Dades especialment protegides: què són les categories especials de dades

Les dades especialment protegides —també anomenades dades sensibles o categories especials de dades— són la classe d'informació personal a la qual el RGPD dispensa el nivell de protecció més alt. No són dades que es tractin amb més cura: són dades el tractament de les quals parteix, com a regla general, d'una prohibició. Aquesta guia explica què són exactament, quines categories comprèn l'art. 9 RGPD, en quines condicions excepcionals es pot aixecar aquesta prohibició i per què el seu maneig està subjecte a restriccions severes i a garanties reforçades.

Què són les dades especialment protegides?

Les dades especialment protegides són les categories especials de dades personals a què es refereix l'art. 9 del RGPD. Se les coneix col·loquialment com a «dades sensibles» perquè el seu tractament indegut pot generar un risc elevat de discriminació, exclusió o dany a la persona: revelar la malaltia d'algú, la seva ideologia política o la seva orientació sexual no és equiparable a conèixer la seva adreça de correu.

Per això el Reglament no es limita a exigir més cautela. Estableix un punt de partida diferent: mentre que el tractament d'una dada personal ordinària és lícit si concorre alguna de les bases de l'art. 6, el d'una dada de categoria especial està prohibit llevat que es compleixi, de manera afegida, alguna de les excepcions específiques de l'art. 9.2. La sensibilitat de la dada inverteix la lògica: no es pregunta «puc tractar-la?», sinó «existeix una excepció que em permeti aixecar la prohibició?».

Convé fixar la terminologia des del principi per evitar confusions habituals: «dades especialment protegides», «dades sensibles» i «categories especials de dades» són tres noms per a la mateixa cosa. I hi ha una quarta categoria, les dades penals, que la pràctica sol posar al mateix sac però que tècnicament no pertany a l'art. 9: es regeix per l'art. 10, amb un règim encara més restringit que veurem més endavant.

Les categories especials de l'art. 9 RGPD, una a una

L'art. 9.1 RGPD enumera de manera tancada quines dades mereixen aquesta protecció reforçada. No és una llista oberta ni ampliable a criteri de l'empresa: són exactament aquestes categories. La taula següent les recull amb exemples del tipus d'informació que engloba cadascuna.

Dues precisions importants sobre aquesta llista. La primera afecta les dades biomètriques: l'empremta, el rostre o l'iris només es converteixen en categoria especial quan es tracten amb la finalitat d'identificar de manera unívoca una persona. Ara bé, aquest matís tècnic no s'ha de llegir com una via fàcil: el criteri de l'AEPD respecte a l'ús de la biometria per a identificació —de manera assenyalada en el control d'accés o de presència— és marcadament estricte, i presumeix la il·licitud d'aquests tractaments quan existeix una alternativa menys intrusiva. Recórrer a la biometria exigeix superar un estricte judici de necessitat i proporcionalitat, i no és en cap cas una opció per defecte.

La segona afecta les dades de salut, que són de bon tros la categoria amb què més organitzacions ensopeguen sense saber-ho. No cal un historial clínic per tractar dades de salut: un comunicat de baixa, una al·lèrgia anotada en una fitxa, un certificat de discapacitat o el simple registre que un empleat ha faltat «per malaltia» ja són dades de salut. Qualsevol organització que gestioni personal maneja, d'una manera o altra, aquesta categoria.

La regla general: el seu tractament està prohibit

L'art. 9.1 RGPD és taxatiu en la seva formulació: «queden prohibits» el tractament de dades personals que revelin les categories anteriors. No diu «es permet amb condicions» ni «es recomana cautela». Parteix d'una prohibició general que només decau si concorre alguna de les excepcions de l'apartat següent.

Aquesta inversió de la lògica ordinària té una conseqüència pràctica que convé interioritzar. Amb una dada normal, l'organització tria entre diverses bases de licitud de l'art. 6 i justifica la seva elecció. Amb una dada de categoria especial, el punt de partida és que no la pot tractar, i la càrrega de trobar i documentar l'excepció aplicable recau sobre ella. No n'hi ha prou que el tractament sigui útil, còmode o fins i tot raonable: si no encaixa en una de les excepcions taxades, senzillament no està permès.

