AEPD

L’Agència Espanyola de Protecció de Dades (AEPD) ha publicat una nota tècnica sobre la relació entre la qualitat de les dades, el principi d’exactitud del RGPD i l’ús de sistemes d’Intel·ligència Artificial. El document ofereix una interpretació especialment rellevant per a les organitzacions que desenvolupen, entrenen o utilitzen solucions d’IA, aclarint que la qualitat de les dades i l’exactitud requerida pel RGPD són conceptes relacionats, però no equivalents.

Un dels missatges principals de l’AEPD és la qualitat de les dades; aquestes, siguin personals o no, han de satisfer necessitats declarades i implícites quan s’utilitzen sota condicions específiques. Aquesta definició vincula el concepte de qualitat de les dades amb l’adequació de les dades per complir la finalitat en un context declarat.

De la mateixa manera, l’exactitud de les dades no s’ha d’interpretar només com a veracitat o actualització permanent de la informació. L’autoritat recorda que l’article 5 del RGPD vincula l’exactitud amb la finalitat del tractament. En conseqüència, les dades han de complir les característiques necessàries per complir adequadament aquest propòsit, i poden incloure aspectes com l’exactitud, la granularitat, la completitud o la freqüència d’actualització, sempre que siguin rellevants per a l’ús previst.

L’AEPD també destaca la relació estreta entre els principis d’exactitud i minimització. Ambdós actuen conjuntament per definir el nivell de qualitat requerit de les dades personals. Tot i que l’exactitud requereix que les dades siguin adequades per assolir l’objectiu perseguit, el principi de minimització impedeix la recopilació o ús d’informació amb un nivell de detall, precisió o freqüència superior al estrictament necessari. Des d’aquesta perspectiva, exigir un nivell de qualitat superior al requerit podria anar en contra del mateix RGPD, ja que implica un tractament excessiu de dades personals.

L’ús d’escales estàndard com l’ISO permet analitzar les característiques de qualitat de les dades dins d’un marc de referència comú; tot i així, aquest fet podria afectar com valorem les dades respecte a un context específic. Dit això, l’AEPD ens recorda evitar cometre errors, com ara aplicar tècniques de “caselles de verificació” on es fa una revisió abstracta del conjunt de dades sense context; establir que totes les característiques són igualment rellevants; o suposar que les característiques a avaluar en el marc són els únics i, que per tant s’esgoten amb aquesta anàlisi.

En aquest sentit, en l’àmbit de la Intel·ligència Artificial, l’AEPD subratlla que l’avaluació de la qualitat no es pot limitar a dades individuals. En molts processos d’aprenentatge automàtic, la qualitat del conjunt de dades adquireix una importància més gran que la del registre aïllat. Factors com la representativitat, l’absència de biaixos, les propietats estadístiques del conjunt o l’adequació al context d’ús poden ser decisius per garantir resultats fiables i compatibles amb la finalitat del processament.

Un altre aspecte rellevant és que la qualitat de les dades sempre s’ha d’analitzar des d’una perspectiva funcional. L’AEPD admet que certes tècniques utilitzades en ciència de dades, com l’anonimització, la generació de dades sintètiques, la reducció de biaix o la imputació de valors que falten, poden introduir elements que no reflecteixen amb precisió la realitat individual d’una persona. Tanmateix, això no implica necessàriament una violació del principi d’exactitud, sempre que el conjunt de dades sigui adequat per a l’objectiu perseguit i no generi efectes adversos sobre els drets de les persones implicades.

Cal recordar que, atès que les dades personals també poden incloure informació no personal que pot influir directament en el resultat obtingut, és necessari que els requisits de qualitat també s’estenen a aquelles dades no personals que condicionen l’idoneïtat del tractament o dels seus resultats.

El desenvolupament de sistemes d’IA és en si mateix un tractament diferent del propòsit o resultat que el sistema pot oferir. En aquest sentit, la qualitat de les dades s’ha d’avaluar en el context de l’ús previst que han de complir un cop desplegats.

De la mateixa manera,  la qualitat de les dades no s’ha d’entendre com una condició estàtica, sinó com un procés continu que requereix monitoratge, revisió i adaptació al llarg del cicle de vida del sistema i del tractament.

