Interbiaken barne informazio sistema: Datu pertsonalen babesa eta konfidentzialtasuna

Datuen babesa eta informazioaren segurtasuna: araubide juridikoa

Pertsona informatzailearen, pertsona interesdunen eta hirugarren pertsonen datu pertsonalak, hain zuzen ere informazioa kudeatzeko prozesuan biltzen direnak, konfidentzialtasuna bermatuz tratatuko dira; gainera, horien tratamenduan zorrotz beteko dira datu pertsonalen babesari eta informazioaren segurtasunari buruzko araudian ezartzen diren betebeharra

Prozesu horretan egin beharreko datuen tratamenduan honako arau hauek aplikatuko dira

  • 2016/679 (EB) Erregelamendua, Europako Parlamentuaren eta Kontseiluarena, 2016ko apirilaren 27koa (hemendik aurrera, DBEO).
  • 3/2018 Lege Organikoa, abenduaren 5ekoa, Datu pertsonalen babesari eta eskubide digitalen bermeari buruzkoa (hemendik aurrera, DBEDBLO).
  • 7/2021 Lege Organikoa, maiatzaren 26koa, arau-hauste penalak prebenitzeko, detektatzeko, ikertzeko eta epaitzeko eta zehapen penalak betearazteko tratatzen diren datu pertsonalak babesteari buruzkoa (hemendik aurrera, 7/2021 Legea).
  • 311/2022 Errege Dekretua, maiatzaren 3koa, Segurtasunaren Eskema Nazionala (hemendik aurrera, ENS) arautzen duena.
  • 2/2023 Legea, otsailaren 20koa, arau-hausteei eta ustelkeriaren aurkako borrokari buruzko informazioa ematen duten pertsonak babesteko dena (hemendik aurrera, IBL); VI. titulua.

Tratamenduaren ardura

Interbiaken administrazio-organoak edukiko du Barne Informazio Sistema abian jartzeko ardura, bai eta datu pertsonalen tratamenduaren ardura ere (IBL, 5.1 art.

Tratamenduaren arduradunak honako ardura eta egiteko hauek dauzka:

  • Datu pertsonalen tratamenduan segurtasuna bermatzeko neurri tekniko eta antolaketa-neurri egokienak erabaki eta aplikatuko ditu, bere ardura-esparruaren barruan.
  • Arriskuak aztertuko ditu eta eraginak ebaluatuko ditu DBEOren arabera beharrezkoa denean.
  • Datu pertsonalen segurtasuna urratzen denean, agintaritza eskudunari jakinaraziko dio, ahal dela 72 ordu igaro baino lehen. Urratze batek arriskuan ipintzen baditu pertsona batzuen eskubideak eta askatasun fisikoak, interesdunei berehala jakinarazi beharko die.
  • Datuak babesteko eskubideak erabiltzeko eskaerak ebatziko ditu (DBEO, 15 - 22 art.).
  • Datuen babesari buruzko araudian ematen zaizkion gainerako egiteko guztiak beteko ditu.

Interbiaken administrazio-organoak dauka Barne Informazio Sistema abian jartzeko ardura, bai eta datuen tratamenduaren ardura ere. Hori dela-eta, Barne Informazio Sistemaren ardura daukan organoari (BISOA) esleitzen dio Barne Informazio Sistemaren ardura.

BISAOk egiteko hauek dauzka: datuak babesteko eskubideak erabiltzeko eskaerak kudeatzea eta ebaztea, eta alegazioak aurkeztea Datuak Babesteko Euskal Bulegoan segurtasun-urratzeak egon daitezkeenean eta salaketak aurkezten direnean. Horrela, interesdunen eskaeren kudeaketa eta kontroleko agintaritza eta erakundeekiko komunikazioak azkartuko dira .

Datu pertsonalak tratatzeko legitimazioa

Administrazio publiko bati lotuta edo atxikita dagoenez gero, Interbiakek barne informazio sistema eduki behar du (IBL, 13. art.). Arau-hausteei buruzko komunikazioak kudeatzeko behar diren datu pertsonalen tratamenduetan honako hauek beteko dira: IBLren 30.2 artikulua, DBEOren 6.1.c artikulua, DBEDBLOren 8.1 artikulua, eta 7/2021 Legearen 11. artikulua.

