Decret 367/2022, del 14 de setembre del 2022

Article 14. Protecció de dades des del disseny i per defecte (privacy by design i by default)

1. La privacitat des del disseny és la que obliga a fer un enfocament metodològic orientat a la gestió del risc i de responsabilitat proactiva que permeti fixar ex ante els requisits de privacitat que tot tractament de dades ha de complir. La implementació eficaç i eficient dels principis de privacitat exigeix que aquests requisits formin part integral de la naturalesa dels tractaments, els productes i els serveis, i per això s’han de tenir en compte des de la fase inicial de concepció, disseny i desenvolupament dels tractaments, els productes i els serveis com una part més del conjunt de les especificacions, funcionals i no funcionals.

2. A partir de l’anàlisi de risc en la fase de concepció, s’han d’establir tant els objectius específics de protecció de dades com els objectius de seguretat des de la perspectiva de la privacitat que garanteixin els principis bàsics de la Llei 29/2021, del 28 d’octubre, qualificada de protecció de dades personals. Aquests objectius han de concretar-se en el disseny d’estratègies de privacitat que identifiquin els requisits de cada objectiu.

3. La configuració per defecte, que ha de garantir que només es tracten les dades personals necessàries per a cada finalitat del tractament, ha de quedar establerta des del disseny de manera que resulti tan respectuosa com sigui possible en termes de privacitat. Si l’interessat no fa cap acció de configuració, la seva privacitat ha d’estar garantida des de l’inici, ja que ha d’estar integrada al sistema i configurada per defecte. En qualsevol cas, cal:

   • a) Fixar criteris de recollida limitats a la finalitat que persegueix el tractament.
   • b) Limitar l’ús de les dades personals a les finalitats per a les quals han estat recollides i assegurar-se que hi ha una base legitimadora del tractament.
   • c) Restringir els accessos a les dades personals a les parts implicades en els tractaments, d’acord amb el principi de need to know (o «necessitat de saber») i segons la funció que facin mitjançant la creació de perfils d’accés diferenciats.
   • d) Definir terminis estrictes de conservació i establir mecanismes operatius que en garanteixin el compliment.
   • e) Crear barreres tecnològiques i procedimentals que impedeixin la vinculació no autoritzada de fonts de dades independents.

4. En la fase de disseny els objectius identificats en la fase de concepció s’han de desenvolupar i integrar mitjançant decisions de disseny que regulin procediments d’implementació efectiva i problemes comuns, repetibles i previsibles, i identifiquin i esmenin vulnerabilitats potencials del sistema. Les mesures tècniques i organitzatives de la fase de disseny es consideren ben implementades en termes de seguretat si aconsegueixen garantir:

   • a) La confidencialitat, perquè eviten els accessos no autoritzats als sistemes.
   • b) La integritat, perquè protegeixen les dades de modificacions o alteracions no autoritzades de la informació.
   • c) La disponibilitat, perquè garanteixen que les dades i els sistemes estan disponibles quan sigui necessari.

5. En la fase de desenvolupament s’han d’aplicar de manera concreta els patrons i s’ha de confirmar que els requisits de privacitat definits han estat implementats correctament i satisfan les expectatives i les necessitats de les parts interessades (verificació i validació de la privacitat).

6. Els responsables del tractament s’han de mantenir al dia dels avenços tecnològics relacionats amb el tractament, dels riscos i les oportunitats de la tecnologia, i de les mesures i les garanties aplicables tenint en compte l’evolució del panorama tecnològic.

7. Els usuaris tenen un paper actiu en la gestió i el control de la gestió de les seves dades. Per implementar configuracions per defecte robustes, el responsable del tractament ha d’informar els usuaris sobre les conseqüències que té la modificació dels paràmetres del servei prestat en la seva privadesa.

Article 14. Protecció de dades des del disseny i per defecte (privacy by design i by default)

1. La privacitat des del disseny és la que obliga a fer un enfocament metodològic orientat a la gestió del risc i de responsabilitat proactiva que permeti fixar ex ante els requisits de privacitat que tot tractament de dades ha de complir. La implementació eficaç i eficient dels principis de privacitat exigeix que aquests requisits formin part integral de la naturalesa dels tractaments, els productes i els serveis, i per això s’han de tenir en compte des de la fase inicial de concepció, disseny i desenvolupament dels tractaments, els productes i els serveis com una part més del conjunt de les especificacions, funcionals i no funcionals. 2. A partir de l’anàlisi de risc en la fase de concepció, s’han d’establir tant els objectius específics de protecció de dades com els objectius de seguretat des de la perspectiva de la privacitat que garanteixin els principis bàsics de la Llei 29/2021, del 28 d’octubre, qualificada de protecció de dades personals. Aquests objectius han de concretar-se en el disseny d’estratègies de privacitat que identifiquin els requisits de cada objectiu. 3. La configuració per defecte, que ha de garantir que només es tracten les dades personals necessàries per a cada finalitat del tractament, ha de quedar establerta des del disseny de manera que resulti tan respectuosa com sigui possible en termes de privacitat. Si l’interessat no fa cap acció de configuració, la seva privacitat ha d’estar garantida des de l’inici, ja que ha d’estar integrada al sistema i configurada per defecte. En qualsevol cas, cal:

• a) Fixar criteris de recollida limitats a la finalitat que persegueix el tractament.
• b) Limitar l’ús de les dades personals a les finalitats per a les quals han estat recollides i assegurar-se que hi ha una base legitimadora del tractament.
• c) Restringir els accessos a les dades personals a les parts implicades en els tractaments, d’acord amb el principi de need to know (o «necessitat de saber») i segons la funció que facin mitjançant la creació de perfils d’accés diferenciats.
• d) Definir terminis estrictes de conservació i establir mecanismes operatius que en garanteixin el compliment.
• e) Crear barreres tecnològiques i procedimentals que impedeixin la vinculació no autoritzada de fonts de dades independents.

