Per Judit Villalta
En l’actual entorn digital, les dades personals són un actiu estratègic per a qualsevol organització, però també comporten una gran responsabilitat legal i reputacional. Moltes empreses no són plenament conscients del risc que assumeixen quan faciliten informació a tercers, com ara per a la realització de formacions, serveis informàtics, consultories o qualsevol tipus de subcontractació.
Quan una empresa cedeix dades a un altre operador, està permetent que aquesta persona o empresa tingui accés a informació sensible dels seus treballadors i clients: noms, correus electrònics, números de telèfon, historial laboral, expedients de recursos humans o fins i tot dades financeres. Aquest fet genera una obligació clara: tota la responsabilitat sobre l’ús correcte d’aquestes dades recau sobre l’empresa que les facilita, és a dir, el responsable del tractament, mentre que el proveïdor que accedeix a les dades per compte de l’empresa actua com a encarregat del tractament.
És habitual que moltes empreses subcontractin serveis com la gestió informàtica o la formació professional. Un exemple clar és el contracte amb un informàtic extern, quan aquesta persona necessita accedir als sistemes, té potencial accés a tota la informació dels clients i treballadors. Sense un contracte formal i garanties clares, l’empresa queda exposada a un risc elevat. En cas que les dades s’utilitzessin indegudament es produiria una fuga, i la responsabilitat legal recauria sobre l’empresa que les ha facilitat, no sobre l’encarregat que les ha tractat (és a dir, l’informàtic).
Així doncs, formalitzar contractes amb els encarregats del tractament és essencial. Aquests contractes han de definir clarament les finalitats del tractament, les mesures de seguretat que s’han d’aplicar, les limitacions en l’ús de les dades i els mecanismes per garantir la confidencialitat i integritat de la informació. Sense aquests contractes, si una empresa cedeix dades a tercers (com en el cas d’empreses formadores, serveis informàtics o consultories), està incomplint amb el que exigeix l’article 28 del RGPD. La responsabilitat recau sobre el responsable del tractament (l’empresa que cedeix les dades), ja que és qui decideix sobre les finalitats i els mitjans del tractament, mentre que l’encarregat només actua per compte d’aquest. L’empresa es pot veure exposada a sancions, reclamacions i a un perjudici reputacional per incomplir amb la normativa.
A més, la transparència amb els treballadors i clients és clau, cal informar sobre qui accedeix a les dades i amb quina finalitat. No només es tracta de complir amb la llei, sinó de generar confiança i demostrar que l’organització gestiona les dades amb responsabilitat i cura.
Formalitzar adequadament els contractes amb tercers i establir garanties de seguretat són passos imprescindibles. Les dades personals no són només un recurs empresarial, són una responsabilitat que exigeix rigor, mesures clares i un control constant sobre el seu ús. Només així es garanteix un tractament segur i conforme a la normativa, protegint l’empresa i les persones sobre les quals es tracten les dades.
