Protegir les dades, una obligació empresarial
L’entrada en vigor del nou reglament europeu, el 25 de maig, permetrà als usuaris d’internet un control exhaustiu sobre què es fa amb la seva informació personal
A partir del 25 de maig, l’usuari de la xarxa tindrà dret a saber qui té les seves dades, per a què s’utilitzen, a qui es poden cedir, quin són els destinataris i fins quan es podran utilitzar. També podrà demanar la suspensió o la limitació del seu tractament, sol·licitar una rectificació o la seva supressió, haurà d’autoritzar-ne la portabilitat, podrà oposar-se al tractament quan l’objectiu final sigui el màrqueting directe i tindrà dret a presentar una reclamació si algun d’aquest punts s’incompleix. Aquests són els principals punts que recull el nou Reglament General de Protecció de Dades (RGPD) europeu, aprovat el 25 de maig del 2016 i que ara entrarà en vigor, d’obligada aplicació i compliment a tots els països membres de la Unió Europea.
El que pretén el nou reglament, segons explica Gregory Voss, juris doctor i professor de dret de la Toulouse Business School (TBS), “és donar resposta als nombrosos desenvolupaments tecnològics com ara el big data, l’emmagatzematge biomètric i altres tecnologies a les quals l’antiga directiva de l’any 1995 no feia referència”. A més, segons Voss, “l’harmonització de la regulació de protecció de dades també és objectiu de la reforma, davant les nombroses disparitats que presentava l’antiga directiva entre els estats membres”.
Dos anys han tingut els estats i les institucions de la Unió Europea, i també les organitzacions, tant europees com d’altres països, per adaptar-se a una normativa que atorga molt poder de control als ciutadans sobre les seves dades i limita l’actuació sobre aquestes a tercers.
El RGPD posa especial èmfasi en la responsabilitat de les empreses que recopilen dades personals, que hauran de demostrar en qualsevol moment que compleixen amb la regulació. És a dir, serà obligat tenir el consentiment verificable de cada persona en cada un dels camps que precisa la normativa o be del tutor, si es tracta d’un menor de 14 anys, en el cas de l’Estat.
“Les marques hauran de canviar radicalment les seves polítiques de privacitat. Avui, moltes empreses diuen que comparteixen els seus fitxers amb una sèrie de socis, sense especificar qui són. Amb el RGPD, estaran obligades a aclarir qui té accés a la informació dels seus clients”, comenta Sergi Maldonado, CEO de PrivacyCloud, una plataforma que ofereix als usuaris la possibilitat de controlar les seves dades personals a la xarxa, que ha nascut per fer front a l’escenari que dibuixa el nou reglament.
L’incompliment del RGPD suposa assumir multes de 20 o 10 milions d’euros o bé l’equivalent al 4% o el 2% de la facturació. En aquest sentit, l’Agència Espanyola de Protecció de Dades (AEPD) ja ha advertit que a les empreses on és important el volum de tractament de dades, com ara les dels sectors de les comunicacions, la salut o les finances, les inspeccions podrien començar el mateix 25 de maig.
Temps per adequar-se.
Per a Oliveras, un dels punts més complexos de resoldre ha estat el que involucra “terceres parts, agents de publicitat, empreses com Google o Facebook”, però està convençut que el RGPD és “l’única forma de garantir certa homogeneïtat normativa dins del marc de la UE”. Tanmateix, es mostra crític amb la seva formulació, per l’ambigüitat que presenten alguns dels seus apartats, “que porta a interpretacions diferents fins i tot entre empreses que som molt similars“. Tot i això, Oliveres creu que l’impacte del RGPD a la societat “serà positiu, perquè la gent sabrà valorar qui realment té cura de les seves dades”.
Suport de l’APDCAT
L’Autoritat Catalana de Protecció de Dades (APDCAT) va presentar l’abril passat el Pla Estratègic de Formació 2018-2020, desenvolupat conjuntament amb l’Escola d’Administració Pública de Catalunya, per ajudar institucions i entitats en l’aplicació del RGPD. El nou reglament incideix en “l’obligació que les entitats que tracten les dades assumeixin una responsabilitat proactiva i demostrable (accountability), amb un enfocament en el risc”, va explicar M. Àngels Barbarà, directora de l’Autoritat. El Pla ha estat dissenyat per atendre les necessitats en aquest àmbit de l’Administració de la Generalitat, institucions públiques, ens locals, universitats públiques i privades, i de la resta d’entitats públiques del país. L’APDCAT ha intensificat en aquest últim mes les accions formatives i informatives a tot el territori, dirigides tant a directius com a comandaments intermedis i responsables tècnics de protecció de dades, així com del servei de consultoria, a més d’elaborar la Guia pràctica per a l’avaluació d’impacte relativa a la protecció de dades.