Els riscos més grans detectats per l’Agència es troben en dos extrems de la qualitat de les dades: un nivell insuficient compromet l’adequació del sistema i afecta negativament els drets dels subjectes de les dades; d’altra banda, un nivell desproporcionat pot violar el principi de minimització, augmentar innecessàriament els costos d’accés i gestió de dades i fins i tot dificultar la innovació i projectes legítims de recerca.

En conclusió, l’Agència defensa un enfocament basat en la finalitat, la proporcionalitat i l’evidència objectiva. Les dades s’han de definir sota un grau de qualitat que estigui d’acord amb la seva funció i el resultat que ha de produir. Pel que fa a la IA, aquesta definició ha de combinar criteris tècnics i legals, així com mètriques que permetin verificar l’adequació del resultat, el compliment de les normatives de protecció de dades i els requisits del cicle de vida de la IA (Reglament Europeu d’IA). En aquest sentit, la participació conjunta d’especialistes en protecció de dades i ciència de dades és un element clau.

L’Agència Espanyola de Protecció de Dades (AEPD) ha publicat recentment la Resolució 00068-2026, en la qual procedeix a modificar el criteri actual respecte l’exercici del dret d’accés per conèixer les persones físiques que han tingut accés a dades de salut.

Valgui començar recordant que la jurisprudència actual, com la STJUE de 22 de juny de 2023 (C-579/21), indica que no existeix un dret absolut de conèixer les persones físiques que hagin tingut accés a la història clínica, podent satisfer l’exercici del dret d’accés de l’art. 15 del Reglament General de Protecció de Dades (RGPD) indicant la categoria de destinataris. Igualment, la recent sentència del Tribunal Suprem de 24 de juny de 2026 (núm. 789/2026, Sala Contenciosa Administrativa), aplica aquesta interpretació, confirmant que la identificació individual dels qui accedeixen a les dades s’ha de valorar en funció de la seva necessitat i de la ponderació amb altres drets.

De fet, la mateixa AEPD sostenia el criteri que “Llevat que una llei ho permeti expressament, el dret d’accés no inclou la identificació dels professionals sanitaris que accedeixen a la història clínica“.

I quin ha estat el motiu del canvi de criteri? El nou Reglament 2025/327 relatiu a l’Espai Europeu de Dades de Salut, que estableix en el seu art. 9 el dret a obtenir informació sobre l’accés a les dades pel prestador d’assistència sanitària o qualsevol altra persona que hagi accedit a les dades de salut electrònics personals; també preveu que els Estats membres puguin  limitar aquest dret quan hi hagi indicis concrets que la divulgació posaria en perill els drets o interessos vitals del professional sanitari o l’assistència prestada a la persona física.

Això ha portat que, en una recent reclamació de dret d’accés en la qual es plantejava la necessitat de conèixer les persones que van accedir a la història clínica del demandant, l’autoritat de control procedís a adoptar un criteri interpretatiu evolutiu en anticipació al nou Reglament Europeu. Partint per reconèixer que el Reglament, tot i que va entrar en vigor el 2025, s’anirà aplicant de manera esglaonada a partir del 2027, introdueix un criteri que el dret d’accés inclou la identificació de les persones que han accedit a les dades. Tot i que reconeix que aquest dret no és absolut, conforme a la jurisprudència i al principi de proporcionalitat, indica que serà el responsable de tractament qui hagi d’acreditar que la limitació a l’accés estigui degudament fundada i documentada, rebutjant una exclusió general i automàtica a proporcionar les identitats de les persones que accedeixen a les dades.

Aquest criteri suposa una evolució de la jurisprudència i interpretacions tradicionals per reforçar la transparència del tractament i el control efectiu de la licitud.

En data 20 de setembre de 2023 es va presentar una reclamació davant l’AEPD pels delegats sindicals del Servei de Prevenció i Extinció d’Incendis (SPEIS) de la Diputació d’Osca, en la qual es denunciava que s’havia pogut accedir a una carpeta compartida utilitzada pel personal administratiu del SPEIS, la qual contenia informació confidencial.

