Datos de categoría especial del RGPD: qué son y cómo usarlos
· Actualizado el
Joaquín Trapero in Experto en inteligencia artificial y privacidad, y fundador de Nonimo.
Una nómina, un correo de baja, una petición de horario: casi nunca pone «dato sensible» en ninguna parte, y aun así lo llevan. Por eso acaban en el chat de una IA sin que nadie lo haya decidido.
Aquí te cuento cuáles son, qué excepciones prevé el reglamento y qué quitaría yo antes de pegar nada, con el papel de una asesoría laboral o de un despacho delante.
Son los datos que revelan origen étnico, opiniones políticas, religión o afiliación sindical, más los genéticos, los biométricos que identifican, los de salud y los de vida u orientación sexual. El artículo 9 prohíbe tratarlos salvo excepción.
Para usarlos con una IA, el RGPD pide esa excepción y, si el proveedor los trata por tu cuenta, contrato de encargado. Aun así, procura que la IA no sepa de quién son.
Qué son los datos de categoría especial del RGPD: la lista del artículo 9
El artículo 9.1 del RGPD prohíbe, como regla general, tratar estos datos, y la AEPD también los llama sensibles. La palabra que me haría levantar la vista es «revelen»: el papel no tiene que decir que Juan está afiliado, basta con que se deduzca.
El Tribunal de Justicia lo dijo el 1 de agosto de 2022 (asunto C-184/20): publicar en la web de una autoridad datos que dejan ver de forma indirecta la orientación sexual ya es tratar categorías especiales. Por eso conviene repasar todo lo que identifica en un documento, más allá del título.
Toca una categoría y mira dónde suele esconderse en un papel de oficina.
Dónde aparece cada categoría, con ejemplos de ficción
Afiliación sindical. Línea de la nómina: «Cuota sindical: 13,50 €». La empresa la descuenta si el sindicato lo pide y el afiliado está conforme (artículo 11.2 de la Ley Orgánica de Libertad Sindical).
Salud. Correo: «Estaré de baja por depresión desde el lunes». Cuenta cualquier información sobre una enfermedad, venga de donde venga (considerando 35). Hasta el reverso del permiso lleva códigos de este tipo, y por eso conviene anonimizar el carnet de conducir antes de mandar la copia.
Convicciones religiosas. Petición: «Querría salir una hora antes durante el Ramadán». La permite, con acuerdo entre las partes, el artículo 12 de la Ley 26/1992. El acuerdo con las comunidades judías (Ley 25/1992) hace lo mismo con la tarde del viernes y el sábado, y el acta de un matrimonio dice en qué forma religiosa se celebró.
Opiniones políticas. Un relato de asilo que cuenta una militancia, o un correo: «El domingo voy de interventora de mi partido y el lunes entro más tarde». No hace falta ninguna casilla: basta esa frase.
Vida u orientación sexual. Libro de familia o demanda de divorcio con los nombres de dos cónyuges del mismo sexo. El texto no dice nada de su orientación y aun así la deja ver.
Origen étnico o racial. Expediente de extranjería: «Pertenece a una minoría perseguida en su región». La etnia va en el relato, no en una casilla.
Biometría que identifica. La plantilla de la huella del sistema de fichaje. La guía de la AEPD trata como categoría especial tanto la identificación como la autenticación. El listado de horas que sale de ese sistema, que es lo que le suele llegar a una asesoría, no lleva biometría.
Datos genéticos. Informe pericial de filiación: el resultado de la prueba es el asunto, así que aquí no hay recorte posible. Son pocos papeles, y en estos lo único que puedes quitar es quién es la persona.
Categorías del artículo 9.1 del RGPD. Los ejemplos son inventados; las normas citadas son las de España.
