Datos personales (RGPD)

Un dato personal es cualquier información que identifica, describe o se puede vincular con una persona identificada o identificable. Cubre lo que identifica de forma directa, como el nombre, la dirección o un número de identificación, y también lo que identifica al combinarse, como una fecha de nacimiento junto a un lugar de residencia.

La sensibilidad depende del contexto: el mismo dato puede ser inocuo cuando no revela a quién pertenece y crítico cuando sí. Y la protección no es opcional, porque el Reglamento General de Protección de Datos (RGPD) fija cómo se recogen, se guardan y se tratan los datos personales, con obligaciones concretas para quien los maneja.

De ahí salen tres frentes de trabajo. El consentimiento y la transparencia sobre para qué se van a usar. La seguridad de la recogida y del almacenamiento, con cifrado y control de accesos. Y el ciclo de vida: cuánto tiempo se conservan y cómo se borran cuando ya no hacen falta, porque el dato que no se guarda no se puede perder.

El artículo 4 del RGPD define el dato personal como cualquier información sobre una persona física identificada o identificable, y el alcance de «identificable» es lo que hace ancho el concepto. Incluye los campos evidentes (nombre, documento nacional, datos de contacto), pero también identificadores en línea, direcciones IP, identificadores de cookie y de dispositivo, y datos seudonimizados, porque un dato seudonimizado se puede volver a ligar a una persona y por tanto sigue siendo dato personal. Una categoría aparte y más estricta, las categorías especiales del artículo 9 (salud, biometría, genética, opiniones políticas y similares), lleva obligaciones más pesadas. En España el RGPD se complementa con la ley nacional, la LOPDGDD, y lo supervisa la AEPD. Este es el concepto que gobierna el tratamiento, no la abreviatura de mercado.

El error que se repite es acotar la protección de datos alrededor del término estadounidense PII, más estrecho, que deja fuera en silencio justo los datos que traen obligaciones: los identificadores en línea, los datos de dispositivo y los registros seudonimizados que siguen siendo dato personal bajo el reglamento. Un programa construido sobre la definición estrecha deja ese tratamiento sin cubrir, y un delegado de protección de datos lo detecta de inmediato. Desde el punto de vista de seguridad la consecuencia es concreta: la evaluación protege los campos que alguien consideró personales e ignora los registros, los identificadores y los almacenes de analítica donde se acumula de verdad el dato regulado, que es muchas veces de donde lo sacaría una brecha.

Acotamos las pruebas de protección de datos contra la definición legal y no contra la abreviatura: qué tratamientos implican datos personales tal como los define el artículo 4, identificadores en línea y registros seudonimizados incluidos, y si alguno cae en las categorías especiales del artículo 9 que suben el listón. La clasificación de la información es el instrumento práctico, y donde aparece un tratamiento de alto riesgo señalamos hacia una evaluación de impacto relativa a la protección de datos. Los hallazgos se atan al concepto jurídico correcto para que el alcance refleje lo que de verdad trae obligaciones. Esto forma parte de cómo acotamos las pruebas a lo que trae obligaciones.