Barne informazio sistema kudeatzeko behar diren datu pertsonalak baino ez dira tratatuko; kasuak aztertzeko edo ikertzeko behar ez direnean, datu pertsonalak ezabatuko dira (IBL, 2. art.). Pertsona interesdunen interesak eta oinarrizko eskubideak behar bezala babesteko behar diren bermeak ezarriko dira.

Halaber, honako kasu hauetan ere komunikazioetako datu pertsonalak ezabatuko dira:

  • IBLn aipatzen ez diren jokabideei buruzkoak direnean.
  • Egiaztatzen denean informazioa (osorik edo zati bat) faltsua dela. Nolanahi ere egiazkotasun ezak legezkontrakotasuna eragin ahal badu, informazioa prozedura judizialak irauten duen artean gordeko da.
  • Datuak, kategoria berezikoak izanik, tratatu behar ez direnean.
  • Kategoria bereziko datuak (DBEO, 9.1 art.) ez dira beharrezkoak jasotzen diren komunikazioak kudeatzeko.

Datu batzuk beharrezkotzat jotzen badira, DBEOren 9.2.g) artikuluan ezartzen dena aplikatu behar da: "Batasuneko edo estatu kideetako zuzenbidean oinarrituta, funtsezko interes publikoko zioak direla bide, tratamendua beharrezkoa da, baina lortu nahi den helburuarekiko proportzionala izan behar du, funtsean datuak babesteko eskubidea errespetatuko du eta interesdunaren oinarrizko interesak eta eskubideak babesteko berezko neurri egokiak zehaztuko dira".

Barne informazio sistemako datu pertsonalak eskuratzea eta hirugarren pertsonei jakinaraztea

Barne informazio sistemako datuak honako hauek baino ezin dituzte eskuratu (IBL, 32.1 art.):

  • BISaren organo arduraduneko (BISOA) pertsonek eta organo horrek barne informazio sistema kudeatzeko ahalmena eta ikerketa-espedienteak izapidetzeko ahalmena eskuordetzen dizkion pertsonak.
  • Datuak babesteko ordezkariak.
  • Giza baliabideen edo esleitutako organo eskudunaren arduradunak (enplegatu baten kontrako diziplina-neurririk ezarri behar izanez gero).
  • Zerbitzu juridikoen arduradunak (jakinarazitako gertaeren inguruan lege-neurrik ezarri behar izanez gero).
  • Kasu bakoitzean datuen tratamendurako izendatutako arduradunek.

Barne informazio sistemako datuak hirugarren pertsonei jakinarazi ahal izango zaizkie hauetarako beharrezkoak izanez gero:

  • Interbiaken neurri zuzentzaileak ezartzeko.
  • Zehapen-prozedurak edo zigor-prozedurak izapidetzeko.

Barne informazio sistemak komunikazio anonimoak aurkezteko aukera eman behar du.

Informatzaileak nor den aditzera ematen badu, horren berri agintaritza judizialari, Fiskaltzari edo administrazio-agintaritza eskudunari bakarrik eman ahal izango zaie zigor-ikerketa, diziplina-ikerketa edo zehapen-ikerketa baten esparruan

Egoera horiek araudian babestuta daude. Beraz, datuak hirugarren pertsonei eman aurretik agintaritza eskudunak idatziz azalduko dio informatzaileari zergatik eman behar den beraren izenaren berri. Ikerketa eta prozedura judiziala arriskua jarri ahal bada, ez da jakinaraziko.

Barne informazio sistemaren aplikazioan jasotzen diren informazioen eta haien inguruko ikerketen erregistro-liburua dago (IBLn ezartzen diren baldintzak betetzeko). Liburu hori ez da publikoa. Liburu horretako erregistro bat edo erregistro baten atal bat honako kasu honetan baino ezin izango da eskuratu: prozedura judizial batean, agintaritza judizial eskudunaren zaintzapean, agintaritza horren autoa dela bide.

