El Reglament general de protecció de dades (RGPD) és el Reglament (UE) 2016/679. Es va aprovar el 2016 i s’aplica des del 25 de maig de 2018. Va canviar la manera com les organitzacions gestionen i protegeixen les dades personals i va establir unes normes comunes per a tots els estats de la UE. Vegem-ne els aspectes fonamentals.
Principis
El RGPD es basa en uns principis que protegeixen els drets de les persones sobre les seves dades (article 5):
- Licitud, lleialtat i transparència.
- Limitació de la finalitat: les dades només es poden fer servir per a finalitats concretes i legítimes.
- Minimització: només les dades necessàries.
- Exactitud: dades correctes i actualitzades.
- Limitació de la conservació: només el temps necessari.
- Integritat i confidencialitat: seguretat adequada.
- Responsabilitat proactiva: l’organització ha de complir i poder demostrar-ho.
Drets de les persones
El RGPD dona a les persones drets importants sobre les seves dades: dret a ser informat, d’accés, de rectificació, de supressió (l’anomenat «dret a l’oblit»), de limitació del tractament, de portabilitat, d’oposició i a no ser objecte de decisions basades únicament en un tractament automatitzat. Això equilibra el poder entre les organitzacions i els ciutadans.
Bases legals i consentiment
Per tractar dades personals cal una de les sis bases legals de l’article 6: consentiment, execució d’un contracte, obligació legal, interessos vitals, interès públic o interès legítim. El consentiment no és sempre obligatori, però quan és la base que es fa servir ha de ser lliure, específic, informat i inequívoc, donat amb una acció clara (res de caselles premarcades) i tan fàcil de retirar com de donar. Per a les dades especialment sensibles (salut, biometria, ideologia…) les condicions són encara més estrictes.
Responsabilitat proactiva i transparència
Les organitzacions han d’aplicar mesures de seguretat adequades i poder demostrar en tot moment que compleixen. Algunes eines: el registre d’activitats de tractament, la protecció de dades des del disseny i per defecte, les avaluacions d’impacte quan el risc és alt i, en alguns casos, un delegat de protecció de dades (DPD). També han d’explicar de manera clara i entenedora com tracten les dades.
Notificació de violacions de seguretat
Si hi ha una violació de seguretat que afecta dades personals, l’organització l’ha de notificar a l’autoritat de control (a l’Estat espanyol, l’AEPD) en un termini de 72 hores des que en té coneixement, tret que sigui improbable que comporti un risc per a les persones. Si el risc és alt, també ho ha de comunicar a les persones afectades sense demora.
Impacte global
Tot i ser una norma europea, el RGPD s’aplica també a empreses de fora de la UE que ofereixen béns o serveis a persones de la UE o en fan un seguiment. Per això moltes empreses de tot el món han adaptat les seves pràctiques, i el RGPD ha inspirat lleis semblants en altres països.
Sancions
Les multes poden arribar a 20 milions d’euros o al 4 % de la facturació anual mundial de l’empresa, el que sigui més alt. És un incentiu molt fort per complir. Algunes de les multes més altes s’han imposat a grans tecnològiques, com la de 1.200 milions d’euros a Meta el 2023 per transferir dades a Estats Units.
Reptes
El RGPD també ha rebut crítiques, sobretot per la càrrega administrativa que suposa per a les pimes i per la lentitud d’alguns procediments transfronterers. Tot i així, ha establert un nou estàndard en protecció de dades, i la UE continua desenvolupant normes relacionades, com el Reglament d’intel·ligència artificial.
Conclusió
El RGPD ha canviat la manera com organitzacions i persones entenen la privacitat. Posa la persona al centre de la protecció de dades i s’ha convertit en un referent mundial per a una privacitat digital més sòlida i respectuosa.
Ho pots completar amb l’entorn legal: privacitat i ciberseguretat i la LSSICE.