Aquest procediment va portar a tractar un altre assumpte, ja que, a més de la presumpta bretxa de seguretat, es va descobrir que el Delegat de Protecció de Dades (DPD) de la Diputació d’Osca també exercia com a responsable del Sistema Intern d’Informació. Això va conduir a plantejar la idoneïtat de la concurrència d’ambdues funcions en una mateixa persona.

Sobre el primer incident, l’AEPD va resoldre que estimava la vulneració de l’article 5.1.f) del RGPD per l’error de la Diputació en preservar la confidencialitat i la integritat de les dades de les quals era responsable.

Respecte a la segona situació, l’AEPD va valorar que, si bé és cert que el DPD pot exercir altres funcions a més de les assignades al seu càrrec, cal garantir que això no donarà lloc a un conflicte d’interès, de conformitat amb l’art. 38.6 del RGPD. Procedim a analitzar aquesta interpretació:

• El DPD pot exercir altres funcions, sempre que no donin lloc a conflictes d’interessos, circumstància que ha de garantir el responsable del tractament.
• El DPD actua com a assessor i supervisor intern, de manera que no pot ser-ho algú que tingui altres funcions en les quals pugui decidir sobre l’existència de tractaments de dades o sobre com es tracten les dades.
• Per la seva part, el responsable del sistema intern d’informació haurà de desenvolupar les seves funcions de forma independent i autònoma respecte de la resta dels òrgans de l’entitat i respon del correcte funcionament del sistema (art. 8.4 i 9.1 de la Llei 2/2023, de 20 de febrer, reguladora de la protecció de les persones que informin sobre infraccions normatives i de lluita contra la corrupció); és a dir, pot tenir accés a les dades personals contingudes en el sistema.
• També s’estableix que tant el responsable del sistema com el DPD poden tenir accés a les dades del Sistema Intern d’Informació (art. 32.1 de la Llei 2/2023); és a dir, s’entén que són dues figures diferents.
• Per tant, es conclou que si una mateixa persona té diferents interessos es pot donar lloc a conflictes d’interès, circumstància que cal evitar perquè puguin realitzar les seves funcions amb les garanties degudes.

Finalment, l’AEPD va resoldre en data 2 de febrer de 2025 la consulta prèvia de la Diputació, concloent que no és possible assignar les funcions de responsable del sistema intern d’informació al DPD. Davant d’això, la Diputació va procedir a substituir el responsable del sistema intern d’informació.

En definitiva, davant el risc de possibles conflictes d’interès, les funcions de DPD i de responsable del sistema intern d’informació no haurien de recaure en una mateixa persona.

La Agencia Española de Protección de Datos (AEPD) ha resolt recentment un procediment sancionador (ref. EXP202402851) contra IDCQ Hospitales y Sanidad, S.L.U. (Hospital Universitari Quirónsalud Madrid) arran de la destrucció d’un CD que contenia imatges de ressonàncies magnètiques aportades per un pacient per ser comparades amb una prova diagnòstica realitzada al centre.

El cas ha generat especial interès perquè posa el focus en qüestions clau per al sector sanitari: el tractament de dades de salut, la gestió de suports físics lliurats pels pacients i l’abast de les obligacions de conservació vinculades a la història clínica.

Els fets es remunten el novembre de 2021, quan un pacient va acudir a l’Hospital Quirónsalud Madrid per fer-se una ressonància magnètica i va aportar un CD amb imatges de proves prèvies realitzades entre 2018 i 2020. Aquell mateix dia va signar un document en què s’indicava que els resultats i informes estarien disponibles durant un mes per a la seva retirada. Quan el pacient va intentar recuperar el CD quatre mesos després, el centre li va comunicar que ja havia estat eliminat per limitacions d’espai a l’arxiu. Davant d’això, va presentar reclamació primer davant del propi hospital i, posteriorment, davant l’AEPD.

