Datuen babesa denek aipatzen baina gutxik zehaztasunez definitzen duten kontzeptu horietako bat da. Zure pribatutasunarekin du zerikusia, enpresa bati zure posta edo NANa ematean jartzen duzun konfiantzarekin, eta multinazional bati zein autonomo bati berdin behartzen dien Europako lege-esparru batekin. Gida honek azaltzen dizu, modu zorrotz baina eskuragarrian, zer den datu pertsonalen babesa, zer dioen legeak Espainian eta zer dakarren pertsonen informazioa tratatzen duen edozein erakunderentzat.
Ez da paperen kontua soilik, ezta onartu beharreko lauki batena ere. Garapen arautzaile konkretua duen oinarrizko eskubide bat da: Europako RGPDa eta Espainiako LOPDGDDa. Bere oinarri legala, noiz aplikatzen den, noiz urratzen den, sostengatzen duten printzipioak eta zure informazioaren gainean aitortzen dizkizun eskubideak ikusiko ditugu.
Laburbilduz
- Datuen babesa pertsona fisikoen datuak nola tratatzen diren arautzen duen arau-multzoa da; Espainian RGPDak (EB 2016/679 Erregelamendua) eta LOPDGDDak (3/2018 Lege Organikoa) arautzen dute.
- Derrigorrezkoa da 2018ko maiatzaren 25etik datu pertsonalak tratatzen dituen edozein enpresa, autonomo edo erakunderentzat, tamaina eta sektorea edozein dela ere.
- 7 printzipiotan oinarritzen da (RGPDren 5. art.) eta eskubideak aitortzen dizkie pertsonei: sarbidea, zuzenketa, ezabaketa, mugapena, eramangarritasuna, aurkaratzea eta erabaki automatizatuen aurrean.
- Espainiako kontrol-agintaritza AEPDa da, zeinaren aurrean RGPDren 77. art.aren arabera erreklamatzen den.
Gida honen edukia
- Zer da datu pertsonalen babesa?
- Oinarri legala: RGPD eta LOPDGDD Espainian
- Noiz da derrigorrezkoa datuen babesa?
- Noiz urratzen da datuen babeserako legea?
- Datuen babeseko printzipioak (RGPDren 5. art.)
- Pertsonen eskubideak beren datuen gainean
- Datuen babesa enpresa eta autonomoentzat
- RGPD, LOPDGDD eta LOPD zaharraren arteko aldea
- Ohiko galderak
Zer da datu pertsonalen babesa?
Datu pertsonalen babesa erakundeek pertsona fisiko identifikatu edo identifikagarrien informazioa nola biltzen, erabiltzen, gordetzen eta partekatzen duten arautzen duen eskubide, printzipio eta betebeharren multzoa da. Espainian eta Europar Batasunean RGPDak (EB 2016/679 Erregelamendua) eta LOPDGDDak (3/2018 Lege Organikoa) arautzen dute, eta oinarrizko eskubide bat da.
Komeni da sinonimo gisa erabiltzen diren baina berdinak ez diren bi termino bereiztea. Datuen pribatutasuna kontzeptu zabala da: pertsona bakoitzak bere informazio pertsonala kontrolatzeko duen eskubidea. Datu pertsonalen babesa pribatutasun hori eskatzeko modua egiten duen lege-esparru konkretua da, arau, agintaritza eta ondorioekin. "Datuak eta pribatutasuna" termino juridikoetan aipatzen ditugunean, eskubide bat arau egiaztagarrien bidez babesteaz ari gara.
Zer hartzen da datu pertsonaltzat? Pertsona fisiko bat, zuzenean edo zeharka, identifikatzeko balio duen edozein informazio: izena, NANa, posta elektronikoa, telefono-zenbakia, IP helbidea, kokapen-datuak edo lineako identifikatzaile bat. Zenbait datuk babes indartua jasotzen dute beren sentikortasunagatik —osasuna, ideologia, erlijioa, jatorri etnikoa, sexu-bizitza—: kategoria bereziak dira, RGPDren 9. art.ean arautuak, eta beren tratamendua muga zorrotzen mende dago.
