Escoles i ajuntaments

Quan una escola obre un grup de missatgeria amb les famílies o un ajuntament trasllada un servei a una plataforma, decideix el tractament de dades de milers de persones que no han triat res. Gairebé sempre es fa sense expedient, perquè l’eina és gratuïta i tothom la fa servir. Aquesta secció posa la informació que ja hi ha al directori en l’ordre en què la necessita qui ha de signar.

El problema

Fer servir una eina gratuïta és signar un contracte. Quan una entitat pública hi posa dades de les quals respon, passa a ser responsable del tractament i la plataforma passa a ser encarregada. Que no hi hagi factura no treu cap de les obligacions de l’article 28 del Reglament general de protecció de dades.

Moltes entitats tenen un encarregat del tractament amb qui no han signat res, del qual no coneixen els subencarregats i del qual no saben com recuperarien les dades si volguessin marxar.

El protocol, en set passes

  1. Escriviu la necessitat abans que el nom. «Cal comunicar-se amb les famílies» no és «cal un grup de WhatsApp». Amb la necessitat escrita en termes funcionals es poden comparar alternatives; si la primera línia de l’expedient ja porta una marca, la comparació ja no es farà.
  2. Mireu la fitxa de contractació. A sota n’hi ha una per a cada aplicació del directori, amb els deu punts que la normativa obliga a valorar, què en sabem i quin precepte fa rellevant cadascun.
  3. Decidiu si cal avaluació d’impacte. Si l’eina tracta categories especials de dades o dades de menors a gran escala, la resposta és que sí, i s’ha de fer abans de desplegar-la.
  4. Demaneu el contracte d’encarregat per escrit. Amb la llista de subencarregats, la ubicació de les dades, el mecanisme de les transferències internacionals i el procediment de retorn i supressió en acabar.
  5. Comproveu que hi ha sortida. Format d’exportació, termini i cost. Triar una eina de la qual no es pot sortir és una decisió irreversible, i una decisió irreversible necessita més justificació.
  6. No traslladeu el cost a les famílies. Si la solució obliga cada família a obrir un compte en una plataforma comercial, el tractament continua existint, però l’entitat el trasllada a qui té menys capacitat de negociar-lo. Ha d’existir sempre una via alternativa que no obligui a registrar-se enlloc.
  7. Deixeu-ho escrit i poseu-hi data de revisió. Les condicions de les plataformes canvien sense avisar, i sense una data de revisió a l’expedient la decisió no es torna a mirar.

Quatre clàusules que haurien de ser-hi sempre

Les fitxes de contractació

Una per aplicació, generades del mateix corpus que la resta del lloc. 354 de les 426 fitxes tenen algun punt marcat com a atenció. Una alerta no diu que l’eina sigui il·legal; diu que l’expedient ha de resoldre aquell punt abans de signar.

Abast

Aquesta secció serveix per preparar l’expedient: recull els punts que s’han de valorar, el que en sabem i d’on ho hem tret. No és un dictamen jurídic, no substitueix l’avaluació d’impacte quan cal fer-la i no recomana contractar ni deixar de contractar cap eina. La decisió i la responsabilitat són de l’òrgan de contractació. Tot el que hi ha a sota es pot descarregar sencer a la pàgina de dades obertes i es pot refer amb el mètode publicat.