Datu pertsonalak gordetzea

Jasotzen diren informazioetako eta horien inguruko ikerketetako datu pertsonalak behar den zentzuzko aldian gordeko dira, IBLn ezartzen dena betetzeko..

Datuak ikerketa hastea erabaki arte baino ez dira gordeko. Komunikaziotik 3 hilabete igaro ondoren ikerketa hasi ez bada, datuak ezabatuko dira (sistemaren funtzionamendurako behar direla frogatu ezean). Kasua oso konplexua bada, datuak beste 3 hilabetean gorde ahal izango dira (hau da, guztira 6 hilabete). Baldin eta 3 edo 6 hilabeteko aldian komunikazioak aurrera egin ez badu, datuak izenik gabe agertu beharko dira (ez da aplikatuko DBEDBLOren 32. artikuluan arautzen den blokeoa).

Jasotzen diren informazioen eta horien inguruko ikerketen erregistro-liburuko datuak behar den zentzuzko aldian gordeko dira, IBLn ezartzen dena betetzeko, 10 urtez gehienez ere.

Interesdunei informazioa eman beharra eta datu pertsonalak babesteko eskaerei erantzun beharra betetzea

Interesdunen datu pertsonalak tratatuko badira, Interbiakek honako informazio hau eman behar du (DBEO, 13. eta 14. art.):

  • Tratamenduaren arduradunaren izena eta harremanetarako datuak.
  • Datuak babesteko ordezkariaren harremanetarako datuak.
  • Datu pertsonalak zertarako erabiliko diren eta horretarako oinarri juridikoak.
  • Datu pertsonalen hartzaileen kategoriak, egonez gero.
  • Noiz arte gordeko diren datu pertsonalak, edo, ezinezkoa denean, aldi hori ezartzeko erabiliko diren irizpideak.
  • Interesdunek eskubidea dutela tratamenduaren arduradunari eskatzeko datu pertsonalak eskuratzeko baimena, bai eta datuen babesari buruzko araudian ezartzen diren beste eskubide batzuk ere.
  • Kontrol-agintaritza baten aurrean erreklamazioa aurkezteko eskubidea dagoela.
  • Datu pertsonalak zer kategoriatakoak (motak) diren.
  • Datu pertsonalen sorburuak.

Datu pertsonalen babesari buruzko informazioa zehatza, argia, ulergarria eta eskuragarria izan behar da (DBEO, 12. art.). Informazioa bi mailatan emango da (DBEDBLO, 11. art.):

1. maila: Datuen babesari buruzko oinarrizko informazioa

Pertsonak bere datu pertsonalak jakinarazten dituenean ematen da.

  • Tratamenduaren arduradunaren izena.
  • Tratamenduaren helburua.
  • DBEOren 15 - 22 bitarteko artikuluetan ezartzen diren eskubideak erabil daitezkeela.
  • Tratatuko diren datuen kategoriak (motak), egonez gero.
  • Datuen sorburuak, egonez gero.
  • Bigarren mailako informaziorako esteka Interbiaken web orriko Gardentasuna atalean

2. maila: Datuen babesari buruzko informazio gehigarria

Informazio honi DBEOren 13. artikuluko gainerako baldintzak aplikatzen zaizkio. Informazioa eman beharra eta gardentasuna betetzeko behar den gainerako informazioa

Interbiaken web orriko Gardentasuna atalean argitaratuko da, “Tratamendupeko jardueren erregistroa” eremuan

Interesdunek datuen babesari buruzko araudian ezartzen diren eskubideak erabili ahal izango dituzte (DBEO, 15 - 22 art.). Komunikazioan aipatzen den pertsonak aurkaratzeko eskubidea erabili nahi badu (DBEO, 21. art.), lehentasuna edukiko du datu pertsonalen tratamenduak, kontrako frogarik egon ezean

Interesdunak bi aukera dauzka bere eskubideak baliatzeko: idazkia bidal dezake Interbiaken egoitza sozialera edo, bestela, gaituta egonez gero, entitatearen egoitza elektronikoa erabil dezake. Gainera, erreklamazioa aurkez dezake bidezko kontrol-agintaritzan.

