Los datos sensibles, o categorías especiales de datos, son los que revelan origen étnico o racial, opiniones políticas, religión o creencias, afiliación sindical, datos genéticos, biométricos para identificar, de salud y de vida u orientación sexual. El artículo 9 del RGPD prohíbe tratarlos salvo excepciones, como el consentimiento explícito o la asistencia sanitaria. Exigen más seguridad y, a veces, evaluación de impacto o delegado.
Los datos sensibles son los que el RGPD llama «categorías especiales de datos personales»: los que revelan la salud, la religión, la ideología, la afiliación sindical, el origen étnico, la vida u orientación sexual, y los datos genéticos y biométricos usados para identificar a alguien. El artículo 9 del RGPD prohíbe tratarlos como regla general y solo lo permite en casos concretos. Si tu negocio los maneja, aunque sea de pasada, tienes más obligaciones que una empresa normal.
La lista completa del artículo 9
El artículo 9.1 del RGPD prohíbe tratar:
- Datos que revelen el origen étnico o racial.
- Las opiniones políticas.
- Las convicciones religiosas o filosóficas.
- La afiliación sindical.
- Datos genéticos.
- Datos biométricos dirigidos a identificar de manera unívoca a una persona (huella, reconocimiento facial).
- Datos relativos a la salud, física o mental, incluidos los de la atención sanitaria.
- Datos sobre la vida sexual o la orientación sexual.
Fíjate en la palabra «revelen»: no hace falta tener una casilla que diga «religión». Un menú sin cerdo pedido por motivos religiosos o un justificante médico de una baja ya revelan datos de esas categorías.
Los datos sobre condenas e infracciones penales no están en el artículo 9, pero el artículo 10 del RGPD les da un régimen igual de estricto: solo se tratan bajo control de autoridades públicas o si una ley lo autoriza. Y los datos de menores tampoco son categoría especial, pero la LOPDGDD (artículo 28.2) los trata como un supuesto de mayor riesgo.
Ejemplos por sector
| Negocio | Dato sensible que suele tratar |
|---|---|
| Clínica, fisioterapeuta, psicólogo, dentista | Historia clínica, diagnósticos, tratamientos |
| Farmacia | Recetas, medicación, seguimiento farmacoterapéutico |
| Gimnasio o entrenador personal | Lesiones, cuestionario de salud, acceso con huella o cara |
| Academia o escuela infantil | Alergias, necesidades educativas especiales (y datos de menores) |
| Gestoría o asesoría laboral | Bajas médicas, grado de discapacidad, cuota sindical en nómina |
| Peluquería o centro de estética | Alergias a productos, embarazo, problemas de piel |
| Restaurante o catering | Alergias e intolerancias de clientes habituales |
| Cualquier empresa con empleados | Partes de baja, reconocimientos médicos, adaptaciones de puesto |
Casi cualquier empresa con plantilla trata algún dato de salud. La diferencia es si lo hace de forma accesoria (un parte de baja que pasa a la gestoría) o como parte central de su actividad (una clínica).
¿Cuándo se pueden tratar?
El artículo 9.2 del RGPD levanta la prohibición en diez supuestos. Los que más afectan a una pyme:
- Consentimiento explícito del interesado para fines concretos (letra a). Por ejemplo, el cliente de un centro de estética que firma un formulario con sus alergias.
- Obligaciones laborales y de Seguridad Social (letra b): gestionar bajas, prevención de riesgos o la cuota sindical que el trabajador pide descontar.
- Asistencia sanitaria (letra h): diagnóstico, tratamiento, medicina laboral, siempre por profesionales sujetos a secreto profesional (artículo 9.3).
- Reclamaciones (letra f): defenderte ante un juez o formular una reclamación.
- Intereses vitales (letra c): una emergencia en la que la persona no puede consentir.
Además necesitas una base legal del artículo 6, igual que con cualquier dato.
Lo que añade la ley española
El artículo 9 de la LOPDGDD introduce dos reglas:
- El consentimiento no basta para tratar datos cuya finalidad principal sea identificar la ideología, la afiliación sindical, la religión, la orientación sexual, las creencias o el origen racial o étnico. Se busca evitar discriminaciones. Una empresa no puede montar una base de datos de clientes por su religión aunque ellos lo acepten. Sí puede tratarlos si encaja en otro supuesto del artículo 9.2.
