L'intercanvi de dades és la base del comerç modern. Tant si s'està incorporant un nou proveïdor de núvol, col·laborant amb una agència de màrqueting o integrant un sistema de recursos humans de tercers, les dades personals flueixen constantment entre organitzacions. Però aquí teniu la incòmoda veritat: la majoria de les empreses subestimen el camp legal de mines que representa l'intercanvi de dades en virtut del Reglament general de protecció de dades (RGPD).
Hi ha en joc. Les multes poden arribar als 20 milions d'euros o al 4% de la facturació anual global, el que sigui més alt. Més enllà de les sancions econòmiques, us arrisqueu a danys a la reputació, escrutini regulador i reclamacions de responsabilitat civil per part de les persones afectades. L'Autoritat de Protecció de Dades dels Països Baixos (Autoriteit Persoonsgegevens, o AP) ho ha deixat clar: la ignorància no és una defensa.
Aquest article us guiarà a través de set riscos crítics del RGPD que sorgeixen en compartir dades personals. Cada risc es basa en disposicions específiques del RGPD, s'il·lustra amb conseqüències reals i s'acompanya d'una guia pràctica per ajudar-vos a complir amb la normativa. Tant si sou propietari d'una empresa, responsable de compliment normatiu o professional legal que opera als Països Baixos, és essencial comprendre aquests inconvenients.
1. Compartir dades sense una base jurídica vàlida (article 6 del RGPD)
El risc: No podeu compartir dades personals només perquè és convenient o beneficiós. Cada cas de compartició de dades requereix una base legal vàlida segons l'article 6 del RGPD.
Per què les empreses s'equivoquen: Moltes organitzacions assumeixen que tenir una raó comercial per compartir dades és suficient. No ho és. El RGPD estableix sis bases legals per al processament: consentiment, necessitat contractual, obligació legal, interessos vitals, tasca pública i interessos legítims. Cadascuna té requisits i limitacions específics.
Per exemple, sovint s'invoca el terme "interessos legítims" per justificar l'intercanvi de dades amb socis o proveïdors de serveis. Però aquesta base requereix una acurada prova de equilibri: els vostres interessos no han de prevaler sobre els drets i les llibertats de les persones les dades de les quals esteu processant. I heu de documentar aquesta avaluació.
Fonamentació jurídica: L'article 6 del RGPD estableix una llista exhaustiva de les bases jurídicas. L'article 5(1)(a) del RGPD estableix que tot el tractament sigui lícit, lleial i transparent.
Conseqüències reals: L'AP ha imposat multes a organitzacions que han compartit dades de clients amb tercers amb finalitats de màrqueting sense una base legal adequada. Fins i tot si les dades s'han anonimitzat o agregat, si la reidentificació és possible, continuen sent dades personals i requereixen una base legal.
Conclusió pràctica: Abans de compartir dades personals, identifiqueu i documenteu quina base jurídica s'aplica. Si us baseu en interessos legítims, realitzeu i registreu una avaluació d'interessos legítims (LIA). Si feu servir el consentiment, assegureu-vos que sigui lliurement donat, específic, informat i inequívoc.
2. Confusió sobre les funcions: responsable vs. encarregat del tractament (article 4(7)–(8) del RGPD)
El risc: El RGPD distingeix entre els responsables del tractament (que determinen les finalitats i els mitjans del tractament) i els encarregats del tractament (que processen les dades en nom d'un responsable del tractament). Identificar erròniament el vostre rol (o el del vostre soci) crea greus llacunes de compliment.
Per què les empreses s'equivoquen: A la pràctica, els rols poden ser ambigus. Si compartiu dades amb un proveïdor SaaS, són un controlador o un encarregat del tractament? Què passa si utilitzen les vostres dades per millorar els seus algoritmes? Moltes empreses anomenen per defecte cada proveïdor "encarregat del tractament" sense analitzar adequadament la relació.
La classificació errònia és important perquè els responsables i els encarregats del tractament tenen obligacions diferents. Els responsables han de garantir que els encarregats del tractament ofereixin garanties suficients de compliment (article 28 del RGPD). Els codirectors han d'acordar les seves respectives responsabilitats (article 26 del RGPD). Si t'equivoques, pots ser considerat responsable d'infraccions que ni tan sols sabies que estaven passant.
