Arkitektura sektorean, datu pertsonalen fluxuak gutxitan geratzen dira bulego bakar batean. Proiektu tipiko batek mobilizatzen ditu arkitekto zuzendaria, egitura-kalkulatzaile bat edo gehiago, instalazio-ingeniaritza, topografoa, geoteknia-estudioa, exekuzio-zuzendaritza, segurtasun eta osasun koordinatzailea eta kudeaketa. Kate horretan zehar mugitzen dira bezeroaren datuak, higiezinarenak, batzuetan okupatzaileenak eta beti talde teknikoarenak. Kate horretako aktore bakoitzak RGPD (EB 2016/679 Erregelamendua) pean paper konkretu bat betetzen du: tratamenduaren arduraduna, eragilea edo, zenbait kasutan, arduradun independentea. Hori bereizten jakiteak zehazten du zer kontratu sinatu behar den, zer betebehar hartzen diren eta nork erantzuten duen zerbait gaizki badoa.
Gida honek azaltzen du nola banatzen diren paperak operazio profesional batean RGPD (EB 2016/679 Erregelamendua) eta LOPDGDD (3/2018 Lege Organikoa) pean, sektorean nahasmen handiena sortzen duten hiru eszenatokietan azpimarra eginez: beste erakunde batek bere bezeroak zerbitzatzeko kontratatutako arkitektoa, proiektu baten ohiko azpikontratazio teknikoa eta hodeiko BIM plataforma kolaboratiboak.
RGPDren hiru paperak arkitekturari aplikatuta
- Tratamenduaren arduraduna: datu pertsonalen tratamenduaren helburuak eta bideak erabakitzen dituena. RGPDren figura nagusia da: interesdunarekin kontratua sinatzen du (edo harekin zuzenean harremantzen da), zer datu biltzen diren eta zertarako definitzen ditu, RGPDren 24. art.aren betebeharrak bere gain hartzen ditu.
- Tratamenduaren eragilea: arduradunaren kontura datu pertsonalak tratatzen dituen pertsona fisiko edo juridikoa. Ez ditu helburu propioak erabakitzen; arduradunak adierazten diona exekutatzen du. RGPDren 28. art.ak arautzen du, derrigorrezko kontratu batekin.
- Arduradun independentea: datu berberei buruz, lehen arduradunarenak ez bezalako helburu propioak aldi berean erabakitzen dituena. Hainbat aktorek datu berberak helburu propioekin prozesatzen dituzten fluxu konplexuetan existitzen da.
Sektoreko errore ohikoena da azpikontratazio teknikoa dagoenean paper guztiak automatikoki "arduradunarenak" direla suposatzea, profesional bakoitzak erantzukizun propioarekin sinatzen duelako. Errealitatean, lanbide-erantzukizun teknikoa RGPDren papera ez bezalakoa da: kalkulatzaile bat erabat erantzule izan daiteke bere kalkuluen aitzakian eta, aldi berean, arkitekto zuzendariarengandik jasotzen duen bezeroaren datu pertsonalen tratamenduaren eragile.
1. eszenatokia: arkitektoa azken bezeroarekin zuzenean lan egiten
Egoera ohikoena da eta sinpleena RGPDren papera dela eta. Arkitektoak partikular batekin, enpresa batekin edo administrazio batekin enkargu-orria sinatzen du proiektu bat idazteko, obra bat zuzentzeko edo peritu-lan bat egiteko. Erlazioa bilaterala da eta arkitektoak:
- Erabakitzen du zer datu pertsonal eskatzen dion bezeroari (identifikatzaileak, erregistrokoak, ekonomikoak).
- Erabakitzen du datu horiekin zer helburu jarraitzen dituen (proiektuaren erredakzioa, elkargoaren bisatua, lizentziaren tramitazioa, fakturazioa).
- Erabakitzen du zer hornitzailetara jotzen duen zerbitzu tekniko osagarrietarako.
Beraz, tratamenduaren arduraduna da. RGPDren 13. art.aren informazio-betebeharra betetzen du bezeroari klausula informatzailea lehen kontaktuan entregatuz, ahal bada enkargu-orrian integratuta.
