Materia de estudio
Resumen del tema con citas literales de la normativa oficial. Lee los apuntes y luego pon a prueba lo que has aprendido en el test.
El tema de protecció de dades és un dels més tècnics del temari de l’Auxiliar Administratiu de la CAIB. La normativa vigent combina el Reglament europeu (RGPD) —d’aplicació directa a tots els estats membres des del 25 de maig de 2018— i la llei orgànica espanyola (LOPDGDD) que l’adapta i complementa. Les preguntes de test solen incidir en definicions, drets, terminis i figures institucionals.
Marc normatiu
- Reglament (UE) 2016/679 del Parlament Europeu i del Consell, de 27 d’abril de 2016, relatiu a la protecció de les persones físiques pel que fa al tractament de dades personals i a la lliure circulació d’aquestes dades (RGPD). Va entrar en vigor el 24 de maig de 2016 i és d’aplicació des del 25 de maig de 2018.
- Llei Orgànica 3/2018, de 5 de desembre, de Protecció de Dades Personals i garantia dels drets digitals (LOPDGDD). Va ser publicada al BOE i adapta l’ordenament espanyol al RGPD.
El RGPD és una norma de rang reglamentari europeu i té aplicació directa sense necessitat de transposició. La LOPDGDD el complementa i concreta en aspectes que el propi RGPD deixa als estats membres.
Conceptes clau
Dada personal
L’art. 4.1 RGPD defineix «dades personals» com «tota informació sobre una persona física identificada o identificable». Una persona és identificable quan pot ser reconeguda, directament o indirectament, per un identificador (nom, número d’identificació, dades de localització, identificador en línia) o per un o diversos elements propis de la seva identitat física, fisiològica, genètica, psíquica, econòmica, cultural o social.
Tractament
L’art. 4.2 RGPD defineix «tractament» com «qualsevol operació o conjunt d’operacions efectuades sobre dades personals», ja sigui per procediments automatitzats o no: recollida, registre, organització, estructuració, conservació, adaptació, modificació, extracció, consulta, utilització, comunicació, difusió, supressió o destrucció.
Responsable del tractament
L’art. 4.7 RGPD el defineix com la persona física o jurídica, autoritat pública, servei o altre organisme que, sol o conjuntament amb d’altres, determina els fins i els mitjans del tractament.
Encarregat del tractament
L’art. 4.8 RGPD el defineix com la persona física o jurídica, autoritat pública, servei o altre organisme que tracta dades personals per compte del responsable. La relació entre responsable i encarregat ha de formalitzar-se mitjançant un contracte o acte jurídic vinculant (art. 28 RGPD).
Delegat de Protecció de Dades (DPD)
Figura regulada als art. 37 a 39 RGPD i als art. 34 a 37 LOPDGDD.
Designació obligatòria (art. 37.1 RGPD) en tres supòsits:
- Quan el tractament el dugui a terme una autoritat o organisme públic.
- Quan les activitats principals consisteixin en operacions que requereixin una observació habitual i sistemàtica d’interessats a gran escala.
- Quan les activitats principals consisteixin en el tractament a gran escala de categories especials de dades (art. 9 RGPD) o de dades relatives a condemnes i infraccions penals (art. 10 RGPD).
Funcions del DPD (art. 39 RGPD):
- Informar i assessorar el responsable i l’encarregat.
- Supervisar el compliment del RGPD.
- Cooperar amb l’autoritat de control.
- Actuar com a punt de contacte amb l’autoritat de control.
El DPD pot ser un empleat o un professional extern (art. 37.6 RGPD). Ha de tenir coneixements especialitzats en dret i pràctica de protecció de dades (art. 37.5 RGPD).
Categories especials de dades
L’art. 9.1 RGPD prohibeix el tractament de dades que revelin:
- Origen ètnic o racial
- Opinions polítiques
- Conviccions religioses o filosòfiques
- Afiliació sindical
- Dades genètiques
- Dades biomètriques dirigides a identificar de manera unívoca una persona física
- Dades relatives a la salut
- Dades relatives a la vida sexual o l’orientació sexual
Aquestes dades reben una protecció reforçada. El tractament és possible en els supòsits de l’art. 9.2 RGPD (consentiment explícit, obligació legal, interès vital, etc.).
Drets de les persones interessades
Els drets regulats al RGPD (capítol III, art. 12 a 23) i a la LOPDGDD (art. 13 a 18) són:
- Dret d’accés (art. 15 RGPD): l’interessat pot obtenir confirmació de si es tracten les seves dades i accedir-hi.
- Dret de rectificació (art. 16 RGPD): correcció de dades inexactes o incompletes.
- Dret de supressió o «dret a l’oblit» (art. 17 RGPD): supressió de les dades quan ja no siguin necessàries, es retiri el consentiment o s’oposin al tractament.
