Línies bàsiques de la protecció de dades personals al sector públic (amb qüestionaris d'autoavaluació)

Article 4.1 del RGPD: són dades personals qualsevol informació sobre una persona física identificada o identificable (la persona interessada). S'ha de considerar persona física identificable qualsevol persona la identitat de la qual es pot determinar, directament o indirectament, en particular mitjançant un identificador, com per exemple un nom, un número d'identificació, dades de localització, un identificador en línia o un o diversos elements propis de la identitat física, fisiològica, genètica, psíquica, econòmica, cultural o social d'aquesta persona.

Article 4.7 del RGPD: la persona física o jurídica, autoritat pública, servei o qualsevol altre organisme que, sol o juntament amb d'altres, determina les finalitats i els mitjans del tractament; si el dret de la Unió Europea (UE) o dels estats membres en determina les finalitats i els mitjans del tractament, el responsable del tractament o els criteris específics per al seu nomenament els pot establir el dret de la UE o dels estats membres.

Article 4.8 del RGPD: la persona física o jurídica, autoritat pública, servei o qualsevol altre organisme que tracta dades personals per compte del responsable del tractament.

Article 9.1 del RGPD: són categories especials de dades les dades personals que revelin l'origen ètnic o racial, les opinions polítiques, les conviccions religioses o filosòfiques o l'afiliació sindical, i el tractament de dades genètiques, dades biomètriques destinades a identificar de manera unívoca una persona física, dades relatives a la salut o dades relatives a la vida sexual o les orientacions sexuals d'una persona física.

Article 4.14 del RGPD: dades biomètriques són les dades personals obtingudes a partir d'un tractament tècnic específic, relatives a les característiques físiques, fisiològiques o conductuals d'una persona física, que permeten o confirmen la identificació única d'aquesta persona, com ara imatges facials o dades dactiloscòpiques.

Els contractes d'encàrrec formalitzats abans de l'aplicació del RGPD, el maig de 2018, s'han d'adaptar per respectar aquest contingut. D'acord amb la disposició transitòria cinquena de la LOPDGDD 3/2018, els contractes i els acords d'encàrrec del tractament establerts abans del 25 de maig de 2018 mantenen la vigència fins a la data de venciment assenyalada en els contractes i els acords. Si es tracta d'encàrrecs amb durada indefinida, mantenen la vigència fins al 25 de maig de 2022.

En qualsevol cas, durant la vigència del contracte o acord, qualsevol de les parts pot exigir a l'altra la modificació del contracte per adaptar-la al que estableix l'article 28 del RGPD.

Les dades de caràcter personal que tracten les entitats, empreses o altres ens per dur a terme les seves funcions, no pertanyen a aquestes, sinó a les persones amb les quals es relacionen. Aquestes són les autèntiques propietàries de la seva informació personal.

El RGPD ha inclòs les dades genètiques i les dades biomètriques entre les categories especials de dades. Les dades biomètriques són dades personals obtingudes a partir d'un tractament tècnic específic, relatives a les característiques físiques, fisiològiques o conductuals d'una persona física, que permeten o confirmen la identificació única d'aquesta persona (imatges facials, dades dactiloscòpiques, etc.).

L'article 9 del RGPD estableix les situacions en les quals es poden tractar dades de categories especials, com ara quan es compti amb el consentiment explícit de la persona interessada o sigui necessari per protegir interessos vitals, entre d'altres.

El contracte ha d'establir com a mínim l'objecte, la durada, la naturalesa i la finalitat del tractament, el tipus de dades personals i les categories de persones interessades, així com les obligacions i els drets del responsable. El contracte també ha d'establir si, un cop finalitzada la prestació dels serveis, les dades es tornaran a la persona responsable o es destruiran.

Les decisions que adopta l'encarregat del tractament han de respectar les instruccions del responsable del tractament.

El responsable del tractament ha de triar un encarregat del tractament que ofereixi prou garanties respecte de la implantació i el manteniment de les mesures tècniques i organitzatives apropiades, d'acord amb el que estableix el RGPD, i que garanteixi la protecció dels drets de les persones afectades.

L'article 4 del RGPD inclou la definició de persona interessada en l'apartat 1 "qualsevol informació sobre una persona física identificada o identificable (la persona interessada). S’ha de considerar persona física identificable qualsevol persona la identitat de la qual es pot determinar, directament o indirectament, en particular mitjançant un identificador, com per exemple un nom, un número d'identificació, dades de localització, un identificador en línia o un o diversos elements propis de la identitat física, fisiològica, genètica, psíquica, econòmica, cultural o social d'aquesta persona".

La regulació de la relació entre el responsable i l'encarregat del tractament s'ha d'establir a través d'un contracte, conveni o acord, o d'un acte jurídic que els vinculi. El contracte o l'acte jurídic ha de constar per escrit, incloent-hi el format electrònic.