Ja ha entrat en vigor el RGPD. I ara què?
El passat 24 de maig de 2016 va entrar en vigor el Reglament (UE) 2016/679 del Parlament Europeu i del Consell, de 27 d’abril de 2016, relatiu a la protecció de les persones físiques pel que fa al tractament de dades personals i a la lliure circulació d’aquestes dades i pel qual es deroga la Directiva 95/46/CE (Reglament general de protecció de dades), que modifica alguns aspectes del règim actual i conté noves obligacions per als responsables del tractament de dades de caràcter personal.
El nou Reglament és directament aplicable des del 25 de maig de 2018, de manera que durant aquests dos anys de període transitori, els responsables i encarregats del tractament de dades han hagut d’adoptar les mesures necessàries a fi d’estar preparats i en condicions de complir amb les seves previsions al moment en què siguin aplicable.
Així, tractant-se d’una norma directament aplicable, no es requereixen normatives nacionals de transposició, sent el Reglament la norma de referència en la matèria.
No obstant això, la llei que substitueixi a l’actual Llei Orgànica de Protecció de Dades, a dia d’avui encara en tramitació, podrà incloure precisions o bé desenvolupar les matèries que el RGPD permeti.
El RGPD deroga la Directiva 95/46/CE del Parlament Europeu i del Consell, que va tractar d’harmonitzar la protecció dels drets i les llibertats fonamentals de les persones físiques en relació amb les activitats de tractament de dades de caràcter personal i garantir la lliure circulació d’aquestes dades entre els Estats membres.
Principi de responsabilitat proactiva
Una de les majors innovacions del RGPD és la introducció del principi de responsabilitat proactiva, principi que el Reglament descriu com la necessitat que el responsable del tractament de dades apliqui mesures tècniques i organitzatives apropiades a fi de garantir i acreditar que el tractament compleix amb els requisits establerts reglamentàriament.
Aquest principi exigeix una actitud per part de les organitzacions que sigui conscient, diligent i proactiva, de manera que aquestes hauran d’analitzar què dades tracten, amb quina finalitat i quin tipus de tractament duen a terme. Així mateix, realitzat aquesta anàlisi, hauran de determinar explícitament la forma en què aplicaran les mesures del RGPD.
A fi que les organitzacions no actuïn únicament quan ja s’ha produït la infracció, el Reglament. preveu una sèrie de mesures basades en la prevenció:
* Protecció de dades des del disseny
* Protecció de dades per defecte
* Mesurades de seguretat
* Manteniment d’un registre de tractaments
* Realització d’avaluacions d’impacte sobre la protecció de dades
L’avaluació d’impacte es realitzarà amb caràcter previ a l’engegada de tractaments que puguin comportar un alt risc per als drets i llibertats dels interessats, tals com:
– Elaboració de perfils sobre la base dels quals es prenguin decisions que produeixin efectes jurídics sobre els interessats o que els afectin significativament de manera similar.
– Tractaments a gran escala de dades sensibles.
– Observació sistemàtica a gran escala d’una zona d’accés públic.
* Nomenament d’un delegat de protecció de dades
* Promoció d’esquemes de conductes i esquemes de certificació
* Notificació de violacions de la seguretat de les dades
Quan es produeixi una violació de seguretat de les dades, el responsable ha de notificar-la a l’autoritat de protecció de dades competent dins de les 72 hores següents, tret que sigui improbable que la violació suposi un risc per als drets i llibertats dels afectats.
Enfocament de risc
D’acord amb l’anomenat enfocament de risc que inspira el RGPD, l’aplicació de les mesures haurà d’adaptar-se a les característiques de l’organització que es tracti, és a dir, tenint en compte el risc per als drets i llibertats de les persones.
Així, el Reglament preveu que l’aplicació de les mesures depengui de factors com el tipus de tractament, els costos d’implantació de les mesures o el risc que el tractament de les dades presenta per als drets i llibertats dels seus titulars.
Per aquest motiu, les organitzacions han de realitzar una anàlisi de risc dels seus tractaments per determinar les mesures que han d’aplicar i com fer-ho.
