#Compliance

L’Agència Espanyola de Protecció de Dades (AEPD) ha publicat una nota tècnica sobre la relació entre la qualitat de les dades, el principi d’exactitud del RGPD i l’ús de sistemes d’Intel·ligència Artificial. El document ofereix una interpretació especialment rellevant per a les organitzacions que desenvolupen, entrenen o utilitzen solucions d’IA, aclarint que la qualitat de les dades i l’exactitud requerida pel RGPD són conceptes relacionats, però no equivalents.

Un dels missatges principals de l’AEPD és la qualitat de les dades; aquestes, siguin personals o no, han de satisfer necessitats declarades i implícites quan s’utilitzen sota condicions específiques. Aquesta definició vincula el concepte de qualitat de les dades amb l’adequació de les dades per complir la finalitat en un context declarat.

De la mateixa manera, l’exactitud de les dades no s’ha d’interpretar només com a veracitat o actualització permanent de la informació. L’autoritat recorda que l’article 5 del RGPD vincula l’exactitud amb la finalitat del tractament. En conseqüència, les dades han de complir les característiques necessàries per complir adequadament aquest propòsit, i poden incloure aspectes com l’exactitud, la granularitat, la completitud o la freqüència d’actualització, sempre que siguin rellevants per a l’ús previst.

L’AEPD també destaca la relació estreta entre els principis d’exactitud i minimització. Ambdós actuen conjuntament per definir el nivell de qualitat requerit de les dades personals. Tot i que l’exactitud requereix que les dades siguin adequades per assolir l’objectiu perseguit, el principi de minimització impedeix la recopilació o ús d’informació amb un nivell de detall, precisió o freqüència superior al estrictament necessari. Des d’aquesta perspectiva, exigir un nivell de qualitat superior al requerit podria anar en contra del mateix RGPD, ja que implica un tractament excessiu de dades personals.

L’ús d’escales estàndard com l’ISO permet analitzar les característiques de qualitat de les dades dins d’un marc de referència comú; tot i així, aquest fet podria afectar com valorem les dades respecte a un context específic. Dit això, l’AEPD ens recorda evitar cometre errors, com ara aplicar tècniques de “caselles de verificació” on es fa una revisió abstracta del conjunt de dades sense context; establir que totes les característiques són igualment rellevants; o suposar que les característiques a avaluar en el marc són els únics i, que per tant s’esgoten amb aquesta anàlisi.

En aquest sentit, en l’àmbit de la Intel·ligència Artificial, l’AEPD subratlla que l’avaluació de la qualitat no es pot limitar a dades individuals. En molts processos d’aprenentatge automàtic, la qualitat del conjunt de dades adquireix una importància més gran que la del registre aïllat. Factors com la representativitat, l’absència de biaixos, les propietats estadístiques del conjunt o l’adequació al context d’ús poden ser decisius per garantir resultats fiables i compatibles amb la finalitat del processament.

Un altre aspecte rellevant és que la qualitat de les dades sempre s’ha d’analitzar des d’una perspectiva funcional. L’AEPD admet que certes tècniques utilitzades en ciència de dades, com l’anonimització, la generació de dades sintètiques, la reducció de biaix o la imputació de valors que falten, poden introduir elements que no reflecteixen amb precisió la realitat individual d’una persona. Tanmateix, això no implica necessàriament una violació del principi d’exactitud, sempre que el conjunt de dades sigui adequat per a l’objectiu perseguit i no generi efectes adversos sobre els drets de les persones implicades.

Cal recordar que, atès que les dades personals també poden incloure informació no personal que pot influir directament en el resultat obtingut, és necessari que els requisits de qualitat també s’estenen a aquelles dades no personals que condicionen l’idoneïtat del tractament o dels seus resultats.

El desenvolupament de sistemes d’IA és en si mateix un tractament diferent del propòsit o resultat que el sistema pot oferir. En aquest sentit, la qualitat de les dades s’ha d’avaluar en el context de l’ús previst que han de complir un cop desplegats.

