Transcripcions pòdcasts Parlem de dades personals

Parlem de dades. Un podcast de l’Escola d’Administració Pública de Catalunya i l’Autoritat Catalana de Protecció de Dades. Primer capítol: El dret d’accés garantit per la normativa de protecció de dades.

Hola!

En aquest àudio analitzarem el dret d’accés garantit per la normativa de protecció de dades, en concret per l’article 15 del Reglament europeu i l’article 13 de la Llei orgànica 3/2018. Aquesta anàlisi, però, no la farem des d’un punt de vista doctrinal o acadèmic, sinó pràctic. Comentarem algunes de les situacions o dels problemes que es donen més sovint i com els hauria d’abordar el responsable del tractament de dades personals.

Comencem!

En la primera situació que analitzarem la persona sol·licitant demana accedir a la informació sobre ella que està incorporada en un expedient. Per fer-ho invoca expressament el dret d’accés a informació pública regulat en la Llei 14/2019, d’accés a informació pública i bon govern. Com hem de tramitar aquesta sol·licitud? Com un dret d’accés a dades personals regulat pel Reglament europeu o com un dret d’accés a informació pública?

El que determina si el que es demana encaixa en el dret d’accés establert en la normativa de protecció de dades o no, no depèn de la normativa que s’invoqui o del formulari estandarditzat que s'hagi utilitzat, sinó de la pretensió que es formuli. Així doncs, si el que desitja la persona peticionària és accedir a les seves dades, cal atorgar a la seva sol·licitud la naturalesa d’un exercici de dret d’accés establert en la normativa de protecció de dades i, per tant, tramitar-la com a tal.

Una altra situació en la qual ens podem trobar és que a la còpia de l’expedient que la persona interessada ha demanat en exercici del seu dret d’accés establert en la normativa de protecció de dades, hi figurin dades de terceres persones. Això comporta que hagi de tramitar aquesta sol·licitud com un accés a informació pública?

La resposta a aquesta pregunta és que no. Que en l’expedient s’identifiquin persones diferents de la sol·licitant no és una circumstància que en si mateixa impedeixi donar satisfacció al dret d’accés exercit i garantit per la normativa de protecció de dades. Això sí, cal tenir en compte els punts següents:

També ens podem preguntar si per complir el dret d’accés exercit n’hi ha prou de facilitar una còpia de les dades.

En principi no. Això passa perquè el dret d’accés no només inclou el dret a obtenir una còpia de les dades, sinó també a obtenir altra informació, com ara la informació sobre l'origen o els destinataris d'aquestes dades, els fins del tractament i tot allò que disposa l’article 15 del Reglament. No obstant això, si la petició de la persona interessada és clara i demana exclusivament una còpia de la informació, podríem considerar que amb el lliurament d’aquesta còpia estaríem satisfent el dret d’accés exercit. Insistim, però, que la petició de la persona sol·licitant ha de ser molt clara en aquest sentit.

Analitzem ara què passaria si la persona interessada demana accés a les seves dades incorporades en un expedient d’informació reservada encara en tràmit. Podem facilitar-li aquesta informació?

La resposta és que no. La fase d’informació prèvia a l’inici d’un procediment disciplinari o sancionador té caràcter reservat i, per tant, mentre aquesta fase estigui oberta, la pretensió d’accés ha de decaure davant aquest caràcter reservat.

També pot ser que la persona interessada ens demani accedir a la identitat de la persona que la va denunciar. Li hem de facilitar aquesta informació?

Com hem dit abans, el dret d’accés abasta el dret a conèixer tota la informació de què es disposi sobre l’origen de les dades. Des d’aquest punt de vista, doncs, la persona interessada tindria dret a conèixer la identitat de la persona que l’ha denunciada. Ara bé, no podrem facilitar aquesta informació si, com a responsables del tractament, vam estimar el dret d’oposició exercit per la persona denunciant, que demanava que les seves dades no fossin comunicades a la persona denunciada.

Ens podem trobar, però, en la situació que la persona denunciant no hagi exercit el seu dret d'oposició prèviament a la petició d’accés de la persona denunciada. Què cal fer en aquests casos?