Les Autoritats de protecció de dades europees i l’Agència Espanyola de Protecció de Dades han desenvolupat eines que faciliten la identificació i valoració de riscos i efectuen recomanacions sobre l’aplicació de mesures, especialment en relació amb pimes que realitzen els tractaments de dades més habituals en la gestió empresarial.
Àmbit d’aplicació
El RGPD, igual que la normativa anterior, continua sent aplicable als responsables o encarregats del tractament de dades de caràcter personal establerts en la Unió Europea.
Com a novetat, el nou Reglament introdueix en el seu àmbit d’aplicació a responsables i encarregats no establerts en la Unió Europea sempre que realitzin tractaments derivats d’una oferta de béns o serveis destinats a ciutadans de la Unió o com a conseqüència d’un monitoratge i seguiment del seu comportament.
A fi de fer efectiva la citada ampliació de l’àmbit d’aplicació, les organitzacions hauran de nomenar un representant en la Unió Europea, que actuarà com a contacte de les autoritats de supervisió i dels ciutadans, i com a destinatari de les accions de supervisió pertinents.
S’exclouen de l’àmbit d’aplicació les següents activitats:
– Activitats no compreses en el Dret de la UE.
– Activitats relacionades amb la política exterior i de seguretat comuna.
– Activitats de les autoritats competents amb finalitats de prevenció, recerca, detecció o enjudiciament d’infraccions penals, o d’execució de sancions penals, inclosa la de protecció enfront d’amenaces a la seguretat pública i la seva prevenció.
– Activitats exclusivament personals o domèstiques.
Consentiment inequívoc
El RGPD modifica la forma d’obtenció del consentiment per al tractament de dades de caràcter personal, que haurà de ser inequívoc.
Així, es requereix l’obtenció per part de les organitzacions d’una manifestació de l’interessat o una clara acció afirmativa, sense que s’admetin formes de consentiment tàcit o per omissió basades en la inacció.
Per determinades situacions el consentiment haurà de ser, a més d’inequívoc, explícit:
* Tractament de dades sensibles
* Adopció de decisions automatitzades
* Transferències internacionals de dades
El consentiment no ha de considerar-se lliurement prestat quan l’interessat no gaudeix de veritable o lliure elecció o no pot denegar o retirar el seu consentiment sense sofrir perjudici algun.
Es presumeix que el consentiment no s’ha prestat lliurement quan no permeti autoritzar per separat les diferents operacions de tractament de dades personals, o quan el compliment d’un contracte sigui depenent del consentiment, encara quan aquest no sigui necessari per a aquest compliment.
Quant al consentiment prestat per menors d’edat, el RGPD disposa que poden prestar-ho per si mateixos per al tractament de les seves dades personals en l’àmbit dels serveis de la informació (per exemple, en xarxes socials) als 16 anys, edat que podrà ser rebaixada pels Estats membres fins al límit mínim de 13 anys.
En el cas d’Espanya, el límit d’edat per prestar el consentiment es fixa en els 14 anys, el mateix que venia establert en la normativa anterior.
El RGPD requereix que els responsables facin esforços raonables tenint en compte la tecnologia disponible per verificar que el consentiment s’ha prestat pels pares o tutors dels nens amb edats inferiors.
Transparència i informació als interessats
La informació als interessats respecte de les condicions dels tractaments que els afectin així com en les respostes als exercicis de drets, haurà de proporcionar-se per escrit, de forma concisa, transparent, intel·ligible i de fàcil accés, amb un llenguatge clar i senzill.
Així mateix, s’amplia la llista d’informació que ha de proporcionar-se als interessats, afegint-se els següents aspectes:
* Base jurídica del tractament.
* Intenció de realitzar transferències internacionals de dades.
* Dades del Delegat de Protecció de Dades, en cas que ho hi hagi.
* Elaboració de perfils.
Quant a la identificació de la base legal sobre la qual es desenvolupen els tractaments, és necessari incloure-la en proporcionar la informació al moment de recollir les dades dels interessats, especificant i documentant els interessos legítims en què es fonamenten les bases de tractament.
