Cada vegada que una empresa recull, guarda, consulta o envia dades personals està fent una cosa que el RGPD regula amb precisió: un tractament de dades personals. El concepte és més ampli del que sembla i engloba operacions que moltes organitzacions ni tan sols perceben com a "tractar dades". Però on solen aparèixer els dubtes de debò és en el moment en què aquestes dades surten de l'organització: quan es comparteixen amb una altra empresa, quan les processa un proveïdor extern o quan viatgen a servidors fora d'Europa.
Aquests tres moviments —comunicar dades a un tercer, encarregar-ne el tractament a un proveïdor i transferir-les internacionalment— responen a regles jurídiques diferents i es confonen amb freqüència. Aquesta guia aclareix què és exactament el tractament segons l'art. 4.2 RGPD, en què es diferencia una cessió d'un encàrrec del tractament, i quins mecanismes legitimen una transferència internacional fora de l'Espai Econòmic Europeu.
En resum
- El tractament (art. 4.2 RGPD) és qualsevol operació sobre dades personals: recollir, guardar, consultar, modificar, comunicar, suprimir…
- La cessió és una comunicació de dades a un tercer que actua com a responsable per dret propi, amb les seves pròpies finalitats.
- L'encarregat del tractament (art. 28 RGPD) tracta dades per compte del responsable, seguint les seves instruccions i sense finalitats pròpies. No és una cessió.
- Les transferències internacionals fora de l'EEE només són lícites amb un mecanisme dels arts. 44–49: adequació (art. 45), garanties adequades / CCT (art. 46) o excepcions (art. 49).
- Per a proveïdors SaaS dels EUA, la base habitual és l'adhesió del proveïdor al Data Privacy Framework (DPF), no només les clàusules contractuals tipus.
Què és el tractament de dades personals (art. 4.2 RGPD)
L'art. 4.2 RGPD defineix el tractament com "qualsevol operació o conjunt d'operacions realitzades sobre dades personals o conjunts de dades personals, ja sigui per procediments automatitzats o no". La definició és deliberadament àmplia: el legislador europeu volia que cap manipulació de dades quedés fora de l'abast de la norma.
El mateix article enumera, a títol d'exemple, operacions molt variades: la recollida, el registre, l'organització, l'estructuració, la conservació, l'adaptació o modificació, l'extracció, la consulta, la utilització, la comunicació per transmissió, la difusió o qualsevol altra forma d'habilitació d'accés, l'acarament o la interconnexió, la limitació, la supressió i la destrucció.
D'aquí s'extreuen dues idees pràctiques que convé interioritzar:
- Guardar dades ja és tractar-les. No cal "usar" activament la informació: la simple conservació d'una base de dades de clients en un servidor constitueix tractament i activa totes les obligacions del RGPD.
- El paper importa poc. El tractament existeix tant si les dades són en un sistema informàtic com en un arxiu en paper estructurat. L'automatització no és un requisit perquè la norma s'apliqui.
Tot tractament necessita apoiar-se en una de les bases de legitimació de l'art. 6 RGPD (consentiment, execució d'un contracte, obligació legal, interès legítim, etc.). I, encara que el tractament no requereixi consentiment per basar-se en un contracte o en una obligació legal, mai no s'eximeix l'organització del seu deure d'informació (art. 13 RGPD): cal lliurar o fer accessible la clàusula de privacitat en el primer contacte. La transparència és innegociable, amb independència de la base que legitimi el tractament.
Cessió de dades davant d'encàrrec del tractament: la distinció clau
Quan les dades surten de l'organització cap a una altra entitat, la primera pregunta que cal respondre és sempre la mateixa: qui decideix per a què s'usaran aquestes dades? La resposta separa dues figures que es confonen constantment però que tenen conseqüències jurídiques oposades.