Y si te preguntas cuántos tipos de datos distingue el RGPD, lo reduzco a tres casilleros. El tercero es el que más se olvida, y lo verás en un momento con los antecedentes penales.
| Tipo | Qué entra | Qué te pide |
|---|---|---|
| Datos personales corrientes | Nombre, DNI, teléfono, salario | Una base del artículo 6 |
| Categorías especiales | La lista del artículo 9.1 | Una base del artículo 6 y una excepción del 9.2 |
| Condenas e infracciones penales | Antecedentes, certificados | El artículo 10 del RGPD y el 10 de la LOPDGDD |
Ejemplos de datos sensibles que no lo parecen: nómina, baja y horario
Nadie pegaría en un chat una ficha titulada «afiliación sindical de la plantilla». Lo que se pega es una nómina para revisar un descuento, o una exportación con su columna de observaciones, y por ahí empieza la limpieza de un CSV de nóminas.
Con la baja pasa algo parecido. Desde el 1 de abril de 2023, el INSS comunica a la empresa los datos «de carácter meramente administrativo» del parte (artículo 7.2 del Real Decreto 625/2014), y el código de diagnóstico va al INSS (artículo 2.2). Si alguien cuenta por correo su depresión, eso es dato de salud.
Y luego está lo que nadie mira: la nota del orador viaja en el archivo aunque no la proyectes. Esta lista la pasaría antes de pegar cualquier papel de recursos humanos.
¿Hay categoría especial en tu documento?
Marca lo que aparezca, aunque sea de pasada.
0 de 7
Si no marcas nada, esta lista no te frena. Repasa aun así las observaciones, las notas y las columnas ocultas.
Así no lo pegaría todavía. El artículo 9 pide una excepción del 9.2; si no la ves clara, quita antes lo marcado.
Criterio propio a partir del artículo 9.1 del RGPD. La lista se queda en tu navegador.
En una hoja de nóminas, esa línea es una columna, y se borra: una columna oculta sigue en el archivo. No me fiaría de ocultarla.
Artículo 9 del RGPD: qué excepción necesitas para usar estos datos
Con un dato corriente te basta una base del artículo 6, como el contrato o una obligación legal. Con uno especial necesitas además una excepción del 9.2, porque lo normal es la prohibición. Tener contrato con tu cliente no te da permiso para tratar la religión de su trabajador.
En las nóminas, la letra que se mira suele ser la b), la del Derecho laboral y la Seguridad Social; en un despacho de abogados, la f), la de las reclamaciones. Cada una vale para su finalidad. Para revisar el descuento de una baja, la cuota sobra. Para demandar por discriminación sindical, no.
¿Qué excepción del artículo 9.2 podría encajar con este texto?
¿El texto deja ver un dato de la lista del artículo 9.1?
¿La tarea que le pides a la IA necesita ese dato?
¿Para qué tratas ese dato?
Elaboración propia con los artículos 5, 6, 9 y 28 del RGPD. Solo recoge las letras más habituales en una oficina; tu caso puede pedir otra.
Yo no apoyaría nada en una firma. El artículo 9.1 de la LOPDGDD dice que el solo consentimiento no basta cuando la finalidad principal es identificar ideología, afiliación, religión, orientación, creencias u origen. Deja abiertas las demás letras, así que, si ya encaja la b), me quedo con la b).
Tampoco te libras si el dato llega sin pedirlo. Guardarlo, reenviarlo o pegarlo ya es tratarlo. Pasa cuando un asegurado cuenta su lesión en el correo del siniestro, y por eso la IA para corredurías de seguros deja el nombre en la oficina.
Quién necesita qué cuando el texto sale de tu oficina
| Quién | Qué hace falta | Dónde está explicado |
|---|---|---|
| Tú | Una base del artículo 6 y una excepción del 9.2 | Esta sección |
| El proveedor de IA | Contrato de encargado (artículo 28), que una cuenta personal no suele traer | Qué IA es conforme al RGPD |
| Un intermediario que conserva los prompts | El mismo contrato | Qué es un AI gateway |
| Tu cliente | Saber que usas IA, si tu encargo lo pide | La cláusula de la hoja de encargo |
Artículos 6, 9 y 28 del RGPD. Cada guía enlazada trae el detalle y sus fuentes.
