El Reglament General de Protecció de Dades (RGPD)

Enunciat oficial. El Reglament General de Protecció de Dades (RGPD).

Conceptes, principis, bases de licitud, drets i obligacions es desenvolupen al tema 16.2 del bloc comú, que cal estudiar sencer. Aquí s'hi afegeix la vessant tècnica i institucional, i el que ha caigut a les proves específiques.

1. Marc i estructura

• RGPD — Reglament (UE, Unió Europea) 2016/679, aplicable des del 25 de maig de 2018. 99 articles i 173 considerants. En ser un reglament, és directament aplicable sense transposició.
• LOPDGDD — LO 3/2018, que el desenvolupa a Espanya i hi afegeix el títol X de drets digitals.
• Rang constitucional: art. 18.4 CE (Constitució Espanyola) i STC 292/2000 (Sentència del Tribunal Constitucional), que en deriva un dret fonamental autònom —diferent del de la intimitat— amb contingut essencial de poder de disposició i control sobre les pròpies dades; art. 8 de la Carta de Drets Fonamentals de la UE; art. 31 EAC (Estatut d'Autonomia de Catalunya).

2. Definicions clau (art. 4)

El tema 16.2 del bloc comú ja desenvolupa les definicions de l'RGPD, art. 4 més corrents —dada personal, tractament, responsable, encarregat, pseudonimització, perfils—; aquí, les que hi falten i han caigut a examen:

• Fitxer (RGPD, art. 4.6): qualsevol conjunt estructurat de dades personals accessibles d'acord amb criteris determinats, ja sigui centralitzat, descentralitzat o repartit de forma funcional o geogràfica. La mateixa frase sense «personals» no és la del RGPD: és l'adjectiu que delimita l'àmbit del reglament.
• Destinatari (RGPD, art. 4.9): la persona, autoritat, servei o organisme al qual es comuniquen dades personals, sigui o no un tercer. No hi compten les autoritats públiques que rebin dades en el marc d'una investigació concreta.
• Tercer (RGPD, art. 4.10): tota persona o organisme diferent de l'interessat, el responsable, l'encarregat i les persones autoritzades a tractar les dades sota l'autoritat directa d'aquests. Es defineix per exclusió; el destinatari, per rebre la comunicació. Per això un destinatari pot ser un tercer o no ser-ho.

I les tres categories especials que l'RGPD, art. 9 prohibeix tractar però no defineix: les defineix l'art. 4, i és d'aquí que se'n pregunta la lletra.

• Dades relatives a la salut (RGPD, art. 4.15): les relatives a la salut física o mental d'una persona, inclosa la prestació de serveis d'atenció sanitària, que revelin informació sobre el seu estat de salut. No hi ha cap gradació segons el grau d'incapacitat o invalidesa, ni cap limitació als col·lectius sanitaris.
• Dades genètiques (RGPD, art. 4.13): les relatives a les característiques genètiques heretades o adquirides que donin informació única sobre la fisiologia o la salut, obtingudes en particular d'una mostra biològica.
• Dades biomètriques (RGPD, art. 4.14): les obtingudes d'un tractament tècnic específic sobre característiques físiques, fisiològiques o conductuals que permetin o confirmin la identificació única —imatges facials, dades dactiloscòpiques—. És la finalitat identificadora el que les fa categoria especial: una fotografia sola, no.

3. Autoritats de control

**Definició del <abbr title="RGPD, art. 51.

Característiques que estableix el RGPD:

• Independència total en l'exercici de funcions i poders (RGPD, art. 52): no reben instruccions de ningú, disposen de recursos propis i el seu personal té deure de secret.
• Competència al territori del seu estat membre (RGPD, art. 55); no són competents sobre els tribunals en l'exercici de la funció judicial. Per als tractaments transfronterers hi ha el mecanisme de finestreta única i autoritat principal (RGPD, art. 56).
• Funcions (RGPD, art. 57): supervisar i fer aplicar el Reglament, assessorar el parlament i el govern, tractar les reclamacions dels interessats, dur a terme investigacions, promoure la sensibilització i publicar la llista de tractaments que requereixen AIPD (Avaluació d'Impacte relativa a la Protecció de Dades). Publiquen un informe anual d'activitat.
• Poders (RGPD, art. 58), en tres blocs: d'investigació (exigir informació, auditar, accedir a instal·lacions i dades), correctius (de l'advertència a la limitació o prohibició del tractament, la suspensió de transferències i les multes) i d'autorització i consultiu.

