Un dato personal es cualquier información sobre una persona física identificada o identificable (artículo 4.1 del RGPD): nombre, DNI, teléfono, correo, foto, voz, matrícula, IP o una nómina. No lo son los datos de una empresa como tal, ni la información realmente anónima. Los datos seudonimizados sí siguen siendo personales.
Un dato personal es cualquier información sobre una persona física identificada o identificable. Lo define así el artículo 4.1 del RGPD. Identificable quiere decir que se puede saber quién es, directa o indirectamente: por su nombre, por un número, por su ubicación, por un identificador en internet o por rasgos físicos, económicos o sociales. Si con un dato, solo o cruzado con otros, puedes llegar a una persona concreta, es un dato personal.
La definición, explicada en tres ideas
- «Cualquier información»: no solo el nombre o el DNI. También una foto, una grabación de voz, un historial de compras, una opinión sobre alguien o la hora a la que ficha un empleado.
- «Persona física»: una persona, viva. Los datos de una sociedad (su razón social, su CIF) no están protegidos por el RGPD, y los de personas fallecidas tampoco, aunque en España la LOPDGDD regula quién puede acceder a ellos (artículo 3).
- «Identificada o identificable»: basta con que se pueda identificar a la persona usando medios razonables. Un «cliente de 43 años que vive en tal calle y vino el martes» puede ser perfectamente identificable sin nombre.
Ejemplos de datos personales en un negocio
| Tipo | Ejemplos | Dónde aparecen |
|---|---|---|
| Identificativos | Nombre y apellidos, DNI/NIE, firma, número de la Seguridad Social, fecha de nacimiento | Fichas de clientes, contratos, nóminas |
| Contacto | Teléfono, correo electrónico, dirección postal | Agenda, formularios de la web, WhatsApp |
| Imagen y voz | Fotos, vídeos de las cámaras, grabaciones de llamadas | Videovigilancia, redes sociales, centralita |
| Económicos | Cuenta bancaria, tarjeta, nómina, deudas, historial de pagos | Facturación, recibos de la comunidad |
| Laborales y académicos | Currículum, puesto, registro de jornada, bajas, notas de un alumno | Gestión de personal, academias |
| En internet | Dirección IP, identificadores de cookies, datos de navegación, usuario de una cuenta | Web, tienda online, analítica |
| Ubicación | Geolocalización del móvil o del vehículo, dirección de entrega | Repartos, GPS de flota |
| Matrícula | Matrícula de un coche, que lleva a su titular | Parking, lectura de matrículas |
| Salud | Diagnósticos, alergias, tratamientos, bajas médicas | Clínicas, farmacias, gimnasios, empresas |
| Biométricos | Huella dactilar o rostro usados para identificar | Control de presencia, accesos |
Sobre las direcciones IP y las cookies, el considerando 30 del RGPD explica que pueden dejar huellas que, combinadas con otros datos, sirven para elaborar perfiles e identificar a las personas. Por eso una web con analítica o publicidad trata datos personales aunque no tenga formularios.
¿Y los datos de una empresa?
El considerando 14 del RGPD lo aclara: el reglamento no regula los datos de personas jurídicas, incluidos su nombre, su forma jurídica y sus datos de contacto. El CIF de una sociedad limitada, su domicilio social o el correo info@ de la empresa no son datos personales.
Pero hay matices que conviene tener claros:
- Autónomos: son personas físicas. El nombre, el NIF y el teléfono de un fontanero autónomo son datos personales. La LOPDGDD presume que tratarlos es lícito por interés legítimo cuando se refieren a él solo en su condición de profesional (artículo 19.2).
- Personas de contacto en empresas: el nombre, el cargo y el correo nombre.apellido@empresa de un empleado de tu proveedor son datos personales. La LOPDGDD presume lícito tratar los datos necesarios para su localización profesional cuando el fin es mantener la relación con la empresa en la que trabaja (artículo 19.1).
- Sociedades unipersonales o pequeñas: a veces el nombre de la sociedad coincide con el del dueño. En la duda, trátalo con las mismas precauciones.
Lo que no es un dato personal
- Los datos de una sociedad como tal: razón social, CIF, domicilio social.
- La información realmente anónima: «el 60 % de nuestros clientes son de la provincia», «este mes atendimos a 120 pacientes».
