Test: Protecció de dades (LOPDGDD, RGPD)

El Tema 12 és un dels més tècnics del temari dels Mossos d’Esquadra, però també un dels més preguntats en les darreres convocatòries. La protecció de dades afecta directament l’activitat policial: tractament de fitxers, videovigilància, accés a dades de tercers i drets dels ciutadans. Dominar la distinció entre el RGPD (norma europea) i la LOPDGDD (norma orgànica espanyola que el desenvolupa) és imprescindible per no confondre fonts en les respostes de test.

Marc normatiu

• Reglament (UE) 2016/679, del Parlament Europeu i del Consell, de 27 d’abril de 2016, relatiu a la protecció de les persones físiques pel que fa al tractament de dades personals i a la lliure circulació d’aquestes dades (RGPD). Aplicable directament a tots els estats membres des del 25 de maig de 2018.
• Llei Orgànica 3/2018, de 5 de desembre, de Protecció de Dades Personals i garantia dels drets digitals (LOPDGDD). Publicada al BOE. Adapta i complementa el RGPD a l’ordenament espanyol.

Atenció: el RGPD és un reglament europeu d’aplicació directa; la LOPDGDD és la norma interna que el concreta i amplia en determinats àmbits.

Conceptes clau

Dada personal

Qualsevol informació sobre una persona física identificada o identificable (art. 4.1 RGPD). S’hi inclouen nom, DNI, adreça IP, dades de localització, identificadors en línia i qualsevol factor que permeti identificar la persona.

No es consideren dades personals les dades de persones jurídiques ni les de persones mortes (tot i que la LOPDGDD permet als hereus exercir certs drets, art. 3 LOPDGDD).

Tractament

Qualsevol operació o conjunt d’operacions efectuades sobre dades personals: recollida, registre, organització, estructuració, conservació, adaptació, extracció, consulta, utilització, comunicació, difusió, supressió o destrucció (art. 4.2 RGPD).

Responsable del tractament

Persona física o jurídica, autoritat pública, servei o altre organisme que, sol o conjuntament amb d’altres, determina els fins i els mitjans del tractament (art. 4.7 RGPD).

Encarregat del tractament

Persona física o jurídica que tracta dades personals per compte del responsable (art. 4.8 RGPD). La relació entre responsable i encarregat ha de formalitzar-se mitjançant un contracte o acte jurídic vinculant (art. 28 RGPD).

Delegat de Protecció de Dades (DPD)

Figura obligatòria en determinats supòsits (art. 37 RGPD):

• Autoritats i organismes públics (excepte tribunals en exercici de la seva funció judicial).
• Responsables o encarregats que realitzin tractaments que requereixin una observació habitual i sistemàtica a gran escala.
• Tractaments a gran escala de categories especials de dades o dades relatives a condemnes penals.

El DPD pot ser empleat del responsable o actuar en règim de prestació de serveis (art. 37.6 RGPD). Té garantia d’independència i no pot ser destituït ni sancionat per exercir les seves funcions (art. 38.3 RGPD).

Categories especials de dades

L’art. 9.1 RGPD prohibeix, com a regla general, el tractament de:

• Dades que revelin l’origen ètnic o racial.
• Opinions polítiques.
• Conviccions religioses o filosòfiques.
• Afiliació sindical.
• Dades genètiques i biomètriques dirigides a identificar de manera unívoca una persona física.
• Dades relatives a la salut.
• Dades relatives a la vida sexual o l’orientació sexual.

L’art. 9.2 RGPD estableix les excepcions (consentiment explícit, interès vital, interès públic, etc.).

Dades relatives a condemnes penals i infraccions

Regulades a l’art. 10 RGPD: el seu tractament només pot dur-se a terme sota el control de l’autoritat pública o quan ho autoritzi el dret de la Unió o dels estats membres.

Principis del tractament

L’art. 5 RGPD recull els principis que regeixen qualsevol tractament de dades:

• Licitud, lleialtat i transparència: el tractament ha de tenir base jurídica i el interessat ha de ser informat.
• Limitació de la finalitat: les dades es recullen per a finalitats determinades, explícites i legítimes, i no es poden tractar de manera incompatible amb aquestes finalitats.
• Minimització de dades: les dades han de ser adequades, pertinents i limitades al que és necessari.
• Exactitud: les dades han de ser exactes i, si cal, actualitzades.
• Limitació del termini de conservació: les dades no es poden conservar més temps del necessari per a la finalitat.
• Integritat i confidencialitat: s’ha de garantir la seguretat adequada.
• Responsabilitat proactiva (accountability): el responsable ha de poder demostrar el compliment de tots els principis anteriors (art. 5.2 RGPD).

Bases de licitud del tractament

L’art. 6 RGPD estableix les bases jurídiques que legitimen el tractament:

1. Consentiment de l’interessat.
2. Execució d’un contracte en el qual l’interessat és part.
3. Obligació legal aplicable al responsable.
4. Interès vital de l’interessat o d’una altra persona física.
5. Missió en interès públic o exercici de poders públics conferits al responsable.
6. Interès legítim del responsable o d’un tercer (no aplicable a autoritats públiques en l’exercici de les seves funcions).

