Categorías especiales de datos personales

Categorías de datos sometidas a protección reforzada por el RGPD, como datos de salud, biométricos para identificación, origen racial o étnico, opiniones políticas, religión, afiliación sindical u orientación sexual. «Categorías especiales de datos personales» es un control o principio de seguridad y privacidad que debe concretarse en decisiones de arquitectura, configuración y operación. No basta con declararlo en una política: debe poder identificarse dónde se aplica, quién lo administra, cómo se revisa y qué evidencia acredita su funcionamiento. La intensidad del control debe ser proporcional al riesgo y a los datos tratados.

En un sistema real, categorías especiales de datos personales debe traducirse a una configuración, política o control técnico verificable. La organización necesita saber quién lo administra, qué recursos cubre, qué excepciones existen y cómo se detecta un fallo del control.

Importa siempre que el sistema trate información, usuarios o permisos cuyo uso indebido pueda causar un impacto. La relevancia aumenta con datos personales, acciones privilegiadas, conexiones externas o automatizaciones capaces de modificar información.

No debe utilizarse como sinónimo de «Datos personales». Este último se refiere a cualquier información sobre una persona física identificada o identificable. En el contexto europeo es preferible este concepto jurídico del RGPD a utilizar PII como si fueran categorías equivalentes. «Categorías especiales de datos personales» tiene un alcance distinto y debe conservarse como concepto propio para evitar decisiones o búsquedas ambiguas.

Un sistema que trata información sobre salud debe aplicar el régimen reforzado correspondiente a categorías especiales y no tratarla como un dato personal ordinario.

Art. 9 del RGPD.