Línies bàsiques de la protecció de dades personals al sector públic (amb qüestionaris d'autoavaluació)

Article 4.3 del RGPD: qualsevol operació o conjunt d'operacions realitzades sobre dades personals o conjunts de dades personals, ja sigui per procediments automatitzats o no, com la recollida, el registre, l'organització, l'estructuració, la conservació, l'adaptació o la modificació, l'extracció, la consulta, la utilització, la comunicació per transmissió, difusió o qualsevol altra forma d'habilitació d'accés, acarament o interconnexió, limitació, supressió o destrucció.

La pseudonimització permet reduir els riscos sobre les dades personals, excloent-ne les dades que identifiquen de manera directa la persona durant una part del tractament. D'aquesta manera les dades personals no es poden atribuir a una persona identificada o identificable sense utilitzar determinada informació addicional, que cal mantenir separada i sota mesures de seguretat adequades.

L'article 5 del RGPD regula els principis de licitud, lleialtat i transparència, limitació de la finalitat, minimització, limitació de la conservació, exactitud, integritat i confidencialitat, i responsabilitat proactiva.

El RGPD ha reforçat l'obligació dels responsables del tractament de ser transparents respecte dels tractaments que porten a terme. Es concreta com a principi expressament regulat en l'article 5 del RGPD i dins del capítol III,que regula els drets de les persones.

El RGPD estableix que l'edat dels menors per consentir pot ser entre 13 i 16 anys i que són els estats membres qui ho han de regular. A l'Estat espanyol l'edat per consentir el tractament de les dades és de 14 anys.

El principi de limitació de la conservació de les dades obliga a conservar-les durant els terminis que siguin necessaris per acomplir la finalitat que es persegueix. En cada cas cal analitzar aquest termini i, en el cas de les administracions públiques, s'han de consultar les taules d'avaluació documental.

L'article 22 del RGPD regula el dret a no ser objecte de decisions individuals automatitzades i permet que les persones les impugnin i demanin la intervenció d'una persona.

L'enfocament en el risc i la responsabilitat proactiva són la base de totes les obligacions regulades pel RGPD i permeten flexibilitzar el règim jurídic quan el tractament de dades genera poc risc per als drets i les llibertats de les persones.

L'article 32 del RGPD regula l'obligació del responsable i de l'encarregat del tractament d'implantar les mesures de seguretat del tractament que correspongui segons el risc existent i, com a mínim, es refereix, entre d'altres, a la de verificar l'eficàcia de les mesures de seguretat adoptades sense especificar un termini concret per portar-les a terme.

Els codis de conducta, que són regulats en l'article 40 del RGPD, són d'adhesió voluntària i ajuden en el compliment de la responsabilitat proactiva.

El RGPD introdueix els conceptes de privacitat des del disseny i privacitat per defecte com a obligació. Això implica que el responsable ha d'aplicar, tant en el moment de determinar els mitjans de tractament com en el moment del tractament mateix, les mesures tècniques i organitzatives adequades concebudes per aplicar de manera efectiva els principis de protecció de dades (com, per exemple, la pseudonimització), i integrar les garanties necessàries en el tractament per complir els requeriments del RGPD. Així mateix, el responsable ha d'aplicar les mesures tècniques i organitzatives adequades per garantir que, per defecte, només es tracten les dades personals necessàries per a cada finalitat específica del tractament.

No es considera incompatible amb les finalitats inicials quan aquestes dades es tractin posteriorment amb finalitats d'arxiu en interès públic, amb finalitats de recerca científica i històrica o amb finalitats estadístiques.

Cal recordar que una dada personal és la que permet identificar una persona. En aquest cas, en no poder identificar la persona sense fer esforços desproporcionats, no estaríem davant d'una dada personal i, per tant, tampoc no seria aplicable la normativa de protecció de dades.

Article 4.11 del RGPD: consentiment de la persona interessada és qualsevol manifestació de voluntat lliure, específica, informada i inequívoca per la qual la persona interessada accepta, mitjançant una declaració o una acció afirmativa clara, el tractament de dades personals que l’afecten.

