Opinió

En un article anterior vam parlar del projecte IdentiCAT, que impulsava la Generalitat de Catalunya com a sistema d’identificació digital i que plantejava un control directe sobre les pròpies dades per part del ciutadà, amb garanties de seguretat i legalitat. Comentàvem en aquell article que restaríem a l’aguait de com s’implementava un projecte tal, inèdit a Europa, que venia a representar un canvi de paradigma. Sembla, tanmateix, que no podem saber del cert a hores d’ara de si aquest projecte IdentiCAT acabarà materialitzant-se o no, sobretot a partir del Reial Decret-llei 14/2019, de 31 d’octubre, que ha aprovat recentment el Govern espanyol.

La nova norma fa esment en l’exposició de motius a “los recientes y graves acontecimientos acaecidos en parte del territorio español”, sense esmentar Catalunya, per a justificar la necessitat d’aprovar el Reial Decret-llei i elaborar un nou marc jurídic que garanteixi la preservació de la seguretat pública en un nou context de desenvolupament tecnològic i una major exposició a amenaces. Per aquest motiu, introdueix canvis significatius i modifica lleis existents relatives a administració digital, seguretat pública, contractació del sector públic i telecomunicacions. És particularment interessant constatar com alguns dels canvis introduïts afecten el règim legal de protecció de dades de manera significativa.

Un dels aspectes més controvertits d’aquest nou marc normatiu consisteix en els nous poders i facultats de control que s’atribueixen al Govern espanyol. Tot i que el text legal reconeix que les diferents administracions poden dissenyar els seus propis sistemes d’identificació electrònica, s’introdueix ara un procediment d’autorització prèvia per part de l’Administració General de l’Estat, que a partir d’ara tindrà potestat per a aturar projectes com IdentiCAT. D’aquesta manera, qualsevol sistema d’identificació digital podrà ser denegat a partir d’ara per motius de seguretat pública. D’altra banda, el Ministeri d’Economia i Empresa també tindrà nous poders per a valorar si determinats usos de sistemes o xarxes representen una amenaça per a l’ordre públic i la seguretat nacional i adoptar les mesures que consideri oportunes, ordenant el tancament de webs i serveis sense audiència prèvia de l’infractor.

També per motius de seguretat pública s’estableix la necessitat que tots els tractaments de dades que realitza el sector públic s’hagin de dur a terme a través de recursos tècnics i sistemes situats en territori de la Unió Europea i, en cas de dades més sensibles relatives a sistemes d’identificació, en territori espanyol. Hem de tenir en compte que aquesta decisió afecta un nombre significatiu de tractaments de dades a gran escala, i afecta, per exemple, les dades del cens i dels usuaris del sistema sanitari. Sembla que la intenció d’aquesta mesura és evitar que un determinat tractament es dugui a terme fora del control de l’Estat espanyol o, si més no, dels poders atribuïts ara al Ministeri d’Economia i Empresa, que hem esmentat més amunt.

Finalment, el nou decret contempla les modificacions legals necessàries per tal que en tota la contractació pública hi hagi previsions i mencions expresses a la normativa en matèria de protecció de dades. Amb això es pretén també obtenir sempre el compromís del contractista de complir la normativa espanyola i europea en matèria de protecció de dades, que ara haurà de fer-se constar expressament i regir de forma explícita qualsevol procediment de contractació pública.

En definitiva, el Govern aprova un Reial Decret-llei molt enfocat a controlar l’ús de recursos digitals amb motiu de la seguretat pública, i ho justifica explícitament en la seva exposició de motius. No obstant, cal tenir present que aquesta norma té conseqüències rellevants en matèria de protecció de dades, ja que estableix la prohibició de contractar servidors i recursos que es trobin ubicats fora d’Europa (o d’Espanya, en determinats casos), cosa que pot portar moltes administracions o entitats vinculades al sector públic a haver de fer canvis en els seus proveïdors informàtics i a assumir els costos que se’n puguin derivar.