Datos especialmente protexidos: que son as categorías especiais de datos

Os datos especialmente protexidos —tamén chamados datos sensibles ou categorías especiais de datos— son a clase de información persoal á que o RGPD dispensa o maior nivel de protección. Non son datos que se traten con máis coidado: son datos cuxo tratamento parte, como regra xeral, dunha prohibición. Esta guía explica que son exactamente, que categorías comprende o art. 9 RGPD, en que condicións excepcionais pode levantarse esa prohibición e por que o seu manexo está suxeito a restricións severas e a garantías reforzadas.

Que son os datos especialmente protexidos?

Os datos especialmente protexidos son as categorías especiais de datos persoais ás que se refire o art. 9 do RGPD. Coñécense coloquialmente como «datos sensibles» porque o seu tratamento indebido pode xerar un risco elevado de discriminación, exclusión ou dano á persoa: revelar a enfermidade de alguén, a súa ideoloxía política ou a súa orientación sexual non é equiparable a coñecer o seu enderezo de correo.

Por iso o Regulamento non se limita a esixir máis cautela. Establece un punto de partida distinto: mentres o tratamento dun dato persoal ordinario é lícito se concorre algunha das bases do art. 6, o dun dato de categoría especial está prohibido salvo que se cumpra, de forma engadida, algunha das excepcións específicas do art. 9.2. A sensibilidade do dato inverte a lóxica: non se pregunta «podo tratalo?», senón «existe unha excepción que me permita levantar a prohibición?».

Convén fixar a terminoloxía desde o principio para evitar confusións habituais: «datos especialmente protexidos», «datos sensibles» e «categorías especiais de datos» son tres nomes para o mesmo. E hai unha cuarta categoría, os datos penais, que a práctica adoita meter no mesmo saco pero que tecnicamente non pertence ao art. 9: réxese polo art. 10, cun réxime aínda máis restrinxido que veremos máis adiante.

As categorías especiais do art. 9 RGPD, unha a unha

O art. 9.1 RGPD enumera de forma pechada que datos merecen esta protección reforzada. Non é unha lista aberta nin ampliable a criterio da empresa: son exactamente estas categorías. A táboa seguinte recólleas con exemplos do tipo de información que engloba cada unha.

Dúas precisións importantes sobre esta lista. A primeira afecta aos datos biométricos: a impresión dixital, o rostro ou o iris só se converten en categoría especial cando se tratan co fin de identificar de maneira unívoca a unha persoa. Agora ben, este matiz técnico non debe lerse como unha vía fácil: o criterio da AEPD respecto ao uso da biometría para identificación —de forma sinalada no control de acceso ou de presenza— é marcadamente estrito, e presume a ilicitude destes tratamentos cando existe unha alternativa menos intrusiva. Recorrer á biometría esixe superar un estrito xuízo de necesidade e proporcionalidade, e non é en ningún caso unha opción por defecto.

A segunda afecta aos datos de saúde, que son con diferenza a categoría coa que máis organizacións tropezan sen sabelo. Non fai falta un historial clínico para tratar datos de saúde: un parte de baixa, unha alerxia anotada nunha ficha, un certificado de discapacidade ou o simple rexistro de que un empregado faltou «por enfermidade» xa son datos de saúde. Calquera organización que xestione persoal manexa, dun modo ou doutro, esta categoría.

A regra xeral: o seu tratamento está prohibido

O art. 9.1 RGPD é taxante na súa formulación: «quedan prohibidos» o tratamento de datos persoais que revelen as categorías anteriores. Non di «permítese con condicións» nin «recoméndase cautela». Parte dunha prohibición xeral que só decae se concorre algunha das excepcións do apartado seguinte.