Per això, abans de recollir qualsevol dada sensible, la pregunta correcta no és «em ve bé tenir-la?», sinó «sota quina excepció de l'art. 9.2 la puc tractar, i realment la necessito?». Moltes incidències neixen de recollir dades de salut o orientació —en un formulari, una fitxa o una enquesta— sense haver-se fet abans aquesta pregunta.

Les excepcions taxades de l'art. 9.2

L'art. 9.2 RGPD conté la llista tancada de supòsits en què la prohibició de l'apartat 1 es pot aixecar. Són excepcions taxades: fora d'elles no hi ha marge. Les més rellevants en la pràctica empresarial i associativa són:

• Consentiment explícit (art. 9.2.a). L'interessat consent de manera expressa el tractament per a una o diverses finalitats especificades. És un consentiment reforçat, més exigent que l'ordinari, i —com es veurà— la LOPDGDD en limita l'abast en determinats casos.
• Àmbit laboral i de seguretat social (art. 9.2.b). Tractament necessari per complir obligacions i exercir drets en matèria de Dret laboral, de la seguretat social i de la protecció social, quan ho autoritzi una norma amb les garanties adequades.
• Interessos vitals (art. 9.2.c). Protecció d'interessos vitals de l'interessat o d'una altra persona quan aquell no estigui en condicions, física o jurídicament, de prestar el seu consentiment.
• Fundacions, associacions i entitats sense ànim de lucre (art. 9.2.d). Amb finalitat política, filosòfica, religiosa o sindical, respecte dels seus membres o antics membres, sense comunicar les dades fora de l'entitat sense consentiment.
• Dades manifestament públiques (art. 9.2.e). Dades que el mateix interessat ha fet manifestament públiques.
• Reclamacions i tribunals (art. 9.2.f). Formulació, exercici o defensa de reclamacions, o actuació dels tribunals.
• Finalitats sanitàries (art. 9.2.h). Medicina preventiva o laboral, avaluació de la capacitat laboral, diagnòstic mèdic, prestació d'assistència o tractament sanitari. Aquest supòsit exigeix, a més, que el tractament el faci un professional subjecte a l'obligació de secret (art. 9.3).
• Salut pública (art. 9.2.i) i finalitats d'arxiu, recerca o estadística (art. 9.2.j), amb les garanties de l'art. 89.

Un advertiment sobre el consentiment explícit. L'art. 9.1 de la LOPDGDD introdueix un límit addicional de calat: el consentiment de l'afectat no n'hi ha prou per si sol per aixecar la prohibició quan la finalitat principal del tractament sigui identificar la ideologia, l'afiliació sindical, la religió, l'orientació sexual, les creences o l'origen racial o ètnic. És a dir, que la persona digui «sí» no habilita, en aquests supòsits, a construir un perfil sobre aquestes categories. Aquest reforçament del legislador espanyol s'ha de tenir sempre present abans de recolzar-se sense més en l'art. 9.2.a.

La doctrina de la doble base: art. 9 + art. 6

Aquest és el punt que amb més freqüència es passa per alt. Trobar una excepció de l'art. 9.2 no substitueix la base de licitud de l'art. 6: la complementa. Per tractar lícitament una dada de categoria especial calen les dues coses alhora. És el que es coneix com a doctrina de la doble base.

La raó és que tots dos articles responen a preguntes diferents. L'art. 6 resol per què puc tractar la dada (execució d'un contracte, obligació legal, interès legítim…). L'art. 9.2 resol com aixeco la prohibició específica que pesa sobre aquesta categoria sensible. Aixecar la prohibició de l'art. 9 sense tenir base de l'art. 6 deixa el tractament coix; i tenir base de l'art. 6 sense excepció de l'art. 9 no habilita a tocar una dada prohibida. Calen les dues peces encaixades.