Oinarri legala: RGPD eta LOPDGDD Espainian
Datuen babesa Espainian modu bateratuan funtzionatzen duten bi arauren gainean oinarritzen da. RGPDa Europako esparrua da; LOPDGDDak hura garatzen eta Espainiako ordenamendura egokitzen du. Ez dira aukeratu beharreko alternatibak: aldi berean aplikatzen dira.
- RGPD — (EB) 2016/679 Erregelamendua: Datuen Babeseko Erregelamendu Orokorra. Estatu kide guztietan zuzeneko aplikaziokoa da eta 2018ko maiatzaren 25etik aplikagarria da. Erregelamendua denez, ez du transposizio nazionalik behar loteslea izateko.
- LOPDGDD — 3/2018 Lege Organikoa, abenduaren 5ekoa: Datu Pertsonalen Babesari eta Eskubide Digitalen Bermeari buruzkoa. RGPDa garatzen duen Espainiako araua da, erregelamenduak estatu bakoitzaren esku uzten zituen alderdiak zehazten ditu eta LOPD zaharra (15/1999 Lege Organikoa) indargabetu zuen.
Horri gardentasun-betebeharra gehitzen zaio. Erakunde batek zure datuak zuzenean zugandik (RGPDren 13. art.) edo hirugarren batengandik (RGPDren 14. art.) biltzen dituenean, jakinarazi behar dizu nork tratatzen dituen zure datuak, zer helbururekin, zer oinarri legalen gainean eta nola erabili zure eskubideak. Klausula informatibo hori da arauaren eta pertsonaren arteko lehen kontaktu-puntua.
Arau bakoitzean bereizita sakondu nahi baduzu, gure RGPDaren gida osoa eta LOPDGDDaren gida osoa kontsulta ditzakezu.
Noiz da derrigorrezkoa datuen babesa?
Datuen babeseko araudia betetzea derrigorrezkoa da 2018ko maiatzaren 25etik datu pertsonalak tratatzen dituen edozein enpresa, autonomo edo erakunderentzat, bere tamaina eta sektorea edozein dela ere. Ez dago fakturazio- edo langile-atalase minimorik zeinaren azpitik araua aplikatzeari uzten dion: nahikoa da pertsona fisikoen datuak tratatzea.
Praktikan, honek ia edozein jarduera profesional hartzen du. Bezeroen datu-base bat baduzu, langileen nominak kudeatzen badituzu, merkataritza-komunikazioak bidaltzen badituzu, zure webean cookieak instalatzen badituzu edo zure hornitzaileen kontaktua gordetzen baduzu, datu pertsonalak tratatzen ari zara eta araudiak behartzen zaitu.
Erakundearen arabera aldatzen dena neurrien intentsitatea da. RGPDak arriskuan oinarritutako ikuspegia jarraitzen du: eskala handian osasun-datuak tratatzen dituen enpresa batek denda txiki bati eskatzen ez zaizkion berme indartuak aplikatu behar ditu. Baina printzipioak betetzeko eta pertsonen eskubideak errespetatzeko betebeharra unibertsala da, ez aukerakoa.
Noiz urratzen da datuen babeserako legea?
Datuen babeseko araudia urratzen da, beste kasu batzuen artean, datuak RGPDren 6. art.eko oinarri legalik gabe tratatzen direnean, interesdunari 13. eta 14. art.en arabera informatzen ez zaionean, segurtasun-neurri egokiak aplikatzen ez direnean (32. art.) edo interesdunaren eskubideei aurreikusitako epe eta baldintzetan erantzuten ez zaienean. Ez da asmo txarrik behar: ez-betetzea ezjakintasunagatik izan daiteke.
Oinarri legalik gabeko tratamenduaren eguneroko adibide batzuk: inoiz baimendu ez duenari postaz publizitatea bidaltzea, bezeroen datuak hirugarren bati gaikuntzarik gabe lagatzea, edo curriculumak mugagabe gordetzea horri buruz informatu gabe. Zure datuetara sartzen diren hornitzaileekin enkarguaren kontraturik ez izatea (RGPDren 28. art.) ohiko akats bat gehiago da.