La cessió o comunicació de dades a un tercer
Hi ha cessió (o comunicació de dades) quan una organització revela dades personals a un tercer que passa a tractar-les com a responsable per dret propi. El receptor no segueix instruccions del cedent: incorpora les dades als seus propis fitxers i les usa per a les seves pròpies finalitats, sota la seva pròpia responsabilitat.
Exemples habituals de cessió són la comunicació de dades a l'Administració Tributària en compliment d'una obligació fiscal, l'enviament de dades d'un treballador a la Seguretat Social, o la comunicació de dades d'un client a una entitat financera que decideix de manera autònoma què en fa. En una cessió, cada part respon del seu propi tractament i totes dues han de comptar amb una base de legitimació pròpia.
Per la seva pròpia naturalesa, la cessió de dades a tercers està subjecta a una anàlisi exigent: exigeix identificar la base jurídica que l'empara, informar-ne l'interessat i valorar si la comunicació és realment necessària i proporcionada. No és una operació que es pugui donar per descomptada.
L'encarregat del tractament (art. 28 RGPD)
L'encarregat del tractament, en canvi, tracta les dades per compte del responsable i seguint les seves instruccions, sense decidir per a què s'usen. Aquí no hi ha cessió: les dades no canvien de "amo de la decisió", simplement les processa un proveïdor extern en nom de l'empresa. La gestoria que elabora les teves nòmines, el CRM al núvol on guardes la teva cartera de clients o l'empresa d'informàtica que manté els teus servidors són encarregats, no cessionaris.
L'art. 28 RGPD exigeix que aquesta relació es reguli mitjançant un contracte d'encàrrec per escrit amb un contingut mínim taxat (art. 28.3): objecte i durada, naturalesa i finalitat del tractament, tipus de dades, obligacions de confidencialitat, mesures de seguretat, règim de subencarregats, i el destí de les dades en finalitzar el servei, entre d'altres.
Aquest últim punt mereix una precisió important. En acabar el contracte, l'obligació prioritària de l'encarregat no és "destruir" sense més les dades: és retornar-les o permetre'n l'exportació íntegra al responsable —en un format estructurat i d'ús comú— perquè aquest pugui complir els seus propis terminis legals de conservació. La supressió definitiva arriba només després, un cop el responsable disposa de la informació. Confondre això i acceptar un esborrat automàtic en donar de baixa el servei pot deixar l'empresa sense dades que la llei l'obliga a conservar.
Per aprofundir en aquesta figura, el seu règim d'obligacions i el contingut del contracte d'encàrrec, pots consultar la nostra guia sobre l'encarregat del tractament segons el RGPD.
| Criteri | Cessió / comunicació a tercer | Encàrrec del tractament (art. 28) |
|---|---|---|
| Rol del receptor | Responsable per dret propi | Encarregat: actua per compte del responsable |
| Qui decideix les finalitats | El receptor, de manera autònoma | El responsable; l'encarregat només executa |
| Instrument jurídic | Base de legitimació pròpia + deure d'informació | Contracte d'encàrrec per escrit (art. 28.3) |
| Exemples | Administració Tributària, Seguretat Social, entitat bancària | Gestoria, CRM al núvol, hosting, informàtica externa |
| Ús propi de les dades | Sí, amb els seus propis fins | No; prohibit usar-les per a finalitats pròpies |
"La pregunta no és amb qui comparteixes les dades, sinó qui mana sobre elles un cop surten de la teva empresa. Si el proveïdor obeeix les teves instruccions, és un encarregat i necessites un contracte de l'article 28. Si decideix pel seu compte, és una cessió i l'anàlisi canvia per complet. Qui no distingeix aquestes dues figures signa els papers equivocats."
Mario P. Talamillo · Soci director, Certix®
Transferències internacionals: quan les dades surten de l'EEE
Hi ha transferència internacional quan les dades personals es posen a disposició d'un destinatari situat en un tercer país fora de l'Espai Econòmic Europeu (EEE) —els Estats de la UE més Islàndia, Liechtenstein i Noruega— o d'una organització internacional. Això passa amb molta més freqüència de la que es percep: contractar un programari amb servidors als Estats Units, usar una eina d'email màrqueting estrangera o allotjar dades al núvol d'un hiperescalador global són, tots ells, transferències internacionals.
