L'RGPD inclou en el concepte de categories especials de dades les denominades dades especialment protegides a la LOPD, com són les opinions polítiques, les conviccions religioses o filosòfiques, l'afiliació sindical, les que revelen l'origen racial o ètnic i les relatives a la salut o a la vida o l'orientació sexual d'una persona. Però incorpora noves categories de dades com són les dades genètiques i les dades biomètriques.
Com ja hem vist al principi d'aquest mòdul en referir-nos a les definicions, l'RGPD considera com a dades genètiques les dades personals relatives a les característiques genètiques heretades o adquirides d'una persona física que proporcionen una informació única sobre la fisiologia o la salut d'aquesta persona, obtingudes, en particular, de l'anàlisi d'una mostra biològica d'aquesta persona.
I, com a dades biomètriques, les dades personals obtingudes a partir d'un tractament tècnic específic, relatives a les característiques físiques, fisiològiques o conductuals d'una persona física que permetin o confirmin la identificació única d'aquesta persona, com imatges facials o dades dactiloscòpiques.
Pel que fa a aquestes darreres, el considerant 51 recull un aclariment sobre el tractament de dades de fotografies i assenyala que no ha de considerar-se sistemàticament un tractament de categories especials de dades personals, ja que únicament es troben compreses en la definició de dades biomètriques quan el fet de ser tractades amb mitjans tècnics específics permet la identificació o l'autenticació unívoques d'una persona física.
Així mateix, l'RGPD preveu especialitats per al tractament de dades de condemnes, mesures de seguretat i infraccions penals, que no són considerades estrictament dades sensibles, però per al tractament de les quals s'estableixen limitacions.
Aquestes categories de dades només poden tractar-se sota la supervisió de les autoritats públiques o quan ho autoritzi el dret de la Unió o dels estats membres que estableixi garanties adequades per als drets i llibertats dels interessats.
Només pot dur-se un registre complet de condemnes penals sota el control de les autoritats públiques.
La regla general que s'estableix en el Reglament és la prohibició del tractament de categories especials de dades (art. 9). No obstant això, es recull un ampli ventall d'excepcions a aquesta regla general, com les següents:
a) l'interessat va donar el seu consentiment explícit per al tractament d'aquestes dades personals amb un o més dels fins especificats, llevat de quan el dret de la Unió o dels estats membres estableix que la prohibició esmentada en l'apartat 1 no pot ser aixecada per l'interessat;
el tractament és necessari per al compliment d'obligacions i l'exercici de drets específics del responsable del tractament o de l'interessat en l'àmbit del dret laboral i de la seguretat i protecció social, en la mesura en què així ho autoritzi el dret de la Unió dels estats membres o un conveni col·lectiu conforme al dret dels estats membres que estableixi garanties adequades del respecte dels drets fonamentals i dels interessos de l'interessat;
el tractament és necessari per protegir interessos vitals de l'interessat o d'una altra persona física, en cas que l'interessat no estigui capacitat, físicament o jurídicament, per donar-hi el consentiment;
el tractament el du a terme, en l'àmbit de les seves activitats legítimes i amb les degudes garanties, una fundació, una associació o qualsevol altre organisme sense ànim de lucre, la finalitat del qual sigui política, filosòfica, religiosa o sindical, sempre que el tractament es refereixi exclusivament als membres actuals o antics d'aquests organismes o a persones que hi mantinguin contactes regulars en relació amb els seus fins i sempre que les dades personals no es comuniquin fora sense el consentiment dels interessats;
el tractament es refereix a dades personals que l'interessat ha fet manifestament públiques;
b) el tractament és necessari per formular, exercir o defensar reclamacions o quan els tribunals actuïn en exercici de la seva funció judicial;
c) el tractament és necessari per raons d'un interès públic essencial, sobre la base del dret de la Unió o dels estats membres, que ha de ser proporcional a l'objectiu perseguit, respectar en el que és essencial el dret a la protecció de dades i establir mesures adequades i específiques per protegir els interessos i els drets fonamentals de l'interessat.
Com a motius d'interès públic emparat en habilitacions legals que n'exceptuen la prohibició, el mateix RGPD recull expressament els supòsits següents:
El tractament és necessari per a fins de medicina preventiva o laboral, avaluació de la capacitat laboral del treballador, diagnòstic mèdic, prestació d'assistència o tractament de tipus sanitari o social, o gestió dels sistemes i serveis d'assistència sanitària i social.
Sobre els tractaments duits a terme amb les finalitats esmentades, es preveu que el tractament el dugui a terme un professional subjecte a deure secret o sota la seva responsabilitat, així com qualsevol altra persona subjecta a l'obligació de secret:
El tractament és necessari per raons d'interès públic en l'àmbit de la salut pública, com la protecció davant amenaces transfrontereres greus per a la salut, o per garantir elevats nivells de qualitat i de seguretat de l'assistència sanitària i dels medicaments o productes sanitaris.
El tractament és necessari amb fins d'arxiu en interès públic, fins d'investigació científica o històrica o fins estadístics.
Finalment, s'admet que els estats membres puguin mantenir o introduir condicions addicionals, incloent-hi limitacions, sobre els tractaments de dades genètiques, biomètriques o de salut.
Espanya ho ha fet en l'article 9 de la Llei orgànica 3/2018, de 5 de desembre, de protecció de dades personals i garantia dels drets digitals, que disposa:
Article 9. Categories especials de dades.
- Als efectes de l'article 9.2.a) del Reglament (UE) 2016/679, per tal d'evitar situacions discriminatòries, el mer consentiment de l'afectat no és suficient per aixecar la prohibició del tractament de dades la finalitat principal de les quals sigui identificar-ne la ideologia, l'afiliació sindical, la religió, l'orientació sexual, les creences o l'origen racial o ètnic.
El que disposa el paràgraf anterior no impedeix el tractament d'aquestes dades a l'empara dels supòsits restants que s'estableixen en l'article 9.2 del Reglament (UE) 2016/679, quan escaigui.
- Els tractaments de dades establerts en les lletres g), h) i i) de l'article 9.2 del Reglament (UE) 2016/679 fonamentats en el dret espanyol han d'estar emparats en una norma amb rang de llei, que podrà establir requisits addicionals relatius a la seva seguretat i confidencialitat.
En particular, aquesta norma podrà emparar el tractament de dades en l'àmbit de la salut quan ho exigeixi la gestió dels sistemes i serveis d'assistència sanitària i social, pública i privada, o l'execució d'un contracte d'assegurança del qual l'afectat sigui part.