La protecció de dades de caràcter personal

Sense esquema, expressament

Enunciat oficial. La protecció de dades de caràcter personal. El règim jurídic de la protecció de dades de caràcter personal. Drets, deures i garanties derivades del règim jurídic de la protecció de dades de caràcter personal.

Aquest tema és una meitat. El programa oficial ho diu tot en un sol epígraf, el 16 del temari comú. Aquesta casa el parteix en dos temes perquè són dues matèries que no comparteixen ni una paraula, i cadascun es queda el seu tros literal de l'enunciat: junts són l'epígraf sencer (norma C-34). L'altra meitat és barcelona/plan-de-igualdad.

1. El règim jurídic: marc normatiu

Marc normatiu:

• Art. 18.4 CE (Constitució Espanyola): «La ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos.» El TC (Tribunal Constitucional) en va derivar un dret fonamental autònom a la protecció de dades (STC 292/2000, Sentència del Tribunal Constitucional), diferent del dret a la intimitat.
• Art. 8 de la Carta dels Drets Fonamentals de la UE.

Un aclariment de vocabulari: l'enunciat oficial diu «dades de caràcter personal», que és la fórmula de la LOPD (Llei Orgànica de Protecció de Dades) 15/1999, derogada. El RGPD i la LO 3/2018 en diuen simplement «dades personals». Són el mateix: la fórmula antiga sobreviu als enunciats i a molts impresos, no designa una categoria diferent. - RGPD — Reglament (UE) 2016/679, aplicable des del 25 de maig de 2018. És un reglament: directament aplicable, sense necessitat de transposició. - LOPDGDD — LO 3/2018, de 5 de desembre, de protecció de dades personals i garantia dels drets digitals. - Art. 31 EAC (Estatut d'Autonomia de Catalunya): dret a la protecció de les dades personals.

2. Conceptes (RGPD, art. 4)

• Dada personal: tota informació sobre una persona física identificada o identificable. S'hi considera identificable tota persona la identitat de la qual es pugui determinar, directament o indirectament, en particular mitjançant un identificador com un nom, un número d'identificació, dades de localització, un identificador en línia o un o diversos elements propis de la seva identitat física, fisiològica, genètica, psíquica, econòmica, cultural o social.
• Tractament: qualsevol operació realitzada sobre dades personals, automatitzada o no: recollida, registre, organització, estructuració, conservació, adaptació, extracció, consulta, utilització, comunicació per transmissió, difusió, interconnexió, limitació, supressió o destrucció.
• Responsable del tractament: la persona física o jurídica, autoritat pública, servei o altre organisme que, sol o juntament amb d'altres, determina les finalitats i els mitjans del tractament.
• Encarregat del tractament: el que tracta dades personals per compte del responsable. La relació s'ha de regir per un contracte o acte jurídic (RGPD, art. 28) que reguli l'objecte, la durada, la naturalesa i la finalitat, el tipus de dades i les obligacions de les parts. L'encarregat no pot subcontractar sense autorització prèvia del responsable.
• Pseudonimització: tractament de manera que les dades ja no es puguin atribuir a un interessat sense utilitzar informació addicional, sempre que aquesta figuri per separat i estigui subjecta a mesures tècniques i organitzatives. No és anonimització: les dades pseudonimitzades continuen sent dades personals.
• Elaboració de perfils (profiling): tota forma de tractament automatitzat de dades personals consistent a utilitzar-les per avaluar determinats aspectes personals d'una persona física, en particular per analitzar o predir el rendiment professional, la situació econòmica, la salut, les preferències personals, els interessos, la fiabilitat, el comportament, la ubicació o els moviments.
• Violació de la seguretat de les dades personals: tota violació de la seguretat que ocasioni la destrucció, pèrdua o alteració accidental o il·lícita de dades personals transmeses, conservades o tractades d'una altra manera, o la comunicació o accés no autoritzats.

3. Principis (RGPD, art. 5) — literal

Les dades personals han de ser:

a) tractades de manera lícita, lleial i transparent en relació amb l'interessat (licitud, lleialtat i transparència); b) recollides amb finalitats determinades, explícites i legítimes, i no tractades ulteriorment de manera incompatible amb aquestes finalitats (limitació de la finalitat); c) adequades, pertinents i limitades al que és necessari en relació amb les finalitats (minimització de dades); d) exactes i, si cal, actualitzades (exactitud); e) mantingudes de forma que es permeti la identificació dels interessats durant no més temps del necessari per a les finalitats (limitació del termini de conservació); f) tractades de manera que se'n garanteixi una seguretat adequada, inclosa la protecció contra el tractament no autoritzat o il·lícit i contra la seva pèrdua, destrucció o dany accidental (integritat i confidencialitat).