4. En la fase de disseny els objectius identificats en la fase de concepció s’han de desenvolupar i integrar mitjançant decisions de disseny que regulin procediments d’implementació efectiva i problemes comuns, repetibles i previsibles, i identifiquin i esmenin vulnerabilitats potencials del sistema. Les mesures tècniques i organitzatives de la fase de disseny es consideren ben implementades en termes de seguretat si aconsegueixen garantir:

• a) La confidencialitat, perquè eviten els accessos no autoritzats als sistemes.
• b) La integritat, perquè protegeixen les dades de modificacions o alteracions no autoritzades de la informació.
• c) La disponibilitat, perquè garanteixen que les dades i els sistemes estan disponibles quan sigui necessari.

5. En la fase de desenvolupament s’han d’aplicar de manera concreta els patrons i s’ha de confirmar que els requisits de privacitat definits han estat implementats correctament i satisfan les expectatives i les necessitats de les parts interessades (verificació i validació de la privacitat). 6. Els responsables del tractament s’han de mantenir al dia dels avenços tecnològics relacionats amb el tractament, dels riscos i les oportunitats de la tecnologia, i de les mesures i les garanties aplicables tenint en compte l’evolució del panorama tecnològic. 7. Els usuaris tenen un paper actiu en la gestió i el control de la gestió de les seves dades. Per implementar configuracions per defecte robustes, el responsable del tractament ha d’informar els usuaris sobre les conseqüències que té la modificació dels paràmetres del servei prestat en la seva privadesa. 1. La privacitat des del disseny és la que obliga a fer un enfocament metodològic orientat a la gestió del risc i de responsabilitat proactiva que permeti fixar ex ante els requisits de privacitat que tot tractament de dades ha de complir. La implementació eficaç i eficient dels principis de privacitat exigeix que aquests requisits formin part integral de la naturalesa dels tractaments, els productes i els serveis, i per això s’han de tenir en compte des de la fase inicial de concepció, disseny i desenvolupament dels tractaments, els productes i els serveis com una part més del conjunt de les especificacions, funcionals i no funcionals. 2. A partir de l’anàlisi de risc en la fase de concepció, s’han d’establir tant els objectius específics de protecció de dades com els objectius de seguretat des de la perspectiva de la privacitat que garanteixin els principis bàsics de la Llei 29/2021, del 28 d’octubre, qualificada de protecció de dades personals. Aquests objectius han de concretar-se en el disseny d’estratègies de privacitat que identifiquin els requisits de cada objectiu. 3. La configuració per defecte, que ha de garantir que només es tracten les dades personals necessàries per a cada finalitat del tractament, ha de quedar establerta des del disseny de manera que resulti tan respectuosa com sigui possible en termes de privacitat. Si l’interessat no fa cap acció de configuració, la seva privacitat ha d’estar garantida des de l’inici, ja que ha d’estar integrada al sistema i configurada per defecte. En qualsevol cas, cal: a) Fixar criteris de recollida limitats a la finalitat que persegueix el tractament. b) Limitar l’ús de les dades personals a les finalitats per a les quals han estat recollides i assegurar-se que hi ha una base legitimadora del tractament. c) Restringir els accessos a les dades personals a les parts implicades en els tractaments, d’acord amb el principi de need to know (o «necessitat de saber») i segons la funció que facin mitjançant la creació de perfils d’accés diferenciats. d) Definir terminis estrictes de conservació i establir mecanismes operatius que en garanteixin el compliment. e) Crear barreres tecnològiques i procedimentals que impedeixin la vinculació no autoritzada de fonts de dades independents. 4. En la fase de disseny els objectius identificats en la fase de concepció s’han de desenvolupar i integrar mitjançant decisions de disseny que regulin procediments d’implementació efectiva i problemes comuns, repetibles i previsibles, i identifiquin i esmenin vulnerabilitats potencials del sistema. Les mesures tècniques i organitzatives de la fase de disseny es consideren ben implementades en termes de seguretat si aconsegueixen garantir: a) La confidencialitat, perquè eviten els accessos no autoritzats als sistemes. b) La integritat, perquè protegeixen les dades de modificacions o alteracions no autoritzades de la informació. c) La disponibilitat, perquè garanteixen que les dades i els sistemes estan disponibles quan sigui necessari. 5. En la fase de desenvolupament s’han d’aplicar de manera concreta els patrons i s’ha de confirmar que els requisits de privacitat definits han estat implementats correctament i satisfan les expectatives i les necessitats de les parts interessades (verificació i validació de la privacitat). 6. Els responsables del tractament s’han de mantenir al dia dels avenços tecnològics relacionats amb el tractament, dels riscos i les oportunitats de la tecnologia, i de les mesures i les garanties aplicables tenint en compte l’evolució del panorama tecnològic. 7. Els usuaris tenen un paper actiu en la gestió i el control de la gestió de les seves dades. Per implementar configuracions per defecte robustes, el responsable del tractament ha d’informar els usuaris sobre les conseqüències que té la modificació dels paràmetres del servei prestat en la seva privadesa.