Newsletter sector públic
Dret digital i sector públic: criteris de l’APDCAT, IA i noves directrius en protecció de dades
L’Autoritat Catalana de Protecció de Dades (APDCAT) valida la gravació de treballadors socials quan concorre interès legítim
L’APDCAT considera lícita la gravació de treballadors socials i personal municipal durant desnonaments quan es basi en un interès legítim, especialment l’informatiu o de control ciutadà.
La captació d’imatges és compatible amb la normativa de protecció de dades si es produeix en espais públics i com a element accessori d’un esdeveniment de rellevància pública. És a dir, no existeix una obligació general d’anonimat del personal, ja que no és exigible la seva anonimització automàtica, encara que les Administracions poden adoptar mesures preventives per a dificultar la seva identificació directa quan no sigui necessari per a informar.
Un ús indegut, innecessari o desproporcionat de les imatges, fins i tot sent lícita la gravació inicial, pot vulnerar drets fonamentals i generar responsabilitats legals. La difusió posterior d’imatges ha d’analitzar-se de manera independent, ja que pot ser il·lícita si exposa injustificadament al personal a riscos, represàlies o estigmatització. En aquest cas, la licitud de la seva difusió depèn de la finalitat, la proporcionalitat i la minimització de dades, activant-se plenament les obligacions del RGPD i la LOPDGDD, i en supòsits de difusió indeguda els afectats poden acudir a l’autoritat de protecció de dades i exercir accions civils per vulneració del dret a la pròpia imatge o altres vies legals segons la gravetat.
L’APDCAT considera il·lícita la identificació biomètrica en un projecte municipal de videovigilància.
L’APDCAT ha emès un dictamen sobre un projecte municipal de videovigilància amb analítica de vídeo i intel·ligència artificial, que inclou detecció d’incidents, lectura de matrícules i la possible identificació biomètrica remota en temps real.
En aquest dictamen es conclou que aquesta última funcionalitat no pot activar-se per falta de base jurídica, ja que el Reglament Europeu d’IA prohibeix amb caràcter general la identificació biomètrica remota en espais públics, excepte excepcions molt estrictes subjectes a regulació nacional.
A més, adverteix de possibles impactes en drets fonamentals, detecta deficiències en l’anàlisi d’alternatives menys intrusives i en la transparència cap a la ciutadania, i reclama un reforç dels mecanismes d’informació, control i reclamació. No obstant això, s’admet un desplegament parcial del sistema sempre que es compleixin condicions estrictes:
- Mantenir tècnicament deshabilitada la identificació biomètrica.
- Realitzar una auditoria externa de l’algorisme.
- Delimitar amb precisió les zones de captació.
- Establir un protocol clar de desanonimización.
- Garantir supervisió continuada, mitjançant un comitè ètic‑tècnic i auditories periòdiques.
En definitiva, qualsevol ús futur d’identificació biomètrica remota només seria possible si el legislador estatal aprova prèviament el marc jurídic exigit pel Reglament d’IA, amb garanties i un sistema d’autorització prèvia judicial o administrativa independent.
Proposta de reforma legislativa “Òmnibus Digital”
La Comissió Europea ha presentat l’anomenat “paquet òmnibus digital” amb l’objectiu de simplificar i modernitzar el marc regulador europeu en àmbits clau com la intel·ligència artificial, les dades i la ciberseguretat. La iniciativa cerca unificar normes disperses, reduir càrregues administratives i facilitar el compliment normatiu en matèria de dades i de seguretat que també afecta al sector públic, al mateix temps que s’actualitzen regulacions centrals com el Reglament General de Protecció de Dades, el Reglament d’Intel·ligència Artificial i la NIS2.
Totes les mesures del paquet òmnibus digital hauran de seguir el procediment legislatiu ordinari, per la qual cosa els canvis proposats encara no són aplicable fins que siguin formalment aprovats.
Si bé les autoritats europees de protecció de dades valoren la intenció del Digital Omnibus d’harmonitzar i simplificar la normativa, han emès una opinió crítica en advertir que alguns canvis poden afeblir la protecció de dades i generar inseguretat jurídica. En particular, el Comitè Europeu de Protecció de Dades com el Supervisor Europeu de Protecció de Dades alerten sobre l’impacte de la reforma en normes com el RGPD i rebutgen la proposta de modificar la definició de “dada personal”, en considerar que reduiria l’àmbit de protecció.
No obstant això, reconeixen avanços positius, com la flexibilització i ampliació de terminis per a notificar bretxes de seguretat, l’ús de plantilles comunes i una major claredat en la recerca científica i en l’ús de dades biomètriques sota control de l’usuari.
Noves directrius de l’APDCAT: Principis bàsics per a la contractació i l’ús de plataformes educatives digitals per a les administracions educatives i els centres docents.
Les autoritats de protecció de dades han identificat importants riscos en l’ús de plataformes educatives digitals en el núvol, especialment pel tractament massiu de dades personals de menors. Aquestes plataformes, essencials per a l’ensenyament i no d’ús voluntari, impliquen una responsabilitat reforçada per a les administracions i centres educatius, ja que poden afectar simultàniament milions d’alumnes i han de respectar estrictament el RGPD.
La Guia de l’APDCAT destaca principis bàsics consensuats per les autoritats per a garantir la licitud del tractament, la transparència, la protecció de dades des del disseny i l’exercici de drets. A més, adverteix de la complexitat d’aquestes plataformes, que combinen serveis educatius bàsics i altres addicionals, diferents tipus de dades (facilitats pels usuaris i generats automàticament) i rols variables dels proveïdors, que poden actuar tant com encarregats com responsables del tractament, la qual cosa exigeix una anàlisi acurada de contractes, finalitats i garanties.
Els principis bàsics que tracta la guia són els següents:
- El ple respecte als drets i llibertats en el tractament de dades personals.
- La determinació clara de la responsabilitat del tractament.
- Les bases de legitimació i estricta limitació de finalitats.
- L’avaluació d’impacte i participació del delegat de protecció de dades.
- La transparència i informació.
- El contracte per encàrrec de tractament i control de sub-encarregats.
- Les garanties en transferències internacionals.
- La protecció de dades des del disseny i per defecte.
- La seguretat de la informació.
- Drets dels interessats.
Carme Setó
Carme Setó és sòcia i directora de l’Àrea de Dret Digital, IT i protecció de dades i compta amb una àmplia experiència en la planificació, coordinació i execució d’operacions multidisciplinàries als sectors d’especialització indicats, tant per a empreses públiques com privades d’àmbit nacional i internacional de diferents sectors d’activitat.