Quan cal fer una avaluació d'impacte en protecció de dades a Andorra

Cal fer una avaluació d'impacte en protecció de dades (AIPD) abans d'iniciar qualsevol tractament que probablement comporti un alt risc per als drets de les persones. A Andorra això passa en tres supòsits que fixa l'article 32.3 de la LQPD i, per la via del Reglament d'aplicació, sempre que un tractament reuneixi dos o més dels deu criteris de risc de l'article 17.3.

La resposta sembla tancada, però a la pràctica la pregunta que ens arriba al despatx gairebé mai és "he de fer una AIPD?" sinó "això que vull posar en marxa, compta o no compta?".

Què és exactament una AIPD i per què la llei la vol abans

L'article 32.1 de la Llei 29/2021, del 28 d'octubre, qualificada de protecció de dades personals descriu l'avaluació d'impacte com l'obligació del responsable, públic o privat, d'avaluar l'impacte de les operacions de tractament sobre la protecció de dades quan sigui probable que un tipus de tractament comporti un alt risc per als drets i les llibertats de les persones físiques. El text afegeix tres detalls que sovint passen desapercebuts: l'avaluació es fa abans del tractament, s'ha de tenir especialment present quan el tractament utilitza noves tecnologies, i una sola avaluació pot cobrir diverses operacions similars amb riscos similars.

El Reglament d'aplicació, aprovat pel Decret 391/2022, del 28 de setembre, tanca la porta a l'argument del "ja està en marxa": l'article 17.1 diu que si l'operació ja funciona, l'avaluació s'ha de fer tan aviat com es detecti un risc greu, i l'article 17.2 recorda que no és una tasca puntual i s'ha d'actualitzar periòdicament.

El contingut mínim el marca l'article 32.6 de la Llei: una descripció sistemàtica del tractament i de les seves finalitats, una avaluació de la necessitat i la proporcionalitat, una avaluació dels riscos per a les persones i les mesures previstes per afrontar-los. La guia informativa de l'APDA sobre l'avaluació d'impacte, publicada el 27 de gener del 2023, desplega aquest contingut en set fases, de la valoració inicial de si convé fer-la fins al monitoratge posterior.

Els tres supòsits en què la Llei no deixa marge

L'article 32.3 diu que l'avaluació es requereix "en particular" en tres casos. Són els mateixos que l'article 35.3 del RGPD europeu, i convé llegir-los amb la mateixa atenció:

a) Avaluació sistemàtica i exhaustiva d'aspectes personals basada en tractament automatitzat, com l'elaboració de perfils, quan sobre aquesta base es prenen decisions amb efectes jurídics o que afecten significativament la persona. L'exemple més clar és un sistema que puntua sol·licitants de crèdit i denega o concedeix segons el resultat.

b) Tractament a gran escala de les categories especials de dades de l'article 9 (salut, biometria identificativa, afiliació sindical, orientació sexual, etc.) o de dades relatives a condemnes i infraccions penals.

c) Observació sistemàtica a gran escala d'una zona d'accés públic. Per exemple, una càmera que enfoca la caixa d'una botiga no hi encaixa, una xarxa de càmeres que cobreix un aparcament obert al públic o un tram de carrer, probablement sí.

Fixeu-vos en l'expressió "en particular". Vol dir que la llista no esgota l'obligació. Aquí és on entra el Reglament.

La regla dels dos criteris: la porta que el Reglament obre

L'article 17.3 del Reglament d'aplicació estableix que un tractament comporta un risc alt quan es produeix alguna de les tres situacions de la Llei o bé quan dos o més dels criteris següents apareixen en una mateixa operació de tractament:

1. Avaluació o puntuació dels interessats, inclosa l'elaboració de perfils.

2. Presa de decisions automatitzades amb efectes jurídics o que afectin significativament la persona.

3. Observació sistemàtica d'interessats.

4. Dades sensibles (especialment protegides).

5. Tractament de dades a gran escala.

6. Associació o combinació de conjunts de dades.

7. Dades d'interessats vulnerables, com ara menors, empleats o grups de població que necessiten protecció especial.

8. Ús innovador o aplicació de noves solucions tecnològiques o organitzatives.