A Espanya i a Catalunya:

4. El DPD (delegat de protecció de dades)

Obligatorietat (RGPD, art. 37): sempre que el tractament el faci una autoritat o organisme públic, llevat dels tribunals en l'exercici de la funció judicial —independentment de la mida—; també quan l'activitat principal exigeixi una observació habitual i sistemàtica a gran escala o el tractament a gran escala de categories especials de dades.

Designació (RGPD, art. 37.5 a .7): es tria atenent a les qualitats professionals i als coneixements especialitzats del dret i la pràctica en protecció de dades, sense exigir titulació concreta. Pot ser intern o extern indistintament: el reglament admet que formi part de la plantilla del responsable o de l'encarregat o que exerceixi les funcions en el marc d'un contracte de serveis —sí que hi entra, precisament per deixar les dues portes obertes—. Les dades de contacte s'han de publicar i comunicar a l'autoritat de control.

Posició i garanties (RGPD, art. 38): ha de participar de manera adequada i oportuna en totes les qüestions de protecció de dades; no rep instruccions sobre l'exercici de les seves funcions ni pot ser destituït o sancionat per exercir-les; rendeix comptes directament al més alt nivell jeràrquic del responsable o l'encarregat.

Punt de contacte dels interessats (RGPD, art. 38.4): les persones interessades es poden dirigir al DPD per a totes les qüestions relatives al tractament de les seves dades i a l'exercici dels seus drets. Si algú considera que la seva sol·licitud d'accés, rectificació, oblit, limitació o oposició no s'ha atès correctament, s'adreça al DPD, no al responsable (que a l'Ajuntament és l'Alcaldia) ni directament a l'APDCAT.

Funcions (RGPD, art. 39): informar i assessorar el responsable, l'encarregat i el personal; supervisar el compliment del Reglament; assessorar sobre l'AIPD i supervisar-ne l'execució; cooperar amb l'autoritat de control i actuar-hi com a punt de contacte. El DPD no és el responsable del tractament: assessora i supervisa, però no n'assumeix la responsabilitat.

5. Les avaluacions d'impacte (AIPD/DPIA — Data Protection Impact Assessment)

El nom fidel —el del reglament, l'AEPD i l'APDCAT— és avaluació d'impacte relativa a la protecció de dades; l'abreujada «d'impacte de protecció de dades» circula, però no és la de la norma.

Quan és obligatòria (RGPD, art. 35): quan sigui probable que un tipus de tractament, en particular si utilitza noves tecnologies, comporti un alt risc per als drets i llibertats de les persones físiques, tenint en compte la naturalesa, l'abast, el context i les finalitats. També quan el tractament figuri a la llista que publica l'autoritat de control, o quan el responsable decideixi fer-la discrecionalment arran d'una anàlisi de riscos prèvia.

En tot cas és necessària quan hi ha:

a) avaluació sistemàtica i exhaustiva d'aspectes personals basada en tractament automatitzat, inclosa l'elaboració de perfils, sobre la qual es basin decisions que produeixin efectes jurídics o afectin significativament de manera similar; b) tractament a gran escala de categories especials de dades (RGPD, art. 9) o de dades relatives a condemnes i infraccions penals; c) observació sistemàtica a gran escala d'una zona d'accés públic.

El moment: abans del tractament i com més aviat possible dins del disseny, perquè les conclusions es puguin incorporar. Tres formulacions equivalents del mateix: prèviament a l'inici del tractament, prèviament a la inscripció al registre d'activitats i amb caràcter d'auditoria prèvia. Feta amb el sistema ja en marxa, arriba quan ja no es pot canviar res.

Contingut mínim (RGPD, art. 35.7), quatre punts: descripció sistemàtica de les operacions i les finalitats; avaluació de la necessitat i la proporcionalitat; avaluació dels riscos per als drets i llibertats; i mesures previstes per afrontar-los, amb les garanties i els mecanismes que demostrin la conformitat.

