Artículo 4 — Definiciones
Las definiciones más relevantes del Art. 4 GDPR, con enfoque en datos de salud:
Dato personal (Art. 4.1)
Toda información sobre una persona física identificada o identificable («el interesado»).
Se considera identificable toda persona cuya identidad pueda determinarse mediante identificadores como nombre, DNI, datos de localización, identificador en línea, o elementos de la identidad física, fisiológica, genética, psíquica, económica, cultural o social.
Categorías especiales (Art. 9)
No se definen en el Art. 4 pero son clave: origen racial, opiniones políticas, religión, afiliación sindical, datos genéticos, datos biométricos, datos de salud, vida sexual u orientación sexual.
Dato genético (Art. 4.13)
Datos relativos a las características genéticas heredadas o adquiridas que aporten información única sobre la fisiología o la salud.
Incluye: análisis de cromosomas, ADN, ARN, y cualquier prueba genética (predictiva, portador, prenatal, etc.).
Dato biométrico (Art. 4.14)
Datos obtenidos a partir de un tratamiento técnico específico, relativos a las características físicas, fisiológicas o conductuales de una persona.
Incluye: huella dactilar, reconocimiento facial, iris, voz, pero solo cuando se usan para identificación unívoca.
Dato de salud (Art. 4.15) ⭐
Datos personales relativos a la salud física o mental de una persona física, incluida la prestación de servicios de atención sanitaria.
Alcance amplio. Incluye:
- Información sobre enfermedades pasadas, presentes o futuras
- Historial clínico (historia-clinica)
- Resultados de pruebas diagnósticas
- Información genética (se solapa con Art. 4.13)
- Número de historia clínica, recetas
- Información sobre consumo de alcohol, drogas, tabaco
- Datos de seguros de salud y evaluación de riesgos (seguros-salud)
- Información obtenida de wearables (si tiene finalidad sanitaria)
NO son datos de salud por sí solos: pasos contados, calorías quemadas (si no se vinculan a condición médica).
Responsable del tratamiento (Art. 4.7)
Persona física o jurídica que determina los fines y medios del tratamiento.
En el ámbito sanitario: el hospital, la clínica, el médico en ejercicio privado. Crucial para determinar quién responde en caso de breach.
Encargado del tratamiento (Art. 4.8)
Persona física o jurídica que trata datos por cuenta del responsable.
Ejemplo: proveedor de historias clínicas electrónicas (HCE), laboratorio externo, servicio cloud sanitario. Debe haber un contrato-encargado (Art. 28).
Destinatario (Art. 4.9)
Incluye: autoridades sanitarias, aseguradoras, familiares autorizados, investigadores (con salvaguardas, Art. 89).
Tercero (Art. 4.10)
Persona autorizada para tratar datos bajo autoridad directa del responsable/encargado.
Referencias
- ^[raw/papers/reglamento-gdpr-ue-2016-679-es.pdf] Art. 4
- gdpr-vision-general
- articulo-5-principios
- articulo-9-datos-salud