- Dret a la limitació del tractament (art. 18 RGPD): suspensió temporal del tractament en determinats supòsits.
- Dret a la portabilitat (art. 20 RGPD): rebre les dades en format estructurat, d’ús comú i lectura mecànica, i transmetre-les a un altre responsable. Només s’aplica quan el tractament es basa en el consentiment o en un contracte i es fa per mitjans automatitzats.
- Dret d’oposició (art. 21 RGPD): oposar-se al tractament per motius relacionats amb la situació particular de l’interessat.
Termini de resposta: el responsable ha de respondre en el termini d’un mes a partir de la recepció de la sol·licitud (art. 12.3 RGPD). Aquest termini es pot prorrogar dos mesos més quan les sol·licituds siguin complexes o nombroses, comunicant-ho a l’interessat en el primer mes.
El consentiment
L’art. 4.11 RGPD defineix el consentiment com «tota manifestació de voluntat lliure, específica, informada i inequívoca». Ha de ser:
- Lliure: sense condicionaments ni perjudicis per negar-lo.
- Específic: per a una finalitat concreta.
- Informat: l’interessat ha de conèixer qui tracta les dades i per a què.
- Inequívoc: acció afirmativa clara (no val el silenci ni les caselles premarcades).
L’art. 7.3 RGPD estableix que l’interessat pot retirar el consentiment en qualsevol moment, sense que això afecti la licitud del tractament previ.
Consentiment de menors: l’art. 8 RGPD fixa el llindar en 16 anys per als serveis de la societat de la informació. No obstant això, l’art. 7 LOPDGDD el redueix a 14 anys en l’àmbit espanyol.
L’Agència Espanyola de Protecció de Dades (AEPD)
Regulada als art. 44 a 58 LOPDGDD. És l’autoritat de control independent a Espanya (art. 51 RGPD). Té personalitat jurídica pròpia i plena capacitat pública i privada.
Funcions principals (art. 57 RGPD):
- Supervisar i fer complir el RGPD.
- Tramitar reclamacions dels interessats.
- Imposar sancions administratives.
A les Illes Balears, en matèria de protecció de dades de les administracions autonòmiques i locals, l’autoritat competent és l’Agència Espanyola de Protecció de Dades, ja que les Illes Balears no disposen d’una autoritat autonòmica pròpia de protecció de dades.
Règim sancionador
L’art. 83 RGPD estableix dos nivells de sancions administratives:
- Infraccions de nivell inferior: fins a 10.000.000 € o, en el cas d’una empresa, fins al 2 % del volum de negoci anual global de l’exercici anterior (el que sigui major).
- Infraccions de nivell superior: fins a 20.000.000 € o fins al 4 % del volum de negoci anual global (el que sigui major).
Les infraccions de nivell superior inclouen la vulneració dels principis bàsics del tractament, dels drets dels interessats o de les transferències internacionals de dades.
Dades numèriques i terminis que més es pregunten
- 25 de maig de 2018: data d’aplicació del RGPD.
- 14 anys: edat mínima per consentir a Espanya (art. 7 LOPDGDD).
- 16 anys: edat mínima al RGPD (art. 8 RGPD).
- 1 mes: termini general de resposta als drets (art. 12.3 RGPD).
- 2 mesos addicionals: pròrroga possible per a sol·licituds complexes.
- 72 hores: termini per notificar una bretxa de seguretat a l’autoritat de control (art. 33.1 RGPD).
- 10 M€ / 2 %: sancions menors (art. 83.4 RGPD).
- 20 M€ / 4 %: sancions majors (art. 83.5 RGPD).
Errors típics de l’opositor
- Confondre el responsable (decideix els fins) amb l’encarregat (tracta per compte del responsable).
- Creure que el consentiment tàcit o el silenci és vàlid: no ho és (art. 4.11 RGPD).
- Situar l’edat de consentiment a 16 anys a Espanya: la LOPDGDD la redueix a 14 anys.
- Confondre el termini de resposta als drets (1 mes) amb el de notificació de bretxes (72 hores).
- Pensar que el dret a la portabilitat s’aplica a tots els tractaments: només quan la base és el consentiment o un contracte i el tractament és automatitzat.
- Creure que el DPD ha de ser sempre un empleat intern: pot ser extern (art. 37.6 RGPD).
Trucs mnemotècnics
- LSII: els quatre requisits del consentiment: Lliure, Específic, Informat, Inequívoc → «Les sol·licituds informen i impliquen».
- 14 Espanya / 16 Europa: la llei espanyola és més protectora (edat menor).
- 72 hores = 3 dies: per a les bretxes de seguretat, el termini és molt curt; recorda-ho com «tres dies per avisar».
- 2 % i 4 %: el doble de percentatge per a les infraccions més greus, igual que el doble de milions (10 → 20).
- DPD obligatori = APO: Autoritats públiques, Perfil sistemàtic a gran escala, Observació de categories especials.