Urraketa bat gertatzen denean, AEPDak prozedura bat izapidetu dezake. RGPDak bere 83. art.ean deskribatzen du zigor-erregimena, bi zenbateko-tarterekin: 10 milioi euro arte edo urteko negozio-bolumen globalaren % 2 (83.4 art.), eta 20 milioi euro arte edo % 4 (83.5 art.), kasu bakoitzean zifra handiena aplikatuz. Zenbateko konkretua modu proportzionatuan zehazten da, urraketaren larritasuna, iraupena eta inguruabarrak kontuan hartuz. Bere eskubideak urratuta ikusten dituen edozein pertsonak erreklamazio bat aurkez dezake AEPDaren aurrean, RGPDren 77. art.aren arabera.
Datuen babeseko printzipioak (RGPDren 5. art.)
RGPDren 5. artikuluak datu pertsonalen edozein tratamendu arautzen duten zazpi printzipioak biltzen ditu. Araudi osoaren bizkarrezurra dira: tratamendu bat printzipio hauen azpian sartzen ez bada, ez da egin behar. Horiek ulertzea da legeak edozein erakunderi zer eskatzen dion ulertzea.
| Printzipioa | Zer eskatzen duen |
|---|---|
| Zilegitasuna, leialtasuna eta gardentasuna | Datuak modu zilegian (oinarri juridikoarekin), leialean (engainurik gabe) eta gardenean (pertsonak jakin behar du zer egiten den bere datuekin) tratatu behar dira. |
| Helburuaren mugapena | Datuak helburu zehatz, esplizitu eta legitimoetarako biltzen dira. Ezin dira gero jatorrizkoarekin bateraezinak diren helburuetarako berrerabili. |
| Datuen minimizazioa | Helburu jakinerako egokiak, garrantzitsuak eta beharrezkoak diren datuak soilik trata daitezke. Bat ere ez gehiago. |
| Zehaztasuna | Datuak zehatzak izan behar dira eta eguneratuta egon. Zehaztugabeak atzerapenik gabe ezabatu edo zuzendu behar dira. |
| Kontserbazio-epearen mugapena | Datuak ezin dira beharrezkoa baino denbora gehiagoz gorde. Epea beteta, ezabatu edo anonimizatu behar dira. |
| Osotasuna eta konfidentzialtasuna | Datuak baimenik gabeko sarbide, galera edo suntsipenaren aurrean segurtasuna bermatzen duten neurri tekniko eta organizatiboekin tratatu behar dira. |
| Erantzukizun proaktiboa (accountability) | Erakundeak ez ditu aurreko printzipioak bete soilik behar: aktiboki frogatu ahal izan behar du. Frogaren karga bere gain dago. |
Printzipio hauek ez dira adierazpen abstraktuak. Tratamendu bat zilegia izan dadin (lehen printzipioa), RGPDren 6. art.eko sei oinarri legitimatzaileetako gutxienez batean sostengatu behar da: baimena, kontratu baten betearazpena, betebehar legala, interes bizitala, interes publikoko misioa edo interes legitimoa. Oinarri egokia aukeratzeak baldintzatzen du gero zer eskubide erabil dezakeen pertsonak eta zer informazio-betebehar hartzen dituen erakundeak.
"Datuen babesa ez da dokumentu batean hasten, galdera batean baizik: zergatik daukat nik datu hau eta zer egiten dut harekin? Erakunde batek galdera horri zintzotasunez erantzuten dionean, betetzea karga izateari uzten dio eta hartan konfiantza jarri zuenari errespetua adierazteko modu bihurtzen da."
Mario P. Talamillo · Zuzendari bazkidea, Certix®
Pertsonen eskubideak beren datuen gainean
Datuen babesak ez die erakundeei betebeharrak soilik ezartzen: eskubideak aitortzen dizkie pertsonei beren informazioaren gainean. RGPDak bere 15etik 22ra bitarteko artikuluetan arautzen ditu, eta edonork erabil ditzake bere datuak tratatzen dituenaren aurrean. Erantzuteko epe orokorra hilabetekoa da, kasu konplexuetan hirura luzagarria.
