Bereziki babestutako datuak: zer diren datuen kategoria bereziak

Bereziki babestutako datuak —datu sentikorrak edo datuen kategoria bereziak ere deituak— RGPDk babes-mailarik altuena ematen dion informazio pertsonal mota dira. Ez dira arreta handiagoz tratatzen diren datuak: haien tratamendua, arau orokor gisa, debeku batetik abiatzen den datuak dira. Gida honek azaltzen du zer diren zehazki, zein kategoria biltzen dituen RGPDren 9. art.ak, zein baldintza salbuespenezkoetan ken daitekeen debeku hori eta zergatik dagoen haien maneiua murrizketa gogorren eta berme indartuen mendean.

Zer dira bereziki babestutako datuak?

Bereziki babestutako datuak RGPDren 9. art.ak aipatzen dituen datu pertsonalen kategoria bereziak dira. «Datu sentikor» esaten zaie kolokialki, haien tratamendu desegokiak diskriminazio, bazterketa edo kalte-arrisku handia sor baitezake pertsonarentzat: norbaiten gaixotasuna, bere ideologia politikoa edo bere sexu-orientazioa agertzea ez da bere posta-helbidea ezagutzearekin parekagarria.

Horregatik, Erregelamenduak ez du zuhurtzia handiagoa eskatzera mugatzen. Abiapuntu desberdin bat ezartzen du: ohiko datu pertsonal baten tratamendua zilegia den bitartean 6. art.aren oinarrietariko bat gertatzen bada, kategoria bereziko datu batena debekatuta dago, gainera 9.2 art.aren salbuespen espezifikoetariko bat betetzen ez bada. Datuaren sentikortasunak logika iraultzen du: ez da galdetzen «trata al dezaket?», baizik eta «debekua kentzen didan salbuespenik ba al dago?».

Komeni da terminologia hasieratik finkatzea ohiko nahasteak saihesteko: «bereziki babestutako datuak», «datu sentikorrak» eta «datuen kategoria bereziak» gauza beraren hiru izen dira. Eta laugarren kategoria bat dago, datu penalak, praktikak zaku berean sartu ohi duena baina teknikoki 9. art.ekoa ez dena: 10. art.aren arabera arautzen da, kategoria bereziena baino are murriztaileagoa den araubide batekin, aurrerago ikusiko dugun bezala.

RGPDren 9. art.aren kategoria bereziak, banan-banan

RGPDren 9.1 art.ak modu itxian zerrendatzen du zein datuk merezi duten babes indartu hori. Ez da zerrenda ireki bat, ez enpresaren irizpidera zabalgarria: zehazki kategoria hauek dira. Ondoko taulak jasotzen ditu, bakoitzak biltzen duen informazio motaren adibideekin.

Bi zehaztapen garrantzitsu zerrenda honi buruz. Lehenak datu biometrikoei eragiten die: hatz-marka, aurpegia edo irisa kategoria berezi bihurtzen dira soilik pertsona bat modu unibokoan identifikatzeko helburuarekin tratatzen direnean. Hala ere, ñabardura tekniko hori ez da bide erraz gisa irakurri behar: AEPDren irizpidea biometria identifikaziorako erabiltzeari buruz —bereziki sarbide- edo presentzia-kontrolean— nabarmen zorrotza da, eta tratamendu horien zilegitasunik eza presumitzen du aukera gutxiago intrusibo bat dagoenean. Biometriara jotzeak beharraren eta proportzionaltasunaren epaiketa zorrotz bat gainditzea eskatzen du, eta ez da inola ere lehenetsitako aukera bat.

Bigarrenak osasun-datuei eragiten die, alde handiz gehien tropezatzen den kategoria erakunde gehiagok jakin gabe. Ez da historia kliniko bat behar osasun-datuak tratatzeko: baja-parte bat, fitxa batean idatzitako alergia bat, ezintasun-ziurtagiri bat edo langile batek «gaixotasunagatik» huts egin duela erregistratzea besterik gabe jada osasun-datuak dira. Langileak kudeatzen dituen edozein erakundek maneiatzen du, modu batean edo bestean, kategoria hori.

Arau orokorra: haien tratamendua debekatuta dago

RGPDren 9.1 art.a irmoa da bere formulazioan: aurreko kategoriak agertzen dituzten datu pertsonalen tratamendua «debekatuta geratzen da». Ez dio «baldintzekin baimentzen da» ezta «zuhurtzia gomendatzen da» ere. Debeku orokor batetik abiatzen da, hurrengo apartatuaren salbuespenetariko bat gertatzen bada bakarrik erortzen dena.

