MAINSYSTEMS 
1. Conceptes Fonamentals i Marc General
En aquest vídeo consolidarem una habilitat: organitzar la resposta a una sol·licitud d’accés o a un incident de dades. Utilitzeu el cas per comprovar què faríeu en una situació semblant. Explicarem la resposta proposada pas a pas perquè pugueu entendre cada elecció i reconèixer quan caldria més informació. Un expedient pot contenir dades de la persona informant, de persones afectades i de tercers. La protecció de dades ha d’acompanyar tot el cicle de vida, des del formulari fins a l’arxivament. Aquest curs tracta decisions operatives. Les bases jurídiques i les restriccions de drets requereixen avaluar el tractament concret.
Una sol·licitud d’accés a dades personals no dona accés il·limitat a tot l’expedient ni a la identitat de la persona informant. Concilieu els drets de qui sol·licita, la confidencialitat i els drets de tercers, amb una base jurídica per a les restriccions. Avalueu una revelació no autoritzada com una possible violació de seguretat de dades personals, inclosos els riscos i els deures de notificació del RGPD.
Apliqueu la regla següent: Distingiu les dades del sistema de recepció dels registres d’investigació i del registre d’informacions. L’article 32 preveu la supressió del sistema al cap de tres mesos si no s’ha iniciat una investigació, amb una excepció per a les proves anonimitzades del funcionament del sistema. Les dades personals del registre no es poden conservar més de deu anys.
2. Aplicació Pràctica i Regulació Nacional
Davant una sol·licitud, verifiqueu la identitat, l’abast i el termini, localitzeu les dades i prepareu una resposta motivada. Davant un incident, conteniu l’exposició, preserveu els registres i informeu la funció responsable. Segons l’article 33 del RGPD, el responsable del tractament notifica l’autoritat de control sense dilació indeguda i, si és possible, en les 72 hores posteriors a tenir-ne constància, llevat que sigui improbable que la violació comporti un risc per als drets i les llibertats. Expliqueu els retards. La informació a les persones es regeix per l’article 34, inclosos l’alt risc i les seves excepcions. Documenteu la violació i l’avaluació. Abans de continuar, convertiu aquest procediment en una seqüència que podríeu explicar a un company. Identifiqueu la primera comprovació, l’actuació que depèn del resultat i el registre que permet reconstruir la decisió. Seguiu la seqüència en pantalla i identifiqueu el punt on un error canviaria el resultat.
Un adjunt arriba a una persona destinatària equivocada. L’equip restringeix l’accés quan és possible, demana la supressió segura, documenta els fets i avalua el risc. Demanar la supressió no tanca automàticament l’incident ni elimina la necessitat d’avaluar les notificacions. Ara llegiu el cas amb atenció. Separeu els fets establerts de la informació que encara necessitaríeu confirmar. No afegiu motius ni esdeveniments que no s’hagin descrit. Aquesta distinció és important per triar una resposta proporcionada a la informació disponible.
3. Cas Pràctic i Criteris Clau
L’exercici és el següent: Demanar a la persona destinatària equivocada que suprimeixi el missatge compleix totes les obligacions? Trieu una resposta i escriviu una frase per explicar-la. Durant la pausa, compareu la vostra elecció amb els criteris que acabem de considerar. Penseu també en el material que conservaríeu per explicar la decisió més endavant.
No. És una mesura de contenció. Avalueu les dades exposades, les persones destinatàries, les possibles conseqüències i les notificacions legalment exigides. Registreu la decisió i els motius.
Un error que cal evitar és: equiparar els drets d’accés amb el lliurament de tota la comunicació o tractar tots els incidents com si fossin iguals.
Ara apliqueu la regla nacional a una segona decisió. El sistema suprimeix tots els casos cinc anys després de la recepció, independentment del país i dels procediments pendents. És adequat?
No. Identifiqueu la regla local, el fet inicial i els límits o ampliacions. Un calendari uniforme pot suprimir registres massa aviat o conservar-los massa temps. Documenteu la decisió per categoria, incloeu les còpies i definiu qui revisa una suspensió de la supressió, en lloc de conservar-ho tot indefinidament.
Recordeu aquestes tres idees. Primera: Concilieu drets i confidencialitat. Segona: Conteniu i avalueu els incidents. Tercera: Justifiqueu les respostes i les notificacions.
Per aplicar aquest aprenentatge, recupereu el procediment utilitzat a la vostra organització o considereu com el crearíeu. Identifiqueu una diferència entre aquest procediment i el cas que acabem de resoldre. Anoteu el canvi que proposaríeu i la informació necessària per justificar-lo. Podeu completar aquesta tasca breu al material de suport que acompanya el vídeo.
El resultat esperat d’aquesta unitat és la capacitat de organitzar la resposta a una sol·licitud d’accés o a un incident de dades. Reviseu la resposta explicada sempre que tingueu dubtes i conserveu el resum per fonamentar una decisió futura.
A la fitxa de treball, connecteu la vostra proposta amb la regla nacional d’aquest vídeo. Identifiqueu el document o el camp de la plataforma que caldria canviar i qui hauria d’aprovar el canvi. Si concloeu que és una bona pràctica, expliqueu el risc que preteneu reduir. Si concloeu que hi ha un deure legal, registreu-ne la font i l’àmbit.