¿Qué son los datos sensibles según el GDPR?
Las organizaciones recopilan a diario información de los consumidores que puede ir desde el nombre y apellido de una persona hasta los datos de su cuenta bancaria. Estos datos son considerados sensibles y deben protegerse siempre mediante prácticas de seguridad adecuadas para prevenir violaciones, como el robo de identidad.
En derecho, el término “datos sensibles” se refiere a un tipo particular de datos personales relacionados con ciertos atributos de un individuo que son considerados dignos de protección. Con la entrada en vigor del Reglamento (UE) n.º 2016/679, conocido como GDPR (Reglamento General de Protección de Datos), se denomina a esta categoría “datos particulares”. Estos forman parte de la clase más amplia de datos personales, es decir, información que identifica o hace identificable, directa o indirectamente, a una persona física y que puede proporcionar detalles sobre sus características, hábitos, estilo de vida, relaciones personales, estado de salud, situación económica, entre otros.
En detalle, los datos considerados particulares incluyen aquellos que revelan:
- Origen racial o étnico;
- Opiniones políticas;
- Creencias religiosas o filosóficas;
- Pertenencia a sindicatos;
- Información sobre la vida sexual o la orientación sexual de la persona.
El artículo 9 del GDPR también incluye como datos sensibles:
- Datos genéticos: heredados o adquiridos, obtenidos mediante análisis de ADN y ARN a partir de una muestra biológica de la persona;
- Datos biométricos: como la imagen facial, utilizados para identificar de manera única a una persona física;
- Datos de salud: tanto física como mental, pasada, presente o futura, así como información sobre servicios de asistencia sanitaria, independientemente de la fuente, como por ejemplo, un médico.
Datos personales y datos sensibles: diferencia
La principal diferencia entre los datos personales y los datos sensibles radica en el carácter privado de la información, que puede dar lugar a discriminación, incluso de manera involuntaria, hacia el interesado.
Para comprender mejor qué información forma parte del grupo de datos personales y cuál, en cambio, pertenece a la categoría de datos sensibles, veamos dos ejemplos sencillos:
- Mario Rossi desayuna en el bar cerca de su casa cada domingo por la mañana mientras lee el periódico. Esto no es un dato sensible, sino un dato personal, ya que se refiere al estilo de vida de Mario.
- Mario Rossi renueva cada año su tarjeta de afiliación al partido que apoya, participa en reuniones con sus representantes y asiste a los mítines organizados a lo largo del año. Su afiliación al partido entra en la categoría de datos sensibles, ya que es una información que revela sus convicciones políticas.
¿Otro ejemplo de datos sensibles? Supongamos que nuestro Mario Rossi es celíaco y vegano. Estos también son datos sensibles: el primero se relaciona con su estado de salud, mientras que el segundo hace referencia a sus creencias filosóficas.
¿Cómo deben tratarse los datos sensibles?
El artículo 9 del GDPR permite el tratamiento de datos particulares solo si el sujeto interesado ha otorgado su consentimiento explícito o si ha hecho públicos sus datos sensibles de manera manifiesta.
Además, los datos particulares pueden tratarse sin el consentimiento del interesado si se aplican las excepciones indicadas en el artículo 9, apartado 2:
- Para cumplir obligaciones y ejercer derechos específicos del responsable del tratamiento o del interesado en materia de derecho laboral, seguridad social y protección social;
- Para proteger un interés vital del interesado o de otra persona física cuando el interesado no pueda dar su consentimiento por incapacidad física o jurídica;
- Cuando el tratamiento sea realizado, dentro de sus actividades legítimas y con garantías adecuadas, por una fundación, asociación u organismo sin ánimo de lucro con fines políticos, filosóficos, religiosos o sindicales, siempre que el tratamiento se refiera únicamente a los miembros, exmiembros o personas en contacto habitual con la organización y que los datos no sean comunicados externamente sin el consentimiento del interesado;
- Para establecer, ejercer o defender un derecho en procedimientos judiciales o siempre que las autoridades jurisdiccionales ejerzan sus funciones;
- Por razones de interés público y por motivos de salud pública;
- Con fines de medicina preventiva o laboral, evaluación de la capacidad laboral del empleado, diagnóstico, asistencia o terapia sanitaria o social, o gestión de sistemas y servicios sanitarios o sociales;
- Con fines de archivo en interés público, investigación científica o histórica o con fines estadísticos.
