Què hi trobareu

És possible que en la vostra recerca recopileu o necessiteu tractar dades de caràcter personal, és a dir, dades que  identifiquen o poden identificar persones concretes de manera directa o indirecta. La UPF és responsable dels tractaments de dades personals de la Universitat. En aquest sentit, tal i com indica l'article 6.1 de la Resolució del de 4 de desembre de 2018 de mesures organitzatives en l’àmbit de la protecció de dades de caràcter personal a la UPF: "en el cas que l’execució d’un projecte de recerca impliqui un tractament de dades de caràcter personal per part de la Universitat, l’Investigador Principal del projecte en serà el responsable de l’execució"                             

En aquesta pàgines trobareu informació sobre les qüestions a tenir en compte en els vostres projectes de recerca per tal de fer un ús de les dades d'acord amb la legislació aplicable i la normativa pròpia de la UPF.

Si el vostre projecte genera altres tipus de dades, us pot interessar consultar la guia Dades de recerca: Suport en la planificació i difusió

 

Consulta també

 

Conceptes bàsics

És dada personal qualsevol informació que faci referència a persones físiques identificades o identificables. És a dir, quan es pugui identificar una persona per mitjans directes o indirectes (mitjançant qualsevol informació física, fisiològica, psíquica, econòmica, cultural o social), sense que siguin necessaris esforços desproporcionats. 

No només són dades personals les dades identificatives, com el nom i cognom, el DNI, o l'adreça, sinó qualsevol dada que pugui identificar una persona, directament o amb combinació d'altres dades.

Les categories especials de dades personals requereixen d’un tractament singular. Són les dades sobre la salut, l'origen racial o ètnic, la vida sexual, la ideologia, l'afiliació sindical, la religió, les creences, les dades genètiques i les biomètriques. També tenen una consideració especial les dades sobre infraccions administratives i penals.

NO són dades personals, les dades relatives a persones jurídiques, ni tampoc les relatives a persones ja mortes.

Les dades personals cal tractar-les d'acord amb els següents principis bàsics:

  • Licitud, lleialtat i transparència: Les dades personals s'han de tractar de manera lícita, això és, d'acord amb alguna de les condicions que legitimen el tractament (article 6 RGDP), de forma lleial i transparent en relació amb l'interessat. 
  • Finalitat: Només es poden recollir i tractar les dades per a finalitats determinades, explícites i legítimes. I no poden ser tractades per a d’altres finalitats.
  • Minimització: Només es poden tractar les dades que siguin adequades, pertinents i no excessives segons la finalitat per a les quals han estat recopilades.
  • Exactitud i actualitat: Les dades han de ser exactes. Cal actualitzar-les perquè responguin a la situació real de l’afectat.
  • Limitació del termini de conservació: Les dades només s'han de conservar de manera que puguin identificar les persones, durant el període necessari per realitzar la finalitat per a la qual s'hagin recopilat
  • Integritat i Confidencialitat: Les dades han de ser tractades de forma que se’n garanteixi una seguretat adequada, inclosa la protecció contra un tractament no autoritzat o il·lícit, contra la seva pèrdua, destrucció o dany. La seguretat s’ha de garantir mitjançant mesures tècniques i organitzatives adequades. 

Són drets de les persones:

  • Dret d'informació: cal informar la persona, entre d’altres, de la identitat del responsable del tractament, la finalitat del tractament i la possibilitat d’exercir els seus drets (article 11 LOPD, article 13 RGPD). Generalment, es realitza tot afegint una llegenda informativa al formulari de recollida de dades. Podeu consultar com la UPF com a responsable de determinats tractaments garanteix aquest dret d'informació.  
  • Dret d’accés: la persona té dret a sol·licitar la confirmació del responsable de si està tractant o no dades personals referides a ella. En cas positiu, la persona té dret a accedir a aquestes dades i a obtenir-ne informació addicional, com ara: la finalitat del tractament, les categories de dades personals tractades, el termini previst per la conservació d’aquestes dades, etc. (article 15 RGDP)
  • Dret de rectificació: la persona té dret a obtenir del responsable del tractament la rectificació de les dades personals inexactes que l’afecten. La persona també té dret a la compleció de les dades personals incompletes (article 16 RGDP).   
  • Dret de supressió (o "dret a l'oblit"): La persona té dret a obtenir del responsable del tractament la supressió de les dades personals que l’afecten en els casos previstos legalment. Entre d'altres supòsits, el responsable haurà de suprimir les dades personals que ja no siguin necessàries en relació amb les finalitats perquè van ser recollides o tractades (article 17 RGDP).
  • Dret a la limitació del tractament: la persona té dret a obtenir la limitació del tractament de les dades sempre que concorrin una sèrie de circumstàncies, entre les quals trobem: la impugnació de l’exactitud de les dades o la il·licitud de les dades (article 18 RGDP).  
  • Dret de portabilitat: la persona té dret a rebre en un format estructurat, d’ús comú i lectura mecànica les dades que ha facilitat al responsable del tractament o a demanar la migració de les seves dades personals d’un responsable del tractament a un altre, sempre que el tractament es basi en el consentiment o en un contracte i el tractament s’efectuï per mitjans automatitzats (article 20 RGDP).
  • Dret d’oposició: la persona té dret a sol·licitar, per motius personals, que el responsable no realitzi un tractament legitimat per una obligació legal, pel compliment d'una missió en interès públic o en l'exercici de poders públics. També constitueix un dret d'oposició el dret a no ser objecte d’una decisió basada únicament en el tractament automatitzat de dades, inclosa l’elaboració de perfils, que produeixi efectes jurídics o afecti significativament de forma semblant a la persona (article 21 RGDP)

