- El projecte adapta el dret espanyol al Reglament europeu de protecció de dades, aplicable des del 25 de maig del 2018.
- Fixa en tretze anys l’edat de consentiment dels menors i regula les dades de les persones mortes.
- Les empreses hauran de revisar consentiments, drets de les persones i delegats de protecció de dades abans d’aquesta data.
El Consell de Ministres va aprovar el 10 de novembre del 2017 la remissió a les Corts Generals del projecte de llei orgànica de protecció de dades de caràcter personal, que adaptarà la legislació espanyola a un reglament comunitari del 2016. Aquest reglament s’aplicarà a partir del 25 de maig del 2018 i vol acabar amb la fragmentació de les normatives nacionals i adaptar la protecció de dades a la ràpida evolució tecnològica i als fenòmens derivats de la societat de la informació.
Segons la nota oficial, els objectius del projecte són augmentar la seguretat jurídica i adaptar la normativa a l’evolució tecnològica. A Espanya, on la protecció de dades és un dret fonamental recollit a l’article 18.4 de la Constitució, el text incorpora novetats en el règim de consentiment, en els tractaments i en la creació de noves figures i procediments, que afecten qualsevol empresa o professional que manegi dades de clients, empleats o proveïdors.
Consentiment, menors i difunts
El projecte fixa en tretze anys l’edat a partir de la qual un menor pot consentir el tractament de les seves dades, en línia amb altres països de l’entorn. Exclou el consentiment tàcit, que se substitueix per una acció afirmativa i expressa de la persona afectada, i recull de manera manifesta el deure de confidencialitat. Si les dades obtingudes de manera directa són inexactes, no s’imputa al responsable quan hagi adoptat totes les mesures raonables per rectificar-les o suprimir-les.
També regula el tractament de les dades de persones mortes, a sol·licitud dels seus hereus, i manté la prohibició d’emmagatzemar categories especials de dades, com ara la ideologia, l’afiliació sindical, la religió, l’orientació sexual, l’origen racial o ètnic i les creences. Per a aquestes categories, el sol consentiment de la persona interessada no basta per donar viabilitat al tractament, una cautela pensada per evitar situacions discriminatòries.
Drets, delegats i supòsits concrets
El text incorpora el principi de transparència en el dret de les persones a ser informades sobre el tractament de les seves dades i contempla expressament els drets d’accés, rectificació, supressió, limitació del tractament, portabilitat i oposició. Potencia la figura del delegat de protecció de dades, persona física o jurídica la designació de la qual s’ha de comunicar a l’autoritat competent, i configura l’Agència Espanyola de Protecció de Dades com a autoritat administrativa independent.
El projecte introdueix a més supòsits concrets: presumeix la prevalença de l’interès legítim del responsable del tractament en determinats casos, com els sistemes d’informació creditícia, i regula situacions d’interès públic, com la videovigilància, els sistemes d’exclusió publicitària, coneguts com a llistes Robinson, la funció estadística pública i les denúncies internes al sector privat. Són terrenys on la pràctica empresarial és molt habitual i on les regles seran més clares.
Què convé revisar
La data d’aplicació del reglament, el 25 de maig del 2018, és el veritable límit: tot i que el projecte de llei encara s’ha de tramitar a les Corts, les obligacions europees ja estan fixades. Convé començar ja per un inventari de dades: quines dades personals tracta la vostra empresa, per a què, amb quina base legal, durant quant de temps i qui hi té accés, i comprovar si els consentiments existents continuen sent vàlids amb les noves exigències.
També convé revisar els contractes amb proveïdors que tracten dades per compte de l’empresa, els procediments per atendre els drets de les persones, els terminis de conservació i la seguretat de la informació, inclosa la manera d’actuar davant d’una bretxa. I valorar si cal nomenar un delegat de protecció de dades. Les sancions previstes al reglament poden ser elevades, de manera que convé abordar l’adaptació amb temps i amb assessorament especialitzat.
La protecció de dades deixa de ser un tràmit per convertir-se en una manera de governar la informació de l’empresa.
Aquest article és informació general. No és assessorament jurídic, fiscal ni d’inversió, i no té en compte les circumstàncies particulars de ningú.