- Hace falta una ley cuando el tratamiento se basa en el Derecho español por interés público esencial, asistencia sanitaria o salud pública (letras g, h e i del artículo 9.2).
Qué cambia en la práctica
Más seguridad
El artículo 28.2 de la LOPDGDD considera de mayor riesgo el tratamiento «no meramente incidental o accesorio» de categorías especiales. Eso se traduce en medidas reforzadas: accesos por usuario con permisos limitados, cifrado de portátiles y copias, nada de historiales en papel a la vista ni enviados por WhatsApp, y contratos de encargado con el programa de gestión o la nube que uses.
Evaluación de impacto
El artículo 35.3.b del RGPD exige una evaluación de impacto para el tratamiento a gran escala de categorías especiales. El propio RGPD (considerando 91) aclara que un solo médico, profesional sanitario o abogado con sus pacientes o clientes no trata a gran escala. Además, la lista de la AEPD indica que en la mayoría de los casos hace falta EIPD cuando se reúnen dos o más criterios de riesgo, y uno de ellos es tratar categorías especiales. Una clínica que además perfila pacientes o usa nuevas tecnologías debe revisarlo.
Delegado de protección de datos
Es obligatorio si la actividad principal consiste en tratar categorías especiales a gran escala (artículo 37.1.c RGPD). La LOPDGDD (artículo 34) lo exige además, entre otros, a los centros sanitarios obligados a mantener historias clínicas, salvo a los profesionales sanitarios que ejercen a título individual, y a los centros docentes. Lo contamos en el artículo sobre el delegado de protección de datos.
Información y consentimiento
Si te basas en el consentimiento, tiene que ser explícito: una firma o una casilla específica, no una frase escondida en las condiciones. Y la información debe decir qué datos sensibles recoges y para qué.
Errores frecuentes
- Pedir en el formulario de alta del gimnasio datos de salud «por si acaso», sin usarlos para nada.
- Mandar partes de baja a la gestoría por correo sin cifrar o por mensajería personal.
- Guardar las fichas de clientes de una clínica en una hoja de cálculo compartida sin contraseña.
- Fichar con huella: es un dato biométrico y la AEPD lo ve con muy malos ojos.
- Pensar que como el negocio es pequeño no hay riesgo. El riesgo depende del tipo de dato, no del tamaño.
Qué hacer esta semana
- Repasa tus formularios y fichas: ¿qué datos de salud, religión o similares recoges? Quita los que no uses.
- Para cada uno, anota en el registro de actividades la excepción del artículo 9.2 que te permite tratarlo.
- Comprueba quién accede a esos datos y limítalo.
- Revisa si te toca delegado de protección de datos o evaluación de impacto.
- Actualiza los textos informativos y, si hace falta, el formulario de consentimiento explícito.
Para negocios que tratan datos de salud o de menores tenemos el plan Datos sensibles (299 € al año o 29,90 € al mes, más IVA). Añade a lo de los demás planes las medidas reforzadas, los consentimientos para datos de salud y de menores y la evaluación de impacto cuando la ley la exige, con los documentos en el portal y la revisión anual.
Preguntas frecuentes
¿Qué son las categorías especiales de datos?
Son los datos que el artículo 9 del RGPD protege de forma reforzada: origen étnico o racial, opiniones políticas, religión o creencias, afiliación sindical, datos genéticos, biométricos para identificar, de salud y de vida u orientación sexual.
¿Los datos bancarios son datos sensibles?
No son categoría especial del artículo 9. Aun así, son datos de riesgo (fraude, pérdidas económicas) y la LOPDGDD obliga a tenerlo en cuenta al decidir las medidas de seguridad.
¿Una baja médica es un dato sensible?
Sí, es un dato de salud. La empresa puede tratarlo para cumplir sus obligaciones laborales y de Seguridad Social, con acceso limitado y sin usarlo para otros fines.
¿Necesito el consentimiento del paciente para su historia clínica?
No como regla general: la asistencia sanitaria por profesionales sujetos a secreto profesional es una excepción propia del artículo 9.2.h del RGPD. Sí hay que informarle.
¿Los datos de menores son datos sensibles?
No están en el artículo 9, pero la LOPDGDD (artículo 28.2) obliga a tener en cuenta el mayor riesgo de tratar datos de menores al decidir las medidas de seguridad.