- Los datos de personas fallecidas, a efectos del RGPD (considerando 27), con la salvedad del artículo 3 de la LOPDGDD para familiares y herederos.
- Los datos que una persona usa en su vida estrictamente privada o doméstica, como la agenda del móvil personal: el RGPD no se aplica a esas actividades (artículo 2.2.c).
Seudonimizados y anónimos: no es lo mismo
Es la confusión más frecuente. La diferencia está en si se puede volver a saber quién es la persona.
| Seudonimizados | Anónimos | |
|---|---|---|
| Qué son | Datos que no se pueden atribuir a una persona sin usar información adicional que se guarda aparte y protegida (artículo 4.5 RGPD) | Información que no guarda relación con una persona identificada o identificable, o datos tratados de forma que la persona ya no es identificable (considerando 26) |
| Ejemplo | Una hoja de pacientes en la que el nombre se ha sustituido por «P-0347», con la tabla de equivalencias en otro sistema | «En 2025 tratamos 412 lesiones de rodilla», sin forma de saber de quién |
| ¿Se aplica el RGPD? | Sí: siguen siendo datos personales (considerando 26) | No |
Seudonimizar es una buena medida de seguridad: si alguien roba la hoja de «P-0347», no sabe de quién es. Pero no te saca del RGPD. Y anonimizar de verdad es más difícil de lo que parece: quitar el nombre de un listado con fecha de nacimiento, código postal y profesión rara vez basta, porque cruzando datos se puede identificar a la persona. El considerando 26 pide tener en cuenta todos los medios que razonablemente puedan usarse, incluidos el coste, el tiempo y la tecnología disponible.
Datos personales especialmente protegidos
Algunos datos tienen un régimen más estricto. El artículo 9.1 del RGPD prohíbe en principio tratar datos que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas o la afiliación sindical, y los datos genéticos, los biométricos usados para identificar a una persona de forma unívoca, los de salud y los de vida u orientación sexual, salvo que se dé alguna de las excepciones que el propio artículo enumera. Si tu negocio es una clínica, una farmacia, un gimnasio que pide datos de salud o una empresa que ficha con huella, lee qué son los datos sensibles.
Por qué te importa saber qué es un dato personal
Porque casi cualquier cosa que hagas con ellos es «tratamiento»: recogerlos, guardarlos, consultarlos, enviarlos o borrarlos (artículo 4.2 RGPD). Y en cuanto tratas datos personales fuera del ámbito doméstico, tienes que cumplir el RGPD: informar, tener una base legal, protegerlos y atender los derechos de las personas. Lo resumimos en qué es el RGPD.
Haz el inventario esta semana
- Apunta qué datos tienes de cada grupo de personas: clientes, empleados, candidatos, proveedores, visitantes de la web.
- Al lado, dónde están: programa de gestión, correo, papel, móvil, nube, cámaras.
- Marca los que sean de salud, biométricos o de menores.
- Revisa si tu web recoge datos sin avisar, con nuestra revisión gratuita.
Ese inventario es la base del registro de actividades de tratamiento. En Adapta RGPD lo sacamos de un cuestionario de unos 15 minutos sobre tu negocio y te dejamos la documentación lista en el portal; si prefieres que lo miremos antes contigo, pide el diagnóstico gratis.
Preguntas frecuentes
¿El correo electrónico es un dato personal?
Sí, si permite identificar a una persona, como nombre.apellido@empresa.com o un correo personal. Un correo genérico de una sociedad, como info@empresa.com, en principio no lo es.
¿Una dirección IP es un dato personal?
Puede serlo. El RGPD menciona las direcciones IP y las cookies como identificadores en línea que, combinados con otros datos, permiten identificar a las personas. Por eso una web con analítica trata datos personales.
¿Los datos de un autónomo son datos personales?
Sí, porque un autónomo es una persona física. La ley presume lícito tratar sus datos cuando se refieren a él solo como profesional, pero sigue aplicándose el RGPD.
¿La matrícula de un coche es un dato personal?
Sí, porque permite identificar a su titular. Un parking o una empresa que lee matrículas está tratando datos personales.
¿Si quito el nombre los datos dejan de ser personales?
No necesariamente. Si la persona se puede identificar cruzando otros datos, o si guardas una tabla para volver a ponerle nombre, siguen siendo datos personales. Solo la información realmente anónima queda fuera del RGPD.
