Datos especialmente protegidos: qué son las categorías especiales de datos

Los datos especialmente protegidos —también llamados datos sensibles o categorías especiales de datos— son la clase de información personal a la que el RGPD dispensa el mayor nivel de protección. No son datos que se traten con más cuidado: son datos cuyo tratamiento parte, como regla general, de una prohibición. Esta guía explica qué son exactamente, qué categorías comprende el art. 9 RGPD, en qué condiciones excepcionales puede levantarse esa prohibición y por qué su manejo está sujeto a restricciones severas y a garantías reforzadas.

¿Qué son los datos especialmente protegidos?

Los datos especialmente protegidos son las categorías especiales de datos personales a las que se refiere el art. 9 del RGPD. Se les conoce coloquialmente como «datos sensibles» porque su tratamiento indebido puede generar un riesgo elevado de discriminación, exclusión o daño a la persona: revelar la enfermedad de alguien, su ideología política o su orientación sexual no es equiparable a conocer su dirección de correo.

Por eso el Reglamento no se limita a exigir más cautela. Establece un punto de partida distinto: mientras el tratamiento de un dato personal ordinario es lícito si concurre alguna de las bases del art. 6, el de un dato de categoría especial está prohibido salvo que se cumpla, de forma añadida, alguna de las excepciones específicas del art. 9.2. La sensibilidad del dato invierte la lógica: no se pregunta «¿puedo tratarlo?», sino «¿existe una excepción que me permita levantar la prohibición?».

Conviene fijar la terminología desde el principio para evitar confusiones habituales: «datos especialmente protegidos», «datos sensibles» y «categorías especiales de datos» son tres nombres para lo mismo. Y hay una cuarta categoría, los datos penales, que la práctica suele meter en el mismo saco pero que técnicamente no pertenece al art. 9: se rige por el art. 10, con un régimen todavía más restringido que veremos más adelante.

Las categorías especiales del art. 9 RGPD, una a una

El art. 9.1 RGPD enumera de forma cerrada qué datos merecen esta protección reforzada. No es una lista abierta ni ampliable a criterio de la empresa: son exactamente estas categorías. La tabla siguiente las recoge con ejemplos del tipo de información que engloba cada una.

Dos precisiones importantes sobre esta lista. La primera afecta a los datos biométricos: la huella, el rostro o el iris solo se convierten en categoría especial cuando se tratan con el fin de identificar de manera unívoca a una persona. Ahora bien, este matiz técnico no debe leerse como una vía fácil: el criterio de la AEPD respecto al uso de la biometría para identificación —de forma señalada en el control de acceso o de presencia— es marcadamente estricto, y presume la ilicitud de estos tratamientos cuando existe una alternativa menos intrusiva. Recurrir a la biometría exige superar un estricto juicio de necesidad y proporcionalidad, y no es en ningún caso una opción por defecto.

La segunda afecta a los datos de salud, que son con diferencia la categoría con la que más organizaciones tropiezan sin saberlo. No hace falta un historial clínico para tratar datos de salud: un parte de baja, una alergia anotada en una ficha, un certificado de discapacidad o el simple registro de que un empleado ha faltado «por enfermedad» ya son datos de salud. Cualquier organización que gestione personal maneja, de un modo u otro, esta categoría.

La regla general: su tratamiento está prohibido

El art. 9.1 RGPD es tajante en su formulación: «quedan prohibidos» el tratamiento de datos personales que revelen las categorías anteriores. No dice «se permite con condiciones» ni «se recomienda cautela». Parte de una prohibición general que solo decae si concurre alguna de las excepciones del apartado siguiente.

Esta inversión de la lógica ordinaria tiene una consecuencia práctica que conviene interiorizar. Con un dato normal, la organización elige entre varias bases de licitud del art. 6 y justifica su elección. Con un dato de categoría especial, el punto de partida es que no puede tratarlo, y la carga de encontrar y documentar la excepción aplicable recae sobre ella. No basta con que el tratamiento sea útil, cómodo o incluso razonable: si no encaja en una de las excepciones tasadas, sencillamente no está permitido.

Por eso, antes de recabar cualquier dato sensible, la pregunta correcta no es «¿me viene bien tenerlo?», sino «¿bajo qué excepción del art. 9.2 puedo tratarlo, y realmente lo necesito?». Muchas incidencias nacen de recoger datos de salud u orientación —en un formulario, una ficha o una encuesta— sin haberse hecho antes esa pregunta.

