¿Qué son los datos personales?

1. Definición de datos personales

Son datos personales las informaciones que se refieren a una persona física identificada o identificable. Es identificable toda persona que puede ser directa o indirectamente reconocida a partir de ciertos identificadores, ya sea físicos, genéticos, psíquicos, económicos, sociales o culturales.

Determinarán si una persona es identificable los medios que posibiliten a un tercero llegar a descubrir su identidad, el tiempo necesario para la identificación, los costes, la tecnología disponible en un determinado momento, entre otros factores objetivos.

Quedan incluidos en esta definición los llamados datos seudonimizados (por ejemplo, cuando sustituimos los nombre de los clientes por un código o por un identificador numérico, es decir, cuando cambiamos los datos personales por seudónimos, estamos seudonimizando sus datos o generando datos seudonimizados).

«Son datos personales las informaciones que se refieren a una persona física identificada o identificable».

Atendiendo a la definición legal de datos personales proporcionada por el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, conocido como el Reglamento General de Protección de Datos (en adelante, el RGPD), encontramos las siguientes expresiones que a continuación analizamos:

“Toda información” – Incluye tanto afirmaciones objetivas como subjetivas sobre una persona física, cualquiera que sea su contenido. Se incluyen las afirmaciones relativas a la vida privada y familiar del individuo, pero también sobre cualquier tipo de actividad desarrollada por una persona, como la referida a sus relaciones laborales o a su actividad económica o social (Dictamen 4/2007 CEPD sobre el concepto de datos personales).

“Sobre” – el dato se refiere a una persona si hace referencia a su identidad, sus características o su comportamiento, o si esa información se utiliza para determinar o influir en la manera en que se la trata o se la evalúa (Documento nº WP 105 del Grupo de trabajo: «Documento de trabajo sobre las cuestiones relativas a la protección de datos relacionadas con la tecnología RFID», adoptado el 19.1.2005, p. 8).

“Persona física” – se refiere exclusivamente a todo ser humano, según el artículo 6 de la Declaración Universal de Derechos Humanos (1).

“Identificada o identificable” – está «identificada» una persona física cuando, dentro de un grupo de personas, se la «distingue» de todos los demás miembros del grupo. Es «identificable» cuando, aunque no se la haya identificado todavía, sea posible hacerlo (Dictamen 4/2007 CEPD sobre el concepto de datos personales).

2. Ejemplos de datos personales

Son ejemplos concretos de datos personales:

• el nombre y apellidos de una persona;
• el número de su documento de identidad;
• su número de teléfono;
• la dirección de su domicilio;
• los datos relativos a su salud (como su historia clínica);
• la dirección de email del tipo nombre.apellido@empresa.com;
• los datos de localización como los datos de geolocalización proporcionados desde un teléfono móvil;
• la dirección de protocolo de internet (IP);
• el identificador de una cookie (la cookie es un archivo pequeño que envía un servidor web al disco duro del internauta que lo visita con información sobre sus preferencias y pautas de navegación en internet).
• la matrícula del vehículo de una persona física.

La Agencia Española de Protección de Datos (en adelante, la AEPD) publicó el 25 de mayo de 2017 una “Guía para el ciudadano” (2) en la que define el concepto de datos personales, siguiendo la línea anterior e incluye, además, una relación de ejemplos de situaciones muy comunes que implican tratamiento de datos personales.

También la Comisión Europea ha elaborado una lista de informaciones que se consideran datos personales (3), y otra de informaciones que no se consideran como tal.

3. Normativa aplicable

Los datos personales se encuentran definidos en el artículo 4.1) del RGPD y matizados en el considerando 26 del mismo texto.

El concepto de datos personales ha sido desgranado y analizado por el Comité Europeo de Protección de Datos (CEPD), anteriormente el Grupo de Trabajo del Artículo 29, en su Dictamen 4/2007 sobre el concepto de datos personales.

Si ya te ha quedado claro qué son los datos personales no hace falta que sigas leyendo.

Pero si quieres profundizar más, continua leyendo

4. Resoluciones de la Agencia Española de Protección de Datos sobre los datos personales

La AEPD ha adoptado numerosas resoluciones y ha elaborado guías en los que se precisa el concepto de datos personales, o bien se analiza la naturaleza de determinados datos y su inclusión en esta categoría de información personal.