I l'apartat 2: el responsable és responsable del compliment de l'apartat 1 i capaç de demostrar-lo (responsabilitat proactiva o accountability).

4. Licitud del tractament (RGPD, art. 6)

El tractament només és lícit si es compleix almenys una d'aquestes condicions:

a) consentiment de l'interessat per a una o diverses finalitats específiques; b) necessari per a l'execució d'un contracte en què l'interessat és part o per a l'aplicació de mesures precontractuals; c) necessari per al compliment d'una obligació legal aplicable al responsable; d) necessari per protegir interessos vitals de l'interessat o d'una altra persona física; e) necessari per al compliment d'una missió realitzada en interès públic o en l'exercici de poders públics conferits al responsable; f) necessari per a la satisfacció d'interessos legítims perseguits pel responsable o per un tercer, sempre que no prevalguin els interessos o drets i llibertats fonamentals de l'interessat.

Per a les administracions públiques, la base habitual és la lletra e) (missió d'interès públic o exercici de poders públics) o la c) (obligació legal), no el consentiment. L'RGPD, art. 6.1 exclou expressament l'interès legítim de la lletra f) per als tractaments realitzats per les autoritats públiques en l'exercici de les seves funcions.

Consentiment (RGPD, art. 7 i RGPD, art. 4.11): tota manifestació de voluntat lliure, específica, informada i inequívoca per la qual l'interessat accepta, mitjançant una declaració o una clara acció afirmativa, el tractament. Ha de ser revocable amb la mateixa facilitat amb què es dona; el silenci, les caselles ja marcades o la inacció no constitueixen consentiment. Edat mínima per consentir per si mateix: 16 anys al <abbr title="RGPD, art. 5.

Categories especials de dades (RGPD, art. 9): origen ètnic o racial, opinions polítiques, conviccions religioses o filosòfiques, afiliació sindical, dades genètiques, dades biomètriques dirigides a identificar de manera unívoca una persona, dades relatives a la salut i dades relatives a la vida sexual o l'orientació sexual. El seu tractament està prohibit, llevat dels supòsits taxats de l'apartat 2 (consentiment explícit, obligacions en l'àmbit laboral, interessos vitals, fundacions i associacions, dades manifestament públiques, reclamacions judicials, interès públic essencial, medicina preventiva o laboral, salut pública, arxiu, recerca científica o estadística).

5. Drets de les persones (RGPD, art. 12–RGPD, art. 22)

Terminis (RGPD, art. 12): el responsable ha de facilitar informació sobre les actuacions sense dilació indeguda i, en tot cas, en el termini d'un mes des de la recepció de la sol·licitud; es pot prorrogar dos mesos més si és necessari, informant l'interessat dins del primer mes. L'exercici dels drets és gratuït; si les sol·licituds són manifestament infundades o excessives, especialment per repetitives, el responsable pot cobrar un cànon raonable o negar-se a actuar — un exercici repetit del dret d'accés dins d'un mateix termini no es considera repetitiu si hi ha una causa legítima que ho justifiqui.

Drets digitals (LOPDGDD, títol X): dret a la neutralitat d'Internet, a l'educació digital, a l'oblit en cerques i xarxes socials, al testament digital, i en l'àmbit laboral: dret a la intimitat i ús de dispositius digitals (LOPDGDD, art. 87), a la desconnexió digital (LOPDGDD, art. 88), i davant la videovigilància (LOPDGDD, art. 89) i la geolocalització (LOPDGDD, art. 90) laborals.

Videovigilància (LOPDGDD, art. 22): tret que calgui conservar-les per acreditar la comissió d'actes que atemptin contra la integritat de persones, béns o instal·lacions, les imatges captades s'han de suprimir en el termini màxim d'1 mes des de la captació.