| Eskubidea | Artikulua | Zer ahalbidetzen dion pertsonari |
|---|---|---|
| Sarbidea | 15. art. | Erakunde batek bere datuak tratatzen ote dituen jakitea eta haietara sartzea, tratamenduari buruzko informazioarekin batera. |
| Zuzenketa | 16. art. | Datu zehaztugabeak zuzentzea edo osatugabeak osatzea. |
| Ezabaketa ("ahazteko eskubidea") | 17. art. | Bere datuak ezabatzeko eskatzea, jada beharrezkoak ez direnean, baimena erretiratzen duenean edo tratamendua zilegia ez denean. |
| Mugapena | 18. art. | Zehaztasunari edo zilegitasunari buruzko eztabaida ebazten den bitartean tratamendua etetea, datuak blokeatuta gordez. |
| Eramangarritasuna | 20. art. | Bere datuak formatu egituratu eta erabilera komunekoan jasotzea, eta beste arduradun bati transmititzea. |
| Aurkaratzea | 21. art. | Tratamenduari aurka egitea, interes legitimoan edo interes publikoan oinarritzen denean. |
| Erabaki automatizatuak | 22. art. | Tratamendu automatizatuan soilik oinarritutako erabakien xede ez izatea, profilak egitea barne, ondorio esanguratsuekin. |
Eskubide horietako edozein erabiltzeko nahikoa da datuak tratatzen dituen erakundeari zuzentzea, normalean bere pribatutasun-politikan adierazitako kontaktuaren bidez. Erantzuna asegarria ez bada, pertsonak AEPDra jo dezake eta erreklamazio bat aurkeztu RGPDren 77. art.aren babesean.
Datuen babesa enpresa eta autonomoentzat
Enpresa bat baduzu edo autonomoa bazara eta bezero, langile edo hornitzaileen datuak tratatzen badituzu, araudiak behartzen zaitu. Berri ona da betetzeak ez duela dokumentuak metatzea esan nahi, baizik eta informazioa nola tratatzen duzun modu koherentean antolatzea. Hauek dira edozein erakundek ordenatuta izan beharko lituzkeen oinarrizko elementuak:
- Tratamendu Jardueren Erregistroa (TJE, 30. art.): zer datu tratatzen dituzun, zer helburutarako, zenbat denboraz eta zer neurrirekin adierazten duen inbentarioa. Betetze osoaren oinarria da.
- Oinarri legitimatzaile aztertuak (6. art.): tratamendu bakoitzerako zer oinarri legalen gainean sostengatzen den identifikatzea.
- Klausula informatiboak eta pribatutasun-politika (13.–14. art.): zure datuak tratatzen dituzun pertsonei modu argian informatzea.
- Tratamenduaren enkarguaren kontratuak (28. art.): zure kontura datuetara sartzen den hornitzaile bakoitzarekin (gestoretxea, hodeiko softwarea, mezularitza).
- Segurtasun-neurriak (32. art.): teknikoak eta organizatiboak, zure tratamenduen arriskuari proportzionatuak.
- Eskubideen eta segurtasun-hausteen prozedura: sarbide-eskaera bati nola erantzun edo gertakari baten aurrean nola erreakzionatu jakitea.
Kasu batzuetan, gainera, Datuen Babeseko Ordezkaria (DBO) izendatzea derrigorrezkoa izango da. Zure erakundea behartuta dagoen egiaztatu nahi baduzu, kontsulta ezazu gure Datuen Babeseko Ordezkariari buruzko orria. Eta zure egoeraren lehen argazki azkar bat nahiago baduzu, RGPD betetzearen testa egin dezakezu.
Neurriak ez dira behin eta betiko aplikatzen: datuen babesak arriskuan oinarritutako etengabeko ebaluazioa eskatzen du, tratamenduak, teknologia edo testuinguru arautzailea aldatzen direnean berrikusten dena.