Un exemple aterra la idea. Una empresa que gestiona la baixa mèdica d'un empleat combina, de manera habitual, l'art. 6.1.c (compliment d'una obligació legal en matèria laboral) amb l'art. 9.2.b (obligacions en l'àmbit del Dret laboral i de la seguretat i protecció social). Ni l'obligació legal per si sola, ni l'excepció laboral per si sola, no n'hi haurien prou: és la suma de totes dues la que dona cobertura al tractament, i sempre limitat a les dades estrictament necessàries —no al diagnòstic complet del treballador.

Dades penals: el règim a part de l'art. 10

Les dades relatives a condemnes i infraccions penals són especialment sensibles, però —i això sorprèn molta gent— no formen part de l'art. 9. Tenen el seu propi règim a l'art. 10 RGPD, encara més restrictiu que el de les categories especials.

L'art. 10 estableix que aquest tipus de dades només es pot tractar sota la supervisió d'una autoritat pública o quan ho autoritzi el Dret de la Unió o dels Estats membres que ofereixi garanties adequades per als drets i llibertats dels interessats. A Espanya, l'art. 10 de la LOPDGDD desenvolupa aquest marc i acota de manera molt estreta qui pot tractar informació sobre condemnes i infraccions penals fora de l'àmbit de les autoritats competents: bàsicament, quan una norma amb rang de llei ho habiliti expressament, amb les garanties que aquesta llei determini.

La lectura pràctica per a una organització privada ordinària és directa: no pot constituir pel seu compte un registre d'antecedents penals de clients, candidats o empleats recolzant-se en el simple consentiment. Llevat d'habilitació legal específica o supervisió pública, aquest tractament està vedat. És un terreny on la prudència ha de ser màxima i l'anàlisi jurídica, individualitzada.

Garanties reforçades: checklist abans de tractar dades sensibles

Quan el tractament d'una categoria especial està emparat per una excepció, l'obligació no acaba aquí: arrenca un nivell reforçat d'exigència. Aquests són els punts que tota organització hauria de verificar abans de manejar dades sensibles:

• Identifica l'excepció concreta de l'art. 9.2 que aixeca la prohibició i deixa-la documentada. No val un «tenim consentiment» genèric.
• Determina la base de licitud de l'art. 6 que l'acompanya (doble base) i verifica que totes dues encaixen en la finalitat real.
• Aplica el principi de minimització amb especial rigor: recull només la dada imprescindible. Davant del dubte, no la demanis.
• Reflecteix el tractament al Registre d'Activitats de Tractament (RAT), assenyalant expressament que es tracta d'una categoria especial.
• Avalua si escau una Avaluació d'Impacte (AIPD): el tractament a gran escala de categories especials sol activar l'obligació de l'art. 35 RGPD.
• Reforça les mesures de seguretat de l'art. 32: control d'accessos per rol, xifrat, confidencialitat expressa del personal i registre d'accessos.
• Compleix el deure d'informació de l'art. 13 amb transparència: que l'interessat sàpiga quina categoria de dades es tracta, amb quina base i per a què.
• Vigila el consentiment reforçat i els seus límits: recorda l'art. 9.1 LOPDGDD quan la finalitat toqui ideologia, religió, sindicació, orientació sexual, creences o origen racial o ètnic.

La normativa general del RGPD i el seu desenvolupament a la LOPDGDD conformen el marc en què s'insereix tot l'anterior. Convé recordar, a més, que la normativa sectorial i autonòmica aplicable a determinats àmbits —molt especialment el sanitari— pot ampliar o modificar aquests requisits, per la qual cosa cada cas exigeix revisar la normativa específica que li sigui aplicable.

Com Certix t'ajuda

Delimitar quines dades de la teva organització són categoria especial, quina excepció de l'art. 9.2 les empara i quina base de l'art. 6 les acompanya no és un exercici teòric: és la diferència entre un tractament sòlid i un que es recolza en l'aire. I és una anàlisi que no admet plantilles, perquè depèn de l'activitat real de cada entitat.