 

 

El responsable de les dades i els seus treballadors tenen els deures següents:

  • Tractar les dades d’acord amb els principis establerts legalment.
  • Garantir els drets de les persones.
  • Guardar el secret de les dades personals, fins i tot després d'haver deixat el lloc de treball.
  • Protecció des del disseny: el responsable ha d'aplicar, tant en el moment de determinar els mitjans del tractament com en el moment del tractament, les mesures tècniques i organitzatives adequades concebudes per aplicar de forma efectiva els principis de protecció de dades i integrar en el tractament les garanties necessàries per complir la legislació aplicable. 
  • El Delegat de Protecció de Dades (DPD) supervisarà el compliment de la legislació aplicable en matèria de protecció de dades així com les accions del responsable en matèria de protecció de dades. També té la funció d'assessorar al responsable respecte l'avaluació d'impacte relativa a la protecció de dades i supervisar la seva aplicació.
  • Cessions de dades: Revelacions de dades personals a una persona diferent de l’afectat. Només es poden comunicar dades a un tercer per a fins directament relacionats amb les finalitats legítimes del responsable del fitxer o del tercer, amb el consentiment previ de l’interessat. No requereixen el consentiment els casos previstos legalment. Publicar dades a internet es considera fer una cessió de dades. No hi ha cessió quan es faciliten dades anonimitzades.
  • Encàrrec de tractament: Realització de tractament de dades per tercers quan és necessari per a la prestació d’un servei al responsable dels fitxers (no es considera una cessió de dades). Cal un contracte o conveni on es reguli el tractament de les dades, finalitat, mesures de seguretat, retorn o destrucció de les dades en finalitzar el servei, etc.
  • Transferència internacional: Tractament de dades que implica la seva transmissió a països fora de l’Espai Econòmic Europeu.  Sotmesa a requisits especials (Agència Espanyola de Protecció de Dades)

Qüestions a tenir en compte en els projectes de recerca

L'article 89 del RG PD regula el tractament de dades de caràcter personal relatiu a finalitats d'investigació científica i n'estableix una sèrie de garanties. L'article 5 del mateix Reglament estipula que les finalitats de recerca són compatibles amb el tractament de dades de caràcter personal.

La Disposició Addicional Dissetena de la LOPDGDD regula específicament la recerca en l'àmbit de la salut.

El primer que cal valorar és si es tractaran realment dades personals al llarg del projecte.

Recordeu que no només són dades personals les identificatives com el nom i cognoms o l’adreça. Són dades personals totes aquelles dades que directament o combinades amb altres dades o informacions poden identificar una persona.

"(...) Per determinar si una persona física és identificable, s'han de tenir en compte tots els mitjans, com la singularització, que raonablement pugui utilitzar el responsable del tractament o qualsevol altra persona per identificar directa o indirectament a la persona física. Per determinar si existeix una probabilitat raonable de que s'utilitzin mitjans per identificar a una persona física, s'han de tenir en compte tots els factors objectius, com els costos i el temps necessaris per la identificació, tenint en compte tant la tecnologia disponible en el moment del tractament com els avenços tecnològics (...)".(Considerand 26 RGPD)

Es consideren dades pseudonimitzades aquelles dades personals tractades de manera que ja no es puguin atribuir a una persona determinada sense utilitzar informació addicional. Sovint la pseudonimització es realitza adjudicant al participant dels projectes de recerca un codi numèric o alfanumèric d'identificació, de manera que les dades obtingudes de la seva participació únicament s'identifiquen amb aquest codi. És necessari emmagatzemar de forma separada i sota les mesures tècniques i organitzatives corresponents el fitxer que contingui les dades identificatives dels participants amb el codi numèric o alfanumèric assignat.

La pseudonimització és una mesura de seguretat i cal aplicar-la a les dades personals sempre que es pugui.