A través d'un menor no es poden recollir dades que permetin obtenir informació sobre la resta de membres del grup familiar. Es necessita el consentiment de les altres persones afectades. Només se li pot demanar el nom i cognoms i l'adreça dels pares o tutors per obtenir-ne el consentiment.

Si una persona no s'està d’acord amb la publicació en una xarxa social d’una foto seva o d’un vídeo en el qual resulti identificable, en pot sol·licitar al responsable de la xarxa social l'eliminació quan es donin determinades circumstàncies, entre les quals que les imatges no siguin pertinents o que concorrin determinades circumstàncies personals que facin prevaldre el dret a l'eliminació sobre el del manteniment. En el cas que les imatges o els vídeos els hagin facilitat menors o tercers durant la minoria d’edat, el responsable de la xarxa social els ha d’eliminar sense més requisits si la persona fa la petició de supressió un cop arribada la majoria d’edat.

Només cal tornar a demanar el consentiment si el tractament es basava en el consentiment tàcit, que el RGPD no permet.

El RGPD regula la legitimació per als tractaments en l'article 6 amb caràcter general i, específicament, per als tractaments de categories especials de dades en l'article 9. A més, prohibeix expressament que les autoritats públiques utilitzin l'interès legítim com a base per tractar les dades en l'exercici de les seves funcions.

Segons l'article 6.1.//f// del RGPD, el tractament és necessari per satisfer interessos legítims perseguits pel responsable del tractament o per un tercer, sempre que no hi prevalguin els interessos o els drets i les llibertats fonamentals de la persona interessada que requereixen la protecció de dades personals, especialment si la persona interessada és un nen. El que es disposa a la lletra //f// del primer paràgraf no s'aplica al tractament efectuat per les autoritats públiques en l'exercici de les seves funcions.

A l'efecte del RGPD, les caselles ja marcades, el consentiment tàcit o la inacció no constitueixen un consentiment vàlid. Es requereix una declaració inequívoca o una acció afirmativa clara per a cada una de les finalitats per a les quals es demana el consentiment.

El dret d'informació es regula en els articles 13 i 14 del RGPD i s'aplica tant si les dades es recullen directament de la persona interessada com si no. El RGPD ha ampliat la informació que cal facilitar a les persones, però es pot donar per capes per facilitar-ne la lectura i la comprensió.

El RGPD ha suprimit l'obligació de notificar els fitxers a les autoritats de control, però cal mantenir un registre de les activitats de tractament, que ha d'estar a disposició de l'autoritat, però no cal enviar-n'hi còpia.

La informació a facilitar en el moment de la recollida de les dades s'ha ampliat i exigeix que s'informi del termini de conservació de les dades o dels criteris per determinar-lo, de les dades de contacte del delegat de protecció de dades i de les transferències internacionals.

El responsable i l'encarregat del tractament i totes les persones que poden intervenir en qualsevol de les fases del tractament de dades de caràcter personal, estan obligats a guardar-ne secret.

Els responsables o els encarregats del tractament han d'elaborar un registre de les activitats del tractament que duguin a terme. El RGPD estableix determinades excepcions en l'elaboració d'aquest registre.

L'article 13.4 del RGPD estableix que no cal informar la persona interessada quan ja disposa de la informació.

L'enfocament en el risc i la seva derivació de fer una avaluació de riscos és una qüestió reiterada al llarg de l'articulat en relació amb els riscos derivats dels tractaments per als drets i les llibertats de les persones, no només respecte de la seguretat tecnològica.

L'article 37 del RGPD estableix que el responsable i l'encarregat del tractament han de designar un delegat de protecció de dades, quan: a. El tractament l'efectua una autoritat o un organisme públic, tret dels tribunals que actuen en l'exercici de la seva funció judicial. b. Les activitats principals del responsable o de l'encarregat consisteixen en operacions de tractament que, per raó de la seva naturalesa, del seu abast o de les seves finalitats, requereixen una observació habitual i sistemàtica de persones interessades a gran escala. c. Les activitats principals del responsable o de l'encarregat consisteixen en el tractament a gran escala de categories especials de dades personals, de conformitat amb l'article 9, i de les dades relatives a condemnes i infraccions penals a què es refereix l'article 10.

