Mientras los datos de carácter personal están cubiertos por el Reglamento (UE) 2016/679 de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación, los datos no personales se regulan por el Reglamento (UE) 2018/1807, relativo a un marco para la libre circulación de datos no personales en la Europea Unión, aplicable a partir del 28 de mayo de 2019. La segunda de las normas comunitarias trata de garantizar la libre circulación de los datos electrónicos que no tengan carácter personal (siguiendo los parámetros establecidos en el artículo 4, punto 1, del Reglamento (UE) 2016/679) en la UE mediante el establecimiento de pautas relativas a los requisitos de localización de datos, la disponibilidad de los datos para las autoridades competentes y la portabilidad de datos para los usuarios profesionales.
Los avances tecnológicos han provocado que la frontera entre datos personales y no personales en estos conjuntos de datos sea cada vez menos nítida. Los datos no personales son información que no puede vincularse a una persona identificada o identificable como los datos registrados por requisitos de mantenimiento (por ejemplo, robots industriales). Ahora bien, si un informe de control de calidad en una línea de producción permite relacionar los datos con ciertos operarios en particular (por ejemplo, aquellos que establecen los parámetros de producción), dichos datos se deben considerar datos personales y ha de aplicarse el Reglamento 2016/679. Se aplicarán las mismas reglas cuando la evolución de la tecnología y los análisis de datos haga posible convertir datos anónimos en datos personales (Comunicación de la Comisión Europea sobre Orientaciones sobre el Reglamento relativo a un marco para la libre circulación de datos no personales en la Unión Europea de 29 de mayo de 2019).
De hecho, ya existen algunos casos judiciales donde se ha concluido que la asociación de datos se podía llevar a cabo sin grandes esfuerzos y, por ello, se debían cumplir las garantías de protección de datos de carácter personal. Así, en la SAN 8 de marzo de 2002 (JUR2002143289) se confirmó la sanción impuesta por desvío de finalidad del tratamiento de datos a una empresa que, en virtud de contrato con otra empresa dedicada a la realización de encuestas, proporcionó a ésta determinados registros de su fichero “gestión de personal” con datos relativos a número de teléfono, sexo, edad, destino y cargo de sus trabajadores. O también la SAN de 24 de enero de 2003 (JUR 2006275817), donde se cuestionaban que las imágenes captadas por la webcam situada en la redacción de un conocido diario pudieran ser consideradas «datos de carácter personal», y, de otra parte, que pueda considerarse como «tratamiento de datos» la trasmisión de aquellas imágenes a través de Internet mediante la sucesión de fotos fijas que cambian cada 15 segundos y que no se conservan en archivo alguno. En otras ocasiones, se hace un uso de los datos disociados con la finalidad de ocultar información que, en un primer momento, tendría que ser prestada, por ejemplo, cuando una sección sindical empieza a recibir la copia básica de los contratos de trabajo con datos disociados, es decir, tan sólo con alguna información (STSJ de Madrid de 4 de noviembre de 2011, AS 20112581).
Además, cabe preguntarse sobre los datos de conjuntos mixtos. Los conjuntos de datos mixtos representan la mayoría de los conjuntos de datos utilizados en la economía de datos y son comunes debido a desarrollos tecnológicos como el Internet de las cosas (es decir, objetos que se conectan digitalmente), la inteligencia artificial y las tecnologías que permiten el análisis de macrodatos. En el caso de un conjunto de datos compuesto por datos personales y no personales, el Reglamento 2018/1807 se aplica a los datos no personales del conjunto de datos. Cuando los datos personales y los no personales de un conjunto de datos estén inextricablemente ligados, el Reglamento 2018/1807 se aplica sin perjuicio del Reglamento (UE) 2016/679 (art. 2 del Reglamento 2018/1807). Esto significa que el Reglamento de libre circulación de datos no personales se aplica a la parte de datos no personales del conjunto de datos así como la disposición de libre circulación del Reglamento general de protección de datos se aplica a la parte de datos personales del conjunto de datos; y si la parte de datos no personales y las partes de datos personales están «inextricablemente ligados», los derechos y obligaciones de protección de datos derivados del Reglamento general de protección de datos se aplicarán completamente a todo el conjunto de datos mixtos, incluso cuando los datos personales representen solo datos una pequeña parte del conjunto de datos (Comunicación de la Comisión Europea sobre Orientaciones sobre el Reglamento relativo a un marco para la libre circulación de datos no personales en la Unión Europea).
Por último, la Agencia Española de Protección de Datos ha publicado muy recientemente una nota técnica llamada La K-Anonimidad como medida de la privacidad, donde advierte del riesgo de que, una vez que se ha anonimizado un conjunto de datos, se pueda producir una desanonimización de éstos. Por ello, es necesario tener una estimación objetiva de cuál es la probabilidad de reidentificación a partir del conjunto de cuasi-identificadores y, de esa forma, tener una medida de dicho riesgo. Para gestionar este problema y evitar la desanonimización de un conjunto de datos, se recomienda la técnica K-anonimización.