El Capítol V del RGPD (arts. 44 a 49) parteix d'un principi: les dades poden sortir de l'EEE, però el nivell de protecció no es pot degradar. Per garantir-ho, tota transferència s'ha d'apoiar en algun dels mecanismes que la norma preveu. Sense un d'ells, la transferència no està permesa.
Mecanismes vàlids de transferència internacional
El RGPD ordena aquests mecanismes en una jerarquia pràctica que va del més sòlid al més excepcional:
| Mecanisme | En què consisteix | Quan s'usa |
|---|---|---|
| Decisió d'adequació (art. 45) | La Comissió Europea ha reconegut que el país destinatari ofereix un nivell de protecció adequat. La transferència no necessita garanties addicionals. | Països amb adequació reconeguda (p. ex. Regne Unit, Suïssa, Japó, Canadà per al sector privat) |
| Garanties adequades — CCT (art. 46) | A falta d'adequació, la transferència s'empara en garanties adequades. Les més habituals són les clàusules contractuals tipus (CCT) aprovades per la Comissió. | Proveïdors en tercers països sense decisió d'adequació |
| Normes corporatives vinculants — BCR (art. 47) | Polítiques internes de protecció de dades aprovades per l'autoritat de control, per a transferències dins d'un mateix grup multinacional. | Grups empresarials amb filials fora de l'EEE |
| Data Privacy Framework — DPF (art. 45) | Decisió d'adequació específica per als EUA. Cobreix les transferències a proveïdors nord-americans que s'han adherit formalment al marc. | Proveïdors SaaS i cloud dels EUA adherits al DPF |
| Excepcions (art. 49) | En absència dels mecanismes anteriors, només per a situacions concretes: consentiment explícit i informat, execució d'un contracte amb l'interessat, interès públic important… | Ús puntual i excepcional, mai per a transferències massives o habituals |
El cas dels EUA: el Data Privacy Framework (DPF)
Els Estats Units concentren bona part de les eines SaaS, plataformes cloud i serveis digitals que utilitzen les empreses europees diàriament. Per això mereix una regla pròpia. La via principal per legitimar una transferència a un proveïdor nord-americà és la seva adhesió al Data Privacy Framework (DPF), la decisió d'adequació específica que la Comissió Europea va adoptar per als EUA.
Això té una conseqüència molt pràctica: si el proveïdor figura adherit al DPF, la transferència queda coberta directament per una decisió d'adequació i no és imprescindible signar clàusules contractuals tipus addicionals per a aquest flux. Per això l'anàlisi correcta d'un SaaS nord-americà comença sempre per comprovar la seva adhesió al DPF, i no per assumir que n'hi ha prou amb les CCT.
La verificació és senzilla: la llista d'entitats adherides és pública i es consulta al registre oficial del marc. Si el proveïdor no està adherit, la transferència haurà d'emparar-se en un altre mecanisme de l'art. 46 —típicament les clàusules contractuals tipus, acompanyades si escau de les mesures suplementàries que resultin necessàries després d'avaluar el flux—.
Aquest és un dels errors d'anàlisi més freqüents: contractar una eina nord-americana i signar CCT "per defecte" sense comprovar abans si el proveïdor està al DPF, o al revés, assumir que qualsevol proveïdor dels EUA està cobert sense verificar-ho. Cada flux internacional exigeix revisar el mecanisme concret que l'empara.