6. Deures (obligacions) del responsable i de l'encarregat

• Responsabilitat proactiva (RGPD, art. 24): aplicar mesures tècniques i organitzatives apropiades per garantir i poder demostrar que el tractament és conforme amb el Reglament.
• Protecció de dades des del disseny i per defecte (RGPD, art. 25): incorporar les garanties en la fase de disseny i garantir que, per defecte, només es tractin les dades necessàries per a cada finalitat específica.
• Registre d'activitats de tractament (RGPD, art. 30): obligatori per a totes les autoritats i organismes públics, sigui quina sigui la mida de l'organització. Ha de contenir el nom i les dades del responsable i del DPD, les finalitats, la descripció de categories d'interessats i de dades, els destinataris, les transferències internacionals, els terminis previstos de supressió i una descripció general de les mesures de seguretat.
• Deure de confidencialitat: hi estan subjectes el responsable i l'encarregat del tractament, així com totes les persones que intervinguin en qualsevol fase d'aquest — no només el responsable, ni només l'encarregat.
• Seguretat del tractament (RGPD, art. 32): mesures apropiades al risc, incloses, si escau, la pseudonimització i el xifratge, la capacitat de garantir la confidencialitat, integritat, disponibilitat i resiliència permanents dels sistemes, la capacitat de restaurar la disponibilitat i l'accés ràpidament en cas d'incident, i un procés de verificació, avaluació i valoració regulars de l'eficàcia. A les administracions públiques espanyoles, aquestes mesures s'articulen a través de l'ENS.
• Notificació de violacions de seguretat:
• A l'autoritat de control (RGPD, art. 33): sense dilació indeguda i, de ser possible, com a màxim en 72 hores després d'haver-ne tingut constància, llevat que sigui improbable que la violació constitueixi un risc per als drets i llibertats de les persones. Si es notifica fora de termini, cal indicar-ne els motius. El responsable ha de documentar totes les violacions, encara que no les notifiqui.
• A l'interessat (RGPD, art. 34): quan sigui probable que la violació comporti un alt risc per als seus drets i llibertats, sense dilació indeguda i en llenguatge clar i senzill. No cal si s'han aplicat mesures que fan les dades inintel·ligibles (per exemple, xifratge), si s'han pres mesures ulteriors que garanteixen que ja no hi ha alt risc, o si suposaria un esforç desproporcionat (llavors, comunicació pública).
• AIPD (Avaluació d'Impacte de Protecció de Dades), també coneguda per les seves sigles en anglès DPIA (Data Protection Impact Assessment) (RGPD, art. 35): obligatòria quan sigui probable que el tractament comporti un alt risc per als drets i llibertats, en particular si utilitza noves tecnologies. En tot cas és necessària en: avaluació sistemàtica i exhaustiva d'aspectes personals basada en tractament automatitzat, inclosa l'elaboració de perfils, sobre la qual es basin decisions amb efectes jurídics; tractament a gran escala de categories especials de dades o de dades relatives a condemnes i infraccions penals; i observació sistemàtica a gran escala d'una zona d'accés públic. S'ha de fer abans del tractament i requereix l'assessorament del delegat de protecció de dades. Si l'avaluació mostra un alt risc que el responsable no pot mitigar, cal la consulta prèvia a l'autoritat de control (RGPD, art. 36).
• Delegat de protecció de dades (DPD) (RGPD, art. 37–RGPD, art. 39): obligatori quan el tractament el faci una autoritat o organisme públic (excepte tribunals en l'exercici de la funció judicial), quan les activitats principals consisteixin en operacions de tractament que requereixin una observació habitual i sistemàtica d'interessats a gran escala, o en el tractament a gran escala de categories especials de dades o de dades relatives a condemnes i infraccions penals. La LOPDGDD, art. 34 amplia la llista de subjectes obligats.
• Es designa atenent a les seves qualitats professionals i, en particular, als seus coneixements especialitzats del dret i la pràctica en matèria de protecció de dades.
• Ha de participar de manera adequada i en el moment oportú en totes les qüestions relatives a la protecció de dades, rendir comptes directament al més alt nivell jeràrquic, i no pot rebre instruccions sobre l'exercici de les seves funcions ni ser destituït o sancionat per exercir-les.
• Funcions: informar i assessorar, supervisar el compliment, assessorar sobre l'AIPD, cooperar amb l'autoritat de control i actuar-hi com a punt de contacte.
• El DPD no és el responsable del tractament: no assumeix la responsabilitat del compliment.

A l'Ajuntament de Barcelona, el delegat o la delegada de protecció de dades s'organitza com a Oficina del Delegat/da de Protecció de Dades, adscrita a la Gerència d'Economia, Recursos i Transformació Digital, amb un canal de contacte propi a la seu electrònica.

