Materia de estudio
Resumen del tema con citas literales de la normativa oficial. Lee los apuntes y luego pon a prueba lo que has aprendido en el test.
El tema de la protecció de dades és un dels més habituals en els exàmens d’Auxiliar Administratiu de la Generalitat de Catalunya. Combina normativa europea (RGPD), estatal (LOPDGDD) i autonòmica (Llei 32/2010 de l’APDCAT), i les preguntes test solen incidir en definicions, drets, terminis i sancions. Dominar les tres capes normatives i les seves interrelacions és imprescindible.
Marc normatiu
- Reglament (UE) 2016/679 del Parlament Europeu i del Consell, de 27 d’abril de 2016, relatiu a la protecció de les persones físiques pel que fa al tractament de dades personals i a la lliure circulació d’aquestes dades (RGPD). Aplicable directament a tots els estats membres des del 25 de maig de 2018.
- Llei Orgànica 3/2018, de 5 de desembre, de protecció de dades personals i garantia dels drets digitals (LOPDGDD). Adapta l’ordenament espanyol al RGPD.
- Llei 32/2010, de l’1 d’octubre, de l’Autoritat Catalana de Protecció de Dades (APDCAT). Regula l’organització i les funcions de l’autoritat de control a Catalunya.
Jerarquia: el RGPD preval sobre la LOPDGDD; la Llei 32/2010 s’aplica als tractaments de dades efectuats per les administracions públiques catalanes en l’àmbit de les seves competències.
Conceptes clau
Dada personal
L’art. 4.1 RGPD defineix «dada personal» com «tota informació sobre una persona física identificada o identificable». Una persona és identificable quan pot ser identificada, directament o indirectament, per un identificador (nom, número d’identificació, dades de localització, identificador en línia) o per un o diversos elements propis de la seva identitat física, fisiològica, genètica, psíquica, econòmica, cultural o social.
Tractament
Qualsevol operació o conjunt d’operacions efectuades sobre dades personals, ja sigui per procediments automatitzats o no: recollida, registre, organització, estructuració, conservació, adaptació, modificació, extracció, consulta, utilització, comunicació per transmissió, difusió o qualsevol altra forma d’habilitació d’accés, cotejament, interconnexió, limitació, supressió o destrucció (art. 4.2 RGPD).
Responsable del tractament
Persona física o jurídica, autoritat pública, servei o altre organisme que, sol o conjuntament amb d’altres, determina els fins i els mitjans del tractament (art. 4.7 RGPD).
Encarregat del tractament
Persona física o jurídica, autoritat pública, servei o altre organisme que tracta dades personals per compte del responsable (art. 4.8 RGPD).
Distinció clau per al test: el responsable decideix el per a què i el com; l’encarregat executa per compte del responsable. No confondre’ls.
Consentiment
Ha de ser lliure, específic, informat i inequívoc (art. 4.11 RGPD). El silenci, les caselles premarcades o la inacció no constitueixen consentiment. Per a menors, l’art. 8 RGPD fixa l’edat en 16 anys; la LOPDGDD la redueix a 14 anys (art. 7 LOPDGDD).
Categories especials de dades
L’art. 9 RGPD prohibeix, com a regla general, el tractament de dades que revelin:
- Origen ètnic o racial
- Opinions polítiques
- Conviccions religioses o filosòfiques
- Afiliació sindical
- Dades genètiques i biomètriques (amb finalitat d’identificació unívoca)
- Dades relatives a la salut
- Dades relatives a la vida sexual o l’orientació sexual
El tractament d’aquestes dades només és lícit si concorre alguna de les excepcions de l’art. 9.2 RGPD (consentiment explícit, obligació legal en matèria laboral, interès vital, etc.).
Principis del tractament (art. 5 RGPD)
- Licitud, lleialtat i transparència
- Limitació de la finalitat: les dades es recullen per a fins determinats, explícits i legítims, i no es tracten de manera incompatible amb aquests fins.
- Minimització de dades: adequades, pertinents i limitades al necessari.
- Exactitud: actualitzades; s’han de suprimir o rectificar sense dilació.
- Limitació del termini de conservació: no es conserven més temps del necessari per a la finalitat.
- Integritat i confidencialitat: seguretat adequada.
- Responsabilitat proactiva (accountability): el responsable ha de poder demostrar el compliment.
Drets de les persones interessades
| Dret | Base normativa |
|---|
(No s’utilitzen taules; vegeu llista a continuació.)
- Dret d’accés (art. 15 RGPD / art. 13 LOPDGDD): obtenir confirmació de si es tracten dades pròpies i còpia d’aquestes.
- Dret de rectificació (art. 16 RGPD): obtenir la rectificació de dades inexactes.
- Dret de supressió o «dret a l’oblit» (art. 17 RGPD): supressió de les dades quan ja no siguin necessàries, es retiri el consentiment, etc.
