L'entrada en aplicació del Reglament General de Protecció de Dades (RGPD) ha suposat una transformació profunda del tractament de dades personals a les Administracions Públiques. La protecció de dades deixa de configurar-se com una obligació merament formal per convertir-se en un model de responsabilitat activa basat en l'anàlisi de riscos, la transparència i la protecció efectiva de drets fonamentals.
La guia elaborada per l'Agència Espanyola de Protecció de Dades (AEPD) sobre l'impacte del RGPD en el sector públic identifica amb precisió les principals obligacions jurídiques i organitzatives que han d'assumir les Administracions. A partir d'aquest marc, la protecció de dades passa a integrar-se en el funcionament ordinari de l'activitat administrativa.
La identificació de la finalitat i la base jurídica del tractament com a requisit de legalitat administrativa
Un dels canvis essencials introduïts pel RGPD consisteix en l'obligació d'identificar amb precisió:
- La finalitat del tractament
- La base jurídica que el legitima
En l'àmbit de les Administracions Públiques, la base jurídica habitual no és el consentiment, sinó:
- El compliment d'una missió realitzada en interès públic
- L'exercici de potestats públiques atribuïdes per una norma amb rang legal
Això reforça el principi de legalitat administrativa, ja que tot tractament s'ha de vincular a una competència prèviament establerta per l'ordenament jurídic.
Quan es tracti de categories especials de dades —com salut, ideologia, religió o origen ètnic— el tractament està, amb caràcter general, prohibit llevat que hi concorri una habilitació específica prevista en el RGPD i en la normativa nacional o europea aplicable.
La desaparició del consentiment tàcit en el sector públic
La guia de l'AEPD subratlla que el consentiment només pot constituir base jurídica vàlida quan sigui:
- Lliure
- Informat
- Específic
- Inequívoc
En conseqüència, desapareixen els consentiments tàcits basats en la inacció de la persona interessada, fins i tot respecte de tractaments iniciats abans de l'aplicació del RGPD.
Això obliga a revisar:
- Formularis administratius
- Seus electròniques
- Convocatòries públiques
- Procediments selectius
- Sistemes de registre electrònic
i qualsevol instrument que impliqui recollida de dades personals.
El deure d'informació reforçat com a manifestació del principi de transparència
El RGPD exigeix que la informació proporcionada a les persones interessades sigui:
- Concisa
- Transparent
- Intel·ligible
- Fàcilment accessible
- Redactada en llenguatge clar
Les clàusules informatives han d'incloure, entre altres extrems:
- Identitat del responsable
- Finalitat del tractament
- Base jurídica
- Destinataris
- Termini de conservació
- Drets de les persones interessades
- Possibilitat de reclamació davant l'autoritat de control
- Dades de contacte del Delegat de Protecció de Dades
Això obliga a revisar instruments administratius habituals com convocatòries de subvencions, processos selectius, formularis electrònics, procediments registrals i actuacions en serveis socials.
L'obligació de facilitar l'exercici efectiu de drets
El RGPD exigeix que les Administracions Públiques estableixin mecanismes visibles, accessibles i senzills —també electrònics— que permetin a les persones interessades exercir els seus drets.
El catàleg complet de drets inclou:
- Accés
- Rectificació
- Supressió
- Oposició
- Limitació del tractament
- Portabilitat
- Dret a no ser objecte de decisions individuals automatitzades
Les Administracions han d'implantar procediments interns capaços de respondre dins dels terminis legals i coordinar l'actuació d'unitats administratives i encarregats del tractament quan resulti necessari.
L'abast del dret de portabilitat a les Administracions Públiques
El dret de portabilitat permet a la persona interessada rebre les seves dades en un format estructurat, d'ús comú i lectura mecànica, així com transmetre-les a un altre responsable del tractament.
Tanmateix, la seva aplicació en el sector públic és més limitada que en l'àmbit privat, ja que només escau quan:
- El tractament es basa en el consentiment o en un contracte
- I el tractament es fa per mitjans automatitzats
Atès que la majoria dels tractaments administratius es fonamenten en l'interès públic o l'exercici de potestats públiques, aquest dret tindrà una aplicació pràctica més reduïda, encara que continua formant part del catàleg complet de drets garantits pel RGPD.
El dret a no ser objecte de decisions individuals automatitzades en l'àmbit administratiu
El RGPD reconeix el dret de la ciutadania a no ser objecte de decisions basades exclusivament en tractaments automatitzats, inclosa l'elaboració de perfils, quan produeixin efectes jurídics o afectin significativament la persona interessada.
