En una frase. El art. 4.1 RGPD define el dato personal como toda información sobre una persona física identificada o identificable, y es identificable quien puede determinarse directa o indirectamente por medios que razonablemente pueda utilizar el responsable o cualquier otra persona (considerando 26): un criterio contextual, no una lista cerrada de campos.
Casi todas las decisiones posteriores —base jurídica, registro de actividades, plazos de conservación— dependen de esta calificación previa. Esta guía va dirigida a responsables, DPD y equipos técnicos que deben decidir, ante un fichero o un log, si el RGPD entra en juego.
Puntos clave
- La definición del art. 4.1 RGPD no es una lista: cubre “toda información” referida a una persona identificada o identificable.
- La identificabilidad se evalúa con el test de los medios razonables (considerando 26): costes, tiempo, tecnología y avances previsibles.
- Los datos seudonimizados siguen siendo datos personales (art. 4.5); solo los verdaderamente anónimos quedan fuera.
- El RGPD no protege a fallecidos (considerando 27) ni a personas jurídicas (considerando 14); la LOPDGDD añade reglas propias.
- El TJUE ha construido un concepto amplio: Breyer (C-582/14), Nowak (C-434/16) e IAB Europe (C-604/22).
Qué dice el artículo 4.1 y cómo se lee
El art. 4.1 del RGPD considera identificable a “toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador”, y cita el nombre, el número de identificación, los datos de localización, los identificadores en línea y los elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social.
El Grupo de Trabajo del Artículo 29 descompuso la definición en cuatro bloques (Dictamen 4/2007) que siguen siendo la mejor herramienta de análisis. “Toda información”: no importa el formato, la veracidad ni si es pública o privada; una valoración errónea sobre un cliente es dato personal igual que su DNI. “Sobre” una persona: un dato se refiere a alguien por su contenido, su finalidad (se usa para evaluarle) o su resultado (impacta en sus derechos). “Identificada o identificable”: el 90 % de la discusión. Y “persona física”: viva y no jurídica.
El test de los medios razonables
Una persona está identificada cuando se la distingue del resto dentro de un grupo, e identificable cuando aún no se la ha distinguido pero es posible hacerlo. La frontera no está en el dato, sino en el contexto.
El considerando 26 fija el criterio: deben tenerse en cuenta todos los medios, “como la singularización”, que razonablemente pueda utilizar el responsable o cualquier otra persona, atendiendo a costes y tiempo, tecnología disponible y avances previsibles. De ahí tres consecuencias: no hace falta el nombre (basta un identificador de dispositivo o un patrón singularizador); no hace falta que usted pueda identificar, si un tercero razonablemente accesible puede; y la calificación caduca, porque lo que hoy no permite reidentificar puede permitirlo en tres años.
El TJUE aplicó este razonamiento en Breyer (C-582/14, de 19 de octubre de 2016): una IP dinámica es dato personal para el operador de un sitio web si dispone de medios legales para obtener la identificación a través del proveedor de acceso. El caso, con la práctica sancionadora española, se desarrolla en la guía sobre la dirección IP como dato personal, ejemplo trabajado de este mismo test.
Seudonimización frente a anonimización
Es la distinción que más errores genera en auditoría, y sus efectos son binarios.
| Seudonimización (art. 4.5) | Anonimización | |
|---|---|---|
| Definición | Impide atribuir los datos sin información adicional | Proceso irreversible |
| Información adicional | Existe, conservada por separado | No existe o fue destruida |
| Sujeto al RGPD | Sí | No (considerando 26) |
El considerando 26 lo dice sin matices: los datos seudonimizados “que cabría atribuir a una persona física mediante la utilización de información adicional deben considerarse información sobre una persona física identificable”. Cifrar, sustituir el DNI por un código o hashear un correo son medidas de seguridad excelentes, pero no sacan el tratamiento del reglamento.
La anonimización real es exigente: la AEPD ha publicado orientaciones sobre procedimientos de anonimización y, con el SEPD, el documento 10 malentendidos relacionados con la anonimización, que recuerda que anonimizar es en sí mismo un tratamiento y que no existe anonimización absolutamente garantizada. La metodología está en la guía sobre anonimización y seudonimización. En SEPD contra JUR (C-413/23 P, de 4 de septiembre de 2025) el TJUE añadió que, al transmitir datos seudonimizados, la evaluación se hace desde los medios de reidentificación de quien los recibe.
Qué ha añadido el TJUE: Nowak, IAB Europe y los límites
Nowak (C-434/16, de 20 de diciembre de 2017). Las respuestas de un candidato en un examen profesional y los comentarios del corrector son datos personales del candidato: reflejan sus conocimientos y se usan para evaluarle. Cierra el argumento de “esto es una valoración interna, no un dato”.
IAB Europe (C-604/22, de 7 de marzo de 2024). La cadena TC String del consentimiento en publicidad programática es dato personal incluso para quien por sí solo no puede acceder a los datos, porque tiene medios razonables para identificar combinándola con la información de sus miembros.