Hay una reforma en marcha. La propuesta de ómnibus digital, COM(2025) 837, de noviembre de 2025, añadiría al artículo 9 una letra k) para datos especiales residuales en sistemas de IA. El Consejo fijó su mandato el 21 de octubre de 2026; a 7 de noviembre, el Parlamento sigue pendiente en comisión.
Hoy no es ley. El mandato la limita al tratamiento incidental que el responsable no buscaba y, en un considerando, deja fuera lo que recibe el sistema durante su uso. El CEPD y el SEPD, en febrero de 2026, dijeron lo mismo de los prompts. Yo no contaría con ella en un chat.
¿Se pueden subir datos de salud a ChatGPT? Mi respuesta
La AEPD, en su decálogo para la ciudadanía del 27 de enero de 2026, aconseja no dar a la IA datos personales ni información sensible, cita los detalles médicos y propone describir un caso ficticio. A mí me vale para cualquier asistente, aunque tengas la excepción y el contrato en regla.
Lo que cambia de una cuenta a otra es el contrato y lo que OpenAI conserva de lo que pegas.
Si trabajas con pacientes, además pesa el secreto profesional, que explico en la guía de informes médicos.
| Lo que le llega al chat | Qué te falta o te sigue haciendo falta | Qué haría yo |
|---|---|---|
| Nombre y diagnóstico, con cuenta personal | Excepción del 9.2 y contrato de encargado | No lo haría |
| Nombre y diagnóstico, con plan de empresa y anexo de tratamiento | Excepción del 9.2, y que la tarea necesite el dato | Solo si no hay otra manera |
| Diagnóstico con etiquetas en lugar del nombre | Excepción del 9.2: para ti sigue siendo dato personal | Lo normal, con plan de empresa |
| Un supuesto inventado, sin nadie real detrás | Nada: no hay dato personal, si no se reconoce a nadie | Lo primero que probaría |
Elaboración propia con los artículos 9 y 28 del RGPD y el decálogo de la AEPD. La columna de la derecha es opinión mía.
Afiliación sindical y finalidad: el caso RENFE de 1994
El caso que mejor me explica este riesgo tiene más de treinta años. RENFE descontó salario por una huelga y el descuento alcanzó a un afiliado de CC.OO. que no había parado. Fíjate en de dónde sacó la nómina a quién descontar.
Un dato dado para una cosa y usado para otra
Paros parciales en RENFE, respaldados por CC.OO. y CGT.
A este trabajador se le descuenta sin más criterio que su afiliación, dice el Tribunal, que habla de una «clave informática». La clave 893 de los afiliados a CC.OO. la nombra la demanda.
La Agencia de Protección de Datos sanciona a RENFE por infracción muy grave. La demanda cifra la multa en 50.000.001 pesetas. Según la sentencia, en el expediente quedó acreditado que el 99 % de los errores afectó a afiliados de los convocantes.
La Sentencia 11/1998 del Constitucional da la razón al trabajador: un dato sensible se usó para una finalidad «radicalmente distinta».
Tribunal Constitucional, Sentencia 11/1998, antecedentes 2 y 3 y fundamentos 1, 4 y 5.
Hoy el mecanismo me parece el mismo. La cuota está en la nómina para pagar al sindicato; si esa nómina entra en un chat para otra cosa, el dato sale de su finalidad. Por eso escribiría la regla en un documento de reglas de la oficina, sin fiarlo a la memoria de cada uno.
La sentencia añade algo incómodo (fundamento 6): en ese caso la vulneración no dependía de dolo ni de culpa, y bastaba el nexo con el daño. Si ya ha salido un texto que no debía, empieza por qué hacer ante una brecha con IA.
Las pólizas, en cambio, suelen mirar la intención, y lo cuento al repasar lo que excluyen los seguros de ciberriesgos en España.
Datos sensibles en extranjería y familia: asilo, antecedentes y cónyuge
En un despacho de extranjería o de familia, lo que le pides resumir a la IA es justo lo que protege el artículo 9. Preparar una solicitud de asilo es escribir la religión, la militancia o la orientación de alguien, los motivos que recoge hoy el Reglamento (UE) 2024/1347.
