Las categorías especiales de datos del artículo 9 del RGPD no pueden tratarse como una ficha de cliente ordinaria. La regla es la prohibición de tratamiento, salvo que concurra una de las condiciones concretas del artículo 9.2. Además, debe existir una base jurídica del artículo 6 y deben respetarse finalidad, minimización, información, seguridad y conservación. En España hay que leer también el artículo 9 de la LOPDGDD, en el BOE, que limita ciertos usos del consentimiento y establece reserva de ley para determinados supuestos fundados en Derecho español.
Este artículo ofrece una forma de decidir antes de recoger el dato: identificar si pertenece realmente a la lista protegida; justificar por qué es necesario; elegir una condición del artículo 9.2 y una base del artículo 6; comprobar la regla española aplicable; y valorar riesgos y garantías. Un dato puede ser muy íntimo sin pertenecer técnicamente al artículo 9. También puede convertirse en categoría especial por la finalidad y la técnica de tratamiento, como ocurre con ciertos sistemas biométricos.
Qué incluye exactamente el artículo 9
El Reglamento (UE) 2016/679 menciona datos que revelen origen étnico o racial, opiniones políticas, convicciones religiosas o filosóficas y afiliación sindical. Incluye asimismo datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona, datos relativos a la salud y datos relativos a la vida sexual o la orientación sexual. La lista es concreta. No todo dato «delicado» recibe automáticamente ese régimen, aunque cualquier dato personal necesita protección apropiada.
El contexto importa. Una ficha de salud entregada por un paciente es evidentemente un dato relativo a la salud. Una inferencia sobre una enfermedad extraída de compras o navegación también puede revelar salud, aunque el interesado no haya rellenado un campo médico. Un registro de afiliación sindical usado para descontar una cuota es especial. En cambio, el puesto de trabajo de una persona no se convierte por sí mismo en un dato sobre afiliación sindical. La organización debe evaluar lo que el dato revela en el tratamiento real, no solo el nombre de la columna en la base de datos.
Los datos sobre condenas e infracciones penales siguen el artículo 10, no el 9. Su régimen también es restrictivo, pero responder «artículo 9» en el inventario ocultaría la condición específica del artículo 10 y del Derecho nacional. Separe estas categorías en su registro de actividades de tratamiento. Anote finalidad, destinatarios, plazo y medidas según cada tratamiento, evitando convertir un inventario en una lista indiferenciada de datos «sensibles».
Biometría: la finalidad de identificación cambia el análisis
Una fotografía de perfil no es automáticamente un dato biométrico de categoría especial. El RGPD se refiere a datos obtenidos mediante un tratamiento técnico específico de características físicas, fisiológicas o conductuales que permiten o confirman la identificación única, y el artículo 9.1 exige su uso para identificar unívocamente. Una plantilla facial comparada con una base de rostros para reconocer a quien entra en una tienda sí puede entrar en ese supuesto. Una simple imagen usada para ilustrar el directorio interno requiere un análisis de protección de datos, pero no necesariamente la excepción del artículo 9.
La diferencia entre verificación e identificación no autoriza a tratar cualquier huella o rostro sin más. Hay que describir el sistema concreto: si compara una plantilla con una o con muchas, qué datos almacena, quién puede acceder, si se puede evitar la biometría y cuánto dura la plantilla. La AEPD ha analizado jurídicamente el reconocimiento facial, incluida la finalidad de identificación y la necesidad de una excepción aplicable. No traslade sin examen una conclusión sobre un sistema a otro con finalidad, arquitectura o población distintas.
Antes de introducir biometría para fichaje, acceso o prevención de pérdidas, pregunte si un medio menos intrusivo cumple la misma finalidad. Tarjetas, códigos o controles humanos pueden reducir la necesidad de recopilar plantillas biométricas. La facilidad operativa no convierte en necesaria una medida que afecta a toda persona que cruza una puerta. Documente también la situación de quienes no pueden o no quieren usar el sistema y cómo podrán acceder al servicio sin sufrir un perjuicio indebido. Es una aplicación concreta de la privacidad desde el diseño.
Dos requisitos acumulativos: artículos 6 y 9
El artículo 9.2 no reemplaza las bases de legitimación del artículo 6. Una clínica puede apoyarse en una condición del artículo 9.2.h para prestar asistencia sanitaria y, además, identificar la base del artículo 6 que corresponde a su actividad. Una empresa que quiere enviar una encuesta voluntaria sobre salud necesita comprobar tanto la validez del consentimiento explícito para el dato especial como la base general y la libertad real de la elección. No basta con escribir «consentimiento» en una cláusula y comenzar a recopilar diagnósticos.