Encarregat de tractament
El RGPD conté obligacions expressament dirigides als encarregats, a pesar que la responsabilitat última sobre el tractament segueix estant atribuïda al responsable, que és qui determina l’existència del tractament i la seva finalitat.
Els encarregats compten amb una sèrie d’obligacions pròpies, al marge del contracte que els uneix al responsable (contracte per encàrrec), que poden ser supervisades separadament per les autoritats de protecció de dades, com són:
* Mantenir un registre d’activitats de tractament.
* Determinar les mesures de seguretat aplicables als tractaments que realitzen.
* Designar un Delegat de Protecció de Dades en els casos previstos en el RGPD.
Quant a l’elecció de l’encarregat per part del responsable, aquest haurà de triar únicament encarregats que ofereixin garanties suficients per aplicar mesures tècniques i organitzatives apropiades, de manera que el tractament sigui conforme al RGPD.
Per demostrar que els encarregats compleixen amb les garanties exigides pel Reglament, podran adherir-se a codis de conducta o certificar-se en el marc dels esquemes de certificació.
El contracte per encàrrec és un acte jurídic vinculant que regula les relacions entre el responsable i l’encarregat. El RGPD regula minuciosament el seu contingut mínim:
* Objecte, durada, naturalesa i finalitat del tractament.
* Tipus de dades personals i categories d’interessats.
* Obligació de l’encarregat de tractar les dades personals únicament seguint instruccions documentades del responsable.
* Condicions perquè el responsable pugui donar la seva autorització prèvia, específica o general, a les subcontractacions.
* Assistència al responsable en l’atenció a l’exercici de drets dels interessats.
Dades personals particularment sensibles
Les dades personals que, per la seva naturalesa, són particularment sensibles en relació amb els drets i les llibertats fonamentals, mereixen una especial protecció, ja que el context del seu tractament podria comportar importants riscos.
Així, el Reglament disposa expressament la prohibició de tractar el següents dades:
* Els que revelin l’origen racial o ètnic
* Els que revelin opinions polítiques o confessions religioses o filosòfiques
* Dades sobre afiliació sindical
* Dades relatives a la salut
* Dades genètiques
* Dades biomèdiques que permetin la identificació unívoca d’una persona
* Dades relatives a la vida i orientació sexual
No obstant això, es permet el tractament de dades sensibles o categories especials de dades quan es donin les següents circumstàncies:
* Quan l’interessat hagi prestat explícitament el seu consentiment per a finalitats específiques, excepte si està prohibit per la legislació vigent.
* Quan el tractament sigui necessari per protegir els interessos vitals de l’interessat i es trobi incapacitat per donar el seu consentiment.
* Quan el tractament ho realitzi legítimament una organització sense ànim de lucre amb finalitat política, filosòfica, religiosa o sindical en relació amb les seves finalitats.
* Quan l’interessat hagi fet manifestament públics les seves dades.
* Quan el tractament es realitzi sota la responsabilitat de persones subjectes al secret professional.
* Quan es realitzi per a finalitats d’assistència sanitària o social, medicina preventiva o laboral o diagnòstic mèdic, inclosa l’avaluació de la capacitat laboral del treballador.
* Quan es tracti de procediments judicials.
* Quan sigui necessari per complir amb la legislació laboral, de seguretat, protecció social o de convenis col·lectius.
* Quan sigui necessari per raons d’interès públic en l’àmbit de la salut pública o l’assistència sanitària.
* Quan sigui necessari per a finalitats d’arxiu d’interès públic en recerques científiques, històriques o estadístiques.
Els responsables o encarregats que realitzin tractaments de categories especials de dades tindran les següents obligacions:
* Prohibició de tractament basat en l’elaboració de perfils.
* Obligació de portar un Registre de les activitats del tractament.
* Obligació de realitzar una avaluació d’impacte relativa a la protecció de dades.
* Obligació de designar un Delegat de Protecció de Dades.