Las excepciones tasadas del art. 9.2

El art. 9.2 RGPD contiene la lista cerrada de supuestos en los que la prohibición del apartado 1 puede levantarse. Son excepciones tasadas: fuera de ellas no hay margen. Las más relevantes en la práctica empresarial y asociativa son:

• Consentimiento explícito (art. 9.2.a). El interesado consiente de forma expresa el tratamiento para uno o varios fines especificados. Es un consentimiento reforzado, más exigente que el ordinario, y —como se verá— la LOPDGDD limita su alcance en determinados casos.
• Ámbito laboral y de seguridad social (art. 9.2.b). Tratamiento necesario para cumplir obligaciones y ejercer derechos en materia de Derecho laboral, de la seguridad social y de la protección social, cuando lo autorice una norma con las garantías adecuadas.
• Intereses vitales (art. 9.2.c). Protección de intereses vitales del interesado o de otra persona cuando aquel no esté en condiciones, física o jurídicamente, de prestar su consentimiento.
• Fundaciones, asociaciones y entidades sin ánimo de lucro (art. 9.2.d). Con finalidad política, filosófica, religiosa o sindical, respecto de sus miembros o antiguos miembros, sin comunicar los datos fuera de la entidad sin consentimiento.
• Datos manifiestamente públicos (art. 9.2.e). Datos que el propio interesado ha hecho manifiestamente públicos.
• Reclamaciones y tribunales (art. 9.2.f). Formulación, ejercicio o defensa de reclamaciones, o actuación de los tribunales.
• Fines sanitarios (art. 9.2.h). Medicina preventiva o laboral, evaluación de la capacidad laboral, diagnóstico médico, prestación de asistencia o tratamiento sanitario. Este supuesto exige, además, que el tratamiento lo realice un profesional sujeto a la obligación de secreto (art. 9.3).
• Salud pública (art. 9.2.i) y fines de archivo, investigación o estadística (art. 9.2.j), con las garantías del art. 89.

Una advertencia sobre el consentimiento explícito. El art. 9.1 de la LOPDGDD introduce un límite adicional de calado: el consentimiento del afectado no basta por sí solo para levantar la prohibición cuando la finalidad principal del tratamiento sea identificar la ideología, la afiliación sindical, la religión, la orientación sexual, las creencias o el origen racial o étnico. Es decir, que la persona diga «sí» no habilita, en esos supuestos, a construir un perfil sobre esas categorías. Este refuerzo del legislador español debe tenerse siempre presente antes de apoyarse sin más en el art. 9.2.a.

La doctrina de la doble base: art. 9 + art. 6

Este es el punto que con más frecuencia se pasa por alto. Encontrar una excepción del art. 9.2 no sustituye a la base de licitud del art. 6: la complementa. Para tratar lícitamente un dato de categoría especial se necesitan las dos cosas a la vez. Es lo que se conoce como doctrina de la doble base.

La razón es que ambos artículos responden a preguntas distintas. El art. 6 resuelve por qué puedo tratar el dato (ejecución de un contrato, obligación legal, interés legítimo…). El art. 9.2 resuelve cómo levanto la prohibición específica que pesa sobre esa categoría sensible. Levantar la prohibición del art. 9 sin tener base del art. 6 deja el tratamiento cojo; y tener base del art. 6 sin excepción del art. 9 no habilita a tocar un dato prohibido. Hacen falta las dos piezas encajadas.

Un ejemplo aterriza la idea. Una empresa que gestiona la baja médica de un empleado combina, de forma habitual, el art. 6.1.c (cumplimiento de una obligación legal en materia laboral) con el art. 9.2.b (obligaciones en el ámbito del Derecho laboral y de la seguridad y protección social). Ni la obligación legal por sí sola, ni la excepción laboral por sí sola, bastarían: es la suma de ambas la que da cobertura al tratamiento, y siempre limitado a los datos estrictamente necesarios —no al diagnóstico completo del trabajador.

Datos penales: el régimen aparte del art. 10

Los datos relativos a condenas e infracciones penales son especialmente sensibles, pero —y esto sorprende a mucha gente— no forman parte del art. 9. Tienen su propio régimen en el art. 10 RGPD, todavía más restrictivo que el de las categorías especiales.

El art. 10 establece que este tipo de datos solo puede tratarse bajo la supervisión de una autoridad pública o cuando lo autorice el Derecho de la Unión o de los Estados miembros que ofrezca garantías adecuadas para los derechos y libertades de los interesados. En España, el art. 10 de la LOPDGDD desarrolla este marco y acota de forma muy estrecha quién puede tratar información sobre condenas e infracciones penales fuera del ámbito de las autoridades competentes: básicamente, cuando una norma con rango de ley lo habilite expresamente, con las garantías que esa ley determine.

La lectura práctica para una organización privada ordinaria es directa: no puede constituir por su cuenta un registro de antecedentes penales de clientes, candidatos o empleados apoyándose en el simple consentimiento. Salvo habilitación legal específica o supervisión pública, este tratamiento está vedado. Es un terreno donde la prudencia debe ser máxima y el análisis jurídico, individualizado.

