Primer cal mirar bé qui és el responsable i quina autoritat és competent. No totes les situacions van a la mateixa autoritat, i això pot evitar pèrdues de temps.
L’Agència Espanyola de Protecció de Dades, coneguda com a AEPD, és l’autoritat estatal de protecció de dades. Pot intervenir en molts casos relacionats amb empreses, entitats privades, plataformes digitals, serveis en línia, publicitat, morositat, videovigilància o administracions que no entren dins l’àmbit d’una autoritat autonòmica com l’APDCAT.
Si el cas afecta la Generalitat, un ajuntament, una escola pública catalana, una universitat catalana o una entitat que presta un servei públic dins l’àmbit català, pot ser que correspongui a l’APDCAT. Si afecta una empresa privada, una plataforma digital, una companyia telefònica, una botiga en línia, una xarxa social o una entitat d’àmbit estatal, sovint la via serà l’AEPD. L’APDCAT explica el seu àmbit propi d’actuació, i això ajuda a distingir quan pot correspondre una autoritat o l’altra.
No sempre cal saber-ho tot abans de començar. El més important és identificar bé què ha passat, quines dades personals hi ha implicades i qui les ha tractat.
Abans de presentar una reclamació, convé ordenar bé el cas.
En molts supòsits, el primer pas és contactar amb l’entitat responsable del tractament: l’empresa, plataforma, associació, administració o persona que està utilitzant les dades. També es pot contactar amb el seu delegat o delegada de protecció de dades, si en té. L’AEPD recorda que, quan es tracta de drets de protecció de dades, primer cal dirigir-se al responsable del tractament i esperar el termini corresponent abans de reclamar davant l’Agència.
Això és especialment important si vols exercir drets com accés, rectificació, supressió, oposició, limitació, portabilitat o no ser objecte de decisions automatitzades.
Es pot reclamar davant l’AEPD quan hi ha indicis que s’ha produït un tractament incorrecte de dades personals.
Per exemple:
L’AEPD disposa de diferents models de reclamació segons el tipus de cas: drets no atesos, morositat, publicitat, videovigilància, publicació de dades a internet, Canal Prioritari, bretxes de seguretat i un model general per a altres supòsits. El model general s’hauria d’utilitzar només quan no hi hagi un model específic per al cas concret.
Aquesta via serveix quan has demanat a una entitat que exerceixi algun dels teus drets de protecció de dades i no t’ha respost, o bé t’ha contestat però la resposta no resol correctament la petició.
Pot passar, per exemple, si has demanat:
El responsable ha de respondre, com a regla general, en el termini d’un mes. En casos complexos, aquest termini es pot ampliar dos mesos més, però t’haurien d’informar d’aquesta ampliació.
Si encara no has demanat el dret a l’entitat responsable, normalment primer cal fer aquest pas abans d’anar a l’AEPD.
No tots els casos venen d’un dret no atès. De vegades el problema és una actuació concreta que consideres incorrecta.
Per exemple, que s’hagin publicat dades personals, que s’hagin comunicat a tercers, que s’hagin utilitzat per a una finalitat diferent de la prevista o que una entitat hagi accedit a informació que no necessitava.
En aquests casos, el més important és explicar els fets de manera clara i aportar indicis suficients perquè l’AEPD pugui entendre què ha passat i valorar si pot investigar-ho. L’AEPD indica que no pot tramitar reclamacions si no s’especifiquen motius concrets o si no hi ha indicis que permetin investigar.
El Canal Prioritari de l’AEPD està pensat per a situacions especialment greus, quan s’estan difonent a internet imatges, vídeos o àudios sensibles sense autorització i la continuïtat d’aquesta difusió pot causar un dany important a les persones afectades.
No és un canal per a qualsevol publicació incòmoda o molesta. És una via urgent per a casos especialment sensibles, en què cal actuar amb rapidesa.
En aquests casos, l’AEPD demana aportar informació que permeti localitzar clarament el contingut: la xarxa social, web o plataforma on s’està difonent, captures de pantalla i qualsevol dada que ajudi a identificar la publicació. Després d’analitzar la reclamació, l’Agència pot valorar mesures urgents per limitar la continuïtat del tractament.
Una reclamació no ha de ser llarga per ser útil. Ha de ser clara.
Pots estructurar-la així:
1. Context
Explica quina relació tens amb l’entitat o persona que ha tractat les dades.
2. Què va passar
Descriu el fet concret: publicació, comunicació, accés, resposta incorrecta, falta de resposta, publicitat, càmeres, morositat o qualsevol altre tractament.
3. Quan va passar
Indica dates aproximades o exactes, si les tens.
4. Què vas fer
Explica si vas contactar amb l’entitat, si vas exercir algun dret, si vas demanar la retirada d’un contingut o si vas rebre alguna resposta.
5. Què aportes
Relaciona les proves o documents que adjuntes.
6. Què demanes que es revisi
Acaba indicant quin tractament de dades consideres que s’hauria d’examinar.
Una reclamació clara no és la que ho explica tot, sinó la que permet entendre el problema sense perdre’s.
Depèn del cas, però poden ser útils:
Les captures haurien de mostrar el context: data, web, perfil, remitent, plataforma o qualsevol element que permeti veure d’on surt la informació. Una captura massa retallada pot perdre valor perquè no permet entendre bé l’origen del problema.
Quan hi ha diversos documents, és útil numerar-los:
«Document 1: sol·licitud enviada a l’entitat.»
«Document 2: resposta rebuda.»
«Document 3: captura de pantalla de la publicació.»
Les reclamacions davant l’AEPD es presenten preferentment a través de la seva seu electrònica, utilitzant el formulari corresponent segons el tipus de cas. L’AEPD indica que existeixen models específics i que el model general s’ha d’utilitzar només quan no hi ha un model concret per al supòsit.
Un cop presentada la reclamació, l’AEPD pot valorar si l’admet o no a tràmit. Segons la informació oficial de l’Agència, disposa d’un termini màxim de tres mesos per decidir sobre l’admissió o inadmissió de la reclamació. Si la reclamació és per un dret no atès, el termini màxim de resolució és de sis mesos des de l’admissió a tràmit. En altres possibles infraccions, pot haver-hi una fase d’actuacions prèvies d’investigació, amb una durada màxima de divuit mesos des de l’admissió.
Això no vol dir que tots els casos acabin amb una sanció. L’AEPD pot arxivar actuacions, requerir informació, iniciar un procediment, ordenar mesures o, si correspon, sancionar.
L’AEPD no és un jutjat ni una oficina general de consum.
Això és important perquè alguns conflictes tenen una part de protecció de dades, però també una part contractual, econòmica o de consum. Per exemple, una discussió sobre si una factura és correcta, si una permanència és vàlida o si una empresa ha de retornar diners potser s’ha de plantejar davant consum, telecomunicacions, energia o els tribunals, no només davant l’AEPD.
L’AEPD també indica que, si el que es vol és una indemnització pels danys patits, aquesta reclamació s’ha de fer davant els tribunals, encara que pugui existir una infracció de protecció de dades.
Una reclamació pot perdre força quan:
No cal escriure com un advocat. Però sí cal explicar bé què ha passat, quan, qui hi ha intervingut i per què afecta dades personals.
Una bona reclamació hauria de permetre entendre tres coses:
Quines dades personals estan afectades.
Qui les ha tractat.
Per què consideres que aquell tractament pot ser incorrecte.
A partir d’aquí, la documentació hauria d’ajudar a sostenir els fets, no substituir l’explicació.
Reclamar no és enviar molts documents sense ordre. És explicar un problema concret i aportar el que ajuda a comprovar-lo.