Doncs bé, cal tenir en compte que el dret d’accés no ha d’afectar negativament els drets o les llibertats d’altres. Per tant, res no impediria que, si les circumstàncies del cas ho aconsellen, traslladem la petició d’accés a la persona denunciant per tal que aquesta tingui l’oportunitat d’oposar-se que la seva identitat sigui revelada a la persona denunciada. I, un cop disposem de tota la informació, caldrà ponderar quin dels drets en conflicte ha de ser sacrificat en favor de l’altre. Per fer-ho caldrà posar a la balança, d'una banda, el dret a la protecció de dades de la persona denunciant, així com altres drets que aquesta hagi pogut al·legar (com ara el dret a la integritat física o la seguretat); i, de l'altra, el dret d’accés de la persona denunciada a conèixer l’origen de les seves dades, juntament amb l’eventual concurrència d’altres drets, com per exemple el dret a la defensa.

Canviem ara d'escenari: imaginem que un usuari d’un hospital sol·licita conèixer la identitat del personal del centre que ha accedit a la seva història clínica.

Aquesta informació no forma part del dret d’accés garantit per la normativa de protecció de dades, perquè l’accés per part de les persones que treballen a l’hospital no és una comunicació de dades i, per tant, aquestes persones no són destinatàries de la informació. Diferent és que l’hospital pugui facilitar aquesta informació basant-se en l’eventual apreciació d’un interès legítim de la persona sol·licitant, cosa que s’haurà d’analitzar en el cas concret.

A continuació analitzarem dues situacions que tenen a veure amb els estudis dels fills. La primera: què passa si els progenitors demanen a una universitat accedir a les qualificacions del seu fill o filla major d’edat.

En aquest cas els progenitors no estarien demanant accés a unes dades pròpies, sinó a les d’una tercera persona, per això conèixer aquesta informació no formaria part del seu dret d’accés. Una qüestió diferent és que es pugui facilitar aquesta informació als progenitors basant-se en la concurrència d’un interès legítim, que s’hauria de valorar en el supòsit concret. A l'últim, convé aclarir que en cas que els progenitors actuïn en representació del fill o filla sí que els podem proporcionar la informació demanada.

També ens pot passar que el pare d’un infant demani accedir al seu expedient escolar, però al centre educatiu li consti que els progenitors estan divorciats. Podem proporcionar aquesta informació?

En aquest cas sí que podem proporcionar la informació. Ambdós progenitors, si no han estat privats de la potestat parental, poden actuar en representació legal del fill o filla menor i, per tant, el centre escolar els ha de proporcionar aquesta informació.

Dit això cal assenyalar que, depenent de la naturalesa de la informació a la qual es vulgui accedir, aquest dret d’accés exercit per algun dels progenitors en representació legal del o de la menor es pot veure limitat si hi ha un conflicte entre aquests i l’infant o entre els dos progenitors.

Una sol·licitud freqüent és la de l’accés a dades d’una persona difunta. Hem de facilitar aquesta informació?

Si les persones que demanen l’accés estaven vinculades a la persona difunta per raons familiars o de fet, o bé són els seus hereus, se'ls ha de proporcionar, llevat que la persona difunta ho hagués prohibit expressament o una norma hagi establert una altra cosa.

I per acabar resolem un parell de dubtes genèrics. En quin format hem de facilitar la informació? Com a responsables del tractament, podem escollir-lo?

La persona sol·licitant és qui pot triar el format. En cas que no ho faci, si la sol·licitud l’ha formulada per mitjans electrònics, la informació se li ha de facilitar també per aquest mitjà. En cas que no es doni cap d’aquests supòsits, se li pot proporcionar la informació en el format que es consideri més adient, sempre que hi pugui accedir de manera senzilla i gratuïta.

I, finalment, si la persona sol·licitant demana que se li faciliti la informació per correu electrònic, però aquesta conté dades d’especial protecció, què podem fer?

El que és procedent, d'una banda, és enviar per correu electrònic la informació en un arxiu encriptat i, de l'altra, sempre per un altre mitjà (per exemple, per SMS), enviar la contrasenya.

Mitjançant aquests exemples hem resolt alguns dubtes freqüents que, com a responsables del tractament de dades personals, us podeu trobar a l’hora de fer la vostra feina. En concret a l’hora de garantir el dret d’accés reconegut per l’article 15 del Reglament europeu i l’article 13 de la Llei orgànica 3/2018.

Si més enllà del que hem explicat necessiteu més informació o assessorament de l’Autoritat Catalana de Protecció de Dades ens posem al vostre servei.