En la seva defensa, IDCQ Quirónsalud va sostenir que les imatges contingudes al CD no havien estat generades pel seu centre, sinó per un altre hospital, i que havien estat aportades directament pel pacient. Segons el seu criteri, les obligacions legals de conservació de documentació clínica s’apliquen principalment a la informació creada pel propi centre sanitari i no necessàriament als materials externs lliurats pel pacient. Partint d’aquesta premissa, el centre va argumentar que, en absència d’una obligació específica de conservació, mantenir el CD hauria estat contrari als principis de minimització de dades i limitació de la finalitat del RGPD i que, per tant, no disposaven de base de legitimació suficient, en els termes de l’article 6, per conservar-lo més enllà del termini previst.

L’hospital també va remarcar que la informació que el metge va considerar rellevant sí que es va incorporar a la història clínica del pacient, en forma d’informe mèdic. La resta d’imatges no es van integrar perquè, segons el criteri clínic del facultatiu, no eren necessàries per garantir la continuïtat assistencial.

A més, IDCQ va defensar que disposava d’un procediment intern que regulava la recollida, custòdia i eventual destrucció de proves mèdiques aportades pels pacients. Aquest procediment establia un termini d’un mes perquè els suports físics fossin retirats i, passat aquest període, preveia la destrucció del material no recollit. Segons el centre, el pacient havia estat informat d’aquest termini i, un cop transcorregut, la destrucció del CD es va justificar com una mesura tècnica i organitzativa necessària i proporcionada en el marc del principi de privacitat des del disseny i per defecte.

La resolució de l’AEPD, però, va rebutjar aquests arguments. L’Agència va considerar que el tractament de dades controvertit (la supressió de les dades que contenia el CD) no tenia una base legitimadora suficient que l’emparés, ja que no existeix cap obligació legal que permeti aquesta destrucció abans del termini mínim de cinc anys previst per la normativa sanitària.

En aquest sentit, la AEPD va recordar que l’article 17.1 de la LBAP estableix que els centres sanitaris han de conservar la documentació clínica en condicions que garanteixin el seu correcte manteniment i seguretat, encara que no necessàriament en el suport original, durant el temps adequat a cada cas i, com a mínim, cinc anys des de l’alta de cada procés assistencial, sense especificar que aquesta obligació només faci referència a la documentació que ha estat elaborada pel centre, de manera que inclouria també aquella documentació clínica aportada directament pel pacient. La normativa catalana reforça aquesta idea, i afegeix que les mesures de seguretat previstes a aquest respecte hauran d’estar recollides en protocols interns aprovats per la direcció del centre.

Pel que fa als protocols interns al·legats per l’hospital, la resolució posa de manifest que aquests no estaven degudament implantats ni elaborats en el moment dels fets, sinó que es van aprovar amb posterioritat al procediment sancionador, motiu pel qual no es van tenir en compte com a circumstància atenuant. L’Agència va destacar, a més, la gravetat que un grup hospitalari de la dimensió de Quirónsalud no disposés, en aquell moment, de protocols clars sobre la custòdia i destrucció tant de la documentació clínica generada pel propi centre com dels suports aportats proactivament pels pacients, arribant a qualificar la pràctica de “negligència greu”.

La resolució va imposar sancions per infraccions dels articles 6, 9 i 25 del RGPD, qualificades com a molt greus, amb un import total d’1.200.000 euros.

Més enllà de la controvèrsia jurídica, el cas ofereix lliçons rellevants per als centres sanitaris. És essencial disposar de protocols clars sobre la gestió dels suports físics que aporten els pacients, establir criteris sòlids sobre els terminis de conservació i devolució, i comunicar-los de manera transparent.

Finalment, aquesta resolució posa de manifest que la gestió de dades de salut, fins i tot quan es tracta de suports físics aparentment “externs”, exigeix un enfocament especialment acurat des de la perspectiva del RGPD i obliga els centres sanitaris a revisar i reforçar les seves pràctiques internes.

