Materia de estudio
Resumen del tema con citas literales de la normativa oficial. Lee los apuntes y luego pon a prueba lo que has aprendido en el test.
El tema de protecció de dades és un dels més preguntats en les oposicions de l’Administració autonòmica valenciana, ja que afecta directament la tasca diària de l’auxiliar administratiu en el tractament de documents i expedients. Cal dominar tant el Reglament europeu (RGPD) com la llei orgànica estatal (LOPDGDD), que el desenvolupa i adapta a l’ordenament espanyol.
Marc normatiu
- Reglament (UE) 2016/679 del Parlament Europeu i del Consell, de 27 d’abril de 2016, relatiu a la protecció de les persones físiques pel que fa al tractament de dades personals i a la lliure circulació d’aquestes dades (RGPD). Aplicable directament a tots els estats membres des del 25 de maig de 2018.
- Llei Orgànica 3/2018, de 5 de desembre, de Protecció de Dades Personals i garantia dels drets digitals (LOPDGDD). Publicada al BOE. Adapta el RGPD a l’ordenament jurídic espanyol i regula els drets digitals.
Important: el RGPD és un reglament europeu d’aplicació directa; la LOPDGDD el complementa però no el substitueix.
Conceptes clau
Dada personal
Segons l’art. 4.1 RGPD, és «tota informació sobre una persona física identificada o identificable». Una persona és identificable quan pot ser reconeguda directament o indirectament, en particular mitjançant un identificador (nom, número d’identificació, dades de localització, identificador en línia) o un o diversos elements propis de la seua identitat física, fisiològica, genètica, psíquica, econòmica, cultural o social.
Tractament
L’art. 4.2 RGPD defineix tractament com «qualsevol operació o conjunt d’operacions realitzades sobre dades personals», ja siga per procediments automatitzats o no: recollida, registre, organització, estructuració, conservació, adaptació, modificació, extracció, consulta, utilització, comunicació per transmissió, difusió o qualsevol altra forma d’habilitació d’accés, cotejament, interconnexió, limitació, supressió o destrucció.
Responsable del tractament
Persona física o jurídica, autoritat pública, servei o altre organisme que, sol o conjuntament amb altres, determina les finalitats i els mitjans del tractament (art. 4.7 RGPD).
Encarregat del tractament
Persona física o jurídica, autoritat pública, servei o altre organisme que tracta dades personals per compte del responsable (art. 4.8 RGPD).
Consentiment
L’art. 4.11 RGPD el defineix com «tota manifestació de voluntat lliure, específica, informada i inequívoca». Ha de ser un acte afirmatiu clar. El silenci, les caselles marcades per defecte o la inacció no constitueixen consentiment.
- Edat per al consentiment en serveis de la societat de la informació: 14 anys (art. 7 LOPDGDD). Per davall d’aquesta edat cal el consentiment dels pares o tutors.
Delegat de Protecció de Dades (DPD)
Figura regulada als arts. 37 a 39 RGPD i als arts. 34 a 37 LOPDGDD.
- Designació obligatòria per a: autoritats i organismes públics (excepte tribunals en exercici de la seua funció judicial), responsables o encarregats que realitzen seguiment sistemàtic a gran escala, i els que tracten categories especials de dades a gran escala (art. 37.1 RGPD).
- Les administracions públiques estan obligades a designar DPD (art. 34.1 LOPDGDD).
- Les seues funcions principals (art. 39 RGPD): informar i assessorar, supervisar el compliment, cooperar amb l’autoritat de control i actuar com a punt de contacte.
- El DPD no pot rebre instruccions del responsable sobre l’exercici de les seues funcions (art. 38.3 RGPD).
Categories especials de dades
L’art. 9.1 RGPD prohibeix el tractament de dades que revelen:
- Origen ètnic o racial
- Opinions polítiques
- Conviccions religioses o filosòfiques
- Afiliació sindical
- Dades genètiques
- Dades biomètriques dirigides a identificar de manera unívoca una persona física
- Dades relatives a la salut
- Dades relatives a la vida sexual o l’orientació sexual
El tractament d’aquestes dades només és possible en els supòsits de l’art. 9.2 RGPD (consentiment explícit, obligació legal, interès vital, etc.).
