1. Com s’ha de fer efectiu el dret d’informació?
El dret d’informació consisteix en proporcionar a la persona afectada determinada informació quan es recullen les seves dades. Aquest dret està relacionat amb el principi de transparència que consagra el reglament europeu i es troba en el bloc de les preguntes inicials.
El dret d’informació permet a les persones exercir el poder de control respecte a les seves dades personals. Aquest dret de controlar la seva informació personal només serà efectiu si se’ls informa prèviament sobre els usos de les dades, entre altres coses.
La informació s’ha de facilitar de manera concisa, transparent, intel·ligible i de fàcil accés, amb un llenguatge clar i senzill, especialment quan aquesta informació vagi adreçada a un menor.
-
Si les dades es recullen directament de la mateixa persona, la informació se li ha de facilitar en el moment de la recollida.
-
Si, per contra, les dades no s’obtenen de la persona interessada, sinó d’una altra font (per exemple, d’una altra administració), la informació s’ha de facilitar en el termini d’un mes des que es reben les dades.
Important
Amb caràcter general, el responsable del tractament té l’obligació d’informar tot i que la recollida de les dades és tasca de l’encarregat. Es pot establir en el contracte d’encarregat que sigui aquest l’informador.
El reglament europeu preveu uns supòsits en què no cal informar la persona interessada, com ara quan aquesta ja disposa de la informació.
Pel que fa al contingut de la informació que s’ha de facilitar, en el cas d’obtenir-se les dades directament de la persona interessada, el reglament europeu obliga el responsable a informar en el moment de la recollida sobre diverses qüestions:
-
Qui és el responsable i com contactar amb ell.
-
Dades de contacte del delegat de protecció de dades, les finalitats del tractament i la seva base jurídica.
-
Els destinataris o categoria de destinataris a qui es poden comunicar les dades.
-
El termini de conservació de les dades.
-
La possibilitat d’exercir els drets que coneixeràs més endavant.
-
El dret a retirar el consentiment.
-
El dret a reclamar davant de l’autoritat de control.
-
Etc.
Exemple
Si les vostres dades personals es recullen a través d’un formulari electrònic que hi ha a la seu electrònica d’un ajuntament, en aquest document us hauran d’informar de tots aquests extrems.
Si les dades no s’han obtingut directament de la persona interessada, el reglament europeu disposa que també s’ha d’informar sobre les categories de dades que es tracten, la font o l’origen d’on procedeixen les dades personals i, si escau, si procedeixen de fonts d’accés públic, com ara Internet.
Exemple
Quan un ajuntament inicia un procediment sancionador perquè una càmera de trànsit ha captat un ciutadà que s’ha saltat un semàfor en vermell, abans consulta les dades del vehicle als registres de Trànsit per identificar la persona infractora. Un cop identificada, li notifica la denúncia al seu domicili, moment en què l’ha d’informar sobre el tractament de les seves dades.
Sabies que…
La llei orgànica de protecció de dades ha introduït la possibilitat de facilitar tota aquesta informació en dues fases o capes.
La primera fase o capa d’informació que s’ha de facilitar d’entrada és la “informació bàsica”, que comprèn la identificació del responsable; la finalitat del tractament; la possibilitat d’exercir els drets que coneixereu seguidament; i en aquells casos en què les dades es tractin per a l’elaboració de perfils, la informació bàsica ha d’incloure aquesta circumstància, així com el dret a oposar-se a l’adopció de decisions que produeixin efectes jurídics sobre la persona interessada o que l’afectin significativament.
Aquesta informació bàsica o primera capa també ha d’incloure una adreça electrònica o un altre mitjà que permeti accedir de manera senzilla i immediata a la resta d’informació enumerada abans (dades de contacte del delegat de protecció de dades, termini de conservació de les dades, etc.).
Exemple
Seguint l’exemple anterior de recollida de dades personals en un formulari electrònic, en aquest document caldria incloure com a mínim la informació bàsica, amb la indicació d’una adreça electrònica que permeti accedir a la resta d’informació.
Per saber-ne més
Podeu consultar la Guia per al compliment del deure d’informar a l’RGPD elaborada per l’APDCAT.
2. Quins drets pot exercir una persona?
Els drets que pot exercir qualsevol persona respecte a les seves dades són els següents:
-
Accés.
-
Rectificació.
-
Supressió.
-
Oposició.
-
Limitació.
-
Portabilitat.
-
I el dret a no ser objecte de decisions automatitzades.
Abans de descriure’ls, convé saber quatre coses sobre com exercir tots aquests drets. El primer que cal saber és que aquests drets són personalíssims.