El consentimiento explícito del artículo 9.2.a es solo una de las diez posibilidades. Otras cubren, bajo sus condiciones, obligaciones y derechos laborales o de seguridad social; protección de intereses vitales cuando el interesado no pueda consentir; actividades legítimas de ciertas entidades sin ánimo de lucro; datos hechos manifiestamente públicos por el interesado; reclamaciones judiciales; interés público esencial; medicina y asistencia sanitaria; salud pública; y archivo, investigación o estadística con garantías. No son exenciones generales para cualquier responsable de un sector. Algunas exigen una base en el Derecho de la Unión o de un Estado miembro y medidas específicas.
Tampoco deben confundirse consentimiento explícito y consentimiento simplemente afirmativo. La organización tiene que explicar finalidad, alcance y consecuencias, ofrecer una elección libre y poder demostrarla. En una relación laboral, la dependencia entre empleado y empresa puede hacer difícil acreditar esa libertad. Si el trabajador no puede rechazar el tratamiento biométrico sin perder el empleo o sufrir desventaja, una casilla firmada no resuelve el problema. Para ejemplos de diseño de la recogida, consulte consentimiento RGPD en situaciones concretas.
Qué añade el artículo 9 LOPDGDD
El apartado 1 de la norma española dice que, cuando la finalidad principal sea identificar ideología, afiliación sindical, religión, orientación sexual, creencias u origen racial o étnico, el solo consentimiento no basta para levantar la prohibición. La enumeración española habla de orientación sexual, no de «vida sexual» en esa frase. La restricción se refiere a ese fin principal y al consentimiento como única salida; el propio artículo aclara que pueden proceder las restantes condiciones del artículo 9.2 RGPD. No equivale a prohibir toda encuesta legítima ni a exigir una nueva ley para cada supuesto del artículo 9.
El apartado 2 introduce otra regla: los tratamientos basados en Derecho español al amparo de las letras g, h o i del artículo 9.2 deben estar respaldados por una norma con rango de ley. Esa exigencia no debe trasladarse sin matices a todas las letras ni a toda decisión basada en consentimiento. Primero identifique la letra invocada y su fundamento; después examine si la reserva de ley española se activa. La comparación entre LOPDGDD y RGPD ayuda a situar la particularidad nacional sin reemplazar la lectura del artículo.
Un ejemplo muestra por qué importa la precisión. Una campaña comercial que pide orientación sexual para segmentar ofertas tiene como propósito identificar esa característica: no debería confiar en una casilla de consentimiento como única justificación bajo el artículo 9.1 LOPDGDD. Un servicio sanitario que trata datos de salud para asistencia bajo condiciones legales diferentes exige otra evaluación. La organización no gana nada etiquetando ambos casos como «datos sensibles»: las finalidades, condiciones de licitud y salvaguardas son distintas.
Cuándo hacer una evaluación de impacto
El artículo 35 RGPD obliga a una evaluación de impacto en protección de datos cuando el tratamiento probablemente entrañe un alto riesgo para derechos y libertades. Su apartado 3.b menciona expresamente el tratamiento a gran escala de las categorías del artículo 9. Esto no convierte cualquier nota médica aislada en una obligación automática de EIPD. Sí exige analizar con atención biometría masiva, grandes bases de salud y perfiles que permitan inferir rasgos protegidos. Las listas y orientaciones de la AEPD ayudan a valorar el riesgo, pero la decisión debe atender a la operación real.
La EIPD se hace antes de iniciar el tratamiento. Debe describir finalidad y necesidad, identificar riesgos para las personas y definir medidas para reducirlos. No es una plantilla que legitima un tratamiento sin base jurídica. Si después de las medidas queda un alto riesgo que el responsable no puede mitigar, el artículo 36 establece la consulta previa a la autoridad. La plantilla de EIPD puede organizar el trabajo, pero las hipótesis sobre población, volumen, acceso y daños tienen que ser propias.
En recursos humanos, por ejemplo, una empresa puede almacenar certificados de aptitud en vez de diagnósticos completos si la finalidad es decidir si una persona puede desempeñar un puesto. Si un médico del trabajo debe conservar más información por sus propias obligaciones, su acceso y función serán diferentes de los del equipo de selección. Minimizar no significa negar al profesional los datos necesarios; significa evitar que cada departamento reciba por defecto toda la historia clínica. Las condiciones sectoriales se examinan en la guía de RGPD para sanidad en España.
