inmobiliaria de Zaragoza (un ejemplo inventado) recibe la solicitud de alquiler de Lucía Navarro. En el formulario hay:
- Nombre, DNI, teléfono y correo electrónico
- Nóminas de los tres últimos meses
- Su empresa y su puesto
- Una nota del agente: "tiene un perro y está embarazada, busca algo cerca del hospital"
Todo eso son datos personales de Lucía, incluida la nota del agente. El embarazo es además un dato de salud, una de las categorías especiales que el RGPD protege con más fuerza. Y aunque la inmobiliaria tachara el nombre, "empleada de 34 años de una empresa concreta, con perro, embarazada, que busca piso cerca de un hospital determinado" probablemente sigue señalando a una sola persona.
Los datos personales, paso a paso
Identificada o identificable. Una persona es identificada cuando se sabe quién es (aparece su nombre). Es identificable cuando puede llegar a saberse, combinando datos o usando información adicional. Para valorarlo se tienen en cuenta todos los medios que razonablemente podrían usarse (considerando 26 del RGPD).
Ejemplos de datos personales:
- Nombre, apellidos, DNI o NIE, número de la Seguridad Social
- Dirección postal, teléfono, correo electrónico (también el corporativo con nombre)
- Datos de localización, dirección IP, identificadores de dispositivo o cookies
- Fotos, vídeos y grabaciones de voz en que se reconozca a la persona
- Nóminas, número de cuenta, historial de compras
- Historia clínica, valoraciones de un empleado, expedientes de clientes
El Tribunal de Justicia de la UE confirmó en 2016 que incluso una dirección IP dinámica puede ser un dato personal cuando quien la guarda tiene medios legales para vincularla a una persona.
Categorías especiales (artículo 9 del RGPD). Algunos datos están prohibidos salvo excepción: salud, datos genéticos y biométricos usados para identificar, origen étnico o racial, opiniones políticas, convicciones religiosas o filosóficas, afiliación sindical, y vida u orientación sexual. En consultas médicas, despachos de abogados y departamentos de recursos humanos aparecen a diario.
Qué no son datos personales. Los datos de empresas como tales (razón social, CIF, cifras de un balance), los de personas fallecidas, que el RGPD deja a cada país, y la información realmente anónima. Ojo: los datos de un autónomo o de la persona de contacto de una empresa sí suelen ser personales.
Quién vigila en España. La Agencia Española de Protección de Datos (AEPD), que aplica el RGPD junto con la LOPDGDD. Las infracciones más graves pueden costar hasta 20 millones de euros o el 4 % de la facturación anual mundial, la cifra mayor. Hay una explicación general en qué es el RGPD.
Esto es información general, no asesoramiento jurídico.
Lo que la definición deja fuera
Toda la protección cuelga de una palabra: identificable. Si nadie puede ya identificar a la persona, los datos dejan de ser personales y el RGPD no se aplica (considerando 26).
Eso significa que la información más valiosa de un documento no está protegida por sí misma. Lo está solo mientras va unida a alguien. Quite el nombre de forma eficaz y lo que queda (un diagnóstico y su tratamiento, un salario por puesto y ciudad, las cláusulas de un contrato) puede agruparse con miles de casos parecidos y venderse legalmente a aseguradoras, fabricantes de medicamentos, proveedores de análisis de mercado o desarrolladores de IA.
Tres matices:
- Cambiar el nombre por un código no basta. Eso es seudonimización y los datos siguen siendo personales. Lo explicamos en seudonimización y anonimización.
- Lo "anónimo" a menudo no lo es. Se ha demostrado que alrededor del 87 % de los estadounidenses puede identificarse solo con código postal, fecha de nacimiento y sexo. Con IA, cruzar datos sueltos es rápido y barato.
- Lo que usted acepta cuenta. Si unas condiciones de uso dan al proveedor una licencia para reutilizar su contenido, la anonimización posterior es perfectamente legal.
El camino completo de un documento hasta ese mercado se ve en el rastro de sus datos; las fuentes, en legal de vender.
Qué significa esto al usar herramientas de IA
Casi todo lo que se pega en una herramienta de IA en el trabajo contiene datos personales: un correo, un informe, un contrato, una transcripción. Antes de hacerlo, compruebe:
- ¿Hay contrato de encargado del tratamiento (artículo 28 del RGPD)?
- ¿El proveedor se reserva una licencia para usar su contenido para sus propios fines, aunque sea anonimizado?
- ¿Entrena modelos con lo que usted escribe o sube?
- ¿Dónde se alojan los datos y cuánto tiempo los guardan los proveedores de modelos?
- Si hay datos de salud u otras categorías especiales, ¿tiene una excepción del artículo 9 que lo permita?
Wysor está pensado para que sus datos personales sigan siendo suyos. Actuamos solo como encargado del tratamiento según sus instrucciones, y un encargado no puede vender ni reutilizar lo que trata. No tomamos licencia para reutilizar su contenido, no entrenamos con él y no lo vendemos, ni anonimizado ni de ninguna otra forma. Estos compromisos están en el contrato y vinculan a cualquiera que pudiera llegar a ser propietario de Wysor. Los datos van cifrados en tránsito y en reposo, se alojan en la UE, y los proveedores de modelos conectados aplican retención cero. En un solo espacio de trabajo tiene GPT, Claude, Gemini y más modelos.
Preguntas frecuentes
¿Qué se considera dato personal según el RGPD? Toda información sobre una persona física identificada o identificable (artículo 4.1). Incluye identificadores directos, como el nombre o el DNI, e indirectos, como la localización, un identificador en línea o rasgos físicos, económicos o sociales.
¿Cuáles son ejemplos de datos personales? Nombre, DNI, dirección, teléfono, correo electrónico, dirección IP, fotografía, grabación de voz, número de cuenta, nómina, historia clínica o una evaluación de desempeño. Lo decisivo es si permiten identificar a alguien.
¿Qué son los datos personales sensibles? Son las categorías especiales del artículo 9 del RGPD: salud, datos genéticos y biométricos, origen étnico, opiniones políticas, religión, afiliación sindical y vida u orientación sexual. Su tratamiento está prohibido salvo que se aplique una excepción, como el consentimiento explícito.
¿Un correo electrónico de empresa es un dato personal? Si incluye el nombre de una persona ([email protected]), sí. Una dirección genérica como [email protected], en principio, no, porque no apunta a una persona concreta.
¿Los datos anonimizados son datos personales? No, si la anonimización es real e irreversible. Por eso quedan fuera del RGPD y pueden venderse legalmente. Los datos solo seudonimizados, en cambio, siguen siendo personales.
Más información
- ¿Qué es el RGPD? Explicación sencilla
- Seudonimización y anonimización: la diferencia
- Secreto profesional: qué protege y qué no
- El rastro de sus datos
- Legal de vender: las fuentes
- ¿Qué es un prompt? Ejemplos y qué no escribir en él
¿Preguntas sobre datos personales y la IA? Escríbanos a [email protected] o use el formulario de contacto en la app.