Important
Es diu que els drets són personalíssims perquè només els pot exercir la persona titular de les dades, si bé pot fer-ho també per mitjà d’un representant legal o voluntari. I en el cas de dades relatives a menors de 14 anys, el dret ha de ser exercit forçosament pel pare o la mare, o el representant legal.
En segon lloc, cal tenir present que el termini per contestar la sol·licitud d’exercici de qualsevol dels drets esmentats és d’un mes, termini que es pot ampliar a dos mesos en determinats supòsits.
Si el responsable considera que ha de denegar el dret exercit (accés, supressió, etc.), ha de donar igualment resposta com a màxim en un mes. També ha d’informar la persona sobre el seu dret a presentar una reclamació davant l’autoritat de control corresponent, que en el cas de les administracions públiques catalanes és l’APDCAT.
L’exercici de qualsevol dret és gratuït, però si les sol·licituds són manifestament infundades o excessives, especialment perquè són repetitives, el responsable del tractament pot cobrar un import raonable o inadmetre la sol·licitud.
En el cas del dret d’accés, es considera repetitiu si s’exerceix més d’una vegada en sis mesos, tret que hi hagi una causa legítima per fer-ho.
Finalment, cal posar de manifest que el reglament europeu preveu una sèrie de límits en l’exercici d’aquests drets (la seguretat pública, la funció inspectora, la protecció de drets d’altres persones, etc.).
Per saber-ne més
Podeu consultar aquesta breu càpsula informativa de l’APDCAT sobre els vostres drets.
3. Què és el dret d’accés?
Si una persona exerceix aquest dret i el responsable tracta les seves dades personals, ha de facilitar-li una còpia de les dades que està tractant, i també una altra informació addicional, que és en gran part coincident amb el contingut del dret d’informació (finalitats del tractament, categories de dades personals, destinataris, etc.).
La primera còpia de la informació que es faciliti en resposta a la sol·licitud d’accés és gratuïta.
Sabies que…
El dret d’accés no pot afectar negativament altres persones. Per exemple, si una persona demana accés a imatges captades amb un sistema de videovigilància instal·lat en un ajuntament, caldria evitar l’accés a imatges de terceres persones, difuminant la seva cara.
El dret d’accés previst per la normativa de protecció de dades, que té per objecte que qualsevol persona pugui conèixer quines dades seves són objecte de tractament per part d’un responsable, i com les tracta, no s’ha de confondre amb el dret d’accés a la informació pública, regulat per la normativa de transparència, el qual té com a finalitat que qualsevol persona pugui conèixer l’activitat de l’Administració, amb la finalitat de poder-la fiscalitzar.
Així doncs, si una persona demana a la Diputació l’accés a informació que només conté dades seves, aquesta sol·licitud s’haurà de resoldre amb la legislació de protecció de dades, ja que en aquest cas la finalitat és controlar la seva informació personal, de manera que no s’aplicaria aquí la legislació de transparència.
Per saber-ne més
Podeu escoltar el capítol del podcast Parlem de dades de l’EAPC i l’APDCAT, que analitza els límits entre el dret d’accés a la informació pública i la protecció de les dades personals, a partir d’exemples pràctics.
4. En què consisteix el dret de rectificació?
Mitjançant el dret de rectificació la persona pot sol·licitar la modificació de les dades que siguin inexactes o que es completin aquelles que són incompletes. Quan s’exerceix aquest dret:
-
S’ha d’indicar en la sol·licitud de rectificació a quines dades es refereix, i la rectificació que s’ha de fer.
-
Cal acompanyar, quan calgui, la documentació justificativa de la inexactitud o del caràcter incomplet de les dades objecte de tractament.
Exemple
Si et trasllades de domicili i vols rebre les notificacions en la nova adreça, en la sol·licitud de rectificació hauries d’aportar una còpia del DNI o certificat d’empadronament per demostrar quina és la teva nova adreça.
O si constateu que un ajuntament té la vostra adreça, però sense el número de pis i porta, podeu exercir el dret de rectificació per completar aquesta dada personal.
5. Què és el dret de supressió o dret a l’oblit?
Aquest és el dret de la persona afectada a suprimir les seves dades personals en uns casos determinats que enumera el reglament europeu:
-
Quan les dades ja no són necessàries per a les finalitats perseguides.
-
Quan la persona interessada retira el seu consentiment.
-
Si s’oposa al tractament i no prevalen altres motius legítims per al tractament.
-
Si les dades s’han tractat il·lícitament.
-
Si les dades s’han de suprimir per una obligació legal.
-
Si són dades que afecten menors.
Exemple
El dret de supressió el podria exercir una persona que consta identificada al portal de la transparència d’un ajuntament com a beneficiària d’un ajut atorgat fa més de cinc anys, que és el termini en què s’ha de conservar publicada aquesta informació.