Per a l’activitat policial, les bases més rellevants són l’obligació legal i la missió en interès públic.

Drets de les persones interessades

(No s’utilitzen taules; vegeu la llista següent.)

• Dret d’accés (art. 15 RGPD): l’interessat pot obtenir confirmació de si es tracten les seves dades i una còpia.
• Dret de rectificació (art. 16 RGPD): correcció de dades inexactes.
• Dret de supressió o «dret a l’oblit» (art. 17 RGPD): supressió de les dades quan ja no siguin necessàries o es retiri el consentiment, entre d’altres supòsits.
• Dret a la limitació del tractament (art. 18 RGPD): l’interessat pot sol·licitar que el tractament quedi restringit en determinades circumstàncies.
• Dret a la portabilitat (art. 20 RGPD): rebre les dades en format estructurat i transmetre-les a un altre responsable. Només s’aplica quan el tractament es basa en el consentiment o en un contracte i es realitza per mitjans automatitzats.
• Dret d’oposició (art. 21 RGPD): oposar-se al tractament per motius relacionats amb la situació particular de l’interessat.

Dades i plazos que més es pregunten

• Data d’aplicació del RGPD: 25 de maig de 2018.
• Data d’aprovació del RGPD: 27 d’abril de 2016.
• Data de la LOPDGDD: 5 de desembre de 2018.
• Notificació de bretxa de seguretat a l’autoritat de control: 72 hores des que el responsable en tingui coneixement, sense dilació indeguda (art. 33.1 RGPD).
• Resposta als drets de l’interessat: termini general d’1 mes, prorrogable fins a 2 mesos addicionals en casos de complexitat o elevat nombre de sol·licituds, amb comunicació prèvia a l’interessat (art. 12.3 RGPD).
• Edat mínima per prestar consentiment en serveis de la societat de la informació: el RGPD fixa els 16 anys com a referència, però permet als estats membres rebaixar-la fins als 13 anys (art. 8 RGPD). La LOPDGDD fixa els 14 anys a Espanya (art. 7 LOPDGDD).
• Sancions màximes (art. 83 RGPD):
  • Infraccions greus: fins a 10.000.000 € o el 2 % del volum de negoci anual mundial.
  • Infraccions molt greus: fins a 20.000.000 € o el 4 % del volum de negoci anual mundial (s’aplica la quantia més elevada).
• Autoritat de control a Espanya: Agència Espanyola de Protecció de Dades (AEPD). A Catalunya, l’Autoritat Catalana de Protecció de Dades (APDCAT) és competent per al sector públic de la Generalitat i l’Administració local catalana.

Avaluació d’Impacte relativa a la Protecció de Dades (AIPD)

Obligatòria quan el tractament pugui suposar un alt risc per als drets i les llibertats de les persones (art. 35 RGPD). Casos en què és preceptiva:

• Avaluació sistemàtica i exhaustiva d’aspectes personals basada en tractament automatitzat, inclosa l’elaboració de perfils.
• Tractament a gran escala de categories especials de dades (art. 9) o dades penals (art. 10).
• Observació sistemàtica a gran escala d’una zona d’accés públic (videovigilància policial).

Errors típics de l’opositor

• Confondre responsable i encarregat: el responsable decideix el per a què i el com; l’encarregat executa per compte del responsable.
• Confondre el RGPD amb la LOPDGDD: el RGPD és directament aplicable; la LOPDGDD és la llei orgànica espanyola que el complementa. En cas de conflicte, preval el RGPD.
• Creure que el dret a la portabilitat és universal: només s’aplica quan la base jurídica és el consentiment o el contracte, i el tractament és automatitzat.
• Confondre el termini de notificació de bretxa (72 hores a l’autoritat) amb el termini de resposta als drets (1 mes).
• Oblidar l’edat espanyola: el RGPD diu 16 anys, però la LOPDGDD espanyola fixa 14 anys. En un test sobre dret espanyol, la resposta correcta és 14 anys.
• Pensar que les sancions del RGPD s’apliquen directament a les administracions públiques espanyoles: la LOPDGDD estableix un règim sancionador específic per al sector públic (art. 77 LOPDGDD), que no inclou multes econòmiques sinó l’amonestació i la publicació de la resolució.

Trucs mnemotècnics

• «LMELI» per als principis de l’art. 5 RGPD: Licitud · Minimització · Exactitud · Limitació de conservació · Integritat (i confidencialitat). Afegeix «Finalitat» i «Accountability» per completar els set.
• 72 hores = 3 dies: la bretxa de seguretat s’ha de notificar en menys de tres dies naturals. Recorda: «en tres dies o et sancionen».
• 14 anys a Espanya, 16 al RGPD: «a Espanya, majors de 14 per consentir en línia».
• Responsable = Raó de ser del tractament (decideix); Encarregat = Executa per Encàrrec.
• 4 % o 20 milions: la sanció màxima del RGPD per a infraccions molt greus. «Quatre és el màxim».