A Certix analitzem els teus tractaments un a un, identifiquem on apareixen dades sensibles —sovint en llocs que l'organització no havia advertit—, fixem la doble base que els sosté i dissenyem les garanties reforçades que exigeix la norma. Si la teva activitat implica dades de salut, biomètriques, penals o qualsevol altra categoria especial, l'anàlisi individualitzada no és opcional: és el punt de partida.

Preguntes freqüents

Quina diferència hi ha entre una dada personal i una dada especialment protegida?

Tota dada especialment protegida és una dada personal, però no a l'inrevés. Un nom o un telèfon són dades personals ordinàries. Les dades especialment protegides són les categories especials de l'art. 9 RGPD: salut, origen ètnic o racial, opinions polítiques, conviccions religioses o filosòfiques, afiliació sindical, dades genètiques, dades biomètriques dirigides a identificar de manera unívoca una persona, i dades relatives a la vida sexual o l'orientació sexual. El seu tractament parteix d'una prohibició general i només es pot aixecar mitjançant una de les excepcions taxades de l'art. 9.2.

N'hi ha prou amb el consentiment de l'interessat per tractar dades sensibles?

No de manera automàtica. El consentiment explícit (art. 9.2.a) és una de les excepcions possibles, però la LOPDGDD afegeix un límit al seu art. 9.1: el consentiment per si sol no n'hi ha prou per emparar un tractament la finalitat principal del qual sigui identificar la ideologia, l'afiliació sindical, la religió, l'orientació sexual, les creences o l'origen racial o ètnic. I fins i tot quan el consentiment sigui vàlid, el tractament continua exigint una base de l'art. 6 (doble base) i garanties reforçades.

Les dades penals són una categoria especial de l'art. 9 RGPD?

No. Les dades relatives a condemnes i infraccions penals tenen el seu propi règim a l'art. 10 RGPD, separat de l'art. 9. Només es poden tractar sota la supervisió d'una autoritat pública o quan ho autoritzi una norma amb rang de llei que ofereixi garanties adequades. La LOPDGDD desenvolupa aquest règim al seu art. 10 i restringeix notablement qui pot tractar aquesta informació fora de l'àmbit públic.

Pot la meva empresa tractar dades de salut dels seus empleats?

Només dins de límits estrictes i per a finalitats concretes emparades per la norma. El tractament de dades de salut en l'àmbit laboral es recolza habitualment en l'art. 9.2.b (obligacions de Dret laboral i de seguretat i protecció social) o en l'art. 9.2.h (medicina del treball), sempre combinat amb una base de l'art. 6. Gestionar una baixa no autoritza a conèixer el diagnòstic, sinó les dades estrictament necessàries. Tot això subjecte al principi de minimització i a garanties reforçades de seguretat i confidencialitat.

En resum

Les dades especialment protegides no són dades que es tractin amb més cura, sinó dades el tractament de les quals parteix d'una prohibició. Entendre aquesta inversió —del «puc?» al «quina excepció ho permet?»— és la clau de tot el règim de l'art. 9. A això s'hi sumen la doctrina de la doble base, les garanties reforçades i el règim encara més estricte de les dades penals de l'art. 10. És un terreny que està subjecte a restriccions severes i que exigeix, en cada cas, una anàlisi individualitzada que cap plantilla no pot substituir.

Lectures relacionades

• Guia completa del RGPD — el marc normatiu en què s'insereixen les categories especials.
• Guia completa de la LOPDGDD — el desenvolupament espanyol, amb els límits dels arts. 9 i 10.
• Registre d'Activitats de Tractament (RAT) — on han de quedar reflectits aquests tractaments.

---

Aquest contingut és merament orientatiu i divulgatiu; no constitueix en cap cas assessorament jurídic especialitzat. L'aplicació de la normativa a cada cas concret requereix anàlisi individualitzada.