- Dret a la limitació del tractament (art. 18 RGPD): el responsable conserva les dades però no les tracta.
- Dret a la portabilitat (art. 20 RGPD): rebre les dades en format estructurat, d’ús comú i lectura mecànica, i transmetre-les a un altre responsable. Només s’aplica quan el tractament es basa en el consentiment o en un contracte i es realitza per mitjans automatitzats.
- Dret d’oposició (art. 21 RGPD): oposar-se al tractament en determinades circumstàncies.
Terminis de resposta als drets (art. 12 RGPD)
El responsable ha de respondre en el termini d’un mes des de la recepció de la sol·licitud. Aquest termini es pot prorrogar dos mesos més (total: tres mesos) tenint en compte la complexitat i el nombre de sol·licituds, comunicant-ho a l’interessat en el primer mes.
Delegat de Protecció de Dades (DPD)
Regulat als arts. 37-39 RGPD i arts. 34-37 LOPDGDD.
Designació obligatòria per a:
- Autoritats i organismes públics (excepte tribunals en exercici de la funció judicial).
- Responsables o encarregats que realitzin tractaments que requereixin una observació habitual i sistemàtica a gran escala.
- Responsables o encarregats que tractin a gran escala categories especials de dades (art. 9 RGPD) o dades relatives a condemnes penals.
Funcions principals (art. 39 RGPD):
- Informar i assessorar el responsable i els empleats.
- Supervisar el compliment del RGPD.
- Cooperar amb l’autoritat de control i actuar com a punt de contacte.
El DPD no pot rebre instruccions del responsable quant a l’exercici de les seves funcions i no pot ser sancionat per exercir-les (art. 38.3 RGPD).
Autoritat Catalana de Protecció de Dades (APDCAT)
Regulada per la Llei 32/2010, de l’1 d’octubre. És una autoritat independent amb personalitat jurídica pròpia, adscrita al Parlament de Catalunya. Supervisa els tractaments de dades efectuats per:
- L’Administració de la Generalitat de Catalunya.
- Les administracions locals catalanes.
- Les universitats públiques catalanes.
- Altres entitats del sector públic català.
Per als tractaments del sector privat i de l’Administració General de l’Estat a Catalunya, l’autoritat competent és l’Agència Espanyola de Protecció de Dades (AEPD).
Règim sancionador (arts. 83 RGPD i 72-74 LOPDGDD)
- Infraccions molt greus (art. 83.5 RGPD): multa de fins a 20.000.000 € o el 4 % de la facturació anual global total de l’exercici anterior (s’aplica la xifra més elevada).
- Infraccions greus (art. 83.4 RGPD): multa de fins a 10.000.000 € o el 2 % de la facturació anual global.
Les administracions públiques no estan subjectes a multes administratives en virtut de l’art. 83 RGPD; la LOPDGDD preveu un règim específic d’amonestació i comunicació al Defensor del Pueblo o equivalent autonòmic (art. 77 LOPDGDD).
Dades numèriques i terminis que més es pregunten
- 25 de maig de 2018: data d’aplicació del RGPD.
- 14 anys: edat mínima per prestar consentiment a Espanya (art. 7 LOPDGDD).
- 16 anys: edat que fixa el RGPD per defecte (art. 8 RGPD).
- 1 mes (prorrogable a 3): termini de resposta als drets (art. 12 RGPD).
- 72 hores: termini màxim per notificar una bretxa de seguretat a l’autoritat de control (art. 33 RGPD).
- 20 M€ / 4 %: sancions màximes per infraccions molt greus.
- 10 M€ / 2 %: sancions màximes per infraccions greus.
Errors típics de l’opositor
- Confondre el responsable (decideix fins i mitjans) amb l’encarregat (tracta per compte del responsable).
- Creure que el silenci o una casella premarcada constitueix consentiment vàlid: no ho és.
- Aplicar l’edat de 16 anys a Espanya: la LOPDGDD la redueix a 14 anys.
- Pensar que les administracions públiques poden ser multades amb les quanties de l’art. 83 RGPD: la LOPDGDD estableix un règim especial (art. 77).
- Confondre el dret a la limitació (es conserven les dades però no es tracten) amb el dret de supressió (s’eliminen les dades).
- Atribuir la supervisió del sector privat a l’APDCAT: correspon a l’AEPD.
Trucs mnemotècnics
- LMEIT-LC: els sis principis de l’art. 5 RGPD → Licitud, Minimització, Exactitud, Integritat, Termini de conservació, Limitació de la finalitat + Compte (accountability).
- “14 a Espanya, 16 a Europa”: edat de consentiment digital.
- “72 hores o multa”: bretxa de seguretat → notificació a l’autoritat en 72 hores.
- “4-2 / 20-10”: infraccions molt greus = 4 % / 20 M€; greus = 2 % / 10 M€.
- APDCAT = sector públic català; AEPD = sector privat i Estat.