Esta inversión da lóxica ordinaria ten unha consecuencia práctica que convén interiorizar. Cun dato normal, a organización elixe entre varias bases de licitude do art. 6 e xustifica a súa elección. Cun dato de categoría especial, o punto de partida é que non pode tratalo, e a carga de atopar e documentar a excepción aplicable recae sobre ela. Non abonda con que o tratamento sexa útil, cómodo ou mesmo razoable: se non encaixa nunha das excepcións taxadas, sinxelamente non está permitido.

Por iso, antes de recadar calquera dato sensible, a pregunta correcta non é «vénme ben telo?», senón «baixo que excepción do art. 9.2 podo tratalo, e realmente o necesito?». Moitas incidencias nacen de recoller datos de saúde ou orientación —nun formulario, unha ficha ou unha enquisa— sen terse feito antes esa pregunta.

As excepcións taxadas do art. 9.2

O art. 9.2 RGPD contén a lista pechada de supostos nos que a prohibición do apartado 1 pode levantarse. Son excepcións taxadas: fóra delas non hai marxe. As máis relevantes na práctica empresarial e asociativa son:

• Consentimento explícito (art. 9.2.a). O interesado consente de forma expresa o tratamento para un ou varios fins especificados. É un consentimento reforzado, máis esixente que o ordinario, e —como se verá— a LOPDGDD limita o seu alcance en determinados casos.
• Ámbito laboral e de seguridade social (art. 9.2.b). Tratamento necesario para cumprir obrigas e exercer dereitos en materia de Dereito laboral, da seguridade social e da protección social, cando o autorice unha norma coas garantías adecuadas.
• Intereses vitais (art. 9.2.c). Protección de intereses vitais do interesado ou doutra persoa cando aquel non estea en condicións, física ou xuridicamente, de prestar o seu consentimento.
• Fundacións, asociacións e entidades sen ánimo de lucro (art. 9.2.d). Con finalidade política, filosófica, relixiosa ou sindical, respecto dos seus membros ou antigos membros, sen comunicar os datos fóra da entidade sen consentimento.
• Datos manifestamente públicos (art. 9.2.e). Datos que o propio interesado fixo manifestamente públicos.
• Reclamacións e tribunais (art. 9.2.f). Formulación, exercicio ou defensa de reclamacións, ou actuación dos tribunais.
• Fins sanitarios (art. 9.2.h). Medicina preventiva ou laboral, avaliación da capacidade laboral, diagnóstico médico, prestación de asistencia ou tratamento sanitario. Este suposto esixe, ademais, que o tratamento o realice un profesional suxeito á obriga de segredo (art. 9.3).
• Saúde pública (art. 9.2.i) e fins de arquivo, investigación ou estatística (art. 9.2.j), coas garantías do art. 89.

Unha advertencia sobre o consentimento explícito. O art. 9.1 da LOPDGDD introduce un límite adicional de calado: o consentimento do afectado non abonda por si só para levantar a prohibición cando a finalidade principal do tratamento sexa identificar a ideoloxía, a afiliación sindical, a relixión, a orientación sexual, as crenzas ou a orixe racial ou étnica. É dicir, que a persoa diga «si» non habilita, neses supostos, a construír un perfil sobre esas categorías. Este reforzo do lexislador español debe terse sempre presente antes de apoiarse sen máis no art. 9.2.a.

A doutrina da dobre base: art. 9 + art. 6

Este é o punto que con máis frecuencia se pasa por alto. Atopar unha excepción do art. 9.2 non substitúe á base de licitude do art. 6: complémentaa. Para tratar licitamente un dato de categoría especial necesítanse as dúas cousas á vez. É o que se coñece como doutrina da dobre base.

A razón é que ambos os artigos responden a preguntas distintas. O art. 6 resolve por que podo tratar o dato (execución dun contrato, obriga legal, interese lexítimo…). O art. 9.2 resolve como levanto a prohibición específica que pesa sobre esa categoría sensible. Levantar a prohibición do art. 9 sen ter base do art. 6 deixa o tratamento coxo; e ter base do art. 6 sen excepción do art. 9 non habilita a tocar un dato prohibido. Fan falta as dúas pezas encaixadas.