Ohiko logikaren inbertsio horrek barneratzea komeni den ondorio praktiko bat du. Datu arrunt batekin, erakundeak 6. art.aren hainbat zilegitasun-oinarriren artean aukeratzen du eta bere aukera justifikatzen du. Kategoria bereziko datu batekin, abiapuntua da ezin duela tratatu, eta aplikagarri den salbuespena aurkitu eta dokumentatzeko zama beraren gain erortzen da. Ez da nahikoa tratamendua baliagarria, erosoa edo are zentzuzkoa izatea: salbuespen tasatuetariko batean sartzen ez bada, besterik gabe ez dago baimenduta.

Horregatik, edozein datu sentikor bildu aurretik, galdera zuzena ez da «ondo al dator izatea?», baizik eta «9.2 art.aren zein salbuespenen pean trata dezaket, eta benetan behar al dut?». Gorabehera asko osasun- edo orientazio-datuak biltzetik jaiotzen dira —formulario batean, fitxa batean edo inkesta batean— aurretik galdera hori egin gabe.

9.2 art.aren salbuespen tasatuak

RGPDren 9.2 art.ak jasotzen du 1. apartatuaren debekua ken daitekeen kasuen zerrenda itxia. Salbuespen tasatuak dira: haietatik kanpo ez dago tarterik. Enpresa- eta elkarte-praktikan garrantzitsuenak hauek dira:

• Baimen esplizitua (9.2.a art.). Interesatuak modu esplizituan onartzen du tratamendua zehaztutako helburu baterako edo hainbatetarako. Baimen indartua da, ohikoa baino zorrotzagoa, eta —ikusiko den bezala— LOPDGDDk bere irismena mugatzen du zenbait kasutan.
• Lan-eremua eta gizarte-segurantza (9.2.b art.). Lan-zuzenbideko, gizarte-segurantzako eta gizarte-babeseko betebeharrak betetzeko eta eskubideak baliatzeko beharrezko tratamendua, arau batek berme egokiekin baimentzen duenean.
• Interes bitalak (9.2.c art.). Interesatuaren edo beste pertsona baten interes bitalen babesa, hura, fisikoki edo juridikoki, bere baimena emateko egoeran ez dagoenean.
• Fundazioak, elkarteak eta irabazi-asmorik gabeko erakundeak (9.2.d art.). Helburu politiko, filosofiko, erlijioso edo sindikalarekin, beren kideei edo kide ohiei buruz, datuak erakundetik kanpora baimenik gabe komunikatu gabe.
• Nabarmen publiko diren datuak (9.2.e art.). Interesatuak berak nabarmen publiko egin dituen datuak.
• Erreklamazioak eta auzitegiak (9.2.f art.). Erreklamazioen formulazioa, egikaritza edo defentsa, edo auzitegien jarduna.
• Osasun-helburuak (9.2.h art.). Prebentziozko edo laneko medikuntza, lan-gaitasunaren ebaluazioa, diagnostiko medikoa, laguntza edo osasun-tratamenduaren prestazioa. Kasu honek eskatzen du, gainera, tratamendua sekretu-betebeharraren mendeko profesional batek egitea (9.3 art.).
• Osasun publikoa (9.2.i art.) eta artxibo-, ikerketa- edo estatistika-helburuak (9.2.j art.), 89. art.aren bermeekin.

Ohartarazpen bat baimen esplizituari buruz. LOPDGDDren 9.1 art.ak garrantzi handiko muga gehigarri bat sartzen du: eragindakoaren baimenak ez du berak bakarrik nahikoa debekua kentzeko tratamenduaren helburu nagusia ideologia, sindikatuko afiliazioa, erlijioa, sexu-orientazioa, sinesmenak edo jatorri arrazial edo etnikoa identifikatzea denean. Hau da, pertsonak «bai» esateak ez du gaitzen, kasu horietan, kategoria horiei buruzko profil bat eraikitzeko. Espainiako legegilearen indargarri hori beti kontuan izan behar da 9.2.a art.ean besterik gabe oinarritu aurretik.

Oinarri bikoitzaren doktrina: 9. art. + 6. art.

Hau da maizen gainbegiratzen den puntua. 9.2 art.aren salbuespen bat aurkitzeak ez du ordezkatzen 6. art.aren zilegitasun-oinarria: osatu egiten du. Kategoria bereziko datu bat modu zilegian tratatzeko bi gauzak aldi berean behar dira. Oinarri bikoitzaren doktrina gisa ezagutzen dena da.

Arrazoia da bi artikuluek galdera desberdinei erantzuten dietela. 6. art.ak ebazten du zergatik trata dezakedan datua (kontratu baten egikaritza, lege-betebeharra, interes legitimoa…). 9.2 art.ak ebazten du nola kentzen dudan kategoria sentikor horren gainean pisatzen duen debeku espezifikoa. 9. art.aren debekua kentzeak 6. art.aren oinarririk izan gabe tratamendua herren uzten du; eta 6. art.aren oinarria izateak 9. art.aren salbuespenik gabe ez du gaitzen debekatutako datu bat ukitzeko. Bi piezak elkarrekin sartuta behar dira.

