Lliure circulació de dades no personals a la UE

El 28 de novembre del 2018 es va publicar al Diari Oficial de la Unió Europea el Reglament (UE) 2018/1807, relatiu a un marc per a la lliure circulació de dades no personals. La norma, signada el 14 de novembre, entra en vigor el 18 de desembre i serà d’aplicació a partir del 28 de maig del 2019.

El seu objectiu és que les dades que no són personals, com les dades industrials, de màquines o de sensors, puguin emmagatzemar-se i tractar-se en qualsevol lloc de la Unió sense entrebancs nacionals injustificats. És una peça del mercat únic digital, complementària del Reglament general de protecció de dades, que ja garanteix la lliure circulació de les dades personals.

Què prohibeix el reglament

El reglament prohibeix els requisits de localització de dades, és a dir, les normes o pràctiques que obliguen a emmagatzemar o tractar dades en un estat membre concret o que dificulten fer-ho en un altre. Només s’admeten aquestes restriccions quan estan justificades per raons de seguretat pública. Els estats membres han de fer, a més, públics els requisits que mantinguin.

Això afecta les empreses que contracten serveis de núvol o d’allotjament: podran triar el proveïdor i la ubicació del centre de dades dins de la Unió amb més llibertat. També obre mercat als proveïdors d’infraestructura digital, inclosos els centres de dades, que podran donar servei a clients d’altres països sense que hi hagi barreres de localització.

Accés de les autoritats i canvi de proveïdor

Les autoritats competents conserven l’accés a les dades per a l’exercici de les seves funcions, encara que aquestes estiguin emmagatzemades o es tractin en un altre estat membre, i es preveuen mecanismes de cooperació entre administracions. És una garantia important per a supervisors, administracions tributàries i altres organismes que necessiten consultar informació d’empreses.

El reglament també anima a elaborar codis de conducta d’autoregulació que facilitin el canvi de proveïdor de serveis i la portabilitat de les dades, de manera que una empresa no quedi lligada a un núvol. No crea un dret de portabilitat exigible, però fomenta unes condicions més transparents en els contractes.

Dades personals i mixtes

La distinció entre dades personals i no personals no sempre és senzilla. Un mateix conjunt de dades pot contenir tots dos tipus, i quan és així, el Reglament general de protecció de dades s’aplica a la part personal. Aquesta separació obliga les empreses a conèixer bé quina informació tracten i on, i a documentar-ho.

Per a les empreses que operen en diversos països, el reglament redueix el risc que una norma nacional els imposi una infraestructura pròpia. Tanmateix, no elimina les obligacions sectorials, ni afecta les normes fiscals o comptables que exigeixin conservar certs registres, que s’han d’analitzar en cada cas.

Què convé revisar

Les empreses poden revisar els seus contractes de núvol i d’allotjament: on s’emmagatzemen les dades, què passa si es vol canviar de proveïdor, com es retornen les dades i en quin format. També convé fer un inventari de quines dades són personals i quines no, i si hi ha requisits de localització en el seu sector que continuïn vigents per motius de seguretat pública.

Per als proveïdors tecnològics i els centres de dades, la norma obre la possibilitat de captar clients d’altres països de la Unió. Convé revisar els termes comercials, les certificacions de seguretat i els acords de nivell de servei, i preparar l’oferta amb temps i amb assessorament jurídic i tècnic.

Les dades podran viatjar amb més llibertat per la Unió, i les empreses haurien de saber sempre on són i qui en respon.

Aquest article és informació general. No és assessorament jurídic, fiscal ni d’inversió, i no té en compte les circumstàncies particulars de ningú.