Fonamentació jurídica: Els articles 4(7) i (8) del RGPD defineixen "responsable" i "encarregat del tractament". L'article 24 del RGPD descriu les obligacions de responsabilitat del responsable.
Conseqüències reals: El Tribunal de Justícia de la Unió Europea va dictaminar en el cas Fashion ID (C-40/17) que fins i tot la determinació parcial de les finalitats pot convertir-te en un coresponsable del tractament. Això significa que pots ser considerat coresponsable de les infraccions del RGPD, fins i tot si una altra part les ha causat.
Conclusió pràctica: mapegeu els fluxos de dades i determineu qui decideix per què i com es processen les dades. Documenteu-ho per escrit i assegureu-vos que cada part entengui el seu paper i les seves obligacions.
3. Acord de processament de dades incorrecte o inadequat (article 28 del RGPD)
El risc: Si contracteu un processador per gestionar dades personals en nom vostre, esteu obligat legalment a tenir un acord de processament de dades (DPA) per escrit. Sense excepcions.
Per què les empreses s'equivoquen: És temptador saltar-se la paperassa, sobretot amb socis de confiança o de llarga data. Però sense un DPA que compleixi, incompleixes l'article 28 del RGPD des del primer dia, fins i tot si no es produeix cap dany real.
Un DPA adequat ha d'incloure clàusules obligatòries específiques: l'objecte i la durada del tractament, la naturalesa i la finalitat del tractament, el tipus de dades personals, les categories d'interessats i les obligacions i drets del responsable del tractament. També ha d'abordar el subtractament, la seguretat de les dades i la notificació de violacions.
Fonamentació jurídica: L'article 28(3) del RGPD enumera el contingut obligatori d'un acord de protecció de dades. L'article 28(4) del RGPD requereix una autorització explícita per als subencarregats del tractament.
Conseqüències reals: L'AP ha sancionat organitzacions per contractar processadors sense DPA adequats. Fins i tot si el processador en si compleix, el responsable encara pot ser multat per no haver arribat a un acord adequat.
Conclusió pràctica: utilitzeu una plantilla d'acord de protecció de dades estandarditzada que cobreixi tots els requisits de l'article 28(3). Reviseu els acords existents per assegurar-vos que compleixen amb el RGPD. No incorporeu cap nou encarregat del tractament sense un acord de protecció de dades signat.
4. Transferència il·legal a tercers països fora de l'EEE (articles 44-49 del RGPD i Schrems II)
El risc: La transferència de dades personals fora de l'Espai Econòmic Europeu (EEE) està molt restringida. Només podeu fer-ho si el país de destinació ofereix un nivell adequat de protecció o si implementeu les garanties adequades.
Per què les empreses s'equivoquen: Moltes empreses utilitzen serveis al núvol, processadors de pagaments o eines d'anàlisi allotjades als EUA o a Àsia sense adonar-se que estan activant les normes de transferència internacional. Fins i tot si el vostre contracte és amb una entitat de la UE, si les dades s'emmagatzemen o s'accedeix a elles fora de l'EEE, s'apliquen les normes de transferència.
La sentència Schrems II (assumpte C-311/18) va invalidar l'Escut de privadesa UE-EUA i va reforçar que les clàusules contractuals estàndard (CCT) per si soles no són suficients. També heu de dur a terme una avaluació d'impacte de la transferència (TIA) per avaluar si les lleis del país de destinació soscaven la protecció garantida per les CCT.
Fonamentació jurídica: Els articles 44 a 49 del RGPD regulen les transferències internacionals. El capítol V del RGPD exigeix decisions d'adequació (article 45) o garanties adequades (article 46), com ara les condicions contractuals equivalents.
Conseqüències reals: L'AP us pot ordenar que suspengueu o prohibiu les transferències de dades a tercers països si no hi ha mesures de seguretat adequades. Les empreses s'han enfrontat a accions coercitives i danys a la reputació per transferir dades als EUA sense dur a terme una TIA després de Schrems II.
Conclusió pràctica: identifiqueu totes les transferències a tercers països en els vostres fluxos de dades. Comproveu si existeix una decisió d'adequació. Si no, implementeu SCC i realitzeu una TIA. Documenteu mesures suplementàries si cal (per exemple, xifratge, pseudonimització).