De la mateixa manera,  la qualitat de les dades no s’ha d’entendre com una condició estàtica, sinó com un procés continu que requereix monitoratge, revisió i adaptació al llarg del cicle de vida del sistema i del tractament.

Els riscos més grans detectats per l’Agència es troben en dos extrems de la qualitat de les dades: un nivell insuficient compromet l’adequació del sistema i afecta negativament els drets dels subjectes de les dades; d’altra banda, un nivell desproporcionat pot violar el principi de minimització, augmentar innecessàriament els costos d’accés i gestió de dades i fins i tot dificultar la innovació i projectes legítims de recerca.

En conclusió, l’Agència defensa un enfocament basat en la finalitat, la proporcionalitat i l’evidència objectiva. Les dades s’han de definir sota un grau de qualitat que estigui d’acord amb la seva funció i el resultat que ha de produir. Pel que fa a la IA, aquesta definició ha de combinar criteris tècnics i legals, així com mètriques que permetin verificar l’adequació del resultat, el compliment de les normatives de protecció de dades i els requisits del cicle de vida de la IA (Reglament Europeu d’IA). En aquest sentit, la participació conjunta d’especialistes en protecció de dades i ciència de dades és un element clau.

La Gesetz zur Beschleunigung der Vergabe öffentlicher Aufträge, en vigor a Alemanya des de l’1 de juliol de 2026, simplifica la justificació de la solvència, eleva el llindar de la contractació directa fins a 50.000 euros i digitalitza íntegrament el procediment de recurs. La reforma es presenta a Europa com la primera traducció normativa del diagnòstic de pèrdua de competitivitat dels informes Letta i Draghi, i s’anticipa a un futur Public Procurement Act europeu encara no presentat formalment.

La contractació pública mou al voltant del 14 % del PIB de la Unió Europea, una xifra que els informes Letta i Draghi situen al centre del debat sobre competitivitat: si Europa vol reduir la seva bretxa de productivitat respecte als Estats Units i la Xina, difícilment pot permetre’s un sistema de compra pública lent, fragmentat i excessivament formalista. Alemanya ha estat el primer Estat membre a traduir aquest diagnòstic en Derecho positiu, i la seva reforma val la pena conèixer-la amb detall perquè funciona com a indicador avançat del que previsiblement acabarà arribant, en una forma o altra, a la resta de la Unió.

La mesura més rellevant afecta la manera d’acreditar la solvència i l’absència de causes d’exclusió. Fins ara, els operadors havien d’aportar documentació exhaustiva des del primer moment del procediment; amb la reforma, n’hi ha prou amb declaracions responsables, i només es reclama la documentació completa als candidats que efectivament tenen opcions de resultar adjudicataris. El canvi desplaça el control d’un moment ex ante generalitzat a una verificació ex post selectiva, i està especialment pensat per facilitar l’accés d’empreses joves i innovadores que sovint no disposen de l’historial documental que exigeix el model clàssic.

La reforma també eleva fins a 50.000 euros el llindar per adjudicar directament sense procediment formal, sempre que es respectin els principis d’economia i s’alterni, quan sigui possible, entre diferents empreses. És una xifra notablement superior als llindars que coneixem al nostre entorn per al contracte menor, i planteja una pregunta que val la pena traslladar a la pràctica pròpia: si es vol guanyar agilitat en les compres de poc import, la resposta no hauria de ser només elevar quanties, sinó reforçar la traçabilitat de dades que permeti detectar fraccionament o recurrència injustificada amb els mateixos proveïdors.

En matèria d’infraestructures, la llei introdueix una excepció temporal al principi de divisió en lots per als grans projectes vinculats al fons especial d’infraestructures i neutralitat climàtica, amb l’obligació que el Govern federal informi el Bundestag abans del 30 de setembre de 2027 sobre els seus efectes reals en la participació de pimes i en l’execució pressupostària. És un exemple interessant de com introduir flexibilitat sense renunciar al control: la Doctrina, tot i mantenir la regla general de divisió en lots, es reserva la comprovació empírica dels seus efectes abans de consolidar-la.