Requisits del procediment: cal l'assessorament del DPD, es pot recollir l'opinió dels interessats i cal revisar-la quan canviï el risc. Un alt risc residual que el responsable no pugui mitigar obliga a la consulta prèvia a l'autoritat de control (RGPD, art. 36), que respon en vuit setmanes (prorrogables sis més).

Llistes i eines: l'APDCAT i l'AEPD publiquen cadascuna la seva llista de tractaments que requereixen AIPD i eines de suport —Gestiona EIPD (Evaluaciones de Impacto en Protección de Datos) i Facilita, de l'AEPD.

Determinació estimativa de l'impacte: ni el <abbr title="RGPD, art. 51.

6. Responsable i encarregat

La distinció fonamental:

• Responsable del tractament (RGPD, art. 4.7): la persona física o jurídica, autoritat pública, servei o altre organisme que, sol o juntament amb d'altres, determina les finalitats i els mitjans del tractament. Decideix el «per què» i el «com».
• Encarregat del tractament (RGPD, art. 4.8): el mateix elenc de subjectes, però que tracta dades personals per compte del responsable. Executa les seves instruccions.

El proveïdor de serveis TIC (Tecnologies de la Informació i la Comunicació) —el que allotja, manté o desenvolupa— és normalment encarregat; l'Administració, responsable, i la responsabilitat davant l'interessat i davant l'autoritat continua sent seva.

A l'Ajuntament de Barcelona (Instrucció de protecció de dades GM_2019_17437): el responsable és l'Alcaldia; cada tractament del Registre de Tractaments té assignada una gerència designada responsable executiva, que és qui el crea i en garanteix el compliment ordinari i qui designa els referents de protecció de dades de la unitat; i el DPD ho supervisa amb independència. Els papers no s'acumulen: el DPD no pot ser alhora responsable —seria jutge i part—, i que una gerència executi el tractament no desplaça la responsabilitat de l'Alcaldia.

El contracte de l'RGPD, art. 28 és obligatori i per escrit (o en forma electrònica) i fixa l'objecte, la durada, la naturalesa i la finalitat del tractament, el tipus de dades, les categories d'interessats i les obligacions i drets del responsable. L'encarregat s'hi compromet, com a mínim, a tractar les dades únicament seguint instruccions documentades, a garantir-ne la confidencialitat, a adoptar les mesures de seguretat de l'RGPD, art. 32, a no subcontractar sense autorització prèvia, a assistir el responsable en els drets dels interessats i en la seguretat, les bretxes, l'AIPD i la consulta prèvia, a suprimir o retornar dades i còpies en acabar, i a permetre'n les auditories.

Subcontractació a un tercer (RGPD, art. 28.2 i .4): cal l'autorització prèvia (específica o general) del responsable, un contracte d'encàrrec amb el subencarregat que li imposi les mateixes obligacions, i que aquest ofereixi garanties suficients de seguretat. El consentiment de la persona interessada no és un requisit: la relació és entre responsable, encarregat i subencarregat, i la persona titular hi és aliena.

Responsables conjunts (RGPD, art. 26): quan dos o més determinen conjuntament finalitats i mitjans, i han de repartir-se les responsabilitats de manera transparent. I si l'encarregat arriba a determinar-les pel seu compte, es converteix en responsable (RGPD, art. 28.10) i respon com a tal.

7. Seguretat i bretxes

Violació de la seguretat de les dades personals (RGPD, art. 4.12): tota violació de la seguretat que ocasioni la destrucció, pèrdua o alteració accidental o il·lícita de dades personals, o bé la comunicació o l'accés no autoritzats a aquestes dades.

Incident i violació no són sinònims, i la relació va en un sol sentit, de gènere a espècie: un incident de seguretat és qualsevol esdeveniment que afecti la seguretat de la informació —una caiguda del servei, una intrusió sense dades personals—, i la violació (o bretxa) és el subconjunt d'incidents en què s'han compromès dades de caràcter personal. No cal que hi hagi fuga: n'hi ha prou amb la pèrdua de disponibilitat. Només les violacions disparen els deures de notificació que segueixen.

