Protecció de dades en una app: el que l’RGPD demana en dissenyar-la

Si la teva aplicació tracta dades de persones (clients, pacients, alumnes, empleats), el Reglament general de protecció de dades t’afecta des del disseny, no només quan redactes la política de privadesa. Aquesta guia resumeix el que convé tenir en compte en encarregar una app. No substitueix l’assessorament legal: la responsabilitat del tractament és de la teva empresa i convé revisar-ho amb el teu assessor.

Els principis que més afecten el disseny

• Minimització: demana només les dades que necessites per a la finalitat. Cada camp de més és un risc de més.
• Finalitat: les dades s’utilitzen per al que vas dir en recollir-les, no per a una altra cosa sense una base legal.
• Conservació limitada: decideix quant de temps guardes cada dada i fes que l’app l’esborri o l’anonimitzi després.
• Seguretat: mesures tècniques i organitzatives adequades al risc de les dades.
• Privadesa des del disseny i per defecte: les opcions més protectores activades sense que l’usuari les hagi de buscar.

Què cal decidir abans de construir

• Quines dades recull i amb quina base legal: contracte, consentiment, obligació legal o interès legítim.
• Si tractes dades especialment protegides, com les de salut, que exigeixen més cura i, sovint, una avaluació d’impacte.
• Quins proveïdors hi intervenen (allotjament, correu, pagaments, IA) i on són: cadascun necessita un contracte d’encarregat del tractament.
• Com atendràs els drets dels usuaris: accés, rectificació, supressió, portabilitat o oposició.

Mesures tècniques que convé demanar

• Accés per rols: cada persona veu només el que necessita per a la seva feina.
• Registre d’accessos a les dades sensibles, per saber qui va consultar què i quan.
• Xifratge en trànsit sempre, i en repòs per a les dades delicades.
• Allotjament a la Unió Europea, o garanties adequades si algun proveïdor és fora.
• Exportació i esborrament de les dades d’una persona des del panell, per atendre’n els drets sense dependre d’un tècnic.
• Còpies de seguretat xifrades i amb un termini de conservació definit.

Errors freqüents

• Guardar dades «per si de cas» i no esborrar-les mai.
• Fer servir eines de tercers (analítica, xat, formularis) sense revisar quines dades reben i sense el consentiment necessari.
• Compartir un mateix compte d’administració entre diverses persones.
• Deixar les dades reals en entorns de proves sense protecció.

Als nostres projectes dissenyem amb accés per rols, registre d’accessos i allotjament a la UE, i t’ajudem a documentar les mesures tècniques perquè el teu assessor pugui completar l’anàlisi legal.

Com desenvolupem la teva aplicació