La digitalització no s’atura en la fase de licitació. El procediment de recurs davant les Vergabekammern es tramita ja íntegrament per via electrònica, amb vistes per videoconferència i un termini de resolució de cinc setmanes des de l’entrada de la sol·licitud, prorrogable només per dificultats especials justificades. I es consolida un servei nacional de dades de contractació pública, ubicat al ministeri federal de l’Interior, concebut per permetre una anàlisi sistèmica (concentració de mercat, ús de la contractació directa, participació real de pimes) que la simple publicitat d’anuncis i adjudicacions no permet.

Per a les entitats i empreses que operem amb la Llei de contractes del sector públic, l’interès d’aquesta reforma no rau només en la seva novetat alemanya, sinó en la seva capacitat orientativa cap a on apunten els documents institucionals europeus que previsiblement inspiraran la futura revisió de les directives de 2014. La pràctica totalitat de les eines que Alemanya introdueix ara (declaracions responsables amb verificació selectiva, dades estructurades, digitalització integral del recurs, atenció a la ciberseguretat) ja tenen, d’una manera o altra, equivalent a la LCSP; el que revela la comparació és que la qüestió no és tant disposar de l’instrument, com aconseguir que funcioni de manera sistemàtica i no com a excepció puntual ben gestionada.

Convé, per tant, no esperar a la futura reforma europea per revisar com s’articulen, a la pràctica, la justificació de la solvència, la traçabilitat de les compres de poc import i la interoperabilitat dels registres propis.

L’Agència Espanyola de Protecció de Dades (AEPD) ha publicat recentment la Resolució 00068-2026, en la qual procedeix a modificar el criteri actual respecte l’exercici del dret d’accés per conèixer les persones físiques que han tingut accés a dades de salut.

Valgui començar recordant que la jurisprudència actual, com la STJUE de 22 de juny de 2023 (C-579/21), indica que no existeix un dret absolut de conèixer les persones físiques que hagin tingut accés a la història clínica, podent satisfer l’exercici del dret d’accés de l’art. 15 del Reglament General de Protecció de Dades (RGPD) indicant la categoria de destinataris. Igualment, la recent sentència del Tribunal Suprem de 24 de juny de 2026 (núm. 789/2026, Sala Contenciosa Administrativa), aplica aquesta interpretació, confirmant que la identificació individual dels qui accedeixen a les dades s’ha de valorar en funció de la seva necessitat i de la ponderació amb altres drets.

De fet, la mateixa AEPD sostenia el criteri que “Llevat que una llei ho permeti expressament, el dret d’accés no inclou la identificació dels professionals sanitaris que accedeixen a la història clínica“.

I quin ha estat el motiu del canvi de criteri? El nou Reglament 2025/327 relatiu a l’Espai Europeu de Dades de Salut, que estableix en el seu art. 9 el dret a obtenir informació sobre l’accés a les dades pel prestador d’assistència sanitària o qualsevol altra persona que hagi accedit a les dades de salut electrònics personals; també preveu que els Estats membres puguin  limitar aquest dret quan hi hagi indicis concrets que la divulgació posaria en perill els drets o interessos vitals del professional sanitari o l’assistència prestada a la persona física.

Això ha portat que, en una recent reclamació de dret d’accés en la qual es plantejava la necessitat de conèixer les persones que van accedir a la història clínica del demandant, l’autoritat de control procedís a adoptar un criteri interpretatiu evolutiu en anticipació al nou Reglament Europeu. Partint per reconèixer que el Reglament, tot i que va entrar en vigor el 2025, s’anirà aplicant de manera esglaonada a partir del 2027, introdueix un criteri que el dret d’accés inclou la identificació de les persones que han accedit a les dades. Tot i que reconeix que aquest dret no és absolut, conforme a la jurisprudència i al principi de proporcionalitat, indica que serà el responsable de tractament qui hagi d’acreditar que la limitació a l’accés estigui degudament fundada i documentada, rebutjant una exclusió general i automàtica a proporcionar les identitats de les persones que accedeixen a les dades.