El delegat de protecció de dades és una figura nova que es regula en l'article 37 del RGPD i té com a funció supervisar el compliment de la normativa de protecció de dades dins de les organitzacions, i és el punt de contacte amb les autoritats de control. El RGPD permet que es nomeni un únic delegat per a diverses entitats.

El delegat de protecció de dades és una figura nova que es regula en l'article 37 del RGPD i que té com a funció supervisar i assessorar respecte del compliment de la normativa de protecció de dades dins de les organitzacions, i és el punt de contacte amb les autoritats de control.

Segons l'article 37.5 del RGPD, el delegat de protecció de dades s'ha de designar atenent a les seves qualitats professionals i, especialment, als coneixements especialitzats del dret, a la pràctica en matèria de protecció de dades i a la capacitat per exercir les funcions que té atribuïdes. No requereix cap certificació especial.

Article 4.12 del RGPD: una violació de seguretat és qualsevol violació de la seguretat que ocasiona la destrucció, la pèrdua o l'alteració accidental o il·lícita de dades personals transmeses, conservades o tractades d'una altra manera, o la comunicació o l'accés no autoritzats a aquestes dades.

Si de l'avaluació d'impacte sobre la protecció de dades resulta que el tractament establert pot infringir el RGPD, en particular quan el responsable no ha identificat o mitigat suficientment el risc, el responsable ha de fer una consulta a l'autoritat de control de protecció de dades competent.

Segons l'article 34.1 del RGPD, quan la violació de seguretat de les dades pot comportar un alt risc per als drets i les llibertats de les persones físiques, el responsable del tractament l'ha de comunicar a la persona interessada.

La notificació de la violació de seguretat a les autoritats s'ha de produir sense dilació indeguda i, si és possible, dins de les 72 hores següents que el responsable n'hagi tingut constància. En general, es considera que es té constància d'una violació de seguretat quan hi ha una certesa que s'ha produït i es té un coneixement suficient de la naturalesa i l'abast de la violació de seguretat. La mera sospita que hi ha hagut una fallada o la constatació que ha succeït algun tipus d'incident, sense que se'n coneguin mínimament les circumstàncies, encara no haurien de donar lloc a la notificació ja que, en la majoria dels casos, en aquestes condicions no es pot determinar fins a quin punt hi pot haver un risc per als drets i les llibertats de les persones interessades.

Segons l'article 5.1.f del RGPD, les dades personals han de ser tractades de manera que se'n garanteixi una seguretat adequada, incloent-hi la protecció contra el tractament no autoritzat o il·lícit i contra la pèrdua, destrucció o dany accidental, mitjançant l'aplicació de les mesures tècniques o organitzatives adequades (integritat i confidencialitat). Si tirem els documents a la paperera o els dipositem en un contenidor obert (sense destruir), aquests documents poden ser recuperats, d'una manera molt fàcil, per persones que no estarien autoritzades a accedir a aquesta informació.

Segons l'article 5.1.//f// del RGPD, les dades personals han de ser tractades de manera que se'n garanteixi una seguretat adequada, incloent-hi la protecció contra el tractament no autoritzat o il·lícit i contra la seva pèrdua, destrucció o dany accidental, mitjançant l'aplicació de les mesures tècniques o organitzatives adequades ("integritat i confidencialitat”). Si deixem la sessió de l'ordinador oberta i no bloquegem la pantalla, hi ha la possibilitat que algú pugui accedir a dades personals que nosaltres gestionem però a les quals cap altra persona no hauria de poder tenir accés.

Segons l'article 5.1.//f// del RGPD, les dades personals han de ser tractades de manera que se'n garanteixi una seguretat adequada, incloent-hi la protecció contra el tractament no autoritzat o il·lícit i contra la seva pèrdua, destrucció o dany accidental, mitjançant l'aplicació de les mesures tècniques o organitzatives adequades ("integritat i confidencialitat”). Si facilitem les nostres credencials d'accés (usuari i paraula de pas) a un tercer, tot el que faci aquest tercer pot quedar recollit com que ho hem fet nosaltres.