Adibide batek ideia lurreratzen du. Langile baten baja medikoa kudeatzen duen enpresa batek, ohikoenez, 6.1.c art.a (lan-arloko lege-betebehar baten betetzea) 9.2.b art.arekin (lan-zuzenbideko eta gizarte-segurantza eta gizarte-babeseko betebeharrak) konbinatzen du. Ez lege-betebeharrak berak bakarrik, ez lan-salbuespenak berak bakarrik, ez luke nahikoa izango: bien batura da tratamenduari estaldura ematen diona, eta beti ezinbestekoak diren datuetara mugatuta —ez langilearen diagnostiko osora.

Datu penalak: 10. art.aren araubide bereizia

Kondena eta arau-hauste penalei buruzko datuak bereziki sentikorrak dira, baina —eta honek jende asko harritzen du— ez dira 9. art.aren parte. Beren araubide propioa dute RGPDren 10. art.ean, kategoria bereziena baino are murriztaileagoa.

10. art.ak ezartzen du datu mota hori botere publiko baten gainbegiratzepean baino ezin dela tratatu, edo Batasuneko edo estatu kideetako Zuzenbideak baimentzen duenean, interesatuen eskubide eta askatasunentzako berme egokiak eskaintzen dituenean. Espainian, LOPDGDDren 10. art.ak esparru hori garatzen du eta oso modu estuan zehazten du nork trata dezakeen kondena eta arau-hauste penalei buruzko informazioa agintari eskudunen eremutik kanpo: funtsean, lege-mailako arau batek berariaz gaitzen duenean, arau horrek zehazten dituen bermeekin.

Ohiko erakunde pribatu batentzako irakurketa praktikoa zuzena da: ezin du bere kabuz bezero, hautagai edo langileen aurrekari penalen erregistro bat sortu baimen soilean oinarrituta. Lege-gaikuntza espezifikorik edo gainbegiratze publikorik ezean, tratamendu hori debekatuta dago. Zuhurtzia gorena eta azterketa juridikoa banakakoa izan behar diren eremu bat da.

Berme indartuak: datu sentikorrak tratatu aurretiko checklist-a

Kategoria berezi baten tratamendua salbuespen batek estaltzen duenean, betebeharra ez da hor amaitzen: eskakizun-maila indartu bat abiatzen da. Hauek dira erakunde orok datu sentikorrak maneiatu aurretik egiaztatu beharko lituzkeen puntuak:

• Identifikatu debekua kentzen duen 9.2 art.aren salbuespen konkretua eta utzi dokumentatuta. Ez du balio «baimena dugu» generiko batek.
• Zehaztu hura laguntzen duen 6. art.aren zilegitasun-oinarria (oinarri bikoitza) eta egiaztatu biak benetako helburuan sartzen direla.
• Aplikatu minimizazio-printzipioa zorroztasun bereziz: bildu ezinbesteko datua bakarrik. Zalantzan, ez eskatu.
• Islatu tratamendua Tratamendu Jardueren Erregistroan (RAT), berariaz adieraziz kategoria berezi batez dela.
• Ebaluatu Eragin Ebaluazioa (EIPD) dagokion: kategoria berezien eskala handiko tratamenduak RGPDren 35. art.aren betebeharra aktibatu ohi du.
• Indartu 32. art.aren segurtasun-neurriak: sarbide-kontrola rolaren arabera, zifratzea, langileriaren berariazko konfidentzialtasuna eta sarbide-erregistroa.
• Bete 13. art.aren informazio-betebeharra gardentasunez: interesatuak jakin dezala zein datu-kategoria tratatzen den, zein oinarrirekin eta zertarako.
• Zaindu baimen indartua eta bere mugak: gogoratu LOPDGDDren 9.1 art.a helburuak ideologia, erlijioa, sindikazioa, sexu-orientazioa, sinesmenak edo jatorri arrazial edo etnikoa ukitzen duenean.

RGPDren araudi orokorrak eta bere garapenak LOPDGDDn osatzen dute aurreko guztia txertatzen den esparrua. Komeni da gogoratzea, gainera, zenbait eremutan aplikagarri den araudi sektorial eta autonomikoak —bereziki osasun-arloan— eskakizun horiek zabaldu edo aldatu ditzakeela, eta, beraz, kasu bakoitzak berari aplikagarri zaion araudi espezifikoa berrikustea eskatzen du.

Nola laguntzen dizun Certix-ek

Zure erakundeko zein datu diren kategoria berezia, 9.2 art.aren zein salbuespenek estaltzen dituen eta 6. art.aren zein oinarrik laguntzen dituen zehaztea ez da ariketa teoriko bat: tratamendu sendo baten eta airean oinarritzen den baten arteko aldea da. Eta txantiloirik onartzen ez duen azterketa bat da, erakunde bakoitzaren benetako jarduerarengatik.