Aquest criteri suposa una evolució de la jurisprudència i interpretacions tradicionals per reforçar la transparència del tractament i el control efectiu de la licitud.

Al DOUE de l’11 de juny de 2026 s’ha publicat el Reglament d’Execució (UE) 2026/1197 de la Comissió, de 5 de juny de 2026, pel qual s’estableix una llista d’indicadors comuns sobre el funcionament dels organismes d’igualtat designats d’acord amb la Directiva (UE) 2024/1500. Aquesta disposició estableix el marc per a la recopilació i la comunicació d’informació que servirà de base per als informes de seguiment que els estats membres hauran de trametre a la Comissió.

Aquest reglament desenvolupa les previsions de la Directiva (UE) 2024/1500, que va establir uns requisits mínims aplicables al funcionament dels organismes d’igualtat amb la finalitat de reforçar-ne l’eficàcia i garantir-ne la independència. En aquest context, el Reglament d’Execució (UE) 2026/1197 concreta una relació comuna d’indicadors destinada a harmonitzar les dades que els estats membres han de recopilar a escala nacional i comunicar posteriorment a la Comissió Europea.

Segons disposa la norma, els indicadors comprenen, entre altres aspectes, els recursos humans, tècnics i financers dels organismes d’igualtat, les garanties d’independència en l’exercici de les seves funcions, l’accessibilitat dels seus serveis, l’eficàcia de la seva actuació i les eventuals modificacions del seu mandat, de les seves competències o de la seva estructura organitzativa. La finalitat és assegurar que la informació obtinguda sigui homogènia, objectiva, fiable i comparable a tot el territori de la Unió Europea.

Contingut de l’annex

L’annex del reglament estructura la llista d’indicadors en tres grans apartats. El primer fa referència a la configuració nacional i al funcionament organitzatiu dels organismes d’igualtat. El segon recull els indicadors relatius al funcionament operatiu durant el període de referència. El tercer incorpora la informació de retorn facilitada pels mateixos organismes sobre el compliment dels requisits previstos a la Directiva (UE) 2024/1500.

Aquests apartats inclouen indicadors relatius a l’estructura i el mandat dels organismes, les garanties d’independència, els mecanismes de finançament, les competències per a la tramitació de denúncies, els procediments de resolució alternativa de litigis, les actuacions d’investigació, l’emissió de decisions o dictàmens, l’activitat jurisdiccional, l’elaboració d’informes, l’accessibilitat dels locals i dels serveis, així com la igualtat d’accés als canals de denúncia.

Eina comuna i protecció de dades

Amb la finalitat de facilitar la recopilació i la transmissió de la informació, el reglament preveu que la Comissió pugui posar a disposició dels estats membres i dels organismes d’igualtat una eina informàtica d’ús senzill, amb camps d’introducció de dades adaptats als indicadors aprovats. Així mateix, l’article 1 estableix expressament que les dades recopilades d’acord amb aquests indicadors no poden contenir dades personals en el sentit del Reglament general de protecció de dades (RGPD).

Terminis de comunicació

D’acord amb el que estableix l’annex, els estats membres hauran de facilitar la informació relativa a la configuració nacional, al funcionament operatiu i a la informació de retorn, com a màxim, el 19 de juny de 2031. Posteriorment, diversos d’aquests blocs d’informació s’hauran d’actualitzar amb una periodicitat quinquennal, de conformitat amb l’article 18 de la Directiva (UE) 2024/1500. Amb caràcter general, els indicadors es calcularan prenent com a referència l’any natural.

Entrada en vigor i incidència pràctica

L’article 2 del Reglament d’Execució (UE) 2026/1197 estableix que aquesta disposició entrarà en vigor al cap de vint dies de la seva publicació al Diari Oficial de la Unió Europea. Atès que es tracta d’un reglament, serà obligatori en tots els seus elements i directament aplicable a tots els estats membres.