Els que parlem de protecció de dades volem dir sempre protecció de les persones, ja que les dades personals són l’expressió de la persona en tots els àmbits de la seva vida. D’altra banda, tant l’elaboració com la interpretació del dret és sempre una qüestió de sentit comú. Tenint en compte totes dues premisses és com hem d’interpretar la multa de 120.000 euros que l’Agència Espanyola de Protecció de Dades (AEPD), en l’expedient EXP202411409, ha acabat imposant a una empresa per incompliment de l’article 5.1.f) del Reglament General de Protecció de Dades. I què diu l’article 5.1.f)? Doncs una cosa tan simple com que les dades personals s’han de tractar aplicant-hi una “seguretat adequada”. (more…)

L’Agència Espanyola de Protecció de Dades (AEPD) ha publicat la memòria de l’any 2023. En el document es detallen les diferents campanyes de conscienciació, difusió, col·laboració i inspecció que s’han realitzat per part de l’AEPD, també hi ha un extracte dels informes, dictàmens, recomanacions, decisions vinculants , declaracions i procediments més rellevants de l’any 2023. Així mateix, s’ha publicat la Memòria de Responsabilitat Social 2023.

Segons les xifres de l’AEPD, aquest any 2023 s’han enregistrat  un 43% més de reclamacions que l’any anterior. Hi ha hagut un increment d’un 114% respecte a l’any 2022 de les reclamacions relacionades a la recepció de publicitat no desitjada. D’aquestes, la majoria fa referència a les trucades telefòniques comercials no desitjades. També es donen casos de recepció de publicitat a través d’SMS, l’obtenció de dades personals sense consentiment o la contractació fraudulenta.

Pel que fa als procediments sancionadors, l’àrea de videovigilància ha estat el grup d’activitat amb un major nombre de procediments resolts durant aquest any 2023. Entre d’altres, hi ha hagut el cas del procediment d’instal·lació d’una videocàmera dins de l’habitatge llogat a diferents inquilins o la col·locació d’una càmera de videovigilància en el hall d’un pis de lloguer per habitacions individuals d’estudiants.

[1]A continuació, en la imatge es pot observar quin ha estat el TOP 10 de procediments sancionadors més habituals segons els grups d’activitats: 

[1] Taula 13: Procediments sancionadors més freqüents de la Memòria 2013 AEPD memoria-aepd-2023.pdf

Dels procediments sancionadors no tots han acabat en sanció. Un 11% s’han resolt amb l’arxiu d’actuacions per part de l’AEPD.

La sanció més quantiosa de l’any 2023 correspon a un procediment del sector de les entitats financeres, en el que s’imposa a Caixabank, S.A. una sanció de 5 milions d’euros, per la infracció dels articles 5.1f), 25 i 32 del RGPD.

Per a més informació o consultar la Memòria de 2023 de l’AEPD completa, aquí.

L’Agència Espanyola de Protecció de Dades (AEPD) ha publicat la seva Memòria d’actuació corresponent a l’exercici 2021, en la que es recull de forma exhaustiva les activitats realitzades, les xifres de gestió, els informes i procediments més rellevants de l’any, i una anàlisi dels reptes presents i futurs. (more…)

El passat mes d’octubre, l’Agència Española de Protecció de Dades (AEPD) va imposar una sanció de 20.000€ a una empresa de Martorell per la implementació d’un sistema de control horari de la jornada laboral mitjançant l’ús d’una dada biomètrica, com és l’empremta dactilar del treballador, sense haver realitzat prèviament una avaluació d’impacte. (more…)

Fruit de l’acord entre el PSOE i PP, el  passat divendres 21 d’octubre es donaren a conèixer els noms de les persones que rellevaran la direcció de l’Agència Espanyola de Protecció de Dades (AEPD), així com la nova composició d’organismes com el Tribunal de Comptes, el Tribunal Constitucional i el Defensor del Poble.

La nova directora de l’AEPD serà Belén Cardona Rubert que rellevarà en el càrrec a Mar España Martí, que liderava l’entitat des de juliol de 2015. (more…)

Ben entrat l’any 2021 arriba el moment en què l’Agència Espanyola de Protecció de Dades publica la seva memòria anual sobre l’any anterior, un any -no cal dir-ho- marcat per una pandèmia sense precedents que ho ha condicionat tot. Com no podia ser altrament, l’activitat de l’AEPD durant l’any 2020 s’ha centrat en bona part a garantir i compatibilitzar el dret a la protecció de dades amb les mesures destinades a minimitzar els estralls de la COVID-19. (more…)