Què és el RGPD? Una guia en català senzill per a constructors d'aplicacions
El RGPD (Reglament general de protecció de dades, o GDPR en anglès) és la llei principal de protecció de dades de la Unió Europea. Estableix normes sobre com les organitzacions recullen, fan servir, emmagatzemen i comparteixen dades personals —qualsevol informació sobre una persona física viva identificable— i dona a les persones drets sobre les seves pròpies dades, com veure-les o fer-les eliminar. S'aplica des del 25 de maig de 2018, i pot aplicar-se a empreses fora de la UE si atenen persones que hi viuen.
No és assessorament legal. Aquesta guia és una explicació general per ajudar-te a entendre els fonaments i a fer millors preguntes. No substitueix l'assessorament sobre la teva situació. Per a detalls autoritatius, consulta les pàgines de protecció de dades de la Comissió Europea i la guia del Comitè Europeu de Protecció de Dades per a petites empreses.
Per què importa quan construeixes amb IA
Els constructors amb IA fan molt fàcil recollir dades. Una sola instrucció et dona un formulari de registre, un formulari de contacte, analítica, pujades de fitxers i un panell d'administració que llista tots els usuaris. Cadascun d'aquests elements recull dades personals, i el RGPD s'ocupa de totes.
La bona notícia és que la major part del que demana el RGPD també és bona pràctica de producte:
- Recollir només el que realment necessites.
- Dir a la gent què en fas.
- Mantenir-les segures.
- Esborrar-les quan ja no les necessitis.
- Deixar que les persones vegin, corregeixin o eliminin les seves dades.
És molt més fàcil dissenyar-ho des del principi que afegir-ho després del llançament. Fer les preguntes adequades al teu constructor d'IA d'entrada t'estalviarà una reconstrucció dolorosa més endavant.
Una analogia del dia a dia
Pensa que les dades personals són pertinences que la gent deixa amb tu, com en un guardarroba, però d'informació. El RGPD són les normes de la casa per al guardarroba:
- Només agafes el que la persona ha acceptat deixar, per un motiu que entén.
- No registres les butxaques per a altres usos.
- Mantens la sala tancada.
- Retornes les coses, o les tires, quan es demana o quan ja no les necessites.
- Si alguna cosa es roba, avises les persones adequades amb prontitud.
Ets responsable dels abrics mentre són a la teva cura, fins i tot si has contractat algú altre per dirigir la sala.
Els conceptes fonamentals
Què és una dada personal
La Comissió Europea defineix les dades personals com qualsevol informació que es refereix a una persona física viva identificada o identificable. És un concepte ampli. Inclou noms, adreces de correu electrònic, adreces postals, adreces IP, identificadors de cookies i fotografies. Les dades «pseudonimitzades» —per exemple, noms substituïts per codis— poden seguir sent dades personals si es poden enllaçar de nou amb una persona.
Algunes categories tenen una protecció addicional, com les dades de salut, les biomètriques, l'origen racial o ètnic i les opinions polítiques.
A qui s'aplica
Segons la Comissió, el RGPD s'aplica a les organitzacions establertes a la UE i a les organitzacions de fora de la UE que ofereixen béns o serveis a persones de la UE (de pagament o gratuïts) o que controlen el seu comportament. Una startup dels Estats Units o dels Emirats amb clients europeus podria estar-hi subjecta. El Regne Unit té la seva pròpia versió, el RGPD del Regne Unit, que es basa molt en l'original.
Els principis
El RGPD es basa en una llista curta de principis. En termes senzills:
| Principi | Què significa per a la teva aplicació |
|---|---|
| Licitud, lleialtat i transparència | Tenir un motiu vàlid per tractar les dades i dir clarament què hi fas. |
| Limitació de la finalitat | Fer servir les dades pels motius pels quals es van recollir, no per usos nous inesperats. |
| Minimització de dades | No recollir camps que no necessites. |
| Exactitud | Mantenir les dades correctes i deixar que les persones les corregeixin. |
| Limitació del termini de conservació | No guardar les dades per sempre; esborrar-les quan ja no siguin necessàries. |
| Integritat i confidencialitat | Protegir-les contra fuites i accessos no autoritzats. |
| Responsabilitat proactiva | Poder demostrar com compleixes. |
Bases jurídiques
Necessites una raó legal —una «base jurídica»— per a cada manera d'usar dades personals. El RGPD n'enumera sis: consentiment, execució d'un contracte, obligació legal, interessos vitals, missió d'interès públic i interès legítim. El consentiment és només una d'elles. Tramitar una comanda per lliurar-la, per exemple, normalment depèn del contracte, no del consentiment. Quina base és la adequada és una qüestió de criteri que cal contrastar amb la guia oficial.
