La Política de privacitat: El principi de transparència o deure d’informar
Com recordareu del nostre anterior lliurament, el principi de transparència és l’obligació legal d’incloure en el nostre lloc web la informació sobre què es fa amb les dades dels usuaris que el visiten, i hem de fer-ho de forma pública, accessible i gratuïta.
A continuació explicarem com complir amb aquest deure des de tres flancs: el quin, l'on i el com.
El què
Al següent llistat detallarem (incloent exemples) tots els punts que s'han d'abastar per a complir amb aquesta obligació:
- Xicoteta introducció del perquè es donen aquestes dades. Recordem que és una obligació legal, per tant s'ha d'esmentar en aquest cas la LOPD* i la RGPD** per a justificar aquest punt. I també es pot incloure un llistat de la informació que es detallarà.
- Les dades identificatives del responsable del tractament, és a dir, de l'empresa o el seu representant. Per exemple:
- Dades de contacte del Delegat de Protecció de Dades, si fóra necessari tindre un assignat (això depèn del tipus d'empresa).
- Finalitat, legitimació i conservació de cadascun dels mitjans pels quals s'obtinguen dades. Per exemple si només disposa d'un formulari de contacte, únicament serà necessari que informe sobre aquests tres aspectes en relació amb ell, una espècie de 3x1 informatiu.
-
Finalitat: Per a què s’utilitzaràn aquestes dades recollides.
-
Legitimació: Sobre la base de què puc recollir aquestes dades (tots els possibles es detallen en l'article 6 del RGPD).
-
Conservació: És el període durant el qual les dades seràn conservades.
-
Un exemple per a un formulari de contacte podria ser:
-
- Les conseqüències de no donar les dades personals. Encara que relacionat amb el punt anterior, no serà necessari incloure'l per a cada mitjà d'obtenció de dades, serà suficient amb esmentar-ho de forma general. Per exemple si es dóna un nom o correu fals, la finalitat de contactar i oferir informació sobre els seus serveis no podrà complir-se; i si les dades foren necessàries a nivell legal o contractual, per exemple en un procés de compra, s'informarà que si no es dónen els adequats no es realitzarà la compra i/o enviament. Un altre punt a esmentar és la necessitat d'indicar quines dades són obligatòries per a complir amb la finalitat del mig utilitzat per a la recopilació de dades, per exemple amb un asterisc o remarcats amb colors.
- El destinatari de les dades recollides. Generalment serà la pròpia empresa, i així haurà d'esmentar-ho, però si cedira les dades a un tercer haurà d'especificar-ho i incloure enllaços a les Polítiques de privacitat d'aquests. Un clar exemple són els botons de “M'agrada” o “Compartir” de xarxes socials, que comportaran per tant l'obligació d'incloure els esmentats enllaços.
- L'existència de processos automatitzats de recollida de dades i elaboració de perfils. El més comú és que amb les cookies es recapte informació d'aquesta manera, per la qual cosa serà necessari indicar-ho i afegir un enllaç a la Política de cookies (més informació en pròxims lliuraments).
- Els drets de l'usuari: Informació sobre quins són i com exercir-los. Aquests són els d'accés, rectificació, cancel·lació i oposició, i el de presentar una reclamació a l'autoritat de control (a Espanya és l'Agència Espanyola de Protecció de Dades). Ací es refereix, respectivament, al dret de l'usuari a poder accedir a les dades recollides, a poder modificar-los o corregir-los, al fet que s'eliminen, a oposar-se al fet que el Responsable els tinga (capítol III del RGPD), i a reclamar davant l'incompliment dels seus drets.
Recordant sempre que aquesta informació ha de ser senzilla d'entendre per a qualsevol usuari, concisa en el seu contingut i de fàcil accés (articles del 12 al 15 del *RGPD). Això ens porta a l'on i com incloure-la.
L'on
El més senzill i adequat, i a més compleix amb la fàcil posada a disposició, és incloure un enllaç al peu de pàgina a una pàgina concreta i en aquesta incloure tota la informació. El RGPD no diu res sobre aquest tema, per la qual cosa es pot mostrar d'una altra forma o permetent descarregar un document amb aquesta, però això complica el procés d'informació i consentiment de la recopilació de dades (per a més informació pots consultar la normativa o acudir a la pàgina de l'Agència Espanyola de Protecció de Dades).
El com
Respecte al com, la forma recomanada és dividir-ho en xicotets grups d'informació (un per cada punt esmentat per exemple), mitjançant llistes, taules, etc., fent-la concisa i comprensible (article 12.1 del RGPD). A més, d'aquesta manera, és fàcilment demostrable que complim amb la normativa (recordem les sancions si no ho fem).
Un altre punt a tindre en compte és el llenguatge utilitzat, perquè si s'excedeix l'ús de vocabulari legal, expressions ambigües, detalls innecessaris, o tecnicismes; el deure d'informar no es complirà, doncs encara que s'estiga incloent la informació aquesta no arriba a l'usuari.
Però, sempre hi ha un ho sent, hi ha certa informació que s'ha d'incloure en l'anomenada primera capa, perquè tot l'anterior (ja siga en la Política de privacitat o un altre mitjà) és la segona capa, ja que no és visible directament en el mitjà que obté les dades. Així doncs, la primera capa és aquella informació directament visible en cada mitjà d'obtenció de dades.
Ara us estareu preguntat: capes, quines capes?, ara això va d'herois? Bromes a part, aquest és un tema tan important i tan interessant que el deixarem per al següent lliurament. I així de pas us donem temps de digerir tota la informació d'aquest primer lliurament.
I fins ací el vertader primer lliurament dels fascinants fascicles sobre la responsabilitat online. Si us heu quedat amb ganes de saber més sobre les capes, no us perdeu el nostre pròxim lliurament.
*LOPD / LOPDGDD: Llei orgànica 3/2018, de 5 de desembre, de Protecció de Dades Personals i garantia dels drets digitals.
**RGPD: Reglament (UE) 2016/679 del Parlament Europeu i del Consell, de 27 d'abril de 2016, relatiu a la protecció de les persones físiques pel que fa al tractament de dades personals i a la lliure circulació d'aquestes dades i pel qual es deroga la Directiva 95/46/CE (Reglament general de protecció de dades).