Un exemplo aterra a idea. Unha empresa que xestiona a baixa médica dun empregado combina, de forma habitual, o art. 6.1.c (cumprimento dunha obriga legal en materia laboral) co art. 9.2.b (obrigas no ámbito do Dereito laboral e da seguridade e protección social). Nin a obriga legal por si soa, nin a excepción laboral por si soa, abondarían: é a suma de ambas a que dá cobertura ao tratamento, e sempre limitado aos datos estritamente necesarios —non ao diagnóstico completo do traballador.

Datos penais: o réxime aparte do art. 10

Os datos relativos a condenas e infraccións penais son especialmente sensibles, pero —e isto sorprende a moita xente— non forman parte do art. 9. Teñen o seu propio réxime no art. 10 RGPD, aínda máis restritivo que o das categorías especiais.

O art. 10 establece que este tipo de datos só pode tratarse baixo a supervisión dunha autoridade pública ou cando o autorice o Dereito da Unión ou dos Estados membros que ofreza garantías adecuadas para os dereitos e liberdades dos interesados. En España, o art. 10 da LOPDGDD desenvolve este marco e acouta de forma moi estreita quen pode tratar información sobre condenas e infraccións penais fóra do ámbito das autoridades competentes: basicamente, cando unha norma con rango de lei o habilite expresamente, coas garantías que esa lei determine.

A lectura práctica para unha organización privada ordinaria é directa: non pode constituír pola súa conta un rexistro de antecedentes penais de clientes, candidatos ou empregados apoiándose no simple consentimento. Salvo habilitación legal específica ou supervisión pública, este tratamento está vedado. É un terreo onde a prudencia debe ser máxima e a análise xurídica, individualizada.

Garantías reforzadas: checklist antes de tratar datos sensibles

Cando o tratamento dunha categoría especial está amparado por unha excepción, a obriga non termina aí: arranca un nivel reforzado de esixencia. Estes son os puntos que toda organización debería verificar antes de manexar datos sensibles:

• Identifica a excepción concreta do art. 9.2 que levanta a prohibición e déixaa documentada. Non vale un «temos consentimento» xenérico.
• Determina a base de licitude do art. 6 que a acompaña (dobre base) e verifica que ambas encaixan na finalidade real.
• Aplica o principio de minimización con especial rigor: recada só o dato imprescindible. Ante a dúbida, non o pidas.
• Reflicte o tratamento no Rexistro de Actividades de Tratamento (RAT), sinalando expresamente que se trata dunha categoría especial.
• Avalía se procede unha Avaliación de Impacto (EIPD): o tratamento a gran escala de categorías especiais adoita activar a obriga do art. 35 RGPD.
• Reforza as medidas de seguridade do art. 32: control de accesos por rol, cifrado, confidencialidade expresa do persoal e rexistro de accesos.
• Cumpre o deber de información do art. 13 con transparencia: que o interesado saiba que categoría de datos se trata, con que base e para que.
• Vixía o consentimento reforzado e os seus límites: lembra o art. 9.1 LOPDGDD cando a finalidade toque ideoloxía, relixión, sindicación, orientación sexual, crenzas ou orixe racial ou étnica.

A normativa xeral do RGPD e o seu desenvolvemento na LOPDGDD conforman o marco no que se insire todo o anterior. Convén lembrar, ademais, que a normativa sectorial e autonómica aplicable a determinados ámbitos —moi especialmente o sanitario— pode ampliar ou modificar estes requisitos, polo que cada caso esixe revisar a normativa específica que lle sexa de aplicación.

Como Certix te axuda

Delimitar que datos da túa organización son categoría especial, que excepción do art. 9.2 os ampara e que base do art. 6 os acompaña non é un exercicio teórico: é a diferenza entre un tratamento sólido e un que se apoia no aire. E é unha análise que non admite plantillas, porque depende da actividade real de cada entidade.