Els drets de les persones
La Comissió enumera aquests drets per a les persones:
- Ser informades sobre com s'usen les seves dades
- Accedir a les seves dades
- Fer-les corregir
- Fer-les eliminar
- Limitar el tractament
- La portabilitat de les dades (obtenir-les en un format utilitzable)
- Oposar-se
- Drets relacionats amb les decisions automatitzades i l'elaboració de perfils
Violacions de dades
Si es filtren dades personals i la violació probablement posa en risc els drets i les llibertats de les persones, l'organització ha de notificar-ho, en general, a la seva autoritat de protecció de dades sense dilació indeguda i, quan sigui possible, en un termini de 72 hores des que en té coneixement. En alguns casos, també s'ha d'avisar les persones afectades.
Un exemple pas a pas: una aplicació de reserves per a un estudi de ioga
Suposem que construeixes una aplicació de reserves per a un estudi de ioga amb clients a Alemanya. Així és com el RGPD dona forma a l'aplicació.
Recollir menys. El formulari de registre demana nom, correu electrònic i un telèfon opcional. El primer esborrany també demanava la data de naixement i l'adreça de casa; com que cap part de l'aplicació les fa servir, s'eliminen.
Les dades de salut requereixen cura. L'estudi vol preguntar sobre lesions. Això són dades de salut, una categoria especial amb regles més estrictes. L'estudi decideix tractar-ho en persona, de manera que l'aplicació no ho recull.
Ser transparent. Una política de privadesa explica què es recull, per què, durant quant temps es guarda, qui més hi tracta (el proveïdor d'hosting, el servei de correu, el proveïdor de pagaments) i com contactar amb l'estudi.
El màrqueting és separat. Reservar una classe no inscriu ningú al butlletí. Hi ha una casella separada, sense marcar, per a això.
Drets dins del producte. Els clients poden veure i editar el seu perfil, descarregar el seu historial de reserves i demanar l'eliminació des de la seva pàgina de compte.
Conservació. Els comptes inactius es marquen després d'un període determinat i s'eliminen si el client no respon. L'estudi tria el període.
Cookies. La cookie d'inici de sessió és necessària. L'analítica només es carrega després que el visitant l'accepti. Consulta què són les cookies.
Seguretat. Les contrasenyes es converteixen en hash, l'àrea d'administració requereix autenticació de dos factors, i només el propietari pot exportar les llistes de clients.
Termes comuns explicats
| Terme | Què significa |
|---|---|
| Dada personal | Qualsevol informació sobre una persona física viva identificada o identificable. |
| Tractament | Qualsevol operació amb dades personals: recollir-les, emmagatzemar-les, fer-les servir, compartir-les, eliminar-les. |
| Interessat | La persona a qui pertanyen les dades. |
| Responsable | L'organització que decideix per què i com es tracten les dades: normalment tu, el propietari de l'aplicació. |
| Encarregat | Una empresa que tracta les dades en nom del responsable, com un proveïdor d'hosting o de correu. |
| Contracte d'encàrrec de tractament (DPA) | Un contracte entre responsable i encarregat que estableix com es gestionen les dades. |
| Base jurídica | La raó legal del tractament, com el consentiment o el contracte. |
| Consentiment | Un «sí» lliure, específic, informat i clar; les caselles marcades per defecte no compten. |
| Dades de categoria especial | Dades sensibles com les de salut o les biomètriques, amb regles més estrictes. |
| Autoritat de control | El regulador de protecció de dades d'un país. |
Errors i idees errònies habituals
- «No estem a la UE, així que no ens aplica». Pot aplicar-se segons on són els teus usuaris.