O també, si una persona demana que se suprimeixin les seves dades d’un expedient sancionador, un cop abonada la sanció i superat el termini de conservació exigit per la legislació d’arxius.
Per acabar, respecte al dret de supressió, heu de tenir present que el reglament europeu enumera uns supòsits en què aquest dret no s’aplica, com ara quan el tractament és necessari per donar compliment a una obligació legal, quan s’exerceix la llibertat d’expressió i informació, per finalitats d’arxiu o bé en cas de reclamacions.
Un cop les dades han estat suprimides, cal comunicar-ho a l’interessat, i si el responsable les havia fet públiques, n’ha de demanar la supressió. En el cas de les xarxes socials i serveis equivalents, preval el dret a l’oblit en relació amb les dades personals publicades per aquesta persona.
Les dades suprimides s’hauran de bloquejar, com es fa amb les dades rectificades.
6. Què és el dret de limitació del tractament?
El dret de limitació del tractament permet a la persona interessada exigir que les dades només es puguin utilitzar en determinades circumstàncies. En altres paraules, és com suspendre o posar en pausa el tractament de les dades, però sense eliminar-les.
El dret a la limitació del tractament es pot sol·licitar en uns supòsits concrets:
Sabies que…
En el cas d’haver-se limitat el tractament de les dades, aquestes només poden tractar-se, al marge de la seva conservació, amb el consentiment de la persona interessada o per formular, exercir o defensar reclamacions, o per protegir drets d’una altra persona física o jurídica, o per raons d’interès públic.
I en cas que el responsable aixequi la limitació del tractament, n’ha d’informar abans la persona interessada.
7. En què consisteix el dret de portabilitat de les dades?
El dret de portabilitat de les dades, que es pot exercir si el tractament s’efectua per mitjans automatitzats o si aquest es basa en el consentiment de la persona afectada, o en l’execució d’un contracte.
Sabies que…
El dret a la portabilitat no entra en joc quan el tractament el fan les administracions públiques en exercici de les seves competències o en compliment d’una obligació legal.
En els casos en què procedeix aquest dret, la persona afectada podria demanar el trasllat de les seves dades a un altre responsable, o també demanar que se li facilitessin per tal de lliurar-les a un altre responsable. Tindria algunes semblances amb la portabilitat d’una línia de telèfon mòbil, en què es trasllada la línia de mòbil d’una operadora a una altra.
8. Què és el dret d’oposició?
El dret d’oposició, en virtut del qual se sol·licita al responsable que cessi en un determinat tractament de les dades, i aquesta petició es motiva en la situació personal de qui ho demana, com podria ser una persona víctima de violència de gènere, un testimoni protegit, etc.
Aquest dret es pot exercir quan el tractament es fonamenta en:
-
L’interès públic o en l’exercici de poders públics conferits al responsable.
-
L’interès legítim perseguit pel responsable del tractament o per un tercer.
-
Que es faci amb finalitats de recerca científica, històrica o amb finalitats estadístiques, tret que sigui necessari per complir una missió realitzada per raons d’interès públic.
Important
En aquests casos, el responsable ha de cessar en el tractament, excepte que:
-
S’acrediti algun motiu que prevalgui.
-
El tractament sigui necessari per a la formulació, l’exercici o la defensa de reclamacions.
Sabies que…
En els tractaments que tenen fins publicitaris, teniu dret a oposar-vos-hi sense necessitat d’invocar una situació personal, i el responsable està obligat a deixar de tractar les vostres dades per a aquestes finalitats.
Exemple
Si un gimnàs municipal us envia publicitat per correu electrònic, podeu exercir el dret d’oposició per deixar de rebre-la.
9. Què és el dret a no ser objecte de decisions individuals automatitzades?
El dret a no ser objecte de decisions individuals automatitzades, inclou l’elaboració de perfils.
Exemple
En el cas de les administracions públiques, aquestes decisions es poden donar en supòsits de tractaments automatitzats de les dades personals, com ara si en la recollida de residus un ajuntament estableix un sistema de pagament de “taxa justa”, de manera que qui contamina més ha de pagar una taxa de residus superior, la qual es calcula de manera automatitzada.
Aquest dret a no ser objecte de decisions automatitzades, però, no existeix quan la decisió:
-
És necessària per a l’execució d’un contracte entre la persona interessada i el responsable del tractament.
-
Es basa en el consentiment explícit de la persona interessada.
-
Està autoritzada per una llei.
Important
Aquestes decisions automatitzades no es poden basar en categories especials de dades personals, tret que es disposi del consentiment de la persona interessada o que el seu tractament sigui necessari per raons d’interès públic.