2. eszenatokia: beste erakunde batek bere bezeroak zerbitzatzeko kontratatutako arkitektoa
Hemen egoera aldatzen da. Arkitekto batek tratamenduaren eragile gisa joka dezake beste erakunde batentzat lan egiten duenean, hori baita azken bezeroarekin erlazio nagusia mantentzen duena. Suposamendu tipikoak:
- Sustatzaile inmobiliario baten arkitekto teknikoa: sustatzaileak erosleak biltzen ditu, merkaturatzea kudeatzen du eta haiekin erlazioa mantentzen du; arkitektoak sustatzaileari proiektuak idazten dizkio. Proiektua pertsonalizatzeko jasotzen dituen erosleen datuei buruz (banaketa-aldaketak, hautatutako akaberak), normalean sustatzailearen eragile gisa jokatzen du.
- Beste arkitektura-bulego bateko lankidea den arkitektoa: arkitektura-bulego batek beste arkitektura-bulego edo arkitekto autonomo bat kontratatzen duenean fase konkretu baterako (aurreproiektua, exekuzio-fasea, obra-zuzendaritza), bigarrenak lehenbizikoaren bezeroaren datuen gainean lan egiten du eragile gisa.
- Eraikuntza-enpresa edo korporazio handi bateko barne-arkitektoa: kanpoko bezeroentzako proiektuetan, barne-arkitektoak enpresaren langile gisa jokatzen du, ez bezeroaren arduradun zuzen gisa.
Eszenatoki hauetan, arkitektoak erakunde nagusiarekin RGPDren 28. art.aren kontratua sinatu behar du, datuen tratamendua bere kontura arautzeko, 28.3 art.aren gutxieneko edukiarekin.
3. eszenatokia: proiektuaren ohiko azpikontratazio teknikoa
Alderantzizko eszenatokia da: proiektuaren arkitekto zuzendaria, azken bezeroaren aurrean arduradun dena, espezializatutako teknikari bat edo gehiago azpikontratatzen ditu. Teknikari horiek bulego nagusiaren eragileak dira, transferitzen zaizkien bezeroaren datuei buruz.
| Hornitzailea | Bezeroaren zer datu jasotzen ditu | RGPD papera |
|---|---|---|
| Egitura-kalkulatzailea | Higiezinaren datuak, jabearenak, batzuetan bezeroarenak. | Eragilea (28. art.) |
| MEP ingeniaritza / instalazioak | Higiezinaren planoak, jabearen datuak. | Eragilea (28. art.) |
| Topografoa | Katastro datuak, batzuetan jabearen eta albokoenak. | Eragilea (28. art.) |
| Geoteknia-estudioa | Higiezinaren datuak, jabearenak. | Eragilea (28. art.) |
| Exekuzio-zuzendaritza | Proiektuaren eta bezeroaren datu osoak obran zehar. | Eragilea (28. art.) |
| Segurtasun eta osasun koordinazioa | Obraren, enpresen eta langileen datuak. Plano bikoitza. | Eragilea (proiektuaren datuak) + Arduradun propioa (LAP datuak) |
| Kanpoko kudeaketa | Bulegoaren eta bezeroen datu ekonomikoak fakturatzeko. | Eragilea (28. art.) |
| Hodeiko BIM plataforma | Proiektuaren eredu osoa eta lotutako datuak. | Eragilea (28. art.) + nazioarteko transferentziak, aplikatzen badira |
BIM plataforma kolaboratiboak: azpieragile teknologikoa
Hodeiko BIM plataformek (Autodesk BIM 360, Trimble Connect, Bimplus, Bentley ProjectWise, Graphisoft BIMcloud) datu pertsonalak prozesatzen dituzte arkitektura-bulegoaren kontura: ereduan kapsulatutako bezeroaren datuak, hainbat teknikariren sarbideak, bertsioen metadatuak, taldeko barne-iruzkinak. Plataforma tratamenduaren eragilea da eta arkitektura-bulegoari Data Processing Agreement bat eskaini behar dio RGPDren 28.3 art.aren edukiarekin.