9. El tractament impedeix als interessats exercir un dret, utilitzar un servei o executar un contracte.

10. Tractaments de dades economicofinanceres per part d'entitats bancàries o establiments financers.

    
    

Els nou primers criteris reprodueixen els del Grup de Treball de l'article 29 (directrius WP248, ratificades pel Comitè Europeu de Protecció de Dades). El desè és una aportació andorrana: el Reglament el va afegir pensant en el pes del sector financer al Principat, i converteix qualsevol tractament economicofinancer d'un banc o establiment financer en un criteri de risc per si sol, pendent només d'un segon.

Una diferència important respecte a Espanya: allà els criteris estan en una llista publicada per l'AEPD sota l'habilitació de l'article 35.4 del RGPD i de l'article 28 de la LOPDGDD. A Andorra, els deu criteris són text reglamentari. No són una orientació de l'agència, són norma. La llista d'exemples de l'annex 1 de la guia de l'APDA, en canvi, sí que és orientativa, i la mateixa guia la qualifica de "no exhaustiva".

Gran escala: la xifra dels 5.000

Dos dels supòsits legals i un dels criteris reglamentaris depenen del concepte de gran escala. L'article 17.5 del Reglament el defineix amb quatre factors (nombre de persones afectades, volum i varietat de dades, durada del tractament i extensió geogràfica) i hi afegeix una regla dura: el tractament de dades personals de més de cinc mil afectats és gran escala en qualsevol cas.

Per sota d'aquesta xifra el criteri no desapareix, només deixa de ser automàtic. L'annex 3 de la guia de l'APDA proposa un càlcul orientatiu que puntua cada factor (fins a 14 punts en total) i considera gran escala una suma igual o superior a 9.

L'exemple de la mateixa guia: 700 persones afectades, quatre categories de dades, conservació durant anys i abast internacional sumen 11. Gran escala, amb només 700 persones.

Per a una empresa andorrana mitjana, el factor que més sovint decanta la balança és el de la durada: una base de dades de clients que es conserva anys puntua 4 sobre 4 en aquest apartat.

Quan no cal fer-la

L'article 17.7 del Reglament preveu dues exempcions independents del risc: quan ja s'ha fet una avaluació d'un tractament molt similar en naturalesa, abast, context i finalitats, i quan el tractament està inclòs en la llista de tractaments exempts que publica l'APDA. Aquesta llista és l'annex 2 de la guia del 2023, i inclou, entre altres:

• Gestió ordinària de personal en organitzacions de menys de 250 persones (nòmines, formació, dietes, control horari sense biometria), sempre que no s'hi facin perfils.

• Gestió de relacions amb proveïdors.

• Gestió de socis i donants d'associacions i fundacions, si no hi ha dades sensibles.

• Tractaments d'un professional sanitari que treballa individualment en una consulta, farmàcia o laboratori.

• Tractaments d'advocats i notaris en l'exercici individual de la professió.

• Control d'accés físic i d'horari sense dispositiu biomètric.

  
  

La nota al peu de l'annex 2 adverteix que estar a la llista no eximeix de la resta d'obligacions ni de l'anàlisi prèvia sobre si el cas concret encaixa. Si la vostra clínica és una consulta d'un sol professional, no cal AIPD, si sou un centre amb diversos metges i una història clínica compartida, la situació canvia.

Sis casos que veiem al despatx

Tractament	Criteris que hi concorren	AIPD
Control horari amb empremta dactilar en una empresa de 30 persones	Dades sensibles (biometria) + empleats com a col·lectiu vulnerable	Sí, per la regla dels dos criteris
Dues càmeres a l'interior d'una botiga enfocant la caixa	Observació, però ni sistemàtica de persones ni a gran escala en espai públic	No, sempre que es respecti l'article 13 del Reglament (videovigilància)
Càmeres que cobreixen un aparcament obert al públic	Observació sistemàtica d'una zona d'accés públic, gran escala segons cobertura	Probablement sí (article 32.3.c)
Programa de fidelització amb 8.000 clients i perfils de compra	Perfils + gran escala (més de 5.000)	Sí
Programari de recursos humans amb avaluació algorítmica del rendiment	Perfils + empleats + tecnologia nova	Sí, i la guia de l'APDA el cita expressament a l'annex 1
Scoring intern d'una entitat financera per concedir crèdit	Decisions automatitzades + dades economicofinanceres d'un establiment financer	Sí, per l'article 32.3.a i pel criteri 10

El cas de l'empremta dactilar és el que més sorprèn. L'empresa de 30 persones no arriba als 50 treballadors del registre d'activitats, no arriba a cap llindar de gran escala i sovint no té delegat de protecció de dades. Tot i això, la combinació de biometria i col·lectiu vulnerable activa l'obligació. I si el sistema substitueix un fitxatge previ, l'article 17.1 del Reglament exigeix fer l'avaluació tan aviat com es detecti el risc, no esperar a renovar el contracte amb el proveïdor.

