Si bé, crec que és important que sapiguem, també, què és ben bé una dada personal, ja que hi ha persones que pensen que són les dades tant de particulars com d'empreses i no és així. La llei de protecció de dades només protegeix les dades personals de persones físiques, en tant que particulars. Per exemple, si jo actuo en nom d'una empresa, com a representant, contacte... aquestes dades meves, com a contacte, ja no seran personals. Per tant, el correu corporatiu que puguem tenir de l'empresa o el telèfon, no és una dada subjecta a la normativa de protecció de dades.
I què és llavors exactament una dada personal? Doncs la llei la defineix com qualsevol dada relativa a persones físiques, identificades o identificables. Així, tot i que una dada, a priori, no permeti identificar una persona; si, vinculada a una altra dada, permet identificar-la, estarem davant d'una dada personal.
Anant més enllà, amb qualsevol d'aquestes dades, un nom, cognoms, domicili, número de DNI, un correu electrònic, una imatge o fotografia, una veu... es pot arribar a identificar a algú i per tant, es tracta de dades personals.
La llei, però, va més enllà i distingeix tres tipus de protecció en atenció a la sensibilitat i risc d'aquestes dades. Un nivell bàsic de protecció, que afectaria les dades merament identificatives; un nivell mitjà, per a dades relatives a infraccions penals o administratives o bé qualsevol dada que permeti identificar la personalitat d'una persona (currículums, qüestionaris sobre aficions...) i un nivell alt per a dades que es consideren més sensibles, com la ideologia, salut, vida sexual, religió... Així, en funció del nivell de protecció, la llei ens exigirà més o menys mesures de seguretat destinades a aquesta mateixa protecció de l'individu i a un correcte tractament de les seves dades.