Arkitektura-bulegoak berrikusi behar duen garrantzitsuena:
- Plataformaren azpieragileak: erabiltzen duen hodeia (AWS, Azure, GCP), monitorizazio eta laguntzako hornitzaileak. Bakoitza zerrendatuta egon behar da eta aldaketei aurka egin ahal izan behar da.
- Nazioarteko transferentziak: BIM plataforma gehienek Estatu Batuetan dute egoitza nagusia edo zerbitzariak. Beharrezkoa da egiaztatzea hornitzailea Data Privacy Framework-i atxikitzen zaion edo kontratu-klausula tipoekin eta transferentziaren inpaktuaren analisiarekin (Transfer Impact Assessment) lan egiten den.
- Ezabatze eta esportazio funtzionalitateak: arkitektura-bulegoaren bezeroak bere datuen kopia bat lortzeko eskubidea du eta, behar denean, ezabatzea eskatzeko eskubidea. Plataformak eskubide horiek betetzeko aukera eman behar dio arkitektura-bulegoari.
- Ereduak bezeroari lagatzea ixtean: kontratuak baimendu behar du azken bezeroari BIM eredu osoa formatu neutroan (IFC) entregatzea, hori eragozten duen kontratu-murrizketarik gabe.
"Arkitektoaren RGPD papera nork kontratatzen duenaren araberakoa da: bezero zuzenarekin arduraduna da; arkitektura-bulego edo sustatzaile baten katean integratuta eragile izan daiteke. Praktikan ondorioa: 28. art.aren kontratua ez da hautazkoa, lankidetza profesionalaren pieza nuklearra da datu pertsonalak bidaiatzen direnean."
Mario P. Talamillo · Bazkide zuzendaria, Certix®
Segurtasun eta osasun koordinatzailea: plano bikoitza
Segurtasun eta osasun koordinatzaileak aparteko aipamena merezi du, aldi berean bi RGPD paper betetzen baititu:
- Arkitekto zuzendariarengandik jasotzen dituen proiektuaren datuei buruz (planoak, bezeroaren datuak, obraren ezaugarriak), bulego nagusiaren tratamenduaren eragile gisa jokatzen du.
- Bere funtzioagatik sortzen dituen lan-arriskuen prebentzioko datuei buruz (kontratista-enpresen datuak, esku-hartzen duten langileenak, istripu-aktak, koordinazio-bilerak), arduradun independente gisa jokatzen du, 1627/1997 Errege Dekretu espainiarraren legezko betebeharrean oinarrituta.
Koordinatzailearekin sinatutako kontratuak dualitate hori isladatu behar du: proiektuaren datuetarako eragilearen papera arautu eta LAP datuetarako arduradun independentea aitortu.
RGPD 28. art.aren kontratuaren gutxieneko edukia
Eragile gisa jokatzen duen edozein hornitzaile tekniko, kontratuak RGPDren 28.3 art.aren edukia bildu behar du:
- Tratamenduaren helburua, iraupena, izaera eta xedea.
- Datu motak eta interesdun-kategoriak.
- Arduradunaren eta eragilearen betebeharrak.
- Eragilearen langileen konfidentzialtasuna, kontratua amaitu ondoren ere.
- Segurtasun-neurri egokiak: transitan eta atsedenean zifratzea behar denean, sarbide-kontrola, jardueraren erregistroa.
- Azpieragileen erregimena (baimen orokorra edo espezifikoa, eskuragarri den zerrenda eta aldaketak jakinarazteko mekanismoa).
- Interesdunaren eskubideetarako laguntza.
- Hausturen jakinarazpena arrazoizko epean.
- Itzulketa zerbitzua amaitzean (RGPDren 28.3.g art.): eragileak datuak arduradunari entregatzen dizkio suntsitu aurretik.
Enkargu eta lankidetzaren egiaztapen-zerrenda
- RGPD paperaren aurretiko analisia bezero berri bakoitzean: zuzena, sustatzailearen bidez, arkitektura-bulego baten bidez?
- Klausula informatzailea paper bakoitzera moldatuta, bezero zuzenaren enkargu-orrian integratuta edo, behar denean, bulego nagusitik jasota.