Qui la fa i quin paper hi té el delegat de protecció de dades

La responsabilitat és del responsable del tractament, que pot delegar-ne l'execució però no la responsabilitat. L'encarregat del tractament ha de donar-hi suport (article 31.4.f de la Llei), i l'article 32.2 obliga a demanar l'assessorament del delegat de protecció de dades si n'hi ha.

L'article 17.4 del Reglament dona al DPD una posició més activa del que la Llei deixa entreveure: pot suggerir en qualsevol moment que es faci una avaluació i, en cas de dubte, s'ha de pronunciar sobre si és necessària. A la pràctica això vol dir que una empresa amb DPD que decideix no fer una AIPD contra el seu criteri ha de deixar-ho documentat, perquè serà el primer que l'APDA demanarà.

L'article 32.8 afegeix un pas que gairebé ningú fa: recollir, si escau, l'opinió de les persones interessades o dels seus representants. Per a tractaments de dades d'empleats, consultar el comitè d'empresa o els representants dels treballadors és la manera més senzilla de complir-ho i deixar-ne rastre.

Si el risc continua sent alt: consulta prèvia a l'APDA

L'avaluació no és un tràmit que s'arxiva. L'annex 1 del Reglament fixa l'escala de riscos: es combina la gravetat de l'impacte (baix, mitjà, alt o molt alt) amb la probabilitat de l'amenaça (improbable, possible o probable), i el resultat es llegeix des del punt de vista de les persones afectades, no de l'empresa.

Si, un cop avaluat el tractament i les mesures previstes, el risc residual continua sent alt, l'article 33 de la Llei imposa la consulta prèvia a l'APDA abans de començar. La consulta es presenta de manera telemàtica (article 17.10 del Reglament) i ha d'incloure l'avaluació d'impacte, les finalitats i els mitjans, les mesures i garanties, les responsabilitats de responsables i encarregats i, si escau, les dades del DPD. L'agència té vuit setmanes per assessorar per escrit, ampliables sis setmanes més segons la complexitat, i pot utilitzar qualsevol dels poders d'investigació i correctius de la Llei, inclosa la limitació temporal o definitiva del tractament.

La guia de l'APDA fa una precisió que val la pena retenir: quan parla de reduir el risc abans de consultar, no es refereix a afegir mesures de seguretat sinó a modificar el disseny del tractament. Evitar recollir certes dades, reduir l'abast, seudonimitzar. Un xifrat més fort no converteix un tractament de risc alt en un de risc mitjà si el problema és què es fa amb les dades i no com es guarden.

Preguntes freqüents

La meva empresa té menys de 50 treballadors: puc estar obligada a fer una AIPD?

Sí. El llindar de 50 treballadors afecta el registre d'activitats de tractament (article 34.8 de la LQPD), no l'avaluació d'impacte. L'obligació de l'article 32 depèn del risc del tractament, no de la mida de l'empresa. Una empresa de deu persones que instal·la control horari biomètric ja hi queda subjecta.

Quant de temps tinc per fer l'avaluació d'impacte?

No hi ha un termini en dies. L'obligació és fer-la abans d'iniciar el tractament i, si el tractament ja funciona, tan aviat com es detecti un risc greu (article 17.1 del Reglament). Per a un tractament nou, això vol dir integrar l'avaluació en la fase de disseny, abans de contractar el proveïdor.

Puc fer servir una AIPD feta segons el RGPD per a un tractament a Andorra?

Com a base sí, però no serveix tal qual. El Reglament andorrà inclou criteris propis (el de les dades economicofinanceres d'establiments financers), fixa el llindar de 5.000 afectats per a la gran escala i imposa la seva pròpia escala de riscos a l'annex 1. Una avaluació espanyola o francesa s'ha d'adaptar a aquestes regles i a la consulta prèvia davant l'APDA, no davant l'AEPD o la CNIL.

Què passa si no faig l'AIPD quan era obligatòria?

L'omissió deixa el tractament sense analitzar i, segons la guia de l'APDA, pot comportar la incoació d'un expedient administratiu. L'agència disposa dels poders d'investigació i correctius dels articles 62 i 67 de la Llei, que inclouen la limitació o la prohibició del tractament, a més del règim sancionador general de la LQPD.