Des d’una perspectiva pràctica, aquesta norma dota la Comissió i els estats membres d’una metodologia comuna de seguiment destinada a avaluar el funcionament dels organismes d’igualtat en l’àmbit de la igualtat de tracte i d’oportunitats entre dones i homes en matèria d’ocupació i treball. Aquest sistema permetrà disposar d’informació homogènia sobre aspectes com la independència, els recursos disponibles, l’accessibilitat i els resultats de l’activitat desenvolupada, i constituirà un instrument de suport per a l’elaboració dels futurs informes d’aplicació de la Directiva (UE) 2024/1500.

La Resolució JUS/1475/2026, d’11 de maig, publicada al DOGC núm. 9666 del 15 de maig, aprova els criteris del Pla d’actuació inspectora de fundacions i associacions declarades d’utilitat pública per a l’any 2026.

El Protectorat prioritza la inspecció de les entitats que incompleixen l’obligació de presentar els comptes anuals. En concret, determina, entre d’altres, com a criteris principals d’inspecció:

• Presentació de comptes: fundacions i associacions que no hagin dipositat els comptes anuals corresponents als dos darrers exercicis davant del Protectorat de Fundacions.
• Requeriments especials: entitats que hagin rebut requeriments formulats pel Protectorat que segueixin pendents d’atendre.
• Deficiències comptables: inspecció detallada d’entitats amb alertes en auditories anteriors o desquadraments reincidents en la memòria econòmica.
• Desviació de la finalitat fundacional: comprovació que, com a mínim, el 70% de les rendes i altres ingressos nets anuals es destinen estrictament a les finalitats fundacionals.
• Òrgans de govern: càrrecs vençuts i no renovats, així com configuracions dels òrgans de govern integrades majoritàriament per persones amb vincles familiars.

El Pla d’Inspecció té un caràcter preventiu i de control per garantir el bon govern i la transparència de les entitats.

Podeu consultar el text complet de la Resolució JUS/1475/2026 al DOGC núm. 9666, de 15 de maig de 2026 https://portaldogc.gencat.cat/utilsEADOP/PDF/9666/2150554.pdf

El passat 5 de desembre de 2025 es va publicar la Llei 9/2025, de 3 de desembre, de mobilitat sostenible, la qual preveu l’obligació de les empreses i entitats que pertanyen al sector públic, i que tinguin una plantilla de més de 200 persones treballadores per centre de treball (o 100 per torn de treball), a implementar un pla de mobilitat sostenible a la feina.

Aquests plants han de ser objecte de seguiment per tal d’avaluar la seva implementació i han de ser objecte de negociació amb la representació legal de les persones treballadores (o, en el seu defecte, la comissió que es constitueixi integrada pels sindicats més representatius, o aquells legitimats per formar part de la comissió negociadora del conveni col·lectiu del sector).

En aquest sentit, s’ha inclòs un apartat a l’article 85 de l’Estatut dels Treballadors preveient el deure de negociar mesures per promoure l’elaboració dels plans de mobilitat en el marc de la negociació dels convenis col·lectius.

Quant al seu contingut, els plans de mobilitat han d’impulsar la mobilitat activa, el transport col·lectiu, la mobilitat de baixes emissions, solucions de mobilitat tant compartida com col·laborativa, solucions per a facilitar l’ús i recàrrega de vehicles zero emissions, el teletreball en els casos en els quals sigui possible, entre altres; tot en relació tant de persones treballadores com de visitants, proveïdors i persones que requereixin accedir al centre de treball.

Així mateix, en centres “d’alta ocupació”, considerats aquells que comptin amb més de 1.000 persones treballadores i estiguin situats en municipis o àrees metropolitanes de més de 500.000 habitants, caldrà incloure mesures que permetin reduir la mobilitat en hores punta o durant la jornada laboral i promoure l’ús de mitjans de transport de baixes o zero emissions i de serveis de mobilitat col·lectiva, així com impulsar la mobilitat activa incloent eines per facilitar la recàrrega pública o privada d’aquest tipus de mitjans de transport.

