Artículo 4 del RGPD: definiciones

• El otro establecimiento, el que decide sobre el tratamiento
• El de su administración central en la Unión, en todo caso
• El que trata el mayor volumen de datos personales de la Unión
• El que el responsable comunique a la autoridad de control

La regla general es que el establecimiento principal de un responsable con establecimientos en varios Estados miembros es el de su administración central en la Unión. Pero tiene una salvedad: si las decisiones sobre el tratamiento se toman en otro establecimiento de la Unión que puede hacerlas aplicar, el principal es ese. El volumen de datos no es criterio, y el responsable no lo elige comunicándolo a la autoridad de control.

• No, porque la pérdida no fue intencionada
• Solo si se acredita que un tercero accedió a los datos
• Solo si contenía categorías especiales de datos
• Sí, porque incluye la pérdida accidental de datos

La violación de la seguridad es toda violación que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales, o su comunicación o acceso no autorizados. La pérdida accidental basta: no hace falta intención ni que se pruebe que alguien llegó a acceder a los datos, y la definición no distingue por la clase de datos.

• Sí: solo es fichero el que está centralizado en un mismo lugar
• Solo si cada parte depende de un responsable distinto
• Solo si las sedes están en distintos Estados miembros
• No: lo es aunque esté repartido de forma funcional o geográfica

Un fichero es todo conjunto estructurado de datos personales accesibles con arreglo a criterios determinados, y la definición añade que da igual cómo esté organizado: centralizado, descentralizado o repartido de forma funcional o geográfica. Lo que cuenta es la estructura y la posibilidad de acceder por criterios, no que todo esté en un mismo sitio; repartirlo entre sedes, entre Estados o entre áreas de la organización no lo saca de la definición.

• Al encargado al que el responsable comunica los datos
• A quien recibe los datos sin tener la condición de tercero
• A la autoridad pública que los recibe en una investigación concreta
• A la empresa que recibe los datos personales de otra empresa

Destinatario es aquel a quien se comunican datos personales, se trate o no de un tercero; por eso lo es también quien no es tercero, como un encargado, y lo es la empresa que recibe datos de otra. La única salvedad de la definición son las autoridades públicas que reciben datos en el marco de una investigación concreta conforme al Derecho de la Unión o de los Estados miembros.

• Libre, específica, informada e inequívoca
• Libre, específica, informada y por escrito
• Libre, genérica, informada e inequívoca
• Libre, informada, inequívoca y ante notario

El consentimiento es una manifestación de voluntad libre, específica, informada e inequívoca. Específica significa que se presta para un tratamiento concreto, así que un consentimiento genérico no vale. Ni la forma escrita ni la intervención de un fedatario están entre las cualidades que exige la definición.

• La de responsable del tratamiento
• La de encargado del tratamiento
• La de tercero
• La de representante

El encargado es quien trata datos personales por cuenta del responsable. Aquí el responsable es el ayuntamiento, y la empresa trata los datos de sus empleados por encargo suyo. No es tercero, porque la definición de tercero excluye expresamente al encargado, ni representante, que es la persona que designa por escrito un responsable o encargado no establecido en la Unión.

• Cuando su identidad puede determinarse, directa o indirectamente
• Solo cuando su identidad puede determinarse por su nombre
• Cuando su identidad consta ya en un fichero del responsable
• Cuando ha consentido que se determine su identidad

Son datos personales los de una persona identificada o identificable, y es identificable aquella cuya identidad pueda determinarse directa o indirectamente: por un nombre, pero también por un número de identificación, datos de localización, un identificador en línea o rasgos físicos, económicos o sociales. No hace falta el nombre, ni que la identidad conste ya en un fichero, y el consentimiento nada tiene que ver con que un dato sea personal.

• Que produzca efectos jurídicos sobre la persona evaluada
• Que sea automatizado y evalúe aspectos personales de una persona
• Que trate categorías especiales de datos, como los de salud
• Que se haga sin intervención humana en ninguna de sus fases

La elaboración de perfiles es toda forma de tratamiento automatizado que usa datos personales para evaluar aspectos personales de una persona física, como su rendimiento profesional, su situación económica o sus preferencias. La definición no exige que el tratamiento produzca efectos jurídicos sobre la persona, ni que falte toda intervención humana, ni que se traten categorías especiales de datos.