RGPD, LOPDGDD eta LOPD zaharraren arteko aldea
Erraza da hiru sigla horiek nahastea, batez ere eguneroko hizkeran elkarrekin bizi direlako. Gakoa da ulertzea LOPD zaharra jada ez dagoela indarrean: indargabetu egin zen. Gaur egun esparrua Europako RGPDak eta Espainiako LOPDGDDak osatzen dute.
| Araua | Zer den | Egoera |
|---|---|---|
| RGPD | (EB) 2016/679 Erregelamendua. Estatu kide guztietan zuzeneko aplikazioko Europako esparrua. | Indarrean (2018/5/25etik) |
| LOPDGDD | 3/2018 Lege Organikoa, abenduaren 5ekoa. RGPDa garatzen eta Espainiako ordenamendura egokitzen du. | Indarrean |
| LOPD (zaharra) | 15/1999 Lege Organikoa. RGPDaren aurreko Espainiako araua zen. | LOPDGDDak indargabetua |
Laburbilduz: RGPDak Europako esparru komuna finkatzen du; LOPDGDDak Espainiarako zehazten du eta, indarrean sartzean, 1999ko LOPD indargabetu zuen. Gaur egun norbaitek "LOPD" aipatzen duenean egungo araudiaz ari dela, zuzena da RGPDaz eta LOPDGDDaz hitz egitea.
Ohiko galderak
Zer da datu pertsonalen babesa?
Erakundeek pertsona fisiko identifikatu edo identifikagarrien informazioa nola biltzen, erabiltzen, gordetzen eta partekatzen duten arautzen duen eskubide, printzipio eta betebeharren multzoa da. Espainian eta EBn RGPDak (EB 2016/679 Erregelamendua) eta LOPDGDDak (3/2018 Lege Organikoa) arautzen dute, eta oinarrizko eskubide bat da.
Noiz da derrigorrezkoa datuen babesa?
2018ko maiatzaren 25etik, RGPDaren aplikazio-dataz geroztik, araudia betetzea derrigorrezkoa da datu pertsonalak tratatzen dituen edozein enpresa, autonomo edo erakunderentzat, bere tamaina eta sektorea edozein dela ere. Ez dago fakturazio- edo langile-atalase minimorik zeinaren azpitik araua aplikatzeari uzten dion.
Noiz urratzen da datuen babeserako legea?
Araudia urratzen da, beste kasu batzuen artean, datuak RGPDren 6. art.eko oinarri legalik gabe tratatzen direnean, interesdunari 13. eta 14. art.en arabera informatzen ez zaionean, segurtasun-neurri egokiak aplikatzen ez direnean (32. art.) edo interesdunaren eskubideei erantzuten ez zaienean. Ez da asmo txarrik behar: ez-betetzea ezjakintasunagatik izan daiteke.
Zer alde dago RGPDaren eta LOPDGDDaren artean?
RGPDa estatu kide guztietan zuzeneko aplikazioko Europako erregelamendua da. LOPDGDDa hura garatzen eta ordenamendu nazionalera egokitzen duen Espainiako legea da. Ez dira alternatibak: modu bateratuan aplikatzen dira. LOPDGDDak LOPD zaharra (15/1999 Lege Organikoa) indargabetu zuen.
Noren aurrean erreklamatzen da datuen babesagatik Espainian?
Espainiako kontrol-agintaritza AEPDa (Datuen Babeseko Espainiako Agentzia) da. Bere eskubideak urratuta ikusten dituen edozein pertsonak erreklamazio bat aurkez dezake haren aurrean, RGPDren 77. art.aren arabera, bide judizialetik erabil ditzakeen akzioen kalterik gabe.
Ondorioa
Datuen babesa ez da izapide bat, ezta sinatu eta artxibatzen den PDF bat ere: besteen informazioa tratatzen duen edozein pertsonari eragiten dion eskubide eta betebeharren esparru bat da. Bere printzipioak, oinarri legalak eta aitortzen dituen eskubideak ulertzea da benetan betetzeko lehen urratsa, ez itxuraz soilik.
Erakunde bakoitza desberdina da, eta araua zure kasu konkretuari aplikatzeak banakako azterketa eskatzen du. Aditu batek zure egoera azter dezan eta zehazki zer behar duzun esan diezazun nahi baduzu, kontaiguzu zure kasua eta zuzenean espezialista batekin hitz egingo duzu, bitartekari komertzialik gabe.
Eduki hau orientagarria eta dibulgatiboa baino ez da; ez du inola ere aholkularitza juridiko espezializatua osatzen. Araudia kasu konkretu bakoitzari aplikatzeak banakako azterketa eskatzen du.