Entra en vigor el RGPD

El 25 de maig del 2018 va començar a aplicar-se a la Unió Europea el Reglament General de Protecció de Dades (RGPD), amb noves obligacions per a qualsevol empresa que tracti dades personals. Les sancions per incomplir-lo poden arribar al 4 % de la facturació mundial, una xifra que va convertir el compliment en una prioritat de gestió fins i tot per a negocis que fins aleshores no s’havien plantejat l’afer. És una norma que obliga a pensar en les persones les dades de les quals es manegen, i no només en els interessos de qui les tracta.

La norma va canviar la relació entre les empreses i les dades de les persones. Ja no n’hi ha prou de recollir-les i guardar-les: cal saber per què es tenen, amb quin permís, durant quant de temps i amb quines mesures de protecció. Per a empresaris i famílies que gestionen un negoci, el reglament va ser una invitació a ordenar la casa abans que un error, una reclamació o una bretxa de seguretat ho faci per ells. Fer-ho a temps és més barat que corregir-ho sota pressió.

Què exigeix el reglament

L’RGPD estableix que les dades personals s’han de tractar de manera lícita, transparent i amb una finalitat concreta. Les persones guanyen drets sobre les seves dades, com ara accedir-hi, corregir-les o demanar-ne la supressió, i les empreses han de poder demostrar que compleixen. El principi general és que cada dada personal ha de tenir una raó de ser i una durada limitada.

Aquesta darrera exigència és important: no n’hi ha prou de complir, cal poder acreditar-ho. Això implica documentar els tractaments, conservar les proves del consentiment quan aquest sigui la base legal i tenir procediments per atendre en termini les sol·licituds dels afectats. El reglament trasllada així a l’empresa la càrrega de demostrar que actua amb responsabilitat, en lloc d’esperar que l’interessat hagi de reclamar. És una lògica de responsabilitat proactiva que canvia la manera de gestionar la informació a l’empresa.

Per a qualsevol empresa

No és una norma pensada només per a grans companyies: afecta qualsevol negoci que manegi dades de clients, empleats o proveïdors, fins i tot una petita empresa familiar. Les sancions, que poden arribar al 4 % de la facturació mundial, van convertir el compliment en una qüestió de gestió del risc.

Un comerç amb una llista de clients, una clínica amb historials, un despatx amb dades dels seus assessorats o una empresa amb la seva plantilla tracten dades personals cada dia. La dificultat sol estar menys en la complexitat de la norma que en la rutina: ningú no es pregunta per què es guarda un full de càlcul amb noms i telèfons, fins que algú pregunta què se’n fa. Revisar aquestes rutines és el primer pas per detectar el que sobra, el que falta i el que es fa sense pensar.

Per on començar

Un primer pas raonable és saber quines dades es tenen, per a què s’usen, on es guarden i qui hi pot accedir. A partir d’aquí es revisen els consentiments, els contractes amb tercers que processen dades i els protocols davant d’una bretxa de seguretat. Un assessor jurídic especialitzat pot orientar el procés.

Convé fer-ho de manera pràctica: un inventari senzill, una revisió de qui té accés a què, contractes clars amb els proveïdors que tracten informació per compte de l’empresa i un procediment escrit per actuar si es perd o es filtra informació. No es tracta de convertir l’empresa en una oficina de burocràcia, sinó de tenir respostes preparades quan algú les demani. Un assessor especialitzat pot adaptar el nivell de formalitat a la mida i a l’activitat de cada negoci.

Protegir les dades dels clients és avui part de protegir la reputació del negoci.

Aquest article és informació general. No és assessorament jurídic, fiscal ni d’inversió, i no té en compte les circumstàncies particulars de ningú.