Datos de categoría especial bajo GDPR: qué es y cómo manejarlo

Escrito porHubSecure Equipo editorial

Guías prácticas para portales de clientes seguros, RBAC, incorporación y operaciones de clientes regulados.

Revisado porHubSecure Security & Compliance Review

Revisado para determinar el posicionamiento de seguridad, la precisión del flujo de trabajo y la claridad de la implementación.

Última actualizaciónMay 7, 2026

Comparado con el sitio de marketing actual HubSecure y el posicionamiento del producto.

Los datos de categoría especial son datos personales que se relacionan con aspectos particularmente sensibles de la vida de una persona, aspectos en los que el uso indebido puede causar daños graves, como la discriminación, la violencia o daños financieros o sociales significativos. GDPR El artículo 9 establece una prohibición por defecto de procesar los datos de categoría especial, con una lista cerrada de excepciones.

Relacionados HubSecure

CRM CRM guía CRM cumplimiento CRM para empresas crecientes CRM módulo HubSpot cumplimiento de la comparación CRM guía guía Guía Biblioteca reservar un flujo de trabajo

Seguridad relacionada, privacidad y recursos de gobernanza

Continuar con HubSecure centro de seguridad y confianza, acuerdo de procesamiento de datos, subprocesadores, flujos de trabajo de cumplimiento, operador de IA gobernado.

Caso de uso relacionado

Esta guía pertenece al grupo de guías de consolidación de herramientas y alternativas de espacio de trabajo. Continúe con el centro de productos para alternativas de espacio de trabajo y consolidación de herramientas.

Lo que cuenta como datos de categoría especial

Las siguientes categorías se definen en el artículo 9, apartado 1:

• Origen racial o étnico
• Opiniones politicas
• Creencias religiosas o filosóficas
• Afiliación sindical
• Datos genéticos
• Datos biométricos donde se procesan con el fin de identificar de forma única a una persona (impresiones, reconocimiento facial)
• Datos de salud, incluyendo salud física y mental, discapacidad, registros de salud
• Datos relativos a la vida sexual o la orientación sexual

Los datos sobre condenas y delitos penales se abordan por separado en virtud del artículo 10 y están sujetos a restricciones similares: el procesamiento sólo está permitido por la autoridad oficial o autorizado por la legislación nacional.

Condiciones del artículo 9 para el procesamiento

Procesar datos especiales de categoría requiere una de las siguientes condiciones (además de una base legal del artículo 6):

• El consentimiento explícito, más exigente que el consentimiento ordinario, debe ser específicamente para los datos de la categoría especial
• Obligaciones en materia de empleo y seguridad social, por ejemplo, procesamiento de datos sobre la salud para la prestación por enfermedad y el alojamiento para discapacitados
• Intereses vitales, donde el individuo no puede dar su consentimiento (emergencias médicas)
• Órganos sin ánimo de lucro con intereses legítimos, limitados únicamente a miembros y ex miembros
• Datos hechos públicos por el individuo - sólo si lo han manifestado públicamente
• Reclamaciones jurídicas: establecimiento, ejercicio o defensa de procedimientos judiciales
• Interés público sustancial, con arreglo al derecho nacional, con salvaguardias proporcionales
• Con fines médicos o de salud - obligación de secreto profesional requerida
• Salud pública en virtud de la legislación nacional
• Archivar, investigar, estadísticas, según el derecho nacional, con salvaguardias

Ejemplos prácticos para empresas reguladas

Law firms

Las cuestiones relativas a los daños personales, la inmigración, la discriminación en el empleo o el derecho de familia suelen incluir datos de salud, datos de origen racial o datos sobre la vida sexual. Proceso en virtud del artículo 9 2) f) (reclamaciones jurídicas) con consentimiento explícito como base secundaria cuando proceda. Asegurar que los archivos de materia con datos de categoría especial estén sujetos a controles de acceso mejorados.

Proveedores de atención médica

Los datos de salud son el núcleo del negocio. La condición del artículo 9(2)(h) (propósitos médicos, secreto profesional) abarca la mayoría del procesamiento clínico. Los sistemas deben hacer cumplir estrictamente el acceso basado en funciones y las rutas de auditoría completas.

Empleadores

Procesar los datos sobre la salud de los empleados para la ausencia de enfermedad, el alojamiento para personas con discapacidad o las evaluaciones de la salud en el trabajo normalmente se basan en el artículo 9 2) b) (obligaciones relativas a la legislación sobre el empleo). No recopilar habitualmente información sobre la salud más allá de lo que se requiere para fines específicos de empleo.

Requisitos adicionales para datos de categorías especiales

• El procesamiento a gran escala de los datos de categoría especial activa automáticamente un requisito de DPIA (párrafo 3 del artículo 35 b)))
• Los sistemas que contengan datos especiales de categoría deben aplicar una mayor seguridad — cifrado en reposo y tránsito, controles estrictos de acceso, almacenamiento separado cuando sea posible
• El personal con acceso debe recibir capacitación específica sobre el manejo de información confidencial
• Los períodos de retención deben revisarse cuidadosamente; los datos especiales de las categorías deben mantenerse generalmente durante el período más breve defensible

Si un cliente menciona su estado de salud al pasar, ¿tenemos datos de categoría especial?

Sí, si se graba. Una nota en un CRM o archivo que hace referencia a la condición de salud de un cliente significa que su registro ahora contiene datos de categoría especial. Revise si necesita retener esa información para el asunto o si puede ser eliminado. Si se mantiene, asegúrese de que se aplique la condición apropiada del artículo 9.

¿Los datos de antecedentes penales se ajustan al artículo 9?

Los datos sobre condenas y delitos penales están comprendidos en el artículo 10 en lugar del artículo 9, pero están sujetos a restricciones similares. El procesamiento sólo está permitido por la autoridad oficial o específicamente autorizado por la legislación nacional. Los controles de antecedentes penales relacionados con la LMA pueden autorizarse en virtud de la legislación nacional sobre LMA.

Revisión de los equipos regulados

Preparado por el equipo editorial HubSecure para operadores, líderes de cumplimiento y revisores de TI que evalúan software seguro de operaciones cliente.

Autores · Revisores · Política editorial