Aquest dret adquireix especial rellevància en contextos administratius com:
- Concessió automatitzada d'ajuts
- Avaluació automatitzada de sol·licituds
- Priorització algorítmica d'expedients
- Sistemes predictius en serveis socials
- Selecció automatitzada en procediments administratius
Aquestes decisions només es podran adoptar quan hi hagi habilitació normativa suficient o concorrin les condicions previstes en el RGPD, i s'ha de garantir en tot cas:
- Intervenció humana significativa
- Possibilitat de formular al·legacions
- Revisió de la decisió adoptada
- Transparència sobre els criteris utilitzats
El Registre d'Activitats de Tractament com a instrument central del sistema de compliment
El Registre d'Activitats de Tractament substitueix l'antiga obligació d'inscripció de fitxers davant l'autoritat de control i passa a convertir-se en l'eix organitzatiu del compliment normatiu.
Ha de contenir informació relativa a:
- Finalitat del tractament
- Base jurídica
- Categories de persones interessades
- Categories de dades
- Destinataris
- Transferències internacionals
- Mesures de seguretat aplicables
A més, s'ha de mantenir actualitzat i disponible per a l'autoritat de control quan ho sol·liciti.
L'anàlisi de riscos com a fonament del model de responsabilitat activa
La guia de l'AEPD subratlla que totes les mesures previstes en el RGPD depenen del nivell de risc que cada tractament suposi per als drets i llibertats de les persones interessades.
Això implica que cada tractament s'ha de sotmetre a:
- Identificació de riscos
- Avaluació del seu impacte potencial
- Adopció de mesures proporcionades
En el sector públic, aquestes metodologies s'han d'integrar amb els instruments existents en matèria de seguretat de la informació, especialment l'Esquema Nacional de Seguretat.
L'adaptació dels contractes amb encarregats del tractament
Les Administracions han de verificar que els encarregats del tractament ofereixen garanties suficients de compliment del RGPD abans de formalitzar qualsevol relació contractual.
La relació s'ha de formalitzar mitjançant:
- Contracte
- Conveni
- Acte jurídic equivalent
amb un contingut mínim obligatori superior a l'exigit per la normativa anterior.
Aquesta obligació afecta especialment serveis tecnològics externalitzats, plataformes electròniques, manteniment informàtic i serveis de gestió administrativa externalitzada.
La implantació de mecanismes de detecció i notificació de bretxes de seguretat
Les Administracions han d'establir procediments que permetin:
- Detectar incidents de seguretat
- Avaluar-los
- Documentar-los
- Notificar-los a l'autoritat de control quan escaigui
- Comunicar-los a les persones interessades si hi ha risc rellevant
A més, el RGPD exigeix mantenir un registre intern d'incidents, fins i tot quan no en sigui necessària la notificació externa.
Això introdueix una cultura institucional de prevenció i resposta davant riscos tecnològics.
L'Avaluació d'Impacte en Protecció de Dades com a instrument preventiu obligatori en supòsits d'alt risc
Quan un tractament pugui implicar un alt risc per als drets i llibertats de la ciutadania, s'ha de fer prèviament una Avaluació d'Impacte en Protecció de Dades.
Entre els supòsits més habituals destaquen:
- Tractaments massius
- Utilització de noves tecnologies
- Elaboració sistemàtica de perfils
- Tractament de categories especials de dades
- Observació sistemàtica de persones
Tanmateix, el RGPD permet exceptuar aquesta obligació quan la norma que regula el tractament ja hagi incorporat una avaluació equivalent en el seu procés d'elaboració.
La designació obligatòria del Delegat de Protecció de Dades en el sector públic
Totes les autoritats i organismes públics han de designar un Delegat de Protecció de Dades.
Entre les seves funcions destaquen:
- Assessorament jurídic especialitzat
- Supervisió del compliment normatiu
- Cooperació amb l'autoritat de control
- Canal de contacte amb la ciutadania
- Participació en avaluacions d'impacte
El RGPD permet que diverses entitats públiques comparteixin un mateix Delegat en funció de la seva mida i estructura organitzativa.
Transferències internacionals de dades en l'àmbit administratiu
El RGPD manté el model tradicional de transferències internacionals de dades, però amplia els instruments jurídics disponibles per garantir la protecció adequada.
Entre ells destaquen:
- Instruments jurídicament vinculants entre autoritats públiques
- Garanties adequades sense autorització prèvia
- Autoritzacions específiques en absència de garanties suficients
Aquest règim resulta especialment rellevant en contextos de cooperació administrativa internacional.
Conclusió: la protecció de dades com a element estructural de la bona administració digital
La guia de l'AEPD evidencia que l'aplicació del RGPD a les Administracions Públiques no constitueix únicament una adaptació normativa, sinó una transformació estructural del model administratiu.
La protecció de dades s'integra avui en:
- El principi de legalitat
- La transparència administrativa
- La seguretat de la informació
- La contractació pública
- La gestió de riscos
- La digitalització del sector públic
i en la garantia efectiva de drets com l'accés a la informació personal, la portabilitat quan escaigui o la protecció davant decisions automatitzades sense intervenció humana significativa.
En conseqüència, la protecció de dades deixa de ser una obligació sectorial per convertir-se en un component essencial del model contemporani de bona administració.
