Datos especialmente protegidos: cuales son y como tratarlos
Si tu empresa gestiona información sobre salud, origen étnico, afiliación sindical o creencias religiosas de clientes o empleados, estás tratando datos especialmente protegidos. El RGPD establece un régimen mucho más estricto para estas categorías, y las sanciones por incumplimiento pueden alcanzar los 20 millones de euros. No es alarmismo: es la realidad legal que afecta a clínicas, gimnasios, asesorías laborales y muchos otros negocios que ni siquiera son conscientes de manejar este tipo de información.
Qué son los datos especialmente protegidos según el RGPD
El artículo 9 del RGPD define las categorías especiales de datos como aquellas que revelan información particularmente sensible sobre las personas. La LOPDGDD española complementa esta regulación con matices específicos para nuestro ordenamiento.
La regla general es clara: está prohibido tratar estos datos salvo que concurra alguna de las excepciones legalmente previstas.
Categorías especiales de datos RGPD
- Origen étnico o racial
- Opiniones políticas
- Convicciones religiosas o filosóficas
- Afiliación sindical
- Datos genéticos
- Datos biométricos (cuando identifican unívocamente a una persona)
- Datos de salud
- Datos relativos a la vida sexual u orientación sexual
Además, la LOPDGDD incluye los datos sobre condenas e infracciones penales bajo un régimen de protección reforzada similar.
Cuándo puedes tratar datos especialmente protegidos
El RGPD establece excepciones tasadas que permiten el tratamiento. Las más relevantes para empresas son:
- Consentimiento explícito: debe ser inequívoco, específico e informado. No vale un consentimiento genérico.
- Obligaciones laborales y de seguridad social: el tratamiento de afiliación sindical o datos de salud para gestionar nóminas o bajas.
- Interés vital: situaciones de urgencia médica cuando el interesado no puede consentir.
- Fines de medicina preventiva o laboral: reconocimientos médicos de empresa, por ejemplo.
Datos de salud: protección reforzada
La protección de datos de salud merece especial atención porque afecta a sectores muy diversos. No solo hospitales o clínicas: también centros de estética, fisioterapeutas, psicólogos, gimnasios con programas personalizados o farmacias.
Si necesitas orientación sobre cumplimiento en el sector estético, consulta nuestra guía sobre Protección de datos en peluquerías y estéticas: lo mínimo que debes cumplir.
Cómo tratar correctamente los datos sensibles
Medidas técnicas y organizativas
- Cifrado de archivos y comunicaciones que contengan datos sensibles
- Control de accesos restringido al personal estrictamente necesario
- Registro de actividades de tratamiento específico para estas categorías
- Evaluación de impacto obligatoria cuando el tratamiento entrañe alto riesgo
Documentación imprescindible
Debes poder demostrar ante la AEPD que cumples el principio de responsabilidad proactiva. Esto implica documentar:
- Base legitimadora específica para cada tratamiento
- Cláusulas de consentimiento explícito cuando corresponda
- Políticas internas de acceso y confidencialidad
- Contratos con encargados de tratamiento que manejen estos datos
Ejemplo práctico
Una clínica dental recoge historiales médicos de sus pacientes. Debe obtener consentimiento explícito para el tratamiento de datos de salud, cifrar las bases de datos, limitar el acceso solo al personal sanitario autorizado y firmar contratos específicos con el laboratorio externo que fabrica las prótesis. Si además tiene web con formularios, debe cumplir también la LSSI-CE para empresas: obligaciones de la ley de servicios de la información.
Errores frecuentes
- Usar consentimiento genérico: para datos sensibles se requiere consentimiento explícito y específico, no vale incluirlo dentro de condiciones generales.
- No identificar que se tratan datos sensibles: muchas empresas desconocen que la afiliación sindical en nóminas o las alergias alimentarias en un comedor son categorías especiales.
- Compartir datos con terceros sin contrato: enviar historiales a laboratorios o aseguradoras sin el debido contrato de encargado del tratamiento.
- Conservar datos indefinidamente: los datos de salud deben eliminarse cuando ya no sean necesarios para la finalidad que justificó su recogida.
Protege tu negocio con un tratamiento adecuado
Los datos especialmente protegidos exigen un nivel de diligencia superior al resto de información personal. No basta con tener una política de privacidad genérica: necesitas procedimientos específicos, documentación adecuada y medidas técnicas proporcionadas al riesgo.
Si tu empresa trata categorías especiales de datos y quieres asegurarte de cumplir con el RGPD y la LOPDGDD, es momento de revisar tu situación. Gestiona correctamente los datos sensibles con el apoyo de profesionales especializados.