Opinión

L’Autoritat Catalana de Protecció de Dades ha publicat l‘Informe de conclusions de l’auditoria sobre la publicació del registre de les activitats de tractament (inventari d’activitats de tractament). El principal objectiu d’aquesta auditoria ha sigut verificar si les entitats incloses en l’àmbit de competència de l’APDCAT que estan legalment obligades a publicar, per mitjans electrònics, un inventari de les activitats de tractament que duen a terme, compleixen aquesta obligació i, si ho fan en els termes previstos a l’article 30 de l’RGPD i a l’article 31.2 de la LOPDGDD. Tanmateix, a través d’aquest informe es pretén oferir directrius i recomanacions que permetin publicar l’inventari adequadament.

Per elaborar aquest informe s’han auditat un total de 107 entitats públiques entre les quals es troben els departaments de la Generalitat, els consells comarcals, alguns ajuntaments, diputacions catalanes i les universitats públiques.

L’informe comença analitzant el grau de compliment de l’obligació de publicació de l’inventari, i es conclou que de la mostra d’entitats auditades, només un 37,4% té publicat l’inventari del RAT front al 62,6% que no.

Un cop analitzat el grau de compliment, es revisen altres qüestions relatives a la forma i al contingut de l’inventari fet que permet a l’APDCAT incloure en el seu informe un seguit de directrius i orientacions per ajudar a les entitats a complir adequadament amb l’obligació prevista.

En aquest sentit, l’informe fa referència al lloc de publicació de l’inventari i recomana com a bona pràctica, publicar-lo a l’espai sobre protecció de dades del lloc web de manera directa o mitjançant un enllaç al portal de transparència, amb l’objectiu de conjugar l’obligació de publicar l’inventari previst a l’article 77.1 de la LOPDGDD amb el que es preveu a l’article 6 de la Llei de Transparència.

Tanmateix, es recorda que s’han d’incloure totes les activitats de tractament desenvolupades per l’entitat, sigui en condició de responsable o d’encarregada del tractament ajustant degudament el contingut en cadascun dels casos.

Arran de les confusions detectades respecte a la informació que s’ha de facilitar, l’informe incorpora un seguit d’aclariments. Per exemple, en el cas del responsable del tractament, cal indicar el nom o raó social i les dades de contacte. En el cas de la identificació del DPD, també es precisa que caldrà indicar la seva identitat (nom) i les seves dades de contacte. Entenent per dades de contacte en ambdós casos: una adreça postal, un número de telèfon i una adreça electrònica.

En aquest punt és especial posar-hi especial atenció, ja que, tot i que ni l’article 13 ni el 14 del RGPD requereixen la necessitat d’identificar nominalment al DPD, aquesta informació sí que és un contingut obligatori de l’inventari.

Una recomanació que es repeteix en diferents punts del contingut obligatori de l’inventari és en relació amb la necessitat d’evitar referències o descripcions que puguin ser massa genèriques o inespecífiques. Per exemple en el cas de la descripció de la finalitat del tractament, la categoria d’interessats o persones afectades pel tractament o les categories de dades personals.

Aquesta recomanació també resulta d’aplicació en la descripció del termini previst per suprimir les diferents categories de dades personals. De manera que cal evitar expressions com: previst a la legislació les dades seran eliminades un cop complertes les obligacions derivades de la gestió de l’activitat de tractament; o es conservaran durant el període necessari per complir amb la finalitat.

Un punt que s’ha d’incloure a l’inventari a diferència del registre d’activitats de tractament, és la base jurídica que legitima el tractament de les dades personals. Tenint en compte això, l’informe realitza algunes recomanacions com per exemple, en relació amb les bases jurídiques d’obligació legal, missió realitzada en interès públic o l’exercici de poders públics, ja que no és obligatori fer constar la normativa aplicable, però l’APDCAT determina que pot ser una bona pràctica. O, el cas de la base jurídica d’interessos vitals, en el que determina que cal indicar quins són aquests interessos vitals a protegir.

En relació amb les transferències internacionals o els destinataris de les dades, es recomana no incorporar aquests epígrafs en aquells casos en què no apliquen al tractament en qüestió, de manera que se simplifica i redueix la informació facilitada.

Es fa referència al fet que la informació s’ha de plasmar mitjançant un llenguatge clar i senzill, de forma breu, transparent i intel·ligible així com evitant explicacions innecessàries o detalls confusos, abús de cites legals innecessàries o amb poc sentit per a les persones destinatàries de la informació.

Finalment, es recorda la necessitat de mantenir actualitzada la informació que s’ha plasmat a l’inventari per tal de reflectir qualsevol canvi que es produeixi.

Es pot consultar el text complet de l’Informe de conclusions de l’auditoria sobre la publicació del registre d’activitats de tractament al següent enllaç:

https://apdcat.gencat.cat/ca/documentacio/Informes-auditoria/