Concepto clave 1 — Datos personales
Si puede saber a quién se refiere una información, es un dato personal.
Un dato personal es cualquier información sobre una persona natural identificada o identificable. La definición es amplia a propósito, y es la misma idea en casi todas las leyes de protección de datos.
- Identificadores directos: nombre, número de DNI o pasaporte, foto, correo electrónico con nombre
- Identificadores indirectos: número de cliente o de empleado, teléfono, placa del vehículo, dirección IP, ID del dispositivo, ID de cookie
- Información sobre una persona: sueldo, evaluaciones de desempeño, historial de compras, datos de ubicación, opiniones sobre la persona
- Combinaciones: cargo + área + sede pueden señalar a una sola persona, aunque no haya nombre
- No son datos personales: datos de empresas (p. ej. la facturación de una empresa), estadísticas realmente anónimas y, en la mayoría de las leyes, los datos de personas fallecidas
- Datos identificables: "María López, cliente 4711, compró una laptop": totalmente cubiertos por la ley
- Datos seudonimizados: "El cliente 4711 compró una laptop": la clave para reidentificar a la persona sigue existiendo en algún lugar, por lo que siguen siendo datos personales. La seudonimización es una buena medida de seguridad, no una salida de la ley.
- Datos anonimizados: "El 35 % de los clientes de Lima compró una laptop": nadie puede identificar a la persona con un esfuerzo razonable, por lo que los datos quedan fuera de la ley de protección de datos
- Regla práctica: la anonimización debe ser irreversible. Los grupos pequeños, los atributos poco comunes o los conjuntos de datos combinables suelen permitir la reidentificación.