Aplicable en España — basado en normativa española (BOE).Cualquier operación realizada sobre datos personales, el concepto que activa la protección del RGPD y la LOPDGDD
Resumen rápido: El tratamiento de datos, en el sentido que le da la normativa de protección de datos personales, es cualquier operación o conjunto de operaciones realizadas sobre datos personales, con independencia de que se lleven a cabo por procedimientos automatizados o no.
Definición flash: El tratamiento de datos es cualquier operación realizada sobre datos personales -- recogida, uso, cesión, supresión-- que activa la protección del RGPD.
Etiqueta lingüística
«Tratamiento» procede del latín tractare, «manejar, manosear, ocuparse de algo repetidamente», frecuentativo de trahere («arrastrar, tirar de»). El verbo describe con precisión la idea que quiere transmitir la norma: no un acto único e instantáneo sobre un dato, sino cualquier forma de MANEJO continuado o repetido de la información —guardarla, moverla, consultarla, combinarla—, de ahí que la definición legal opte deliberadamente por una lista abierta y ejemplificativa de operaciones («como la recogida, registro, organización...») en vez de intentar acotar el concepto a un solo verbo.
Definición técnica
La definición del artículo 4.2 RGPD es intencionadamente amplísima: basta UNA sola de las operaciones enumeradas —incluso la mera «conservación» sin ningún uso activo posterior— para que exista tratamiento de datos personales y, con él, se active todo el régimen de garantías del Reglamento y de la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), que lo completa y desarrolla en el ordenamiento español. La norma distingue, dentro de las personas que intervienen en un tratamiento, entre el RESPONSABLE del tratamiento —quien determina los fines y medios del tratamiento— y el ENCARGADO del tratamiento —quien trata los datos por cuenta del responsable y siguiendo sus instrucciones—, distinción que determina un reparto distinto de obligaciones y responsabilidades entre ambos conforme a los artículos 4.7, 4.8 y 28 RGPD.
No todo dato relativo a una persona identificada o identificable recibe el mismo nivel de protección: el artículo 9 RGPD reserva una categoría reforzada, las llamadas «categorías especiales de datos» —origen étnico o racial, opiniones políticas, convicciones religiosas, afiliación sindical, datos genéticos, biométricos, de salud, o relativos a la vida u orientación sexual—, cuyo tratamiento está prohibido con carácter general salvo que concurra alguna de las excepciones tasadas que el propio precepto enumera, entre ellas el consentimiento explícito del interesado.
Aplicación práctica
Cualquier entidad, empresa o profesional que recoja, almacene o utilice datos de personas físicas identificadas o identificables está realizando un tratamiento de datos personales y, por tanto, queda sujeto a las obligaciones del RGPD y la LOPDGDD: informar al interesado sobre el tratamiento, contar con una base jurídica que lo legitime (consentimiento, ejecución de un contrato, cumplimiento de una obligación legal, interés legítimo, entre otras del artículo 6 RGPD), aplicar medidas de seguridad adecuadas y, en su caso, llevar un registro de las actividades de tratamiento conforme al artículo 30 RGPD.
Quien detecte que sus datos personales están siendo tratados de forma que considera irregular puede ejercitar los derechos que la norma le reconoce —acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad— frente al responsable del tratamiento, y, de no obtener respuesta satisfactoria, reclamar ante la Agencia Española de Protección de Datos, la autoridad de control española encargada de supervisar la aplicación del RGPD y sancionar sus incumplimientos.
Contexto legal en España
El tratamiento de datos personales se rige, con aplicación directa en España, por el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016 (RGPD), completado y desarrollado en el ordenamiento español por la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales.
Normas clave a tener en cuenta
- Artículo 4.2 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, RGPD (definición de tratamiento de datos personales)
- Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (desarrollo del RGPD en España)
- Ley Orgánica 3/2018, de Protección de Datos, artículo 30
- Artículo 4.2 del Reglamento, artículo 6
- Artículo 4.2 del Reglamento, artículo 9
Qué no es / diferencias clave
- Dato personal
- El DATO PERSONAL es el OBJETO sobre el que recae la protección: cualquier información relativa a una persona física identificada o identificable, conforme al artículo 4.1 RGPD. El TRATAMIENTO DE DATOS es la ACCIÓN o conjunto de acciones que se realizan sobre ese dato; puede haber datos personales sin tratamiento activo en un momento dado, pero no puede haber tratamiento sin datos personales sobre los que operar.
- Responsable del tratamiento
- El TRATAMIENTO DE DATOS es la actividad en sí misma. El RESPONSABLE DEL TRATAMIENTO es la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determina los fines y medios de ese tratamiento, conforme al artículo 4.7 RGPD: es quien responde jurídicamente de que la actividad de tratamiento cumpla la normativa, no la actividad misma.
- Consentimiento del interesado
- El TRATAMIENTO DE DATOS es la operación sobre el dato. El CONSENTIMIENTO es solo UNA de las varias bases jurídicas que, conforme al artículo 6 RGPD, pueden legitimar ese tratamiento —junto a la ejecución de un contrato, el cumplimiento de una obligación legal o el interés legítimo, entre otras—; puede existir tratamiento de datos lícito sin consentimiento del interesado, si concurre otra base jurídica válida de las que enumera la norma.
Términos relacionados
Dato de autoridad
El artículo 4.2 RGPD no exige que el tratamiento sea automatizado para existir como tal: incluye expresamente «ya sea por procedimientos automatizados o no». Un archivo físico en papel, organizado conforme a criterios específicos relativos a personas físicas, puede constituir tratamiento de datos personales sujeto al Reglamento igual que una base de datos informática.
Preguntas frecuentes sobre tratamiento de datos
¿Qué se considera tratamiento de datos personales?
Cualquier operación o conjunto de operaciones sobre datos personales, automatizada o no: recogerlos, registrarlos, conservarlos, consultarlos, comunicarlos a terceros, limitarlos o suprimirlos, conforme a la definición amplia del artículo 4.2 del RGPD.
¿Hace falta siempre el consentimiento del interesado para tratar sus datos?
No. El consentimiento es solo una de las bases jurídicas que legitiman el tratamiento según el artículo 6 del RGPD; también lo legitiman, entre otras, la ejecución de un contrato, el cumplimiento de una obligación legal o un interés legítimo del responsable debidamente ponderado.
¿Qué diferencia hay entre responsable y encargado del tratamiento?
El responsable determina los fines y medios del tratamiento y responde jurídicamente de su legalidad. El encargado trata los datos por cuenta del responsable y siguiendo sus instrucciones, normalmente mediante un contrato de encargo del tratamiento conforme al artículo 28 del RGPD.
¿Ante quién se reclama si se tratan mis datos personales de forma irregular en España?
Ante la Agencia Española de Protección de Datos, la autoridad de control encargada de supervisar la aplicación del RGPD y la Ley Orgánica 3/2018 y de sancionar sus incumplimientos, sin perjuicio de acudir después a la vía judicial.
Autoría y revisión editorial
Contenido elaborado bajo la dirección editorial de DERECHO ABOGADOS, verificando cada norma sobre fuentes oficiales (BOE y jurisprudencia).
Cada norma citada se verifica contra su texto consolidado en el BOE: se comprueba el identificador de la norma, que la redacción sea la vigente y que lo entrecomillado sea literal. Es una verificación editorial, no un visto colegiado. Este contenido es información general y no constituye asesoramiento legal sobre un caso concreto.