5. No realització d'una avaluació d'impacte sobre la protecció de dades (article 35 del RGPD)
El risc: Una avaluació d'impacte sobre la protecció de dades (DPIA) és obligatòria quan és probable que l'intercanvi de dades suposi un alt risc per als drets i les llibertats de les persones. Això inclou el processament a gran escala de categories especials de dades, el seguiment sistemàtic o l'ús de noves tecnologies.
Per què les empreses s'equivoquen: Moltes organitzacions tracten les DPIA com a opcionals o només rellevants per a projectes "grans". En realitat, compartir dades de salut amb una plataforma d'anàlisi de tercers, implementar eines de perfilació basades en IA o combinar conjunts de dades de diverses fonts pot activar el requisit de la DPIA.
Una DPIA no és només un exercici de marcar caselles. És un procés estructurat per identificar riscos, avaluar-ne la gravetat i determinar mesures per mitigar-los. Si els riscos residuals continuen sent elevats, heu de consultar l'AP abans de continuar.
Fonamentació jurídica: l'article 35 del RGPD exigeix DPIA per al processament d'alt risc. L'AP ha publicat directrius sobre quan es requereix una DPIA.
Conseqüències reals: No dur a terme una DPIA quan cal és en si mateix una violació del RGPD. L'Associació de Comerç ha multat organitzacions per procedir amb l'intercanvi de dades d'alt risc sense completar una DPIA, fins i tot quan no s'ha produït cap violació real de dades.
Conclusió pràctica: Avalueu totes les activitats de compartició de dades per detectar factors desencadenants d'IAPD. En cas de dubte, realitzeu-ne una. Involucreu el vostre delegat de protecció de dades (DPO) i documenteu el procés d'avaluació a fons.
6. Informació inadequada als interessats (articles 13 i 14 del RGPD)
El risc: La transparència és una pedra angular del RGPD. Sempre que recopileu o compartiu dades personals, heu d'informar els interessats sobre qui rebrà les seves dades, amb quina finalitat i sobre quina base jurídica.
Per què les empreses s'equivoquen: Els avisos de privadesa sovint són vagues o desactualitzats. Frases com ara "podem compartir les vostres dades amb socis de confiança" no serveixen. Heu d'especificar les categories de destinataris (per exemple, "proveïdors d'allotjament al núvol", "agències de màrqueting") i, si escau, anomenar-los.
Quan les dades s'obtenen indirectament —per exemple, d'un intermediari de dades o d'un altre responsable del tractament—, l'article 14 del RGPD imposa obligacions d'informació addicionals, inclosa la font de les dades.
Fonamentació jurídica: Els articles 13 i 14 del RGPD enumeren la informació que s'ha de proporcionar als interessats. L'article 5(1)(a) del RGPD exigeix transparència en totes les activitats de processament.
Conseqüències reals: L'AP ha sancionat empreses per no informar a les persones que les seves dades s'estaven compartint amb tercers. Fins i tot si l'intercanvi en si fos legal, la transparència inadequada és una violació independent.
Conclusió pràctica: reviseu i actualitzeu els vostres avisos de privadesa per descriure clarament les pràctiques de compartició de dades. Assegureu-vos que els avisos siguin fàcilment accessibles i estiguin escrits en un llenguatge planer. Quan compartiu dades amb nous socis, actualitzeu els avisos abans que comenci a compartir-los.
7. La pseudonimització com a falsa sensació de seguretat
El risc: El RGPD fomenta la pseudonimització (substitució d'identificadors directes per codis o tokens) com a mesura de seguretat. Però no fa que les dades siguin anònimes. Si les dades encara es poden vincular a un individu, continuen sent dades personals i estan subjectes a tot l'abast del RGPD.
Per què les empreses s'equivoquen: Les empreses sovint assumeixen que les dades pseudonimitzades són "segures" per compartir sense restriccions. A la pràctica, la pseudonimització només redueix el risc; no l'elimina. Si compartiu dades pseudonimitzades amb un soci que té accés a la clau o a altres conjunts de dades que permeten la reidentificació, encara esteu processant dades personals.
Fonamentació jurídica: L'article 4(5) del RGPD defineix la pseudonimització. El considerant 26 del RGPD aclareix que les dades pseudonimitzades continuen sent dades personals tret que siguin realment anonimitzades (és a dir, la reidentificació ja no sigui possible per cap mitjà raonable).