A fi d’aconseguir tot això, les empreses i entitats que pertanyen al sector públic podran oferir a les seves plantilles targetes de transport tramitades a través d’una empresa emissora de vals de transport.

Finalment, la pròpia llei preveu sancions per al cas de no elaborar en termini (abans del 5 de desembre de 2027) el pla de mobilitat, quan aquest fet produeix un perjudici pel sistema de mobilitat.

Article publicat al Butlletí informatiu del Bufet Vallbé (desembre 2025)

Tenir un pla d’igualtat degudament registrat no és només una obligació legal de les empreses de més de 50 treballadors des de l’any 2020, sinó també una necessitat absoluta, ja que no tenir-lo pot tenir conseqüències imprevistes i desproporcionades: multes per incompliment d’obligació legal (que poden arribar a més de 200.000 euros en casos greus), risc reputacional, limitacions en licitacions i concursos i pèrdua de subvencions i ajudes. Com a mostra de les conseqüències que pot tenir la manca d’un pla d’igualtat hi ha el contracte de ciberseguretat de l’Estat, que no s’ha pogut concedir ni a Telefònica ni a MasOrange per culpa que un dels seus socis no tenia pla d’igualtat registrat.

La necessitat absoluta del pla d’igualtat contrasta, tanmateix amb la dificultat que suposa per a moltes empreses emprendre un projecte d’aquest tipus, tal com està previst legalment. No ens podem enganyar i pensar que es tracta d’una simple formalitat. El pla d’igualtat, tal com preveu la legislació, requereix una negociació amb la representació legal dels treballadors que tingui l’empresa (generalment, el Comitè d’Empresa) o amb els sindicats més representatius, si l’empresa no té representants dels treballadors, i implica l’elaboració d’una anàlisi exhaustiva sobre la situació retributiva de l’empresa i la valoració dels llocs de treball, a més d’una diagnosi estructurada sobre diferents aspectes relatius a la igualtat. D’altra banda, el pla negociat ha de contenir mesures detallades amb calendari d’execució, destinació de recursos, persones assignades i previsió de valoració. Sovint es tracta d’un projecte que es pot allargar durant mesos i que, en dependre d’una negociació, pot plantejar problemes seriosos a l’hora de ser aprovat. A tot això hem d’afegir el fet que el registre examina amb molta atenció que s’hagin satisfet totes les formalitats previstes per la llei i, en cas que no sigui així, denega el registre, deixant l’empresa en situació d’incompliment. Per tant, és molt important que tot el projecte tingui en compte aquells aspectes formals més fonamentals.

La normativa vigent sobre plans d’igualtat, en definitiva, planteja un repte important per a totes les empreses, ja que suposa un esforç significatiu en temps, recursos i dedicació, però és un esforç que manifestament no pot deixar de fer-se, tenint en compte que l’incompliment té conseqüències encara més costoses.

La Agencia Española de Protección de Datos (AEPD) ha resolt recentment un procediment sancionador (ref. EXP202402851) contra IDCQ Hospitales y Sanidad, S.L.U. (Hospital Universitari Quirónsalud Madrid) arran de la destrucció d’un CD que contenia imatges de ressonàncies magnètiques aportades per un pacient per ser comparades amb una prova diagnòstica realitzada al centre.

El cas ha generat especial interès perquè posa el focus en qüestions clau per al sector sanitari: el tractament de dades de salut, la gestió de suports físics lliurats pels pacients i l’abast de les obligacions de conservació vinculades a la història clínica.

Els fets es remunten el novembre de 2021, quan un pacient va acudir a l’Hospital Quirónsalud Madrid per fer-se una ressonància magnètica i va aportar un CD amb imatges de proves prèvies realitzades entre 2018 i 2020. Aquell mateix dia va signar un document en què s’indicava que els resultats i informes estarien disponibles durant un mes per a la seva retirada. Quan el pacient va intentar recuperar el CD quatre mesos després, el centre li va comunicar que ja havia estat eliminat per limitacions d’espai a l’arxiu. Davant d’això, va presentar reclamació primer davant del propi hospital i, posteriorment, davant l’AEPD.