Yo no quitaría ese relato, porque es el trabajo. Quitaría quién lo cuenta: sin nombre, sin NIE y sin teléfono, el proveedor recibe una historia; con ellos, una ficha. Si va la foto del documento, se tapa antes, casilla a casilla.
| Expediente | Qué lleva | Qué se queda | Qué quito yo |
|---|---|---|---|
| Asilo | Religión, militancia, orientación, etnia | El relato | Nombre, NIE, pasaporte, teléfono, y los lugares y fechas que señalen |
| Residencia temporal | Certificado de antecedentes penales | Si hay antecedentes, solo si la tarea lo pide | Nombre, NIE y número de expediente |
| Divorcio | Salud de los hijos, informe psicológico, forma del matrimonio | Lo que afecte al asunto | Nombres de todos, también el del cónyuge |
Los antecedentes no son categoría especial. Tienen régimen propio en el artículo 10 del RGPD y en el 10 de la LOPDGDD, que deja a abogados y procuradores recoger lo que les facilitan sus clientes para ejercer sus funciones. Y aparecen porque la residencia temporal exige no tenerlos (artículo 31.5 de la Ley Orgánica 4/2000).
El cónyuge también revela. Yo cambiaría su nombre siempre, aunque no sea tu cliente. Eso no saca el texto del RGPD, como explico en anonimizar o seudonimizar datos para la IA.
Qué quitar de un documento con datos sensibles antes de pegarlo en la IA
El dato especial no siempre se puede separar de la tarea. La persona, casi siempre. Mi objetivo es que el proveedor reciba el qué sin el quién, igual que cuando lo manda una aplicación por API, y por ahí se corta la fuga de datos con IA.
Por este orden, antes de pegar
Criterio propio, con la minimización del artículo 5.1.c) del RGPD como punto de partida.
Para el paso 2 puedes empezar por lo más mecánico: pega aquí el texto y te digo qué números con formato fijo lleva.
¿Qué números con formato fijo lleva tu texto?
El texto se queda en tu navegador. Busca DNI o NIE, IBAN, correo, teléfono español y matrícula. No detecta nombres, direcciones ni datos de salud.
Te enseño lo que quedaría de un correo de baja, con una tarea tan simple como redactar una respuesta amable. Sin el nombre, la enfermedad y la religión, la respuesta me saldría igual de amable, y después la completaría a mano.
El mismo correo, antes y después, con datos de ficción
Noelia Vidal, DNI 12345678Z, teléfono 600 000 000: estoy de baja por depresión desde el lunes, irá para largo, y durante el Ramadán querría salir una hora antes.
Una trabajadora comunica una baja de larga duración y pide adaptar su horario durante un mes, algo que la empresa puede pactar con ella.
Ejemplo inventado y reescrito a mano: quita también lo que ninguna herramienta reconoce como identificador.
Ahora bien, el proveedor no sabe de quién habla, pero tú guardas la llave para revertirlo y para ti no queda anónimo. El considerando 26 trata los datos seudonimizados como información sobre una persona identificable. Tu tratamiento sigue necesitando su excepción: no bajes la guardia por haber quitado el nombre.
Evaluación de impacto con categorías especiales: cuándo la pide la AEPD
El artículo 35.3 del RGPD exige evaluación de impacto si tratas categorías especiales a gran escala. La lista de la AEPD va más allá: con dos o más de sus criterios, en la mayoría de los casos toca hacerla, salvo que estés en la lista de los que no la requieren.
A mi juicio, un despacho que pega de costumbre expedientes con estos datos en una IA generativa ya reúne dos. Una consulta suelta no es eso. Si en tu oficina es lo habitual, yo la haría y la documentaría, como cuento en nuestra guía sobre el RGPD y la IA.
Cuenta tus criterios de la lista de la AEPD
Marca los que se cumplan en lo que hace tu oficina.
0 de 5
Con uno o ninguno, esta lista no te empuja a hacerla. Vuelve a contar si cambia lo que haces.