Dret a l’oblit i dret a la portabilitat
El dret a l’oblit i el dret a la portabilitat introduïts en el RGPD, milloren la capacitat de decisió i control dels ciutadans sobre les dades personals que confien a tercers.
El dret a l’oblit és el dret dels ciutadans a sol·licitar que les seves dades personals siguin suprimits quan deixin de ser necessaris per a la finalitat amb la qual van ser recollits, quan s’hagi retirat el consentiment o quan s’hagin recollit de forma il·lícita.
Aquest dret no està considerat un dret autònom o diferenciat dels clàssics drets ARC, sinó la conseqüència de l’aplicació del dret a l’esborrat de les dades.
El dret a la portabilitat consisteix que l’interessat que hagi proporcionat les seves dades a un responsable que els estigui tractant de manera automatitzada pugui sol·licitar recuperar-los en un format que li permeti el seu trasllat a un altre responsable. Quan això sigui tècnicament possible, el responsable haurà de transferir les dades directament al nou responsable designat per l’interessat.
Així, es tracta d’una forma evolucionada del dret d’accés que garanteix que la còpia que es proporcioni a l’interessat s’ofereixi en un format estructurat, d’ús comú i lectura mecànica.
Dret a la limitació de tractament
La limitació de tractament suposa que, a petició de l’interessat, no s’aplicaran a les seves dades personals les operacions de tractament que en cada cas corresponguin.
Els supòsits en els quals procedeix sol·licitar la limitació són els següents:
* Quan l’interessat hagi exercit els drets de rectificació o oposició i el responsable estigui en procés de determinar si escau atendre la sol·licitud.
* Quan el tractament sigui il·lícit i l’interessat s’oposi a l’esborrat de dades que seria procedent.
* Quan les dades ja no siguin necessaris per al tractament, la qual cosa determinaria l’esborrat de dades, però l’interessat sol·licita la limitació per necessitar-ho per a la formulació, exercici o defensa de reclamacions.
S’impedeix la pràctica de l’esborrat de dades quan s’exercitin altres drets, com el d’accés, ja que impediria l’exercici del dret a la limitació del tractament.
Delegat de Protecció de Dades
El nomenament d’un Delegat de Protecció de Dades és obligatori en els següents casos:
* Autoritats i organismes públics.
* Responsables o encarregats que tinguin entre les seves activitats principals les operacions de tractament que requereixin una observació habitual i sistemàtica d’interessats a gran escala.
* Responsables o encarregats que tinguin entre les seves activitats principals el tractament a gran escala de dades sensibles.
El Delegat de Protecció de Dades no ha de comptar amb una titulació específica, si bé és indubtable que els coneixements jurídics en la matèria són necessaris, així com també comptar amb coneixements en matèria de tecnologia aplicada al tractament de dades o en relació amb l’àmbit d’activitat de l’organització en la qual s’exerceixi la tasca.
L’Agència Espanyola de Protecció de Dades ha promogut un sistema de certificació de professionals de protecció de dades com a eina per avaluar als candidats.
Les certificacions, que seran atorgades per entitats acreditades per l’Entitat Nacional d’Acreditació, no seran un requisit indispensable per a l’accés a la professió, sinó tan sols una opció a la disposició de responsables i encarregats per facilitar la selecció dels professionals anomenats a ocupar el lloc.
La designació del DPD ha de fer-se pública pels responsables i encarregats i haurà de ser comunicada a les autoritats de supervisió competents.
La relació entre el DPD i els responsables o encarregats pot ser mitjançant un contracte laboral o bé mitjançant un contracte de serveis, desenvolupant les seves funcions a temps complet o parcial.
La nova normativa suposa un major compromís de les organitzacions, tant públiques com a privades, amb la protecció de dades de caràcter personal. No obstant això, això no implica necessàriament una major càrrega, sinó que en molts casos es tractarà tan sols d’una forma diferent de gestionar la protecció de dades.
Algunes de les mesures introduïdes són una continuació o substitució d’unes altres ja existents, com les mesures de seguretat, l’obligació de documentació, l’avaluació d’impacte o la consulta a autoritats de supervisió.