• RGPD, art. 32: mesures apropiades al risc, ateses l'estat de la tècnica, els costos i la naturalesa, abast, context i finalitats del tractament. Inclou, si escau: pseudonimització i xifratge; confidencialitat, integritat, disponibilitat i resiliència permanents dels sistemes; capacitat de restaurar ràpidament la disponibilitat i l'accés en cas d'incident; i un procés de verificació i avaluació regulars de l'eficàcia.
• Què ha de fer el responsable davant una violació (RGPD, art. 33 i RGPD, art. 34): notificar-la a l'autoritat de control competent sense dilació indeguda i, de ser possible, en un termini màxim de 72 hores des que en tingui constància —no des que es produeix l'incident—, tret que sigui improbable que suposi un risc; comunicar-la als afectats si el risc és alt; documentar-la en tot cas, també si no la notifica; i adoptar mesures per mitigar-ne els efectes. Qui notifica és el responsable, no el DPD, i el deure no depèn de si el dany és material o immaterial.
• A les administracions públiques la seguretat s'implementa via ENS → tema 66.

8. Règim sancionador

Multes administratives (RGPD, art. 83):

• Fins a 10.000.000 € o el 2 % del volum de negoci total anual global de l'exercici anterior, la quantia que sigui superior: infraccions dels arts. 8 (menors), 11, 25 a 39 (obligacions del responsable i l'encarregat, incloses seguretat, notificació, AIPD i DPD), 42 i 43.
• Fins a 20.000.000 € o el 4 %: infraccions dels principis bàsics (arts. 5, 6, 7 i 9), dels drets dels interessats (arts. 12 a 22), de les transferències internacionals (arts. 44 a 49) i de l'incompliment d'una ordre de l'autoritat.

A Espanya, les administracions públiques no reben multa (LOPDGDD, art. 77): l'autoritat dicta una resolució que declara la infracció amb les mesures i el termini per esmenar-la, la notifica al responsable i al seu superior jeràrquic, la comunica al Defensor del Poble o al Síndic de Greuges, la publica al butlletí oficial i pot proposar actuacions disciplinàries.

Prescripció (LOPDGDD, art. 72–LOPDGDD, art. 74): infraccions molt greus 3 anys, greus 2 anys, lleus 1 any.

9. Punts de contacte amb la vessant tècnica

• Privadesa des del disseny i per defecte (RGPD, art. 25): garanties en la fase de disseny i per defecte, només les dades necessàries per a cada finalitat. Es cobra en arquitectura, model de dades i configuració predeterminada.
• Registre d'activitats de tractament (RGPD, art. 30): obligatori per a totes les autoritats i organismes públics, sense excepció per mida.
• Decisions automatitzades i perfils (RGPD, art. 22): dret a no ser objecte d'una decisió basada únicament en el tractament automatitzat amb efectes jurídics, i a intervenció humana. Connecta amb l'RIA (Reglament d'Intel·ligència Artificial) i amb l'actuació administrativa automatitzada (Llei 40/2015, art. 41) → temes 29 i 30.
• Transferències internacionals (RGPD, art. 44 a RGPD, art. 49) i el núvol → tema 60.
• Dades de prova: no es poden usar dades personals reals en entorns de desenvolupament o proves sense base de licitud i garanties → tema 49. Els registres de traçabilitat també en contenen: cal finalitat, termini i control d'accés.
• Els identificadors tècnics són dades personals. L'RGPD, art. 4.1 hi inclou l'identificador en línia, amb criteri d'identificabilitat indirecta: n'hi ha prou que la dada, combinada amb informació addicional a l'abast raonable d'algú, permeti arribar a la persona. El cas resolt és l'adreça IP (Internet Protocol) —el TJUE (Tribunal de Justícia de la Unió Europea) ho va confirmar per a la IP dinàmica a la sentència Breyer—, i el mateix val per a cookies, identificadors de dispositiu i adreces MAC (Media Access Control). No ho són el número del Registre Mercantil, l'adreça d'un centre de treball per si sola, ni unes dades ja anonimitzades.
• Anonimització vs pseudonimització: només l'anonimització irreversible treu les dades de l'àmbit del RGPD. Les pseudonimitzades continuen sent dades personals —són reidentificables amb la informació guardada a part—: són una mesura de seguretat, no una sortida del reglament.
• Dret de supressió o «dret a l'oblit» (RGPD, art. 17): un dels drets de la persona interessada (arts. 12-22) que permet suprimir les seves dades personals en determinades circumstàncies —no és absolut—: quan ja no siguin necessàries, es retiri el consentiment o s'hagin tractat il·lícitament. Ni és una «visió parcial» de les dades, ni serveix per eludir responsabilitats pròpies. Amb arquitectures immutables (data lakes, blockchain, còpies) és un requisit tècnic que s'ha de dissenyar → temes 32 i 57.