Checklist per tractar, cedir i transferir dades amb ordre
Aquest resum operatiu recull els punts que tota organització hauria de revisar abans de compartir o moure dades personals:
| ✓ | Element | Referència |
|---|---|---|
| □ | Cada tractament s'apoia en una base de legitimació identificada | Art. 6 RGPD |
| □ | Clàusula de privacitat lliurada en el primer contacte | Art. 13 RGPD |
| □ | Distinció documentada entre cessionaris (responsables) i encarregats | Arts. 4.7, 4.8 i 28 RGPD |
| □ | Contracte d'encàrrec signat amb cada proveïdor que tracta dades per compte teu | Art. 28.3 RGPD |
| □ | Base jurídica pròpia i anàlisi de necessitat per a cada cessió a tercers | Art. 6 RGPD |
| □ | Inventari de fluxos internacionals: quines dades surten de l'EEE i cap a on | Arts. 44–49 RGPD |
| □ | Mecanisme de transferència verificat (adequació, CCT, BCR o DPF) | Arts. 45–47 RGPD |
| □ | Adhesió al DPF comprovada per a cada proveïdor SaaS dels EUA | Art. 45 RGPD (DPF) |
| □ | Devolució o exportació de dades garantida abans de qualsevol esborrat de l'encarregat | Art. 28.3.g RGPD |
Aquests tres plans —tractament, cessió i transferència internacional— formen part del marc general del Reglament. Si vols una visió de conjunt de tota la norma, els seus principis, drets i obligacions, pots consultar la nostra guia completa del RGPD.
Preguntes freqüents
Què es considera tractament de dades personals segons el RGPD?
L'art. 4.2 RGPD defineix el tractament com qualsevol operació realitzada sobre dades personals, estigui o no automatitzada. Inclou la recollida, el registre, la conservació, la consulta, la modificació, la utilització, la comunicació per transmissió, la difusió, la interconnexió, la limitació, la supressió i la destrucció. Pràcticament qualsevol cosa que una organització faci amb una dada personal —fins i tot guardar-la sense usar-la— és un tractament subjecte al RGPD.
Quina diferència hi ha entre una cessió de dades i un encarregat del tractament?
En la cessió (comunicació de dades a un tercer) el receptor passa a ser responsable del tractament per dret propi: usa les dades per a les seves pròpies finalitats. En l'encàrrec del tractament (art. 28 RGPD), el proveïdor tracta les dades per compte del responsable, seguint les seves instruccions i sense finalitats pròpies. La teva gestoria o el teu CRM al núvol són encarregats; una entitat a la qual comuniques dades perquè les usi per als seus propis fins és un cessionari.
Quan és lícita una transferència internacional de dades fora de l'EEE?
Només si s'apoia en algun dels mecanismes dels arts. 44 a 49 RGPD: una decisió d'adequació de la Comissió Europea (art. 45), garanties adequades com les clàusules contractuals tipus o les normes corporatives vinculants (art. 46), o, de manera excepcional i puntual, alguna de les excepcions de l'art. 49. Sense un d'aquests mecanismes, la transferència a un tercer país no està permesa.
Puc utilitzar un proveïdor SaaS nord-americà amb dades de clients europeus?
Sí, sempre que la transferència estigui coberta per un mecanisme vàlid. Per a proveïdors dels EUA la via principal és l'adhesió del proveïdor al Data Privacy Framework (DPF), la decisió d'adequació específica per als Estats Units. Abans de contractar l'eina convé verificar que el proveïdor figura adherit al DPF; si no ho està, caldrà recórrer a les clàusules contractuals tipus de l'art. 46 o un altre mecanisme de garantia.
Mapar els teus fluxos de dades, distingir encarregats de cessions i verificar cada transferència internacional exigeix una anàlisi individualitzada de la teva organització. A Certix t'atén directament un expert en protecció de dades.
Consultoria de protecció de dades →Aquest contingut és merament orientatiu i divulgatiu; no constitueix en cap cas assessorament jurídic especialitzat. L'aplicació de la normativa a cada cas concret requereix anàlisi individualitzada. Per a una avaluació de la situació de la teva organització, contacta amb un especialista en protecció de dades.