Les dades pseudonimitzades tenen consideració de dades personals

És aquella informació que no té relació amb una persona física identificada o identificable, o aquelles dades tractades de manera que la persona no pugui ser identificable o deixi de ser-ho de forma irreversible (per exemple, perquè s'ha adjudicat a cada participant un codi numèric d'identificació, s'ha eliminat el fitxer que contenia les dades identificatives de la persona i el codi numèric assignat corresponent i, a més, el conjunt de dades recopilades no faciliten informació que permetin identificar el participant)

Cal tenir en compte que la substitució del nom de la persona per un pseudònim o un codi numèric pot no ser suficient per anonimitzar unes dades. A vegades es pot identificar una persona a través de la combinació d'altres informacions o dades.

Cal recordar també que la imatge o la veu de les persones són dades personals, i per tant, la gravació àudio o audiovisual dels participants implica el tractament de dades personals encara que no es mencioni els seus noms.

Les dades anònimes o anonimitzades no són dades personals.

Podeu consultar consells per l’anonimització de dades a:

Valoreu si el vostre projecte necessita tractar dades personals i quines dades.

Les dades personals només es poden recollir i tractar quan siguin adequades, pertinents i no excessives per a la finalitat determinada i legítima buscada. (5.1.c RGPD)

Recordeu:

  • no recopileu dades personals si no són necessàries
  • només recopileu aquelles dades que siguin necessàries per a la vostra recerca, NO recopileu altres dades per si en un futur poguessin ser útils.

Recopilació directa

Si preveieu recopilar dades personals de participants, per exemple, perquè voleu fer entrevistes, qüestionaris, o gravar els participants, cal que compteu amb el consentiment informat de la persona. Recordeu també que per als casos de recerca en persones la Universitat compta amb la Comissió Institucional de Revisió Ètica de Projectes (CIREP)

Reutilització de dades

Si voleu reutilitzar fitxers de dades personals d'altres projectes, cal revisar si és possible als fulls de consentiment que es van signar en la recollida inicial de dades. Podeu sol·licitar també suport a la CIREP.

Les dades que tractareu...

- ... permeten avaluar aspectes de la personalitat o comportament del participant?

- ... són dades sobre salut, origen racial, vida sexual, ideologia, afiliació sindical, religió o creences dels participants?

  • Necessiteu comptar amb el consentiment exprés del participant per tractar aquests temes (article 9.1 LOPDGDD en relació amb l’article 9.2 RGDP) Recordeu incloure aquesta informació i la sol·licitud del consentiment exprés al full de consentiment informat.
  • Cal aplicar mesures de seguretat de nivell bàsic, mitjà i alt a les dades.

- ... són dades de menors d'edat?

  • Heu d’adaptar els fulls de consentiment a un llenguatge comprensible per ells.
  • No podeu demanar dades referents als seus familiars sense el consentiment d’aquests.

- ... són dades de menors de 14 anys?

  • Necessitareu, a més, obtenir el consentiment dels seus representats legals (generalment, dels pares).

- ... són dades de persones declarades incapacitades?

  • Necessitareu obtenir el consentiment dels seus representats legals.

 

En la recopilació de les dades:

  • a ser informats del tractament de les seves dades que es vol fer i a que s'obtingui el seu consentiment. Vegeu Guia de Consentiment informat
  • a no aportar dades que no desitgin

En qualsevol moment de la recerca:

  • a contactar amb els investigadors per qualsevol dubte, aclariment o sol·licitud respecte les seves dades personals: faciliteu les vostres dades de contacte
  • a exercir els seus drets d’accés, rectificació, supressió, oposició, portabilitat i limitació
  • a revocar el seu consentiment

Cal aplicar a les dades personals les mesures de seguretat que siguin adequades per garantir que les dades estiguin protegides contra el tractament no autoritzat o il·lícit, i contra la seva pèrdua, destrucció o dany accidental. Cal adaptar-les als desenvolupaments tecnològics. Vegeu les mesures de seguretat aplicables.

Sempre que sigui possible, xifreu i pseudonimitzeu les dades.

Les dades personals només s’han de conservar durant el període en que siguin necessàries i no excessives: pot coincidir amb el període de durada del projecte i es pot preveure un període addicional necessari per a possibles auditories, revisions, etc. del projecte.

Si voleu conservar fitxers de dades anonimitzades per poder reutilitzar-les en el futur, sol·liciteu el consentiment als participants. Vegeu Guia de consentiment informat.

Per publicar dades personals dels participants és necessari sol·licitar el seu consentiment: per exemple, per incloure fotografies o per projectar fragments de gravacions a seminaris o conferències. També és necessari sol·licitar el consentiment dels participants per poder difondre les seves dades a través d’Internet.

Full de consentiment informat