Claus d'examen

• Fitxer cau com un joc de trobar les diferències: dues opcions idèntiques paraula per paraula excepte una, «conjunt estructurat de dades» contra «de dades personals». La bona és la que porta «personals» (TS-TIC 2021, p. 88).
• Tres papers contraposats, i cada pregunta en vol un. Qui respon dels tractaments de l'Ajuntament és l'Alcaldia (TS-TIC 2018, p. 73); qui atén els drets mal atesos és el DPD (TS-TIC 2018, p. 88); qui garanteix el compliment d'un tractament del Registre és la gerència responsable executiva (TS-TIC 2021, p. 70; TS-TIC 2023 pràctica, p. 17). El parany constant és posar el DPD al lloc del responsable (TS-TIC 2021, p. 71).
• Risc = Probabilitat × Impacte ha caigut dues vegades amb els mateixos distractors: sumatori de salvaguardes, cost de pòlisses i valors taxats en taules europees (TS-TIC 2018 pràctica, p. 25; TM-TIC 2021-OP pràctica, p. 12). Cap dels tres estima un risc.
• El moment de l'AIPD també ha caigut dues vegades, i sempre és «abans»; les opcions falses l'ajornen a la posada en producció, al primer any o a l'auditoria de l'ENS (TS-TIC 2018 pràctica, p. 27; TS-TIC 2023, p. 73).
• De la bretxa, la trampa és l'opció que inverteix la relació —«l'incident és un tipus de violació»— (TM-TIC 2021-OP, p. 69); i del termini, que són 72 hores des que se'n té constància, no des de l'incident, i que notifica el responsable, no el DPD (TS-TIC 2025, p. 74; TS-TIC 2025 pràctica, p. 23).
• A subcontractació, la resposta és el requisit que sobra: contracte, informació al responsable i garanties sí; consentiment de la persona titular, no (TS-TIC 2023 pràctica, p. 9). I al DPD intern o extern, l'opció temptadora és «el reglament no hi entra»: hi entra (TM-TIC 2021-OP, p. 63).

Per recordar

• Les autoritats de control són independents, no reben instruccions i tenen poders d'investigació, correctius i d'autorització; no supervisen els tribunals en la funció judicial. La competent per a l'Ajuntament de Barcelona és l'APDCAT.
• Fitxer (art. 4.6): conjunt estructurat de dades personals —no de «dades» a seques—. Destinatari és qui rep la comunicació; tercer es defineix per exclusió. Dades de salut (art. 4.15): salut física o mental, inclosa la prestació de serveis sanitaris.
• El DPD és el punt de contacte dels interessats (art. 38.4): si un dret no s'ha atès bé, la petició va al DPD, no al responsable ni a l'autoritat. Pot ser intern o extern (art. 37.6).
• Una bretxa és una espècie d'incident, no al revés: només ho és quan hi ha dades personals compromeses.
• L'adreça IP i els altres identificadors en línia són dades personals per identificabilitat indirecta; les pseudonimitzades també ho són, i només l'anonimització irreversible surt del RGPD.
• AIPD obligatòria en perfils amb efectes jurídics, categories especials a gran escala i observació sistemàtica a gran escala d'espais públics; abans del tractament i amb assessorament del DPD. Es quantifica amb Risc = Probabilitat × Impacte, i un alt risc residual obliga a la consulta prèvia.
• Responsable = determina finalitats i mitjans; encarregat = tracta per compte del responsable. El contracte de l'art. 28 és obligatori. Per subcontractar cal autorització prèvia, contracte amb el subencarregat i garanties; mai el consentiment de l'interessat.
• Bretxa: 72 hores a l'autoritat, comunicació als interessats només si hi ha alt risc, documentació sempre.
• Multes: 10 M€/2 % i 20 M€/4 %. Les administracions espanyoles no paguen multa: se'ls declara la infracció i es poden proposar actuacions disciplinàries.
• El registre d'activitats és obligatori per a totes les administracions, i la privadesa des del disseny i per defecte és una obligació jurídica amb conseqüències d'arquitectura.