Garantías reforzadas: checklist antes de tratar datos sensibles

Cuando el tratamiento de una categoría especial está amparado por una excepción, la obligación no termina ahí: arranca un nivel reforzado de exigencia. Estos son los puntos que toda organización debería verificar antes de manejar datos sensibles:

• Identifica la excepción concreta del art. 9.2 que levanta la prohibición y déjala documentada. No vale un «tenemos consentimiento» genérico.
• Determina la base de licitud del art. 6 que la acompaña (doble base) y verifica que ambas encajan en la finalidad real.
• Aplica el principio de minimización con especial rigor: recaba solo el dato imprescindible. Ante la duda, no lo pidas.
• Refleja el tratamiento en el Registro de Actividades de Tratamiento (RAT), señalando expresamente que se trata de una categoría especial.
• Evalúa si procede una Evaluación de Impacto (EIPD): el tratamiento a gran escala de categorías especiales suele activar la obligación del art. 35 RGPD.
• Refuerza las medidas de seguridad del art. 32: control de accesos por rol, cifrado, confidencialidad expresa del personal y registro de accesos.
• Cumple el deber de información del art. 13 con transparencia: que el interesado sepa qué categoría de datos se trata, con qué base y para qué.
• Vigila el consentimiento reforzado y sus límites: recuerda el art. 9.1 LOPDGDD cuando la finalidad toque ideología, religión, sindicación, orientación sexual, creencias u origen racial o étnico.

La normativa general del RGPD y su desarrollo en la LOPDGDD conforman el marco en el que se inserta todo lo anterior. Conviene recordar, además, que la normativa sectorial y autonómica aplicable a determinados ámbitos —muy especialmente el sanitario— puede ampliar o modificar estos requisitos, por lo que cada caso exige revisar la normativa específica que le sea de aplicación.

Cómo Certix te ayuda

Delimitar qué datos de tu organización son categoría especial, qué excepción del art. 9.2 los ampara y qué base del art. 6 los acompaña no es un ejercicio teórico: es la diferencia entre un tratamiento sólido y uno que se apoya en el aire. Y es un análisis que no admite plantillas, porque depende de la actividad real de cada entidad.

En Certix analizamos tus tratamientos uno a uno, identificamos dónde aparecen datos sensibles —a menudo en lugares que la organización no había advertido—, fijamos la doble base que los sostiene y diseñamos las garantías reforzadas que exige la norma. Si tu actividad implica datos de salud, biométricos, penales o cualquier otra categoría especial, el análisis individualizado no es opcional: es el punto de partida.

Preguntas frecuentes

¿Qué diferencia hay entre un dato personal y un dato especialmente protegido?

Todo dato especialmente protegido es un dato personal, pero no al revés. Un nombre o un teléfono son datos personales ordinarios. Los datos especialmente protegidos son las categorías especiales del art. 9 RGPD: salud, origen étnico o racial, opiniones políticas, convicciones religiosas o filosóficas, afiliación sindical, datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona, y datos relativos a la vida sexual o la orientación sexual. Su tratamiento parte de una prohibición general y solo puede levantarse mediante una de las excepciones tasadas del art. 9.2.

¿Basta con el consentimiento del interesado para tratar datos sensibles?

No de forma automática. El consentimiento explícito (art. 9.2.a) es una de las excepciones posibles, pero la LOPDGDD añade un límite en su art. 9.1: el consentimiento por sí solo no basta para amparar un tratamiento cuya finalidad principal sea identificar la ideología, la afiliación sindical, la religión, la orientación sexual, las creencias o el origen racial o étnico. Y aun cuando el consentimiento sea válido, el tratamiento sigue exigiendo una base del art. 6 (doble base) y garantías reforzadas.

¿Los datos penales son una categoría especial del art. 9 RGPD?

No. Los datos relativos a condenas e infracciones penales tienen su propio régimen en el art. 10 RGPD, separado del art. 9. Solo pueden tratarse bajo la supervisión de una autoridad pública o cuando lo autorice una norma con rango de ley que ofrezca garantías adecuadas. La LOPDGDD desarrolla este régimen en su art. 10 y restringe notablemente quién puede tratar esta información fuera del ámbito público.

¿Puede mi empresa tratar datos de salud de sus empleados?

Solo dentro de límites estrictos y para finalidades concretas amparadas por la norma. El tratamiento de datos de salud en el ámbito laboral se apoya habitualmente en el art. 9.2.b (obligaciones de Derecho laboral y de seguridad y protección social) o en el art. 9.2.h (medicina del trabajo), siempre combinado con una base del art. 6. Gestionar una baja no autoriza a conocer el diagnóstico, sino los datos estrictamente necesarios. Todo ello sujeto al principio de minimización y a garantías reforzadas de seguridad y confidencialidad.

En resumen

Los datos especialmente protegidos no son datos que se traten con más cuidado, sino datos cuyo tratamiento parte de una prohibición. Entender esa inversión —del «¿puedo?» al «¿qué excepción lo permite?»— es la clave de todo el régimen del art. 9. A ello se suman la doctrina de la doble base, las garantías reforzadas y el régimen aún más estricto de los datos penales del art. 10. Es un terreno que está sujeto a restricciones severas y que exige, en cada caso, un análisis individualizado que ninguna plantilla puede sustituir.

Lecturas relacionadas

• Guía completa del RGPD — el marco normativo en el que se insertan las categorías especiales.
• Guía completa de la LOPDGDD — el desarrollo español, con los límites de los arts. 9 y 10.
• Registro de Actividades de Tratamiento (RAT) — dónde deben quedar reflejados estos tratamientos.

---

Este contenido es meramente orientativo y divulgativo; no constituye en ningún caso asesoramiento jurídico especializado. La aplicación de la normativa a cada caso concreto requiere análisis individualizado.