Nou Reglament de Protecció de Dades (RGPD)
El passat 25 de maig es va esgotar el termini d’adaptació de les empreses cap a la nova normativa comunitària de Protecció de Dades. Hi va haver un cert nerviosisme entre les empreses per l’arribada del termini, i alguna associació empresarial va demanar l’extensió del termini per ajudar a la majoria d’empreses que encara no s’hi havien adaptat, sense èxit.
Primer de tot aclarirem que el reglament aporta dos principis que són fonamentals i que no només s’han de complir en un moment del temps, sinó que cal complir-los cada dia i cal inserir-los en la manera de fer de les empreses. El primer és el principi de “responsabilitat proactiva” que bàsicament és aquell que permet a l’empresa fer visible, i poder demostrar davant de tercers, que el seu tractament de les dades d’altri es fa segons la normativa vigent. El segon principi bàsic és el d'enfocament del risc que com el seu nom indica, el que preveu és que les dades de tercers cal tractar-les diferent en funció del risc que pugui suposar el seu tractament als drets i llibertat de les persones.
Com cal actuar amb el nou Reglament de Protecció de Dades (RGPD)?
No cal tractar totes les dades de la mateixa manera, hi ha dades que cal protegir i hi ha dades que cal sobreprotegir (encriptar). En aquestes darreres, el reglament hi afegeix les dades genètiques i les biomètriques que posa al mateix nivell de les que donen una informació prou important sobre la persona per a condicionar els seus drets i llibertats (ideologia, religió, orientació sexual, salut, afiliació sindical, etc.).
En l'àmbit de Pimes, cal tenir el consentiment explícit per utilitzar les dades amb la finalitat acordada en la relació comercial, no disposar d’aquestes dades per altres motius i no comercialitzar amb cap mena d’informació. També cal protegir les dades delicades, que exigeixen un tractament especial segons el nou reglament.
Tot i ser conscients que la majoria d’empreses són molt serioses amb aquest tractament de dades, la normativa vol que l’empresa no es quedi aquí i faci una revisió de totes les entrades de dades que habitualment tingui l’empresa i faci una gestió proactiva del seu tractament. No n’hi ha prou de complir la normativa, hem de ser capaços d’explicar com la complim i, sobretot, de demostrar a tercers que ells són els propietaris d’aquestes dades i que poden disposar d’elles en el marc del nou RGPD.
Aquesta conscienciació implica formar a tot el personal de l’empresa en el procediment i protocol que l’empresa segueix per complir aquesta normativa i assegurar-se que el compleixen en el desenvolupament de la seva feina**. També passa per fer evidents les possibilitats als tercers de modificació i ús de les seves dades que tenim nosaltres emmagatzemades. No hi poden haver consentiments tàcits (per omissió), han de ser explícits i inequívocs. I no hi poden haver procediments i redactats complexos, ans al contrari, han de ser senzills, per poder-nos comunicar.
Les formalitats del RGPD s’han d’adaptar a cada organització (empresarial, associativa, ONGs...) en funció de les dades que tracta, on s’emmagatzemen i com es tracten. No busquen complir la normativa en un moment temporal sinó sempre que obtenim o fem servir dades de tercers. La idea principal seria “no facis amb les dades de tercers el que no voldries que fessin amb les teves”. Les dades són pròpies de cadascú i no s’hi pot comercialitzar de cap manera sense el consentiment explícit de cadascú.
La Llei dedica apartats als drets dels propietaris de les dades i fa una menció particular quan aquests propietaris són menors, a qui confereix una protecció especial. L’empresa ha de garantir els drets dels qui li cedeixen les seves dades.
No és un tema senzill i cal destinar-hi recursos, però un bon tractament de les dades de tercers ens farà guanyar la confiança d’aquests i ens permetrà millorar la nostra capacitat administrativa, fent-la més eficient i rendible.
Per a més informació o assessorament, podeu contactar amb la nostra àrea d'assessoria jurídica al 93 872 32 22 – [email protected].