Glosario · Glosario · Conceptos RGPD
Datos personales: qué son y dónde aparecen en tus documentos
Equipo Anonimatum
En resumen
Dato personal es toda información sobre una persona física identificada o identificable, directa o indirectamente: un nombre, un DNI, una matrícula, una firma o un conjunto de detalles que, juntos, permiten saber de quién se habla.
Todo el RGPD gira en torno a un concepto: el dato personal. Si una información lo es, se aplican el Reglamento y la LOPDGDD; si no, quedan fuera. Por eso, antes de publicar, ceder o anonimizar un documento, la primera pregunta siempre es qué datos personales contiene.
La definición legal es amplia a propósito. No se limita al nombre y al DNI: abarca cualquier información que permita identificar a alguien, incluso combinando piezas que por separado parecen inocuas.
La definición del artículo 4.1 del RGPD
El RGPD define los datos personales como toda información sobre una persona física identificada o identificable. Se considera identificable a quien pueda determinarse, directa o indirectamente, en particular mediante un identificador como un nombre, un número de identificación, datos de localización o un identificador en línea, o uno o varios elementos propios de su identidad física, fisiológica, genética, psíquica, económica, cultural o social.
Cómo se decide si alguien es identificable lo explica el considerando 26 del RGPD: hay que tener en cuenta todos los medios que razonablemente podrían usarse, atendiendo al coste, al tiempo y a la tecnología disponible.
Identificadores directos e indirectos
Los identificadores directos señalan a una persona por sí solos: nombre y apellidos, DNI o NIE, número de la Seguridad Social, fotografía del rostro. Los identificadores indirectos no bastan aislados, pero combinados delatan: fecha de nacimiento, código postal, profesión, cargo, centro de trabajo, fechas de un hecho concreto. Un informe ficticio que cita a «la jefa de enfermería de la planta de pediatría del hospital comarcal en 2024» identifica a una persona sin nombrarla.
Ejemplos de datos personales en documentos
| Dato | Dónde suele aparecer | Tipo |
|---|---|---|
| Nombre y apellidos | Encabezados, cuerpo, firmas, notificaciones | Directo |
| DNI, NIE o pasaporte | Contratos, escritos, formularios | Directo |
| Domicilio | Notificaciones, actas, facturas | Directo o indirecto |
| Matrícula de vehículo | Atestados, sentencias de tráfico, multas | Indirecto |
| Firma manuscrita o digital | Pie de contratos y resoluciones | Directo |
| Número de expediente o de historia clínica | Resoluciones, informes médicos | Indirecto |
| Teléfono, correo, IBAN | Facturas, nóminas, correos | Directo o indirecto |
| Autor y empresa en metadatos | Propiedades del PDF o Word | Directo |
Algunas categorías merecen protección reforzada: salud, origen étnico, opiniones políticas, religión, afiliación sindical, datos genéticos y biométricos o vida sexual. Son las categorías especiales de datos del artículo 9 del RGPD.
Qué no es dato personal
- Los datos de personas jurídicas, como la razón social o el CIF de una sociedad (considerando 14). Ojo: el nombre y el correo de un empleado o de un autónomo sí son datos personales.
- La información anónima o los datos que se han anonimizado de forma que la persona ya no es identificable.
- Los datos de personas fallecidas quedan fuera del RGPD (considerando 27), aunque la LOPDGDD regula el acceso de familiares y herederos.
- Las estadísticas agregadas en las que no se puede aislar a ningún individuo.
Los datos seudonimizados, en cambio, siguen siendo personales: cambiar un nombre por un código no basta si alguien conserva la tabla de correspondencias. La diferencia se explica en anonimización.
Localizar datos personales antes de compartir un documento
Buscar a mano los datos personales de un expediente de cien páginas es lento y propenso a olvidos, sobre todo cuando hay escaneos, sellos o anexos. Anonimatum detecta nombres, organizaciones, fechas, direcciones, importes, matrículas, códigos QR y firmas con IA propia ejecutada en servidores de la UE, y patrones como DNI/NIF, IBAN, teléfono o correo. Todo se revisa antes de aplicar; puedes empezar por algo concreto, como ocultar el DNI en un PDF.
Preguntas frecuentes
¿Una dirección IP es un dato personal?
Puede serlo. El Tribunal de Justicia, en la sentencia Breyer (C-582/14), admitió que una IP dinámica es dato personal cuando quien la tiene dispone de medios legales para identificar al usuario.
¿El correo corporativo nombre.apellido@empresa.es es dato personal?
Sí, porque identifica a una persona física concreta, aunque se use en el trabajo. Un correo genérico como info@ normalmente no lo es.
¿Las iniciales son datos personales?
Sí, si con el contexto permiten saber a quién se refieren, algo frecuente en documentos con fechas, lugares o cargos.
¿Los metadatos de un PDF pueden contener datos personales?
Sí. El autor, la organización o el usuario que modificó el fichero suelen quedar guardados en las propiedades del documento.
¿Sabéis qué datos personales hay en vuestros documentos?
Escríbenos y te enseñamos en una demo cómo Anonimatum los localiza en PDF, Word, Excel o correos y te deja revisarlos antes de anonimizar.