Es dato personal cualquier información que haga referencia a personas físicas identificadas o identificables. Es decir, cuando se pueda identificar una persona por medios directos o indirectos (mediante cualquier información física, fisiológica, psíquica, económica, cultural o social), sin que sean necesarios esfuerzos desproporcionados. 

No solo son datos personales los datos identificativos, como el nombre y apellido, el DNI, o la dirección, sino cualquier dato que pueda identificar una persona, directamente o con combinación otros datos.

Las categorías especiales de datos personales requieren de un tratamiento singular. Son los datos sobre la salud, el origen racial o étnico, la vida sexual, la ideología, la afiliación sindical, la religión, las creencias, los datos genéticos y las biométricas. También tienen una consideración especial los datos sobre infracciones administrativas y penales.

NO son datos personales, los datos relativos a personas jurídicas, ni tampoco las relativas a personas ya muertas.

Los datos personales hay que tratarlos de acuerdo con los siguientes principios básicos:

• Finalidad: Solo se pueden recoger y tratar los datos para finalidades determinadas, explícitas y legítimas. Y no pueden ser tratados para otras finalidades.
• Necesidad: Solo se pueden tratar los datos que sean adecuados, pertinentes y no excesivos según la finalidad para los cuales han sido recopilados. Hay que cancelar los datos cuando dejen de ser necesarios.
• Exactitud y actualidad: Los datos tienen que ser exactos. Hay que actualizarlos para que respondan a la situación real del afectado.
• Integridad y Confidencialidad: Los datos tienen que ser tratados de forma que se garantice una seguridad adecuada, incluida la protección contra un tratamiento no autorizado o ilícito, contra su pérdida, destrucción o daño. La seguridad se tiene que garantizar mediante medidas técnicas y organizativas adecuadas. 
• Licitud, lealtad y transparencia: Los datos personales se tienen que tratar de manera lícita, esto es de acuerdo con alguna de las condiciones que legitiman el tratamiento (artículo 6 RGDP), leal y transparente en relación con el interesado. 

Son derechos de las personas:

• Derecho de información: hay que informar la persona, entre otros, de la identidad del responsable del tratamiento, la finalidad del tratamiento y la posibilidad de ejercer sus derechos (artículo 11 LOPDGDD, artículo 13 RGPD). Generalmente, se realiza añadiendo una leyenda informativa al formulario de recogida de datos. Podéis consultar como la UPF, como responsable de determinados tratamientos, garantiza este derecho de información.  
• Consentimiento: es necesario para el tratamiento de datos personales, excepto que una ley disponga otra cosa (artículo 6 LOPDGDD). Supuestos especiales: menores, personas incapacitadas legalmente, categorías especiales de datos personales, cesiones de datos, tratamiento para otras finalidades a las inicialmente previstas.
• Derecho de acceso: la persona tiene derecho a recabar del responsable del tratamiento la confirmación de si se están tratando o no datos personales que lo afectan. Si efectivamente se están tratando, la persona tiene derecho a acceder a estos datos y a obtener información tal como: la finalidad del tratamiento, las categorías de datos personales de que se trata, el plazo previsto por la conservación de estos datos, etc. (artículo 15 RGDP)
• Derecho de rectificación: la persona tiene derecho a obtener del responsable del tratamiento la rectificación de los datos personales inexactos que lo afectan. La persona también tiene derecho a la compleción de los datos personales incompletos (artículo 16 RGDP).   
• Derecho de supresión: La persona tiene derecho a obtener del responsable del tratamiento la supresión de los datos personales que lo afectan. En todo caso el responsable tendrá que suprimir, entre otros, los datos personales que ya no son necesarios en relación con las finalidades por los que fueron recogidos o tratados (artículo 17 RGDP).
• Derecho de limitación: la persona tiene derecho a obtener la limitación del tratamiento de los datos siempre que concurran una serie de circunstancias, entre las cuales encontramos: la impugnación de la exactitud de los datos o la ilicitud de los datos (artículo 18 RGDP).  
• Derecho de portabilidad: la persona tiene derecho recibir en un formato estructurado, de uso común y lectura mecánica los datos que ha facilitado al responsable del tratamiento. También tiene derecho a migrar sus datos personales de un responsable de tratamiento a otro siempre que el tratamiento se base en el consentimiento o en un contrato, y el tratamiento se efectúe por medios automatizados (artículo 20 RGDP).
• Derecho de oposición: la persona tiene derecho a no ser objeto de una decisión basada únicamente en el tratamiento automatizado de datos, incluida la elaboración de perfiles, que produzca efectos jurídicos o lo afecte significativamente de forma parecida (artículo 21 RGDP)

El responsable de los datos y sus trabajadores tienen los deberes siguientes:

• Tratar los datos de acuerdo con los principios establecidos legalmente.
• Garantizar los derechos de las personas.
• Guardar el secreto de los datos personales, incluso después de haber dejado el puesto de trabajo.
• Protección desde el diseño: el responsable tiene que aplicar, tanto en el momento de determinar los medios del tratamiento como en el momento del tratamiento, las medidas técnicas y organizativas adecuadas concebidas para aplicar de forma efectiva los principios de protección de datos e integrar en el tratamiento las garantías necesarias para cumplir la legislación aplicable. 
• El Delegado de Protección de Datos (DPD) supervisará el cumplimiento de la legislación aplicable en materia de protección de datos así como las acciones del responsable en materia de protección de datos. También tiene la función de asesorar al responsable respeto la evaluación de impacto relativa a la protección de datos y supervisar su aplicación.

• Cesiones de datos: Revelaciones de datos personales a una persona diferente del afectado. Solo se pueden comunicar datos a un tercero para fines directamente relacionados con las finalidades legítimas del responsable del fichero o del tercero, con el consentimiento previo del interesado. No requieren el consentimiento los casos previstos legalmente. Publicar datos en internet se considera hacer una cesión de datos. No hay cesión cuando se facilitan datos anonimizados.
• Encargo de tratamiento: Realización de tratamiento de datos por terceros cuando es necesario para la prestación de un servicio al responsable de los ficheros (no se considera una cesión de datos). Hace falta un contrato o convenio donde se regule el tratamiento de los datos, finalidad, medidas de seguridad, retorno o destrucción de los datos al finalizar el servicio, etc.
• Transferencia internacional: Tratamiento de datos que implica su transmisión a países fuera del Espacio Económico Europeo.  Sometida a requisitos especiales (Agencia Española de Protección de Datos)