Seguridad y conservación según el riesgo real
Defina quién necesita ver los datos, para qué acción y durante cuánto tiempo. Separe, cuando sea posible, identificadores directos de atributos especiales. Controle accesos por función, registre consultas relevantes, cifre datos en tránsito y reposo cuando sea adecuado y pruebe la restauración. El artículo 32 obliga a medidas apropiadas al riesgo; no enumera un producto único ni permite afirmar que una medida aislada «garantiza cumplimiento». Si un proveedor accede a datos por cuenta del responsable, documente esa relación y las instrucciones en un acuerdo de encargado del artículo 28.
Para la conservación, fije un criterio por finalidad y obligación, no un plazo universal para «datos sensibles». Un expediente clínico, una nota de selección y una plantilla biométrica de acceso no tienen el mismo motivo para permanecer. Si la finalidad termina, examine si otra obligación justifica guardar una parte, bloquee o restrinja lo que corresponda y suprima el resto. La limitación de conservación y la minimización de datos actúan desde el diseño, no solo al cerrar una cuenta.
El incidente también requiere una respuesta diferenciada. La exposición de datos de salud o biométricos puede elevar el riesgo para las personas, pero la obligación de notificar a la AEPD depende de la evaluación del artículo 33 y la comunicación a afectados de la del artículo 34. Documente qué información se vio comprometida, quién podía acceder, si había cifrado eficaz y qué medidas se tomaron. Una categoría especial aumenta la atención requerida, no convierte cualquier incidente técnico en una notificación automática. La guía para notificar brechas a la AEPD desarrolla esas decisiones.
Mercadona: una decisión administrativa que muestra el problema
En su memoria de 2021, la AEPD explica que el procedimiento PS/00120/2021 examinó un sistema de reconocimiento facial en algunos establecimientos de Mercadona y terminó en una sanción administrativa de 2.520.000 euros por infracciones de varios artículos del RGPD, incluidos el 6 y el 9. Es un ejemplo de que la finalidad de seguridad no elimina por sí sola la necesidad de base jurídica, condición del artículo 9 y proporcionalidad. Aquí se describe el resultado administrativo comunicado por la Agencia; no se afirma que la situación judicial posterior esté cerrada.
Para un comercio, gimnasio o centro de trabajo, la lección útil no es copiar la cuantía de la multa como estimación de riesgo. Es definir a quién se observa, si se crea una plantilla para todas las personas, qué alternativa menos intrusiva existe y qué norma permite el tratamiento. Una cámara ordinaria y un sistema de identificación biométrica no se justifican con el mismo análisis. Las sanciones AEPD en salud muestran otros contextos, pero cada expediente depende de sus hechos y de la norma aplicable.
Un proceso de decisión antes de recoger los datos
Describa primero la finalidad en una frase verificable: prestar asistencia, cumplir una obligación laboral o controlar un acceso concreto. Identifique después el dato mínimo sin el cual esa finalidad no puede cumplirse. Pregunte si revela una categoría del artículo 9, si se genera una inferencia protegida y si también hay datos del artículo 10. Registre la base del artículo 6 y la letra concreta del artículo 9.2, con los hechos que permiten usar ambas. Compruebe la LOPDGDD si la actividad tiene conexión con España.
Antes de poner el tratamiento en producción, examine necesidad, alternativas, transparencia, proveedores, transferencias, controles de acceso, plazo y EIPD. Asigne una persona que apruebe el análisis y otra que revise cambios relevantes. Si la finalidad se amplía, no suponga que la condición elegida para el uso original cubre automáticamente la nueva. Esta secuencia permite decir «todavía no» a una recogida innecesaria y evita tratar la documentación como una reparación posterior.
Preguntas frecuentes
¿Una fotografía siempre es un dato biométrico del artículo 9?
No. Importan la técnica y el propósito de identificar de manera unívoca. Una foto ordinaria sigue sujeta al RGPD si identifica a alguien, pero normalmente no requiere una excepción del artículo 9. Una plantilla facial usada para reconocimiento puede requerirla.
¿Puedo tratar salud con consentimiento explícito?
El artículo 9.2.a lo permite bajo sus condiciones, si hay una base válida del artículo 6 y un consentimiento libre, específico, informado y demostrable. En sanidad o empleo pueden existir otras condiciones más apropiadas o reglas nacionales particulares. No use consentimiento como sustituto automático de una obligación legal o de una evaluación de necesidad.
¿Debo hacer siempre una EIPD?
No por el mero nombre de la categoría. La obligación surge cuando el tratamiento probablemente entraña alto riesgo, con el supuesto expreso de categorías especiales a gran escala y los demás criterios aplicables. Documente la evaluación previa; si queda alto riesgo tras las medidas, valore la consulta previa del artículo 36.
¿Los datos penales son una categoría especial?
No pertenecen a la lista del artículo 9. El artículo 10 RGPD y el Derecho español imponen condiciones propias. Manténgalos identificados por separado en el registro y en los controles de acceso.