Qué es un dato sensible

Ejemplo ilustrativo: una gestoría de Valladolid quiere preparar una explicación para sus clientes sobre cómo leer una nómina. La opción rápida parece adjuntar la de un trabajador. Pero el documento puede incluir identificación, datos bancarios y una cuota sindical. La explicación no necesita contar la situación de esa persona.

La gestoría prepara una nómina inventada desde cero, sin correspondencia con ningún trabajador real. La IA redacta un borrador con esos conceptos. Una persona de la gestoría verifica la explicación y decide el texto final antes de enviarlo. Así puede probar la tarea sin introducir el expediente de alguien ni presentar una copia retocada como si fuese anónima.

El RGPD exige una base jurídica: una justificación legal para tratar datos personales. Para categorías especiales hace falta, además, una condición que permita levantar su prohibición general de tratamiento. El consentimiento explícito es una posibilidad cuando proceda; no es la única vía ni un permiso para cualquier finalidad. También cuentan la necesidad, los riesgos y las medidas que adoptes.

En España, el consentimiento tiene límites. Por sí solo no levanta esa prohibición cuando la finalidad principal es identificar ideología, afiliación sindical, religión, orientación sexual, creencias u origen racial o étnico. Por eso, pedir una firma al cliente no resuelve automáticamente el uso que quieres hacer. Antes de plantear una prueba con estos datos, revisa con quien lleve la protección de datos qué supuesto legal corresponde a tu tarea concreta.

Sustituir el nombre por una etiqueta puede dejar a la persona reconocible. En el expediente pueden quedar el cargo, fechas y detalles que permitan identificarla al combinarlos con otra información. Eso puede ser seudonimización: separar la identidad mediante información adicional. Los datos siguen siendo personales; no pasan a ser anónimos por llevar un nombre inventado.

Para hablar de datos realmente anónimos, no debe existir una probabilidad razonable de identificar a la persona. No hay un número universal de campos que baste con eliminar. Antes de compartir una copia, piensa también en lo que sabe quien la recibe y en qué podría relacionar.

Un documento puede merecer reserva aunque no identifique a ninguna persona. La ley de secretos empresariales exige que la información sea secreta, que tenga valor empresarial por serlo y que se hayan tomado medidas razonables para protegerla. Marcar cualquier archivo como interno no demuestra por sí solo que reúna esas condiciones.

La mesa de una cafetería sirve como recordatorio de prudencia: no dejarías a la vista un contrato reservado. Pero la comparación no determina si un uso es lícito. Que un dato sea público o que te lo haya enviado el cliente tampoco autoriza cualquier tratamiento. La pregunta sigue siendo qué uso concreto quieres hacer y bajo qué condiciones.

Antes de introducir un documento concreto, revisa su finalidad y contenido, y las condiciones del servicio. Usa la guía sobre datos de clientes en una IA para revisar ese uso.

Si necesitas ordenar el recorrido de esa información, puedes plantearlo en la consultoría de Ciade. La revisión del circuito debe concretar quién consulta, comparte y aprueba. Lleva inicialmente una descripción sin documentos personales ni secretos. El análisis jurídico del tratamiento corresponde a quien lleve tu protección de datos; una revisión del proceso no sustituye ese análisis.