La regla: ¿se puede saber quién es?
Para el RGPD, un dato personal es «toda información sobre una persona física identificada o identificable». Y es identificable quien se puede reconocer «directa o indirectamente», por un nombre, un número de identificación, datos de localización o «uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social»1.
La palabra clave es indirectamente. Si alguien que conoce el entorno puede averiguar de quién se habla, el documento sigue teniendo datos personales aunque no aparezca ningún nombre.
Datos que identifican por sí solos
Estos se ocultan casi siempre. La mayoría de los que están escritos los encuentra Copia limpia sola; las firmas, las fotos y las huellas se tapan a mano con un recuadro.
| Dato | Dónde suele estar | Ejemplo |
|---|---|---|
| Nombre y apellidos | Comparecencia, firmas, encabezados, anexos | Lucía Ferrer Almansa |
| DNI, NIE y pasaporte | Comparecencia, fotocopias de documentos | 12345678Z · X1234567L |
| Número de la Seguridad Social | Nóminas, contratos de trabajo, partes médicos | 28 1234567890 |
| Domicilio | Comparecencia, notificaciones, facturas | calle, número, piso, CP |
| Teléfono y correo | Datos de contacto, firmas de correo | 612 345 678 |
| IBAN y tarjetas | Cláusulas de pago, recibos, nóminas | ES91 2100 0418 … |
| CUPS de luz y gas | Facturas de suministros, contratos de alquiler | ES0021 0000 … |
| Matrícula | Atestados, siniestros, multas | 1234 BCD |
| Firma, foto y huella | Última página, documentos de identidad escaneados | imagen |
| Números de expediente de la persona | Historia clínica, número de empleado, referencia catastral de su vivienda | HC-0048213 |
Cuidado con ocultar solo una parte. La ley española prevé, para que las administraciones publiquen actos, identificar a la persona con su nombre y cuatro cifras de su DNI, y prohíbe publicar a la vez el nombre y el número completo2. La Agencia Española de Protección de Datos fijó cuáles: las posiciones cuarta a séptima (***4567**), siempre las mismas, para que juntando publicaciones distintas no se pueda reconstruir el número entero3. Si tapas cifras distintas en cada documento, alguien con dos copias puede recomponerlo.
Datos que identifican combinados
Un cargo, una fecha y una ciudad juntos pueden bastar para saber quién es.
Ninguno de estos basta por sí solo, pero juntos pueden señalar a una persona concreta, sobre todo en sitios pequeños o en casos conocidos:
- Fecha de nacimiento o edad exacta.
- Profesión o cargo, sobre todo si es único («la directora del colegio», «el único veterinario del pueblo»).
- Empresa o centro de trabajo, cuando tiene pocos empleados.
- Localidad, barrio o calle, si el lugar es pequeño.
- Parentescos («la hija del demandado»), con el nombre del familiar.
- Fechas y lugares concretos de los hechos.
- Rasgos físicos, apodos y descripciones.
- Direcciones IP, identificadores de usuario y cuentas en redes sociales.
El RGPD pide tener en cuenta «todos los medios» que razonablemente podría usar cualquiera para identificar a alguien, «como la singularización»1. En la práctica: pregúntate si un vecino, un compañero o un periodista podría deducir de quién se habla. Si la respuesta es sí, generaliza el dato («una localidad de la provincia de Valencia», «en 2024») o quítalo.
Datos especialmente protegidos
El RGPD da una protección reforzada a los datos que revelen «el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical», los datos genéticos, los biométricos que identifican a una persona, los de salud y los relativos a la vida u orientación sexual1 (artículo 9). También los relativos a condenas e infracciones penales (artículo 10).
Si un documento contiene este tipo de datos (un informe médico en una baja, una condena en un expediente laboral), revisa con más cuidado todo lo que permita saber de quién es: aunque quites el nombre, el diagnóstico unido al puesto de trabajo puede bastar. Y presta atención especial a menores y a víctimas.
Lo que en general se puede dejar
- Datos de empresas. El RGPD «no regula el tratamiento de datos personales relativos a personas jurídicas», incluidos su nombre y sus datos de contacto1 (considerando 14). La razón social y el CIF de una sociedad no son datos personales. Ojo con los autónomos: su nombre comercial suele ser su propio nombre, y su NIF es su DNI.
- Importes, fechas del contrato y números de factura, si no permiten llegar a una persona.
- Personas fallecidas. El RGPD no se les aplica (considerando 27), pero la ley española permite a familiares y herederos pedir el acceso, la rectificación o la supresión de sus datos2 (artículo 3). Tratarlos con cuidado sigue siendo lo prudente.
- Lo que el destinatario ya conoce y necesita. Si envías el contrato a la otra parte, sus propios datos no hace falta quitarlos. Lo que importa es quién más podrá leerlo.
Lista para repasar antes de enviar
Repásala con el documento al lado, dato por dato.
Nombres de todas las personas físicas, en todas sus formas: completo, solo apellido, iniciales, tratamiento («la Sra. Ferrer»).
Números: DNI, NIE, pasaporte, Seguridad Social, IBAN, tarjetas, CUPS, matrículas, expedientes.
Contacto: domicilios, teléfonos, correos, perfiles en redes.
Imágenes: firmas, sellos con nombre, fotos, documentos de identidad escaneados.
Códigos: CSV, QR y códigos de barras.
Combinaciones: cargo, lugar, fechas y parentescos que, juntos, delaten a alguien.
Datos especiales: salud, condenas, ideología, religión, afiliación sindical, vida sexual.
El archivo: título, autor y nombre del PDF.
Fuentes
- Reglamento (UE) 2016/679 (RGPD)arts. 4.1, 9 y 10; considerandos 14, 26 y 27 · BOE, DOUE-L-2016-80807
- Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitalesart. 3 y disposición adicional séptima · BOE-A-2018-16673
- Orientación para la aplicación provisional de la disposición adicional séptima de la LOPDGDDAgencia Española de Protección de Datos
Esta guía explica cómo funcionan los documentos y qué dicen las normas citadas; no es asesoramiento jurídico. Si tu caso tiene consecuencias legales, consúltalo con tu delegado de protección de datos o con un abogado.