Conseqüències per al món real: L'AP ha aclarit en les directrius que la pseudonimització no és una targeta per "sortir de la presó sense problemes". Si la reidentificació és factible, s'apliquen totes les obligacions del RGPD, incloent-hi tenir una base legal, dur a terme DPIAs i garantir una seguretat adequada.
Conclusió pràctica: tracteu les dades pseudònimitzades com a dades personals, tret que hàgiu estat sotmesos a un procés rigorós d'anonimització validat per experts. Documenteu les mesures tècniques i organitzatives implementades per evitar la reidentificació.
Preguntes freqüents
Quan es permet la compartició de dades en virtut del RGPD?
L'intercanvi de dades només és legal si teniu una base jurídica vàlida segons l'article 6 del RGPD. Les sis bases jurídicas són: consentiment, necessitat contractual, obligació legal, interessos vitals, tasca pública i interessos legítims. També heu de complir els principis de legalitat, equitat, transparència, limitació de la finalitat, minimització de dades, exactitud, limitació de l'emmagatzematge, integritat i confidencialitat (article 5 del RGPD). A la pràctica, això significa documentar clarament per què compartiu dades, assegurar-vos que la finalitat s'alinea amb el motiu pel qual les vau recollir originalment i informar els interessats sobre l'intercanvi.
Quina diferència hi ha entre un controlador i un processador?
Un responsable del tractament determina les finalitats i els mitjans del tractament de les dades personals. Un encarregat del tractament processa les dades en nom del responsable del tractament seguint instruccions específiques. Aquesta distinció és important perquè els responsables del tractament són els principals responsables del compliment del RGPD, mentre que els encarregats del tractament tenen obligacions més limitades (principalment garantir la seguretat i la confidencialitat). Si compartiu dades amb un proveïdor que les processa seguint les vostres instruccions (per exemple, un proveïdor de nòmines o un servei d'emmagatzematge al núvol), normalment són encarregats del tractament. Si també decideixen com utilitzar les dades per als seus propis propòsits, poden ser un (co)responsable del tractament. La identificació errònia de les funcions pot provocar llacunes en la responsabilitat i la responsabilitat conjunta per infraccions.
Quan és obligatori un acord de processament de dades (DPA)?
Un DPA és obligatori sempre que contracteu un encarregat del tractament de dades per tractar dades personals en nom vostre (article 28 del RGPD). Això s'aplica independentment de la mida de la vostra organització o del volum de dades implicades. El DPA ha de ser per escrit i incloure clàusules obligatòries específiques, com ara l'objecte i la durada del tractament, la naturalesa i la finalitat, els tipus de dades i les categories d'interessats, i les obligacions d'ambdues parts pel que fa a la seguretat, la notificació d'infraccions i el subprocessament. Sense un DPA que compleixi, incompleixes les condicions des del moment en què l'encarregat del tractament comença el tractament, fins i tot si no es produeix cap dany.
Puc compartir dades de clients amb una tercera part de fora de la UE?
Sí, però només si es compleixen condicions estrictes. En virtut dels articles 44 a 49 del RGPD, podeu transferir dades a un tercer país si: (a) la Comissió Europea ha emès una decisió d'adequació per a aquest país, o (b) heu implementat garanties adequades, com ara clàusules contractuals estàndard (CCT). Arran de la sentència Schrems II , també heu de dur a terme una avaluació d'impacte de la transferència (TIA) per avaluar si les lleis del país de destinació (per exemple, la vigilància governamental) soscaven la protecció garantida per les CCT. Si persisteixen riscos, heu d'implementar mesures suplementàries, com ara el xifratge o la minimització de dades. Les transferències sense garanties adequades poden comportar mesures coercitives per part de l'AP, inclosa la suspensió de la transferència.
Quan es requereix una DPIA per compartir dades?
