Contexto y antecedentes
La pregunta que hacer de titular de este artículo es muy habitual en entornos en los que el RGPD tiene alguna influencia o incluso en nuestra vida personal, cuando una empresa nos pide consentimiento para tratar nuestros datos personales para distintas finalidades. “Bueno, por qué no, pero antes me gustaría saber qué se considera un dato personal”.
Vamos a responder con profundidad.
Para ir directos al tema, diremos que se entiende por dato personal cualquier información y/o característica que permita identificar o hacer identificable a cualquier persona. Así lo define el artículo 4.1 del RGPD.
En consecuencia, la imagen de una persona es un dato personal, al igual que lo será cualquier información que permita determinar, directa o indirectamente, su identidad, como, por ejemplo, un nombre, un número de identificación, un número de teléfono, una matrícula de vehículo, una dirección IP… O incluso características antropométricas que permitan identificar de forma inequívoca a una persona, tal y como ha considerado en numerosas ocasiones la Agencia Española de Protección de Datos (AEPD).
Por el contrario, no serían datos personales aquellos que no faciliten la identificación de la persona física, como, por ejemplo: número de registro mercantil (CIF), una dirección de correo electrónico genérica, tipo info@, y otros.
Tipos de datos personales existentes.
El RGPD reconoce la existencia de categorías de datos personales e incluso determina una muy específica referida a aquellos datos especialmente protegidos.
A continuación, mostramos un listado aproximado de los tipos de datos personales existentes:
- Datos identificativos: nombre, DNI, número de la Seguridad Social, teléfono, dirección, firma, nombre de usuario, dirección IP, etc.
- Características personales: características físicas, preferencias, aficiones, fecha de nacimiento, etc.
- Circunstancias familiares y sociales: número de hijos, permisos, licencias, etc.
- Información laboral: categoría profesional, puesto de trabajo, experiencia profesional, nómina, etc.
- Datos académicos y profesionales: formación, títulos, historial académico, etc.
- Control de presencia: fichaje en el puesto de trabajo o control de acceso a las instalaciones.
- Financieros: ingresos, rentas, datos bancarios, etc.
Datos especialmente protegidos
En relación con la categoría de datos especialmente protegidos, previstos en el articulo 9 del RGPD, son aquellos datos que revelen el origen étnico o racial, las opiniones políticas, convicciones religiosas o filosóficas, afiliación sindical, datos genéticos[1], datos biométricos[2] dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o a la vida y las orientaciones sexuales de una persona física.
El tratamiento de este tipo de datos está prohibido, salvo que cumpla con una serie de excepciones, como las siguientes:
- Consentimiento explícito por parte del interesado.
- Cumplimiento de obligaciones y ejercicios de derechos en el ámbito del derecho laboral y de la seguridad y protección social.
- Protección de intereses vitales del interesado
- Tratamiento efectuado en el ámbito de fundaciones o asociaciones cuya finalidad sea política, filosófica, religiosa o sindical.
- Tratamiento de datos manifiestamente públicos.
- Tratamientos necesarios para la formulación, ejercicio o defensa de reclamaciones, o tratamientos efectuados por tribunales en el ejercicio de su función judicial.
- Por razón de interés público en el ámbito de la salud pública.
- Tratamiento necesario con fines de archivo e interés público, fines de investigación científica o histórica o fines estadísticos.
¿Cómo recaban los datos personales?
Los datos pueden recabarse a través de cualquier canal (papel, formato electrónico, voz…). No obstante, tanto en el momento de la recogida como posteriormente es preciso que el responsable del tratamiento[3] facilite información sobre cómo serán tratados sus datos conforme lo previsto en los artículos 13 y 14 del RGPD.
En este caso, y dependiendo del tipo de canal de comunicación empleado, el modo de facilitar esta información puede variar (papel, email, o WhatsApp son algunos de los canales posibles). El sistema de capas es muy útil para facilitar la información en un proceso de recogida de datos. Es decir, en una primera capa se facilita la información básica y en una segunda capa la información adicional.
Para obtener más detalles sobre el modo y cuando facilitar esta información es recomendable consultar la Guía para el cumplimiento del deber de informar, publicada por la Agencia Española de Protección de Datos.
En cualquier caso, esta información debe proporcionarse en un lenguaje claro y sencillo, de forma concisa, transparente, inteligible y de fácil acceso. Es por ello que se tiene que resaltar la importancia del proceso de recogida de datos por parte del responsable, que puede efectuar la recolección de datos a través de formularios, modelos o plantillas, enviadas a través de cualquier canal. Lo importante es contar con las evidencias que puedan garantizar que el proceso se ha llevado de respondiendo con los requisitos previstos en el RGPD.
En principio cualquier medio de recogida es válido. Hoy en día existen muchos canales para recoger datos, y gran parte de ellos además de agiles son muy usables por el público en general, como es el caso de WhatsApp. Lo que es esencial es que el responsable del tratamiento sea capaz de acreditar su recogida y de probar que cuenta con los consentimientos que pueden llevar aparejados para fines concretos.
Como hemos indicado con anterioridad, le corresponde al responsable del tratamiento de la compañía la obligación de facilitar la información y acreditar que ha sido satisfecha. Para ello se puede apoyar en un prestador de servicios de confianza cualificado, como es el caso del Mailcomms Group, que, además, gracias a su experiencia en el envío de comunicaciones personalizadas omnicanal, puede adaptarse a las necesidades de recogida de datos de cualquier cliente y empresa. Y, siempre, aportando al responsable del tratamiento las evidencias necesarias en caso de reclamación, ya que goza de la presunción iuris tantum.
De igual forma, en MailComms Group ofrecemos una herramienta capaz de obtener, tratar y gestionar, de principio a fin esos consentimientos con garantía de cumplimiento normativo. ¿Quieres conocerla?
[1] Datos genéticos: datos relativos a las características genéticas heredadas o adquiridas de una persona física que proporcionen una información única sobre la fisiología o la salud de esa persona, obtenidos en particular del análisis de una muestra biológica de tal persona. Por ejemplo, a través de un análisis cromosómico, o de cualquier análisis que permita obtener información única sobre la fisiología y salud de una persona.
[2] Datos biométricos: datos personales obtenidos a partir de un tratamiento técnico específico, relativos a las características físicas, fisiológicas o conductuales de una persona física que permitan o confirmen la identificación única de dicha persona, como imágenes faciales o datos dactiloscópicos.
[3] Responsable del tratamiento: Cualquier persona que pudiera decidir sobre los fines y los medios de tratamiento de los datos.