Son importantes de mencionar, entre otros, los siguientes documentos:

1. Informe AEPD sobre el carácter de dato personal de la dirección IP.
2. Resolución de la AEPD sobre la identificabilidad de las personas captadas por una cámara de videovigilancia: https://www.aepd.es/es/documento/ps-00027-2019.pdf.
3. Consulta a la AEPD sobre la adecuación a la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de datos de Carácter Personal, de la grabación de las imágenes de los alumnos durante la realización de los exámenes en el entorno de una Universidad: https://www.aepd.es/es/documento/2017-0186.pdf.
4. Consulta sobre la instalación de un sistema de videovigilancia con fines de “Seguridad y control de acceso a edificios“ y “control de presencia de empleados”, que implicará las captación de imagen y voz de las personas que acceden al edificio y de los trabajadores de corporación: https://www.aepd.es/es/documento/2017-0139.pdf.
5. Resolución de la AEPD por la que se considera que la instalación de videocámaras falsas igualmente compromete el derecho a la intimidad de las personas: https://www.aepd.es/es/documento/ps-00346-2020.pdf.
6. Resolución de la AEPD sobre la toma de temperatura en la pandemia COVID-19 en un centro comercial, en la que se considera a los clientes del centro comercial personas no identificables, con lo que no se les aplica el RGPD: https://www.aepd.es/es/documento/e-03882-2020.pdf.

5. Jurisprudencia sobre datos personales

Recomendamos la lectura de las siguientes resoluciones judiciales relacionadas con la delimitación del concepto de datos personales:

–Sentencia del Tribunal de Justicia de las Comunidades Europeas en el asunto C – 101/2001(Lindqvist) de 6.11.2003, apartado 24, Rec. 2003 p. I-12971: «El concepto de «datos personales» que emplea el artículo 3, apartado 1, de la Directiva 95/46 comprende, con arreglo a la definición que figura en el artículo 2, letra a), de dicha Directiva «toda información sobre una persona física identificada o identificable». Este concepto incluye, sin duda, el nombre de una persona junto a su número de teléfono o a otra información relativa a sus condiciones de trabajo o a sus aficiones»

–Tribunal Supremo, Sala Tercera, de lo Contencioso-administrativo, Sección 1ª, Auto de 5 Jul. 2019, Rec. 1745/2019: Sobre qué debe considerarse como un tratamiento de datos de ámbito exclusivamente personal o doméstico a efectos de su exclusión del ámbito de protección de la LOPD; en qué circunstancias la voz de una persona puede considerarse como dato de carácter personal.

–Tribunal Supremo, Sala Tercera, de lo Contencioso-administrativo, Sección 1ª, Auto de 2 Nov. 2018, Rec. 4980/2018: Concepto de datos de carácter personal. Alcance de la definición de la LOPD a fin de determinar si los datos contenidos en las Curvas de Carga Horaria (CCH) -medidas horarias de consumo de electricidad- integran dicha noción a efectos de aplicar los mecanismos de protección previstos en esa Ley.

–Audiencia Nacional, Sala de lo Contencioso Administrativo, Sentencia 3995/2020: Sobre la consideración de los datos sobre el dopaje como datos personales relativos a la salud del deportista.

-Sentencia del TJUE de 24 de noviembre de 2011, en el asunto C-70/10 (4): sobre la determinación de la Dirección IP como un dato personal, en un supuesto del establecimiento de un sistema de filtrado y bloqueo en internet.

-Sentencia del TJUE, de 20 de diciembre de 2017, en el asunto C-434/16, asunto Nowak (5): en la que se considera las respuestas a un examen como un dato personal.

6. Consideraciones finales sobre el concepto de datos personales

En relación con el concepto de datos personales en el contexto del RGPD, los más expertos juristas (la doctrina jurídica) coinciden en dos aspectos:

1. Debe interpretarse de modo amplio a fin de incluir dentro de su definición todo tipo de información relativa a la persona;
2. Se trata de una definición cambiante en el tiempo, ya que ha tenido que adaptarse a la evolución tecnológica y mediática.

Para proteger debidamente tus datos personales o asegurar a tu empresa de que cumple con la exigente normativa sobre protección de datos personales, es imprescindible asesorarse por abogados expertos en protección de datos.

Notas a pie de página:
(1)https://www.un.org/es/about-us/universal-declaration-of-human-rights
(2)https://www.lenguajejuridico.com/documentos/guias/guia-ciudadano.pdf
(3)https://commission.europa.eu/law/law-topic/data-protection/reform/what-personal-data_es
(4)https://curia.europa.eu/juris/document/document.jsf?docid=115202&doclang=es
(5) https://curia.europa.eu/juris/document/document.jsf?text=&docid=198059&doclang=ES