7. Autoritats de control i règim sancionador

• AEPD (Agència Espanyola de Protecció de Dades): autoritat administrativa independent d'àmbit estatal (LOPDGDD, art. 44 i següents).
• APDCAT (Autoritat Catalana de Protecció de Dades): autoritat de control competent respecte dels tractaments duts a terme per les institucions públiques de Catalunya, l'Administració de la Generalitat i els ens locals catalans, i les entitats que en depenen. És l'autoritat competent per a l'Ajuntament de Barcelona.
• CEPD (Comitè Europeu de Protecció de Dades), en anglès EDPB (European Data Protection Board): garanteix l'aplicació coherent del RGPD a la UE.
• Multes administratives (RGPD, art. 83): fins a 10.000.000 € o el 2 % del volum de negoci total anual global de l'exercici anterior, la quantia que sigui superior, per a les infraccions dels arts. 8, 11, 25–39, 42 i 43; i fins a 20.000.000 € o el 4 % per a les infraccions dels principis bàsics (arts. 5, 6, 7 i 9), dels drets dels interessats (arts. 12–22), de les transferències internacionals (arts. 44–49) i de l'incompliment d'una ordre de l'autoritat de control. El tractament de dades d'un menor sense el seu consentiment o el del titular de la pàtria potestat (RGPD, art. 8) és una infracció d'aquest primer bloc: es qualifica de greu, no de molt greu ni de lleu.
• A Espanya, les administracions públiques no són sancionades amb multa (LOPDGDD, art. 77): l'autoritat dicta una resolució que declara la infracció, estableix les mesures que s'han d'adoptar i, si escau, ho comunica al Defensor del Poble o al Síndic; també es pot proposar l'inici d'actuacions disciplinàries.
• Prescripció de les infraccions (LOPDGDD, art. 72–LOPDGDD, art. 74): molt greus, 3 anys; greus, 2 anys; lleus, 1 any.

8. Transferències internacionals (RGPD, art. 44–RGPD, art. 49)

Només són possibles si es compleixen les condicions del capítol V: decisió d'adequació de la Comissió, garanties adequades (clàusules contractuals tipus, normes corporatives vinculants (BCR, Binding Corporate Rules), codis de conducta o certificacions) o excepcions per a situacions específiques (consentiment explícit, execució d'un contracte, interès públic important, etc.). La sentència Schrems II (TJUE, Tribunal de Justícia de la Unió Europea, 2020) va anul·lar l'Escut de privadesa UE-EUA (Estats Units d'Amèrica); el marc vigent és el Data Privacy Framework (decisió d'adequació de 2023).

Claus d'examen

• El termini de conservació de la videovigilància (1 mes) és un termini diferent del de la notificació d'una bretxa (72 hores) i del de resposta a l'exercici d'un dret (1 mes, prorrogable dos més): els tres cauen i es confonen entre ells (Comu-A1 2021, p. 63).
• Les administracions públiques espanyoles no reben multa del <abbr title="RGPD, art. 5.
• Responsable ≠ encarregat: el responsable decideix les finalitats i els mitjans; l'encarregat només tracta per compte del responsable i no pot subcontractar sense autorització. És una pregunta directa, no una opció de matís (Comu-A2 2024, p. 40).
• El deure de confidencialitat obliga tothom qui intervé en qualsevol fase del tractament, no només el responsable ni només l'encarregat — que és el distractor habitual (Comu-A2 2021, p. 74).
• L'autoritat competent per a l'Ajuntament de Barcelona és l'APDCAT, no l'AEPD: la catalana ho és per als ens locals catalans (Comu-A1 2021, p. 64).
• El **<abbr title="RGPD, art. 5.

Per recordar

• **Principis del <abbr title="RGPD, art. 5.
• Per a l'Administració, la base de licitud és l'interès públic o l'obligació legal, mai l'interès legítim.
• Consentiment de menors: 16 anys al RGPD, 14 a Espanya. Videovigilància: conservació màxima d'1 mes.
• Notificació de bretxa: 72 hores a l'autoritat; a l'interessat només si hi ha alt risc. Totes s'han de documentar. El deure de confidencialitat és de tothom qui intervé en el tractament, no només del responsable.
• AIPD obligatòria per a perfils amb efectes jurídics, categories especials a gran escala i videovigilància sistemàtica a gran escala d'espais públics.
• El DPD és obligatori a totes les administracions públiques, reporta al màxim nivell i no rep instruccions. A l'Ajuntament és una Oficina pròpia.
• Multes: 10 M€/2 % i 20 M€/4 %. Les administracions espanyoles no paguen multa: se'ls declara la infracció. El tractament de dades d'un menor sense consentiment és infracció greu.
• Prescripció: molt greus 3 anys, greus 2, lleus 1.