Artículo 4 del RGPD: definiciones

Seudonimizar es tratar los datos de modo que ya no puedan atribuirse a un interesado sin información adicional, siempre que esa información figure por separado y esté protegida con medidas técnicas y organizativas. La atribución sigue siendo posible con esa clave, y por eso no es una anonimización irreversible. Guardar la información adicional junto a los datos, aunque se cifre, incumple justo la condición de que figure por separado.

La elaboración de perfiles es toda forma de tratamiento automatizado que usa datos personales para evaluar aspectos personales de una persona física, como su rendimiento profesional, su situación económica o sus preferencias. La definición no exige que el tratamiento produzca efectos jurídicos sobre la persona, ni que falte toda intervención humana, ni que se traten categorías especiales de datos.

El responsable es quien decide para qué y cómo se tratan los datos: determina los fines y medios del tratamiento. Tratar los datos por cuenta de otro es lo que define al encargado; recibir una comunicación de datos, al destinatario; y supervisar el cumplimiento dentro de la organización es una función del delegado de protección de datos.

La violación de la seguridad es toda violación que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales, o su comunicación o acceso no autorizados. La pérdida accidental basta: no hace falta intención ni que se pruebe que alguien llegó a acceder a los datos, y la definición no distingue por la clase de datos.

Los datos biométricos se obtienen por un tratamiento técnico específico de las características físicas, fisiológicas o conductuales de una persona y permiten o confirman su identificación única, como las imágenes faciales o las huellas dactilares. La muestra biológica y las características heredadas o adquiridas son de la definición de datos genéticos, y revelar el estado de salud es lo propio de los datos relativos a la salud.

El tratamiento es cualquier operación sobre datos personales, por procedimientos automatizados o no, y la definición enumera la consulta junto a la recogida, la conservación, la utilización o la supresión. No hace falta modificar ni comunicar los datos, ni que la operación sea automatizada: mirar un expediente con datos personales ya es tratarlos.

Un fichero es todo conjunto estructurado de datos personales accesibles con arreglo a criterios determinados, y la definición añade que da igual cómo esté organizado: centralizado, descentralizado o repartido de forma funcional o geográfica. Lo que cuenta es la estructura y la posibilidad de acceder por criterios, no que todo esté en un mismo sitio; repartirlo entre sedes, entre Estados o entre áreas de la organización no lo saca de la definición.

Destinatario es aquel a quien se comunican datos personales, se trate o no de un tercero; por eso lo es también quien no es tercero, como un encargado, y lo es la empresa que recibe datos de otra. La única salvedad de la definición son las autoridades públicas que reciben datos en el marco de una investigación concreta conforme al Derecho de la Unión o de los Estados miembros.