Nou coses que has de saber sobre la nova llei de protecció de dades

Dos anys després que s'aprovés, el nou Reglament Europeu de Protecció de Dades (RGPD) comença a aplicar-se obligatòriament des de divendres als Vint-i-vuit. Les empreses s'han afanyat a enviar correus electrònics als seus clients informant de canvis en les condicions de privadesa. Després de les 260 pàgines i 99 articles del canvi normatiu més important de la història d'internet a la Unió Europea hi ha un nou marc que canviarà la manera en què les companyies i administracions es relacionen amb la teva informació. Aquestes són algunes de les claus de la nova llei.

No sense el teu consentiment. Els ciutadans han de donar la seva acceptació expressa perquè qualsevol companyia pugui processar i emmagatzemar la seva informació privada. En la pràctica això es concretarà amb la petició que es marqui una casella o se signi un formulari que mai han d'estar premarcats o activats per defecte. Acaben les autoritzacions genèriques i ambigües, i els textos carregosos de condicions d'ús. A partir d'ara s'exigiran clàusules de privadesa clares i comprensibles.

Els pares han de donar el seu permís quan els usuaris siguin menors de 16 anys —de 14 anys en el cas d'Espanya, la llei dona cert marge als Estats membres— i les empreses han de verificar sempre que sigui possible que no se salten l'autorització. El silenci no es podrà considerar una acceptació implícita. El silenci no és un sí, per la qual cosa si es deixen sense resposta els correus en què determinades empreses demanen el consentiment de l'usuari, les companyies no podran fer servir les dades. Hi ha excepcions: no cal aquest permís en casos de lluita contra el frau, obligacions legals o per protegir interessos vitals, com per exemple quan sigui necessari per controlar epidèmies. Davant l'allau de correus electrònics, el consell de Borja Adsuara, expert en dret i estratègia digitals, és "no contestar i aprofitar per fer neteja", a més d'observar atentament "per a què demanen el consentiment, perquè cal donar-lo per a cada ús concret: una cosa és permetre que us enviïn un butlletí i una altra és permetre que cedeixin les vostres dades a tercers".

Portabilitat de dades. Obre la porta al fet que si vols canviar, per exemple, les teves fotos i vídeos d'una xarxa social a una altra, no hagis de descarregar-les i tornar-les a pujar a l'altra. La transferència de dades s'ha de fer entre les dues xarxes socials si és tècnicament operatiu. És una manera de permetre que els usuaris deixin una companyia que no els convenç i canviïn a una altra més fàcilment.

Alerta contra el hacking. En els supòsits més greus, es marca un termini màxim de 72 hores per informar l'agència nacional de dades sobre un hacking, mentre que caldrà avisar els clients com més aviat millor que el seu compte ha estat piratejat. Es pretén així evitar casos com el d'Uber. La startup va amagar durant un any el robatori als EUA de les dades de 50 milions de clients i set milions de conductors.

Dret a l’oblit. Els cercadors d'internet com Google ja havien de corregir o eliminar resultats sobre un usuari quan ho demanava. Ara aquest dret a suprimir informació privada s'estén a altres serveis d'internet i empreses.

Dona’m la meva informació. El ventall de mesures inclou el dret dels usuaris a tenir accés a un fitxer en format electrònic amb totes les dades privades que una companyia tingui sobre ells.

No només xarxes socials. Quan es parla de dades, la imatge més habitual que ve al cap és la de milions d'usuaris compartint preferències a Facebook, Instagram o Twitter. Però es tracta d'un univers molt més ampli. Entitats bancàries, asseguradores, educatives, sanitàries, publicitàries i, en general, totes les que ofereixen serveis a internet, s'han d'adaptar a la llei a l'hora de tractar els noms, adreces, correus electrònics o números d'identificació que emmagatzemen.

Sancions multimilionàries. La negligència de les companyies a l'hora de tractar les dades dels usuaris els sortirà més cara. El reglament comunitari preveu multes de fins al 4% de la facturació anual d'una companyia per als casos més greus d'infracció de la llei. En el cas que, per exemple, Facebook fos condemnada en un supòsit d'aquest tipus, això es traduiria en fins a 1.310 milions d'euros tenint en compte els seus ingressos del 2017.

El delegat de protecció de dades. Quan el volum de dades recopilades sigui a gran escala o impliqui informació sensible, les empreses i administracions hauran de crear la figura del delegat de protecció de dades. La seva funció serà actuar com a enllaç amb les agències de protecció de dades, i els usuaris s'hi podran adreçar per conèixer el tractament que es fa de les seves dades o per presentar reclamacions.

Un model a imitar. La llei europea està servint d'inspiració per a altres normatives de dades en marxa. Països com Xile, Tailàndia, Corea del Sud o el Japó estan en ple procés d'implantar regles més dures per a l'ús de dades, i han utilitzat el text europeu com a model. Gegants d'internet com Facebook, Google i Amazon s'han d'adaptar al RGPD, per la qual cosa a la pràctica aprofitaran el canvi per donar als seus usuaris a tot el món els mateixos drets que als europeus. "És raonable que serveixi de model per a un estàndard de protecció a internet", afirma Adsuara.