Una avaluació d'impacte sobre la protecció de dades (DPIA) és obligatòria en virtut de l'article 35 del RGPD quan és probable que el tractament suposi un alt risc per als drets i les llibertats de les persones. Això inclou: el tractament a gran escala de categories especials de dades (per exemple, dades sanitàries, biomètriques o genètiques), la monitorització sistemàtica d'àrees accessibles públicament, la presa de decisions automatitzada amb efectes legals o similarment significatius i l'ús de noves tecnologies. Quan es comparteixen dades, sovint es requereix una DPIA si es combinen conjunts de dades, es comparteix informació sensible o s'utilitzen les dades per a la creació de perfils o anàlisis basades en IA. L'Associació d'Aplicacions Públiques (AP) ha publicat una llista d'operacions de tractament que requereixen una DPIA. En cas de dubte, feu-ne una: és millor prevenir que curar.
A quines multes poden afrontar les empreses per incomplir el RGPD?
El RGPD estableix dos nivells de multes. El nivell inferior, fins a 10 milions d'euros o el 2% de la facturació anual global, s'aplica a infraccions com ara no implementar mesures de seguretat adequades o no dur a terme una avaluació d'impacte sobre la protecció de dades (DPIA) quan cal. El nivell superior, fins a 20 milions d'euros o el 4% de la facturació anual global, s'aplica a infraccions més greus, com ara la manca d'una base legal per al processament, les transferències internacionals il·legals o la violació dels drets dels interessats. L'Associació d'Aplicadors (AP) determina l'import de la multa en funció de factors com la naturalesa i la gravetat de la infracció, si va ser intencionada o negligent, el nombre de persones afectades i qualsevol acció de mitigació adoptada. L'aplicació recent de la llei demostra que l'AP està disposada a imposar multes substancials, especialment per infraccions sistèmiques o deliberades.
És sempre segur compartir dades pseudònimes?
No. La pseudonimització redueix el risc però no l'elimina. Segons l'article 4(5) del RGPD, la pseudonimització significa substituir els identificadors directes (com ara els noms) per codis o pseudònims. Tanmateix, si les dades encara es poden vincular a una persona (per exemple, mitjançant informació addicional que posseïu vosaltres o el destinatari), continuen sent dades personals i estan plenament subjectes al RGPD. Això significa que encara necessiteu una base jurídica, heu d'informar els interessats i heu de garantir una seguretat adequada. Només una veritable anonimització (on la reidentificació ja no és possible per cap mitjà raonable) elimina les dades de l'àmbit d'aplicació del RGPD. A la pràctica, aconseguir una anonimització genuïna és difícil i requereix la validació d'experts.
Què he de fer si la meva empresa pateix una filtració de dades a causa d'una compartició il·legal de dades?
Si descobriu una violació de dades personals, inclosa una causada per l'intercanvi il·legal de dades, teniu 72 hores per notificar-ho a l'AP en virtut de l'article 33 del RGPD (tret que sigui poc probable que la violació suposi un risc per als drets i les llibertats de les persones). També heu de notificar les persones afectades sense demora indeguda si és probable que la violació suposi un alt risc per a elles (article 34 del RGPD). Les mesures immediates inclouen: contenir la violació, avaluar el seu abast i impacte, documentar què va passar i què esteu fent al respecte i notificar-ho a l'AP a través del seu portal en línia. L'incompliment de la notificació pot comportar una multa a part. L'AP avaluarà si es justifica la presa de mesures coercitives en funció de la gravetat de la violació i de la vostra resposta.
Protegiu el vostre negoci: obteniu assessorament legal expert
L'intercanvi de dades és inevitable, però les violacions del RGPD no han de ser-ho. Els set riscos descrits anteriorment no són teòrics: s'extreuen de casos reals d'aplicació de la llei, sentències judicials i directrius reguladores. Cadascun d'ells pot comportar multes, reclamacions de responsabilitat i danys a la reputació.
Les bones notícies? Amb el marc legal adequat, una documentació clara i mesures de compliment proactives, podeu compartir dades amb confiança i legalment. Però fer-ho bé requereix més que un assessorament genèric: requereix un suport legal a mida que entengui el vostre negoci, els vostres fluxos de dades i els riscos específics als quals us enfronteu.
No esperis que vingui l'AP. Si no estàs segur de si les teves pràctiques de compartició de dades compleixen amb el RGPD o si necessites ajuda per redactar DPA, dur a terme DPIA o gestionar transferències internacionals, posa't en contacte amb un advocat especialitzat en privadesa. La teva empresa (i els teus clients) no es mereixen menys.
