La protección de datos resulta un ámbito en constante crecimiento, debido a las nuevas tecnologías y los peligros que éstas suponen para nuestra privacidad. Como núcleo de la protección de datos, tenemos precisamente eso: el «dato personal». Pero, ¿qué es un dato personal? La respuesta la encontramos en el RGPD, pero es posible que la definición jurídica no cubra todos los datos que sí debería. A ello se le añaden la doctrina del TJUE o la doctrina del TEDH en relación a los «datos relativos a la vida privada y familiar». Junto a ello nos aparecerá, asimismo, el «dato no personal» que también ha sido definido por el Derecho de la UE, y que están fuera de la aplicación del RGPD, pero ¿tienen alguna protección? En ese ámbito irrumpirán los llamados metadatos, que son datos no personales per se, pero que pueden suponer una amenaza a la privacidad. Por ello, el TJUE hizo unos pronunciamientos de gran relevancia respecto a esos «datos no personales» (técnicamente), que han derivado en lo que se puede denominar como la teoría del «dato personal compuesto» o «teoría del perfil», un dato que es al mismo tiempo personal y no personal (híbrido); ello unido a la combinación de datos y a la agregación de datos. En todo ello, también, deberemos tener presente la seudonimización y la anonimización, pero especialmente la posibilidad de reidentificar a una persona. Y, por último, es necesario abordar el análisis relativo a la pertenencia del dato personal y su comercialización, respondiendo para ello a dos preguntas: ¿de quién es el dato?, y ¿son nuestros datos objetos de comercio? Recibido: 11.01.2021Aceptado: 18.06.2021

Data protection is an area in constant growth, due to new technologies and the dangers they pose to our privacy. At the core of data protection, we have just that: «personal data». But what is a personal data? The answer is found in the GDPR, but the legal definition may not reach all the data that it should. To this is added the doctrine of the CJEU, or the doctrine of the ECHR in relation to «data relating to private and family life». Along with this, we will also see the «non-personal data» that has also been defined by EU law, and that is outside the application of the GDPR, but do they have any protection? In this area, so-called metadata takes relevance, which is non-personal data per se, but which can pose a threat to privacy. For this reason, the CJEU made some highly relevant pronouncements regarding these «non-personal data» (technically), which have resulted in what can be called the theory of «composite personal data» or «profile theory», a data which is both personal and non-personal (hybrid); this coupled with the combination of data and the aggregation of data. In all this, we must also bear in mind the pseudonymization and anonymization, but especially the possibility of re-identifying a person. And finally, it is necessary to address the analysis regarding the ownership of personal data (data ownership) and its commercialization, answering two questions: whose data is it? And are our data objects of commerce? Received: 11.01.2021Accepted: 18.06.2021