- «El RGPD vol dir consentiment per a tot». El consentiment és una de les sis bases jurídiques, i sovint no és la correcta.
- «Una pancarta de cookies ens fa complir». Les cookies són només una petita part. La recollida de dades, la seguretat, els drets i la conservació són més importants.
- «El nostre hosting és compatible amb el RGPD, així que nosaltres també ho som». Els proveïdors ajuden, però tu decideixes què recull la teva aplicació i què en fa.
- Recollir dades «per si de cas». Cada camp extra és una cosa més a protegir, explicar i eliminar.
- Copiar la política de privadesa d'un altre lloc. Ha de descriure el que la teva aplicació fa de veritat.
- Fer impossible l'eliminació. Si ningú no pot eliminar un usuari sense un desenvolupador, les sol·licituds de drets es converteixen en emergències.
Què demanar al teu constructor d'IA
- «Llista cada dada personal que recull aquesta aplicació, on s'emmagatzema i per què cal.»
- «Elimina els camps de formulari que no fem servir.»
- «Afegeix una pàgina de compte on els usuaris puguin veure, editar i descarregar les seves dades, i sol·licitar l'eliminació.»
- «Construeix una acció d'administració que elimini completament un usuari i els seus registres relacionats, o anonimitzi els registres que hàgim de conservar.»
- «Mantín el registre al màrqueting com una casella separada, sense marcar.»
- «No carreguis scripts d'analítica o de màrqueting abans del consentiment.»
- «Llista cada servei de tercers que rep dades d'usuaris, perquè els pugui afegir a la política de privadesa.»
- «Restringeix les exportacions d'administració al rol de propietari i registra qui ha exportat què.»
Després llegeix com redactar les condicions del servei i la política de privadesa i com afegir el consentiment de cookies.
RGPD i Mythex
Mythex t'ofereix els elements de construcció, no un certificat de compliment. Les dades de la teva aplicació viuen a la base de dades pròpia del projecte i a l'emmagatzematge de fitxers quan els activis, tu ets propietari del codi i, al pla Pro, pots exportar el projecte si necessites traslladar-lo. Què recull la teva aplicació, quant temps guarda les dades i com les persones exerceixen els seus drets són decisions que prens tu —i que demanes a l'agent que construeixi. La pàgina de la documentació sobre la propietat de les dades explica què allotja Mythex, i seguretat per a les aplicacions que construeixes adverteix contra afirmar un compliment que no tens. Si necessites detalls concrets, com on s'allotgen les dades o un contracte d'encàrrec de tractament, pregunta a l'equip de suport de Mythex abans de llançar.
Preguntes
Què és el RGPD, en termes senzills?
El Reglament general de protecció de dades (RGPD, o GDPR en anglès) és la llei principal de protecció de dades de la Unió Europea. Estableix normes sobre com les organitzacions recullen, fan servir, emmagatzemen i comparteixen informació sobre persones, i dona a aquestes persones drets sobre les seves dades. S'aplica des del 25 de maig de 2018.
El RGPD s'aplica a empreses fora de la UE?
Pot ser que sí. Segons la Comissió Europea, s'aplica a organitzacions fora de la UE que ofereixen béns o serveis a persones de la UE, fins i tot de manera gratuïta, o que controlen el seu comportament. No només importa on tens la seu; també importa qui són els teus usuaris.
Una adreça de correu electrònic és una dada personal?
Sí. Una dada personal és qualsevol informació que es refereix a una persona física viva identificada o identificable. Els noms, les adreces de correu electrònic, les adreces IP i els identificadors de cookies poden considerar-se dades personals.
Fer servir un hosting compatible amb el RGPD fa que la meva aplicació compleixi?
No. Un hosting pot ajudar amb el compliment, però tu decideixes quines dades recull la teva aplicació, per què, durant quant temps es guarden i qui hi té accés. Aquestes decisions són teves i les has d'encertar.
Aquesta guia és assessorament legal?
No. És una explicació general per ajudar-te a fer millors preguntes. Per a la teva situació concreta, consulta la guia oficial de la UE o de la teva autoritat nacional de protecció de dades, o parla amb un assessor qualificat.