YS y otros (C-141/12 y C-372/12, de 17 de julio de 2014) marca el límite contrario: los datos del solicitante recogidos en un análisis jurídico son personales, pero el análisis en sí no lo es.
Categorías especiales y datos penales
El art. 9.1 RGPD prohíbe con carácter general tratar datos que revelen origen étnico o racial, opiniones políticas, convicciones religiosas o filosóficas y afiliación sindical, y los datos genéticos, biométricos dirigidos a identificar de manera unívoca, de salud y relativos a la vida sexual o las orientaciones sexuales. La prohibición solo se levanta con una de las diez excepciones del art. 9.2 —que se suma a la base del art. 6, no la sustituye.
Dos precisiones que fallan a menudo. Una fotografía es dato biométrico solo si se trata con técnicas dirigidas a la identificación unívoca (considerando 51). Y los datos que revelan indirectamente una categoría especial también entran: una lista de asistentes a un comedor halal revela convicciones religiosas. El detalle, en la guía sobre categorías especiales de datos. Las condenas e infracciones penales no son categoría especial: régimen propio en el art. 10 RGPD y el art. 10 LOPDGDD.
Los límites: fallecidos, personas jurídicas y contactos profesionales
Personas fallecidas. El considerando 27 los excluye del RGPD y deja la materia a los Estados. El art. 2.2.b) LOPDGDD excluye estos tratamientos, pero su art. 3 permite a las personas vinculadas al fallecido por razones familiares o de hecho y a sus herederos pedir el acceso, la rectificación o la supresión de sus datos, salvo prohibición expresa del fallecido; ver la comparativa LOPDGDD frente a RGPD.
Personas jurídicas. El considerando 14 excluye sus datos: nombre, forma jurídica y contacto. Ahora bien, nombre.apellido@empresa.es identifica a una persona física y sigue siendo dato personal aunque sea cuenta corporativa.
Contactos profesionales. El art. 19 LOPDGDD presume amparados por el interés legítimo del art. 6.1.f) RGPD los datos de contacto de quienes prestan servicios en una persona jurídica —nombre, cargo, dirección postal y electrónica, teléfono y fax profesionales— cuando la finalidad es mantener la relación con la entidad, y lo mismo para empresarios individuales y profesionales liberales en esa condición. Presunción no es exención: siguen el deber de información y los derechos del interesado, y conviene documentar la ponderación con el test del interés legítimo.
Cómo aplicar la definición en la práctica
Aplique cuatro preguntas en orden:
- ¿Se refiere a una persona física viva? Si no, fin del análisis (salvo el art. 3 LOPDGDD).
- ¿Permite singularizar a alguien con los medios razonablemente disponibles para mí o para un tercero? Documente qué medios ha considerado.
- ¿He eliminado de forma irreversible la información adicional? Si la conservo, es seudonimización.
- ¿Entra en el art. 9 o en el art. 10? Si sí, necesito base del art. 6 y excepción del art. 9.2.
El resultado alimenta el registro de actividades de tratamiento, la elección de la base de legitimación, el principio de minimización y, en alto riesgo, la evaluación de impacto. También fija el alcance de las respuestas a los derechos de acceso, rectificación y supresión: no se contesta bien a un derecho de acceso sin decidir antes qué campos son datos personales del solicitante. Mantener esa calificación campo a campo en decenas de sistemas es lo que industrializa una plataforma de cumplimiento, como las comparadas en la guía de software de cumplimiento RGPD.
Preguntas frecuentes
¿Un correo corporativo es un dato personal?
Sí cuando identifica a una persona física, como nombre.apellido@empresa.es. Un buzón genérico tipo info@empresa.es no identifica a nadie, salvo que en contexto se sepa quién lo gestiona en exclusiva.
¿El NIF de un autónomo es dato personal?
Sí. El empresario individual es persona física, luego su NIF y sus datos de contacto son datos personales; la particularidad es la presunción del art. 19.2 LOPDGDD.
¿Los datos anonimizados están sujetos al RGPD?
No, si la anonimización es irreversible: el considerando 26 excluye la información anónima. Acreditarlo con medios razonables corresponde al responsable.
¿Qué autoridad interpreta esta definición en España?
La Agencia Española de Protección de Datos en el ámbito estatal y las autoridades autonómicas en el suyo. La interpretación vinculante corresponde al TJUE.
Conclusión
La definición del art. 4.1 RGPD es amplia y contextual por diseño: no hay una lista de campos “personales” y otra de campos “neutros”, sino un test —medios razonables, coste, tiempo, tecnología— que se aplica por tratamiento, se documenta y se revisa. Dos reglas evitan la mayoría de los errores: los datos seudonimizados siguen dentro del reglamento, y que usted no pueda identificar a alguien no basta si otro razonablemente puede.
Información legal: Artículo 4 RGPD (EUR-Lex) · Ley Orgánica 3/2018 (LOPDGDD, BOE) · AEPD · Comité Europeo de Protección de Datos.
Este artículo es información de carácter general y no constituye asesoramiento jurídico.