Las definiciones del RGPD

Dato personal es toda información sobre una persona física identificada o identificable, a la que el Reglamento llama «el interesado». La palabra clave es «identificable»: no hace falta que el dato lleve nombre y apellidos, basta con que permita llegar hasta la persona.

Tratamiento es cualquier operación u operaciones realizadas sobre datos personales, por procedimientos automatizados o no. La definición es deliberadamente amplísima y viene acompañada de una enumeración de ejemplos.

• Recogida, registro, organización y estructuración.
• Conservación, adaptación o modificación.
• Extracción, consulta y utilización.
• Comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso.
• Cotejo o interconexión.
• Limitación, supresión o destrucción.

Hasta destruir un dato es un tratamiento, y consultarlo sin modificarlo también. Por eso casi nada de lo que se hace con datos queda fuera del Reglamento.

Fichero es un conjunto estructurado de datos personales accesibles, ya esté centralizado, descentralizado o repartido de forma funcional o geográfica. Lo que lo convierte en fichero es la estructura, no el soporte ni el lugar.

Limitación del tratamiento es el marcado de los datos personales conservados con el fin de limitar su tratamiento en el futuro. Es la definición técnica del derecho que ya se ha visto: marcar, no borrar.

Elaboración de perfiles es usar datos personales para evaluar aspectos personales de una persona física, en particular para analizar o predecir su rendimiento profesional, economía, salud, preferencias, intereses, fiabilidad, comportamiento o ubicación.

Seudonimización es tratar los datos de manera que ya no puedan atribuirse a un interesado sin utilizar información adicional, siempre que esa información adicional figure por separado y esté sujeta a medidas técnicas y organizativas que impidan la reidentificación.

El dato seudonimizado sigue siendo dato personal: la reidentificación es posible con la clave guardada aparte. Si fuera imposible, hablaríamos de anonimización, que es otra cosa.

El Reglamento distingue cinco papeles y los define por lo que cada uno decide o recibe, no por su forma jurídica. Todos ellos pueden ser persona física o jurídica, autoridad pública, servicio u otro organismo.

La pareja destinatario y tercero es la que se confunde. Todo tercero al que se le comunican datos es destinatario, pero no todo destinatario es tercero: un empleado autorizado del propio responsable recibe datos y no es tercero.

La frontera entre responsable y encargado está en quién decide los fines y los medios: quien decide es responsable, quien ejecuta por cuenta ajena es encargado.

Consentimiento del interesado es toda manifestación de voluntad libre, específica, informada e inequívoca por la que acepta el tratamiento de datos personales que le conciernen, ya sea mediante una declaración o una clara acción afirmativa.

Los cuatro adjetivos (libre, específica, informada e inequívoca) van siempre juntos, y la exigencia de declaración o clara acción afirmativa es la que expulsa del sistema las casillas premarcadas y el silencio del usuario como forma de consentir.

Violación de la seguridad de los datos personales es toda violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o el acceso no autorizados a dichos datos.

La violación de la seguridad no es solo la fuga de datos: perderlos o alterarlos, incluso por accidente, también lo es.

Datos genéticos son los datos personales relativos a las características genéticas heredadas o adquiridas de una persona física que proporcionen una información única sobre su fisiología o su salud, obtenidos en particular del análisis de una muestra biológica.

Datos biométricos son los obtenidos a partir de un tratamiento técnico específico, relativos a características físicas, fisiológicas o conductuales de una persona que permitan su identificación única, como las imágenes faciales o los datos dactiloscópicos.

Datos relativos a la salud son los relativos a la salud física o mental de una persona, incluida la prestación de servicios de atención sanitaria, que revelen su estado de salud. Que el simple hecho de recibir un servicio sanitario cuente como dato de salud es lo que más sorprende de esta definición.

En los biométricos hay una nota que los distingue: proceden de un tratamiento técnico específico. Una fotografía sin ese tratamiento no es, por sí sola, un dato biométrico.

Autoridad de control es la autoridad pública independiente establecida por un Estado miembro. En España, la AEPD. Y autoridad de control interesada es aquella a la que afecta un tratamiento concreto por alguno de estos tres motivos.

• Que el responsable o el encargado esté establecido en el territorio de su Estado miembro.
• Que los interesados que residen en su Estado miembro se vean sustancialmente afectados por el tratamiento.
• Que se haya presentado una reclamación ante ella.

Tratamiento transfronterizo es el que se realiza en el contexto de las actividades de establecimientos en más de un Estado miembro de un responsable o encargado establecido en más de un Estado miembro; y también el realizado desde un único establecimiento cuando afecta o puede afectar sustancialmente a interesados en más de un Estado miembro. Son dos supuestos distintos: uno mira a dónde está la empresa, el otro a dónde están los afectados.

Objeción pertinente y motivada es la objeción a una propuesta de decisión sobre si hay o no infracción del Reglamento que demuestre la importancia de los riesgos para los derechos y libertades fundamentales de los interesados y para la libre circulación de datos dentro de la Unión.

Un tratamiento puede ser transfronterizo aunque la empresa tenga un solo establecimiento, si afecta sustancialmente a interesados de varios Estados miembros.

Las normas corporativas vinculantes son la pieza que permite a una multinacional mover datos entre sus filiales de fuera de la Unión sin negociar cada transferencia: en lugar de un contrato por operación, un cuerpo de políticas internas que obliga a todo el grupo.

Un servicio gratuito para el usuario puede ser servicio de la sociedad de la información si al prestador le supone una actividad económica. La gratuidad no lo excluye.