En el món digital, gestionar bé les dades personals és clau per mantenir la confiança dels clients i complir la llei. Vegem com han d’abordar les empreses la privacitat i la ciberseguretat: quines normes s’apliquen i què cal tenir en compte a l’hora de recollir, guardar i tractar dades personals.
Les normes: el RGPD i més enllà
El Reglament general de protecció de dades (RGPD) és la norma de referència a la UE per al tractament de dades personals. A l’Estat espanyol el complementa la Llei orgànica 3/2018 de protecció de dades personals i garantia dels drets digitals (LOPDGDD), i per al comerç electrònic i les galetes s’aplica la LSSICE. Però complir la llei és el mínim: les bones organitzacions van més enllà i adopten pràctiques proactives de privacitat i seguretat.
Recollida de dades: transparència i finalitat
Recollir dades personals exigeix transparència: cal explicar clarament a les persones quines dades es recullen i per a què. A més, s’aplica el principi de minimització: només es poden recollir les dades estrictament necessàries per a la finalitat.
Base legal i consentiment
Per tractar dades personals cal una base legal. El consentiment n’és una, però no l’única: també es poden tractar dades per complir un contracte (per exemple, l’adreça per enviar una comanda), per obligació legal o per interès legítim, entre altres. Quan la base és el consentiment, ha de ser lliure, informat, específic i inequívoc, i s’ha de poder retirar en qualsevol moment. Per exemple:
- Una botiga en línia (B2C) que vol enviar butlletins comercials ha de demanar el consentiment amb una casella que el client marqui (no premarcada).
- Una empresa que ven a altres empreses (B2B) pot gestionar les dades dels contactes dels seus clients per executar el contracte, però ha d’informar-los i respectar-ne els drets.
Emmagatzematge: seguretat en totes les etapes
Cal guardar les dades de manera segura per evitar accessos no autoritzats: xifratge, accés segons el rol de cada persona, còpies de seguretat i supervisió constant. Les auditories de seguretat periòdiques ajuden a detectar els punts febles abans que ho faci un atacant.
Tractament: finalitat i exactitud
Les dades només es poden fer servir per a la finalitat per a la qual es van recollir, i s’han de mantenir exactes i actualitzades. Per exemple, una consultora que recull dades dels assistents a un seminari web per enviar-los els materials no les pot fer servir després per a altres campanyes sense una base legal per fer-ho.
Conservació limitada
Les dades personals només es poden conservar durant el temps necessari per a la finalitat (o el que marqui la llei, per exemple a efectes fiscals). Després s’han d’esborrar o anonimitzar. Això no només compleix la llei: també demostra responsabilitat.
Sancions i conseqüències
Incomplir la normativa té conseqüències greus: multes que poden arribar a 20 milions d’euros o al 4 % de la facturació mundial anual, danys a la reputació, reclamacions dels afectats i pèrdua de confiança dels clients. A l’Estat espanyol, l’autoritat de control és l’Agència Espanyola de Protecció de Dades (AEPD), i a Catalunya, per al sector públic, l’Autoritat Catalana de Protecció de Dades (APDCAT).
Conclusió
Transparència, base legal, minimització, conservació limitada i seguretat en totes les etapes són els principis bàsics per gestionar bé les dades personals. Complir-los és imprescindible per guanyar-se i mantenir la confiança en l’era digital.