Drets de les persones interessades
El RGPD reconeix els drets següents (coneguts col·loquialment com a drets ARSULIPO):
- Accés (art. 15 RGPD): conèixer si es tracten les seues dades i obtenir-ne una còpia.
- Rectificació (art. 16 RGPD): corregir dades inexactes o incompletes.
- Supressió o «dret a l’oblit» (art. 17 RGPD): sol·licitar l’eliminació de les dades.
- Limitació del tractament (art. 18 RGPD): restringir el tractament en determinats supòsits.
- Portabilitat (art. 20 RGPD): rebre les dades en format estructurat i transmetre-les a un altre responsable.
- Oposició (art. 21 RGPD): oposar-se al tractament per motius relacionats amb la seua situació particular.
Bases de legitimació del tractament
L’art. 6 RGPD estableix que el tractament és lícit si es basa en almenys una de les bases següents:
- Consentiment de l’interessat
- Execució d’un contracte
- Compliment d’una obligació legal
- Protecció d’interessos vitals
- Compliment d’una missió en interès públic o exercici de poders públics
- Interès legítim del responsable (no aplicable a autoritats públiques en exercici de les seues funcions)
Dades i terminis que més es pregunten
- Aplicació del RGPD: 25 de maig de 2018.
- LOPDGDD: Llei Orgànica 3/2018, de 5 de desembre.
- Edat de consentiment digital: 14 anys (art. 7 LOPDGDD).
- Notificació de bretxa de seguretat a l’autoritat de control: 72 hores des que el responsable en tinga coneixement (art. 33.1 RGPD).
- Resposta als drets de l’interessat: 1 mes des de la recepció de la sol·licitud, prorrogable 2 mesos més en casos complexos (art. 12.3 RGPD).
- Autoritat de control a Espanya: Agència Espanyola de Protecció de Dades (AEPD), regulada als arts. 44 i ss. LOPDGDD.
- Sancions màximes RGPD (art. 83 RGPD):
- Infraccions greus: fins a 10.000.000 € o el 2 % del volum de negoci anual mundial.
- Infraccions molt greus: fins a 20.000.000 € o el 4 % del volum de negoci anual mundial.
Errors típics de l’opositor
- Confondre responsable i encarregat: el responsable decideix el per a què i el com; l’encarregat executa per compte del responsable.
- Creure que el silenci és consentiment: el RGPD exigeix un acte afirmatiu clar; el silenci no val.
- Oblidar que el RGPD és d’aplicació directa: no cal transposició; la LOPDGDD el complementa, no el substitueix.
- Confondre el termini de resposta als drets: és 1 mes (prorrogable a 3 en total), no 15 dies ni 2 mesos directament.
- Situar l’edat de consentiment en 16 anys: a Espanya la LOPDGDD la fixa en 14 anys, no en 16 (que era l’edat que el RGPD permetia com a màxim als estats membres).
- Creure que les administracions públiques poden no tenir DPD: la designació és obligatòria per a totes les administracions públiques.
Trucs mnemotècnics
- RGPD = 2016, aplicació 2018: «el reglament es va aprovar dos anys abans d’aplicar-se».
- 72 hores per a la bretxa: «tres dies per avisar, no tres setmanes».
- 14 anys: «a Espanya, amb 14 anys pots donar el teu consentiment digital, com pots triar la teua religió».
- Drets ARSULIPO: Accés · Rectificació · Supressió · Ulimitació · Limitació · Informació · Portabilitat · Oposició — memoritza l’acrònim per no oblidar cap dret.
- Sancions 2/4 i 10/20: infraccions menys greus → 2 % i 10 M€; infraccions més greus → 4 % i 20 M€. «El doble per a les pitjors».
- DPD = no rep instruccions: el DPD és independent; si el responsable li donara ordres, vulneraria el RGPD.