En Certix analizamos os teus tratamentos un a un, identificamos onde aparecen datos sensibles —a miúdo en lugares que a organización non advertira—, fixamos a dobre base que os sostén e deseñamos as garantías reforzadas que esixe a norma. Se a túa actividade implica datos de saúde, biométricos, penais ou calquera outra categoría especial, a análise individualizada non é opcional: é o punto de partida.

Preguntas frecuentes

Que diferenza hai entre un dato persoal e un dato especialmente protexido?

Todo dato especialmente protexido é un dato persoal, pero non ao revés. Un nome ou un teléfono son datos persoais ordinarios. Os datos especialmente protexidos son as categorías especiais do art. 9 RGPD: saúde, orixe étnica ou racial, opinións políticas, conviccións relixiosas ou filosóficas, afiliación sindical, datos xenéticos, datos biométricos dirixidos a identificar de maneira unívoca a unha persoa, e datos relativos á vida sexual ou á orientación sexual. O seu tratamento parte dunha prohibición xeral e só pode levantarse mediante unha das excepcións taxadas do art. 9.2.

Abonda co consentimento do interesado para tratar datos sensibles?

Non de forma automática. O consentimento explícito (art. 9.2.a) é unha das excepcións posibles, pero a LOPDGDD engade un límite no seu art. 9.1: o consentimento por si só non abonda para amparar un tratamento cuxa finalidade principal sexa identificar a ideoloxía, a afiliación sindical, a relixión, a orientación sexual, as crenzas ou a orixe racial ou étnica. E aínda cando o consentimento sexa válido, o tratamento segue esixindo unha base do art. 6 (dobre base) e garantías reforzadas.

Os datos penais son unha categoría especial do art. 9 RGPD?

Non. Os datos relativos a condenas e infraccións penais teñen o seu propio réxime no art. 10 RGPD, separado do art. 9. Só poden tratarse baixo a supervisión dunha autoridade pública ou cando o autorice unha norma con rango de lei que ofreza garantías adecuadas. A LOPDGDD desenvolve este réxime no seu art. 10 e restrinxe notablemente quen pode tratar esta información fóra do ámbito público.

Pode a miña empresa tratar datos de saúde dos seus empregados?

Só dentro de límites estritos e para finalidades concretas amparadas pola norma. O tratamento de datos de saúde no ámbito laboral apóiase habitualmente no art. 9.2.b (obrigas de Dereito laboral e de seguridade e protección social) ou no art. 9.2.h (medicina do traballo), sempre combinado cunha base do art. 6. Xestionar unha baixa non autoriza a coñecer o diagnóstico, senón os datos estritamente necesarios. Todo iso suxeito ao principio de minimización e a garantías reforzadas de seguridade e confidencialidade.

En resumo

Os datos especialmente protexidos non son datos que se traten con máis coidado, senón datos cuxo tratamento parte dunha prohibición. Entender esa inversión —do «podo?» ao «que excepción o permite?»— é a clave de todo o réxime do art. 9. A iso súmanse a doutrina da dobre base, as garantías reforzadas e o réxime aínda máis estrito dos datos penais do art. 10. É un terreo que está suxeito a restricións severas e que esixe, en cada caso, unha análise individualizada que ningunha plantilla pode substituír.

Lecturas relacionadas

• Guía completa do RGPD — o marco normativo no que se insiren as categorías especiais.
• Guía completa da LOPDGDD — o desenvolvemento español, cos límites dos arts. 9 e 10.
• Rexistro de Actividades de Tratamento (RAT) — onde deben quedar reflectidos estes tratamentos.

---

Este contido é meramente orientativo e divulgativo; non constitúe en ningún caso asesoramento xurídico especializado. A aplicación da normativa a cada caso concreto require análise individualizada.