- RGPD 28. art.aren kontratua sinatuta ohiko lankide tekniko bakoitzarekin (kalkulatzailea, MEP ingeniaritza, topografoa, exekuzio-zuzendaritza, segurtasun eta osasun koordinatzailea).
- RGPD 28. art.aren kontratua BIM plataforma kolaboratiboarekin eta azpieragileen eta transferentzien urteroko berrikuspena.
- Datuak lankideei transferitzeko eta itxieran itzultzeko prozedura segurua dokumentatuta.
- Lankideek edo plataformek jakinarazitako hausturen kudeaketarako prozedura dokumentatuta.
- Hornitzaileen inbentario eguneratua, RGPD paperarekin, kontratuaren datarekin eta iraungitzearekin.
Maiz egiten diren galderak
Noiz da arkitekto bat tratamenduaren arduradun eta noiz eragile, RGPDren arabera?
Arduradun, azken bezero batekin zuzenean lan egiten duenean (partikularra, enpresa, administrazioa). Eragile, beste erakunde batek (sustatzailea, beste arkitektura-bulego bat, eraikuntza-enpresa) bere bezeroak zerbitzatzeko kontratatzen duenean. Kasu bakoitzak azterketa eskatzen du: garrantzitsuena nork erabakitzen dituen datuei buruz helburuak eta bideak identifikatzea da. Zalantzarik badago, espresuki enkarguaren kontratuan jasotzea.
Arkitekto naizen aldetik egitura-kalkulatzaile bat azpikontratatzen badut, arduradun ala eragile naiz haren aurrean?
Arkitekto zuzendaria tratamenduaren arduradun da eta kalkulatzailea RGPDren 28. art.aren eragile. Erlazioa kontratuz arautu behar da 28.3 art.aren gutxieneko edukiarekin: helburua, datu motak, konfidentzialtasuna, segurtasun-neurriak, azpieragileak, eskubideetarako laguntza, hausturak eta itzulketa. Zentzuzkoa da ohiko lankide teknikoetarako eranskin estandarra izatea.
Eta BIM plataforma kolaboratiboak arkitektura-bulegoaren eragileak al dira?
Bai. Hodeiko BIM plataformek (Autodesk BIM 360, Trimble Connect, Bimplus, Bentley ProjectWise) datu pertsonalak prozesatzen dituzte arkitektura-bulegoaren kontura eta Data Processing Agreement bat eskaini behar dute RGPDren 28.3 art.aren edukiarekin. Bereziki berrikusi azpieragileak (hodeia, laguntza) eta nazioarteko transferentziak zerbitzariak EEEtik kanpora badaude (Data Privacy Framework edo kontratu-klausula tipoak).
Zer gertatzen da bezeroaren datuekin kanpoko kalkulatzaile edo ingeniaritzarekin lankidetza amaitzen denean?
RGPDren 28.3.g art.ak behartzen du eragileak datuak arduradunari itzultzera suntsitu aurretik. Kalkulatzaileak edo ingeniaritzak kalkuluak, ereduak eta bezeroaren datuak bulego nagusira entregatu behar ditu lankidetza ixtean, edozein suntsipen aurretik. Entrega idatziz dokumentatu egiaztatzeko. Hornitzaileak bere aldetik gordeko du bere kontserbazio profesionalaren arauek (erantzukizun zibila, fiskala) eskatzen dutena bakarrik.
Eduki hau orientagarri eta dibulgatzailea da soilik; ez du inola ere aholkularitza juridiko espezializatua osatzen. Araudia kasu zehatz bakoitzari aplikatzeak banakako azterketa eskatzen du. Sektoreko autonomia-erkidegoetako araudiak epeak eta baldintzak luzatu edo aldatu ditzake.
Lankidetza teknikoen katea RGPDren 28. artikuluaren arabera araututa al duzu?
Certixen arkitektura sektoreko cumplimiento-aditu bat esleitzen dizugu. Bitartekari komertzialik gabe, txantiloi generikorik gabe.
Aditu batekin hitz egin