En la seva defensa, IDCQ Quirónsalud va sostenir que les imatges contingudes al CD no havien estat generades pel seu centre, sinó per un altre hospital, i que havien estat aportades directament pel pacient. Segons el seu criteri, les obligacions legals de conservació de documentació clínica s’apliquen principalment a la informació creada pel propi centre sanitari i no necessàriament als materials externs lliurats pel pacient. Partint d’aquesta premissa, el centre va argumentar que, en absència d’una obligació específica de conservació, mantenir el CD hauria estat contrari als principis de minimització de dades i limitació de la finalitat del RGPD i que, per tant, no disposaven de base de legitimació suficient, en els termes de l’article 6, per conservar-lo més enllà del termini previst.

L’hospital també va remarcar que la informació que el metge va considerar rellevant sí que es va incorporar a la història clínica del pacient, en forma d’informe mèdic. La resta d’imatges no es van integrar perquè, segons el criteri clínic del facultatiu, no eren necessàries per garantir la continuïtat assistencial.

A més, IDCQ va defensar que disposava d’un procediment intern que regulava la recollida, custòdia i eventual destrucció de proves mèdiques aportades pels pacients. Aquest procediment establia un termini d’un mes perquè els suports físics fossin retirats i, passat aquest període, preveia la destrucció del material no recollit. Segons el centre, el pacient havia estat informat d’aquest termini i, un cop transcorregut, la destrucció del CD es va justificar com una mesura tècnica i organitzativa necessària i proporcionada en el marc del principi de privacitat des del disseny i per defecte.

La resolució de l’AEPD, però, va rebutjar aquests arguments. L’Agència va considerar que el tractament de dades controvertit (la supressió de les dades que contenia el CD) no tenia una base legitimadora suficient que l’emparés, ja que no existeix cap obligació legal que permeti aquesta destrucció abans del termini mínim de cinc anys previst per la normativa sanitària.

En aquest sentit, la AEPD va recordar que l’article 17.1 de la LBAP estableix que els centres sanitaris han de conservar la documentació clínica en condicions que garanteixin el seu correcte manteniment i seguretat, encara que no necessàriament en el suport original, durant el temps adequat a cada cas i, com a mínim, cinc anys des de l’alta de cada procés assistencial, sense especificar que aquesta obligació només faci referència a la documentació que ha estat elaborada pel centre, de manera que inclouria també aquella documentació clínica aportada directament pel pacient. La normativa catalana reforça aquesta idea, i afegeix que les mesures de seguretat previstes a aquest respecte hauran d’estar recollides en protocols interns aprovats per la direcció del centre.

Pel que fa als protocols interns al·legats per l’hospital, la resolució posa de manifest que aquests no estaven degudament implantats ni elaborats en el moment dels fets, sinó que es van aprovar amb posterioritat al procediment sancionador, motiu pel qual no es van tenir en compte com a circumstància atenuant. L’Agència va destacar, a més, la gravetat que un grup hospitalari de la dimensió de Quirónsalud no disposés, en aquell moment, de protocols clars sobre la custòdia i destrucció tant de la documentació clínica generada pel propi centre com dels suports aportats proactivament pels pacients, arribant a qualificar la pràctica de “negligència greu”.

La resolució va imposar sancions per infraccions dels articles 6, 9 i 25 del RGPD, qualificades com a molt greus, amb un import total d’1.200.000 euros.

Més enllà de la controvèrsia jurídica, el cas ofereix lliçons rellevants per als centres sanitaris. És essencial disposar de protocols clars sobre la gestió dels suports físics que aporten els pacients, establir criteris sòlids sobre els terminis de conservació i devolució, i comunicar-los de manera transparent.

Finalment, aquesta resolució posa de manifest que la gestió de dades de salut, fins i tot quan es tracta de suports físics aparentment “externs”, exigeix un enfocament especialment acurat des de la perspectiva del RGPD i obliga els centres sanitaris a revisar i reforçar les seves pràctiques internes.