Con dos o más, en la mayoría de los casos toca hacerla. Plantéaselo a tu DPD antes de seguir.
Lista orientativa del artículo 35.4 de la AEPD, resumida: tiene once criterios y no es exhaustiva. Esto te ayuda a preparar la decisión, sin sustituirla. La lista se queda en tu navegador.
Una nómina con cuota sindical en Nonimo: qué cambia antes de pegar
Nonimo funciona en cada puesto, en Mac y en Windows. Seleccionas el fragmento, pulsas la tecla asignada y los identificadores se convierten en marcas antes de llegar al chat. Cuando vuelve la respuesta, cada marca recupera su valor en tu pantalla.
Una nómina inventada, antes y después de pasar por Nonimo
Trabajador: Marcos Belda Ferrer. DNI: 99999999R. NUSS: 99 00441726 53. Salario base: 1.640,00 €. Cuota sindical CCOO: 13,50 €. Incapacidad temporal del 8 al 19 de septiembre (contingencia común). Revisa si el descuento por la baja está bien calculado.
Trabajador: [PERSONA_1]. DNI: [DNI_1]. NUSS: [NUSS_1]. Salario base: 1.640,00 €. Cuota sindical CCOO: 13,50 €. Incapacidad temporal del 8 al 19 de septiembre (contingencia común). Revisa si el descuento por la baja está bien calculado.
Todo es inventado: el DNI y el NUSS no pertenecen a nadie. Marcado en naranja, lo que Nonimo cambia.
Fíjate en lo que no cambia. Nonimo quita quién es y deja el qué, así que la IA revisa la baja sin saber de quién es. La cuota sigue ahí, y en tu lado la nómina sigue necesitando su excepción. Para esta pregunta, además borraría esa línea a mano.
La sustitución ocurre en tu ordenador, así que esa nómina no pasa por nosotros; más en la página de seguridad.
Para las aplicaciones de tu empresa que llaman a la API de OpenAI, la misma sustitución se hace en tu servidor con Nonimo Gateway.
Tratar datos sensibles con IA: por dónde empezar
Empezaría por una sola pregunta: ¿la IA necesita el dato especial para esta tarea? Casi siempre sale que no, y entonces se borra. Déjalo por escrito para todo el equipo en tu política de uso de IA.
Si la tarea no necesita el dato
- Borra la línea entera.
- Quita también quién es.
- Pega solo lo que hace falta.
Si la tarea sí lo necesita
- Mira qué excepción del artículo 9.2 encaja.
- Usa una cuenta con contrato de encargado.
- Quita la persona y lo que la delata.
- Cuenta tus criterios de evaluación de impacto.
Para quitar quién es sin hacerlo a mano, Nonimo cambia en tu ordenador nombres, DNI y números de expediente por marcas. La línea de la cuota o la baja la decides tú.
Si sois varios en la misma oficina, tienes la página de organizaciones.
Qué excepción del 9.2 ampara lo que haces lo valora quien responde del tratamiento, con quien le asesore en protección de datos; aquí tienes lo publicado a 7 de noviembre de 2026.
Fuentes
- RGPD, texto del DOUE en el BOE. Artículos 4.13 a 4.15, 5.1.c), 6, 9, 10, 28 y 35, y considerandos 26 y 35.
- Ley Orgánica 3/2018 (LOPDGDD), texto consolidado en el BOE. Artículos 9.1 (el solo consentimiento) y 10 (datos penales, abogados y procuradores).
- Tribunal de Justicia de la UE, sentencias C-184/20, de 1 de agosto de 2022, y C-21/23, Lindenapotheke, de 4 de octubre de 2024. Orientación sexual revelada de forma indirecta; pedidos de medicamentos, también sin receta.
- CEPD y SEPD, dictamen conjunto 2/2026 sobre el ómnibus digital, 10 de febrero de 2026. La propuesta de artículo 9.2.k) y 9.5, y lo recogido por prompts.
- Consejo de la UE, mandato de negociación, documento 14756/26, acordado el 21 de octubre de 2026. El artículo 9.2.k) y el considerando que limita la excepción.