Interbiaken tratamendupeko jardueren erregistroa. Datuen babesaren inguruko informazio guztia erregistro honetan bildu behar da. "Arau-hausteei eta ez-betetzeei buruzko barne informazio sistema" tratamendu jardueran (TJ) honako informazio hau agertuko da (DBEO, 30. art.):

  • Tratamenduaren arduradunaren izena eta harremanetarako datuak.
  • Tratamenduaren xedeak
  • Pertsona interesdunen kategoriak.
  • Datu pertsonalen kategoriak.
  • Datu pertsonalak emango zaizkien hartzaileen kategoriak.
  • Datuen sorburua.
  • Datu pertsonalak tratatzeko lege-oinarriak.
  • Datuen kategoriak ezabatzeko ezarritako epealdiak.
  • Segurtasuneko neurri teknikoen eta antolaketa-neurrien azalpena (DBEO, 32. art., 1. apartatua).
  • Interesdunen eskubideak eta eskubideok erabiltzeko modua.
  • Interbiaken datuak babesteko ordezkariaren izena eta harremanetarako datuak.

Datuen babesaren gaineko eragina ebaluatzea (DBEE)

Interbiaken administrazio-organoak, tratamenduaren arduraduna den gobernu-organoa den aldetik, datu pertsonalen tratamenduari ekin aurretik datuen babesaren gaineko eraginaren ebaluazioa (DBEE) egiten du.

Izan ere, ebaluazioa beharrezkoa da barne informazio sistemaren izaera, irismena, egoera eta xedeak kontuan harturik, arriskuan ipini ahal baitira pertsona interesdunen eskubideak eta askatasunak.

DBEEaren bidez datuen tratamenduen segurtasunerako bermeak eta neurriak aztertu eta sendotu ahal izan dira eta baliagarri dauden neurri teknikoekin eta antolaketa-neurriekin estali ezin den arriskuari aurre egin ahal izan zaio. Hori guztia DBEOren 35. artikulua eta IBLren bigarren xedapen iragankorra betetzeko egin da (3 hilabeteko epealdian).

DBEEa honela egin da:

  • Tratamenduaren eragiketak eta xedeak deskribatu dira: pertsonen eta egingo diren eragiketen datuak eta identifikatzaileak, barne Informazio sisteman bilduko direnak, aztertu dira.
  • Datuak eta identifikatzaileak tratatzeko eragiketak beharrezkoak eta xedeen proportziozkoak direnez aztertu da.
  • Tratamendu-eragiketek interesdunentzat sortzen dituzten arriskuak identifikatuko dira, eta arrisku horiek ezabatzeko neurriak eta bermeak ezarriko dira, honako hauek batez ere: arriskuak izenordeen bitartez minimizatzea (DBEO, 25.2 art.) eta datuak zifratzea, beharrezkoa izanez gero (DBEO, 32.1 art.). Horrez gainera, datuak babesteko araudian (DBEO eta DBEDBLO) eta aplikatu beharreko sektoreko araudian ezartzen diren gainerako betebeharrak ere beteko dira.

Konfidentzialtasuna

Barne informazio sistemaren bidez komunikazio anonimoak aurkeztu eta izapidetu daitezke, hau da, informatzaileak nortzuk diren isilpean gorde daiteke.

Halaber, datu pertsonalak agertzen diren komunikazioetan ere hirugarrenei ez zaie jakinaraziko nor den informatzailea (IBLn ezartzen diren kasuetan izan ezik).

Barne informazio sisteman ez da bilduko informatzailea nor den aditzera ematen duen daturik, eta informazioan aipatzen diren interesdunak edo hirugarren pertsonak nor diren isilpean mantentzeko eta beren datuen konfidentzialtasuna babesteko behar diren neurri teknikoak eta antolaketa-neurriak edukiko ditu.