Certix-en zure tratamenduak banan-banan aztertzen ditugu, datu sentikorrak non agertzen diren identifikatzen dugu —erakundeak ohartu ez zituen lekuetan sarritan—, haiek sostengatzen dituen oinarri bikoitza finkatzen dugu eta arauak eskatzen dituen berme indartuak diseinatzen ditugu. Zure jarduerak osasun-, biometriko-, penal- edo beste edozein kategoria bereziko datu badakar, banakako azterketa ez da hautazkoa: abiapuntua da.

Ohiko galderak

Zer alde dago datu pertsonal baten eta bereziki babestutako datu baten artean?

Bereziki babestutako datu oro datu pertsonala da, baina ez alderantziz. Izen bat edo telefono bat ohiko datu pertsonalak dira. Bereziki babestutako datuak RGPDren 9. art.aren kategoria bereziak dira: osasuna, jatorri etniko edo arraziala, iritzi politikoak, erlijio- edo filosofia-sinesmenak, sindikatuko afiliazioa, datu genetikoak, pertsona bat modu unibokoan identifikatzera bideratutako datu biometrikoak, eta sexu-bizitzari edo sexu-orientazioari buruzko datuak. Haien tratamendua debeku orokor batetik abiatzen da, eta 9.2 art.aren salbuespen tasatuetariko baten bidez baino ezin da kendu.

Nahikoa al da interesatuaren baimena datu sentikorrak tratatzeko?

Ez automatikoki. Baimen esplizitua (9.2.a art.) salbuespen posibleetariko bat da, baina LOPDGDDk muga bat gehitzen du bere 9.1 art.ean: baimenak berak bakarrik ez du nahikoa ideologia, sindikatuko afiliazioa, erlijioa, sexu-orientazioa, sinesmenak edo jatorri arrazial edo etnikoa identifikatzea helburu nagusi duen tratamendua estaltzeko. Eta baimena baliozkoa denean ere, tratamenduak 6. art.aren oinarri bat eskatzen jarraitzen du (oinarri bikoitza) eta berme indartuak.

Datu penalak RGPDren 9. art.aren kategoria berezi bat al dira?

Ez. Kondena eta arau-hauste penalei buruzko datuek beren araubide propioa dute RGPDren 10. art.ean, 9. art.etik bereizita. Botere publiko baten gainbegiratzepean baino ezin dira tratatu, edo berme egokiak eskaintzen dituen lege-mailako arau batek baimentzen duenean. LOPDGDDk araubide hori garatzen du bere 10. art.ean eta nabarmen murrizten du nork trata dezakeen informazio hori eremu publikotik kanpo.

Nire enpresak bere langileen osasun-datuak trata ditzake?

Muga hertsien barruan eta arauak estaltzen dituen helburu konkretuetarako bakarrik. Osasun-datuen tratamendua lan-eremuan ohikoenez 9.2.b art.ean (lan-zuzenbideko eta gizarte-segurantza eta gizarte-babeseko betebeharrak) edo 9.2.h art.ean (laneko medikuntza) oinarritzen da, beti 6. art.aren oinarri batekin konbinatuta. Baja bat kudeatzeak ez du diagnostikoa ezagutzeko baimena ematen, ezinbestekoak diren datuena baizik. Guztia minimizazio-printzipioaren eta segurtasun eta konfidentzialtasuneko berme indartuen mendean.

Laburbilduz

Bereziki babestutako datuak ez dira arreta handiagoz tratatzen diren datuak, baizik eta haien tratamendua debeku batetik abiatzen den datuak. Inbertsio hori ulertzea —«ahal dut?»tik «zein salbuespenek baimentzen du?»ra— da 9. art.aren araubide osoaren gakoa. Horri gehitzen zaizkio oinarri bikoitzaren doktrina, berme indartuak eta 10. art.aren datu penalen araubide are zorrotzagoa. Murrizketa gogorren mendean dagoen eremu bat da, eta kasu bakoitzean txantiloi batek ordezkatu ezin duen banakako azterketa eskatzen duena.

Irakurketa erlazionatuak

• RGPDren gida osoa — kategoria bereziak txertatzen diren araudi-esparrua.
• LOPDGDDren gida osoa — Espainiako garapena, 9. eta 10. art.en mugekin.
• Tratamendu Jardueren Erregistroa (RAT) — non geratu behar diren islatuta tratamendu hauek.

---

Eduki hau orientagarria eta dibulgatiboa baino ez da; ez du inola ere aholkularitza juridiko espezializatua osatzen. Araudia kasu konkretu bakoitzari aplikatzeak banakako azterketa eskatzen du.