- Parlamento Europeo, Observatorio Legislativo, procedimiento 2025/0360(COD). COM(2025) 837, de 19 de noviembre de 2025, y la fase: pendiente de decisión en comisión.
- AEPD, lista de tratamientos que requieren evaluación de impacto. La regla de dos o más criterios y los criterios 4 a 7, 9 y 10.
- AEPD, decálogo para usar herramientas de IA, 27 de enero de 2026. Detalles médicos y supuesto inventado.
- AEPD, citadas por título: ¿Qué son los datos sensibles?, la pregunta frecuente sobre las bases de legitimación de las categorías especiales y la Guía sobre control de presencia mediante sistemas biométricos, noviembre de 2023.
- Tribunal Constitucional, Sentencia 11/1998, de 13 de enero. Clave 893 y multa, según la demanda; el 99 %, según los antecedentes; la finalidad y el dolo, fundamentos 5 y 6.
- Ministerio del Interior, qué es la protección internacional. Los motivos de persecución y el Reglamento (UE) 2024/1347; la Ley 12/2009, solo en lo compatible.
- Real Decreto 625/2014 (BOE-A-2014-7684), citado por título. Artículos 2.2 y 7.2, en la redacción del Real Decreto 1060/2022, en vigor desde el 1 de abril de 2023.
- Ministerio de Justicia, certificado de antecedentes penales. Qué acredita ese papel.
- Normas en el BOE, citadas por título: Ley Orgánica 11/1985 (artículo 11.2) · Leyes 25/1992 y 26/1992 (artículo 12) · Código Civil (artículo 60) · Ley Orgánica 4/2000 (artículo 31.5).
Consultadas el 7 de noviembre de 2026.
Preguntas frecuentes
¿Qué son los datos de categoría especial en el RGPD?
Son los datos que el artículo 9 protege con más fuerza. Incluyen salud, religión, opiniones políticas, afiliación sindical, origen étnico, orientación sexual, datos genéticos y biométricos que identifican. Tratarlos está prohibido salvo excepción.
¿Cuáles son 3 ejemplos de datos personales sensibles?
Un diagnóstico, una cuota sindical en la nómina y una petición de horario por Ramadán. Los tres son de categoría especial aunque el papel no lo diga, porque el artículo 9 alcanza a lo que los revela.
¿Qué se considera un dato de salud según el RGPD?
Cualquier información sobre la salud física o mental, pasada, presente o futura. Cuenta una baja explicada por correo y, según el Tribunal de Justicia (2024), un pedido en línea de medicamentos de farmacia, aunque no lleven receta.
¿Cuáles son las 4 clasificaciones de datos?
El RGPD no habla de cuatro clasificaciones. Separa datos personales corrientes, categorías especiales y datos penales. Las escalas de público, interno, confidencial y restringido suelen salir de políticas internas de seguridad, no de este reglamento.
¿Qué artículo del RGPD define los datos sensibles?
El artículo 9.1 los enumera, bajo el nombre de categorías especiales. El artículo 4 define además los genéticos, los biométricos y los de salud. Las excepciones que levantan la prohibición están en el artículo 9.2.
¿Se pueden subir datos de salud a ChatGPT?
Depende, y yo no subiría datos que identifiquen a nadie. El RGPD pide una excepción del artículo 9.2 y contrato con el proveedor, y la AEPD aconseja no compartir detalles médicos. Mejor describe el caso sin decir de quién es.
¿Qué tipo de información no se debe compartir con ChatGPT?
La AEPD aconseja no dar datos personales ni información sensible. Cita los detalles médicos y propone plantear un supuesto inventado. Por mi parte, en el trabajo sumaría cualquier papel de un cliente que no hayas limpiado antes.
¿Sirve el consentimiento del trabajador para pasar esos datos a una IA?
No siempre basta. Si la finalidad principal es identificar ideología, afiliación, religión, orientación sexual, creencias u origen, la LOPDGDD dice que el solo consentimiento no levanta la prohibición. Quedan abiertas las demás excepciones del artículo 9.2.