Guia per a l'Anonimització de Dades en Decrets Municipals: Privacitat des del Disseny i per Defecte (RGPD)

Introducció

Aquesta guia estableix els principis, pautes i bones pràctiques per a garantir l'anonimització de les dades personals contingudes en els decrets municipals, en compliment del Reglament (UE) 2016/679 (RGPD), la Llei Orgànica 3/2018 (LOPDGDD) i la Llei 19/2014 de transparència, accés a la informació pública i bon govern (LTC). La seva aplicació assegura que la privacitat sigui incorporada des del disseny i per defecte (article 25 RGPD).

1. Principis Fonamentals

1.1 Protecció de Dades des del Disseny i per Defecte

La implementació d’aquests principis és fonamental per garantir el compliment normatiu des de les fases inicials de qualsevol tractament de dades personals.

• Des del disseny: Integrar mesures de protecció de dades en totes les fases de creació del decret.

  • Exemple: Dissenyar plantilles de documents o bases de dades amb camps ja etiquetats de manera clara com a "dades personals" (p. ex., nom, DNI, contacte), indicant el seu caràcter i la necessitat de tractament acurat.

• Per defecte: Només incloure les dades personals estrictament necessàries.

  • Exemple: Si la finalitat d'un decret només requereix identificar el beneficiari d'una subvenció, la configuració per defecte hauria d'evitar la inclusió automàtica de dades addicionals com l'adreça completa, el telèfon o altres dades no imprescindibles per a la finalitat del document.

1.2 Minimització de Dades

Segons l'article 5.1.c del RGPD, les dades han de ser adequades, pertinents i limitades al necessari.

• Exemple: Evitar incloure el número de DNI sencer quan ja es publica el nom i cognoms.

2. Abast

Aquesta guia és aplicable a qualsevol document oficial generat per l'Ajuntament (decrets, resolucions, actes, etc.) amb destinació a la publicació pública i que contingui o pugui contenir dades personals.

• Exemple: Un decret de concessió d'ajut o un acord de contractació.

3. Categories de Dades a Anonimitzar

4. Estratègies d'Anonimització

4.1 Fase de Redacció (Privacitat des del Disseny)

• Formulari genèric: utilitzar referències genèriques que permetin identificar l’expedient sense identificar la persona.

  • Exemple: Substituir “Decret de concessió de subvenció a Joan Garcia” per “Decret de concessió de subvenció amb número d’expedient 2024/123”. Això permet preservar la traçabilitat del document sense exposar dades personals.

• Plantilles amb marcadors: aplicar estructures predefinides on es destaquin clarament els camps que contenen dades personals per facilitar-ne l'anonimització.

  • Exemple: En lloc de redactar manualment “Joan Garcia, amb DNI 12345678X”, usar una plantilla amb el text “[NOM_ANONIMITZAT], amb identificador [DNI_ANONIMITZAT]”, que posteriorment serà anonimitzat automàticament o manualment segons el procediment establert.

4.2 Fase de Revisió (Control de Qualitat)

• Verificació prèvia de presència de dades personals

  • Exemple: Revisar que cap document no contingui adreces completes abans de publicar-lo.

• Formació del personal en protecció de dades

  • Exemple: Tallers trimestrals sobre com identificar dades sensibles.

4.3 Fase de Publicació (Privacitat per Defecte)

• Classificació de documents segons sensibilitat

• Aplicació de protocols d'anonimització específics

5. Pautes i Casos Específics

Per tal de garantir una anonimització coherent i eficaç, cal distingir entre:

• Anonimització del títol del decret: Aquest és el text que apareixerà visiblement a l'extracte publicat al Portal de Transparència i, per tant, requereix un grau màxim de protecció de dades.

• Anonimització del cos del decret: Tot i que habitualment no es publica de manera íntegra, cal aplicar criteris d'anonimització previsibles en previsió d'una futura publicació o sol·licitud d'accés públic.

A continuació, es detallen les pautes per a cada cas:

5.1 Subvencions

• Títol: utilitzar referències genèriques i número de registre.

  • Exemple: “Decret de concessió de subvenció amb número d’expedient 2024/123”

• Cos: es pot incloure el nom i les 4 últimes xifres del NIF del beneficiari, si no es tracta d’un cas de vulnerabilitat.

  • Exemple: “El beneficiari, Joan Garcia *4567, ha obtingut una subvenció per un import de...”

5.2 Contractació

• Títol: ús exclusiu del número d’expedient.

  • Exemple: “Decret d’adjudicació del servei amb registre 2024/456”

• Cos: es pot incloure el nom i cognoms dels licitadors (persones físiques) amb la seva condició, i l'empresa adjudicatària.

  • Exemple: “S’adjudica a Maria Pérez, autònoma, el contracte de manteniment...”

5.3 Recursos Humans

• Títol: referència genèrica i número de registre.

  • Exemple: “Decret de nomenament amb número d’expedient 2024/321”

• Cos: s’hi pot incloure el nom, cognoms i lloc que ocupa si es tracta d’un càrrec públic.

  • Exemple: “Es nomena Josep Solà com a Cap del Servei d’Intervenció.”

5.4 Altres supòsits (pautes generals)

• Organització institucional: el títol ha de ser genèric; el cos pot incloure trajectòria i dades professionals, però no personals.

• RLT i plantilla: mai incloure noms al títol i al cos del decret.

• Declaracions de béns: evitar la localització exacta tant al títol com al cos.

• Processos selectius: el títol ha de ser genèric; el cos ha d'identificar únicament els aptes.

• Sol·licitud / Arrendaments d'ús de béns i drets: mai incloure noms, dni i adreces al títol i al cos del decret.

• Llicències Obres / Llicències urbanístiques: mai incloure noms i dni al cos del decret. Les adreces s'han de generalitzar a nivell de carrer o bloquejar el número exacte si és un edifici particular

• Participació ciutadana: cap dada personal ni al títol ni al cos.

• Alliberats sindicals: només dades agregades (número i cost) tant al títol com al cos.

6. Publicació Segura dels Decrets

Exemple:

Original: "Joan Pérez, DNI 12345678X, c/ Major 1" Anonimitzat: "Persona interessada amb registre 2024/123"

7. Recomanacions Addicionals

• Anonimitza per defecte davant del dubte

• Revisa periòdicament els decrets publicats

• Informa en els formularis de la possible publicació de dades

8. Referències Normatives i Tècniques

• Reglament (UE) 2016/679 (RGPD)

• Llei Orgànica 3/2018 (LOPDGDD)

• Llei 19/2014, de 29 de desembre (LTC)

• Decret 8/2021, sobre transparència i dret d'accés

• Informe Auditoria APDCAT 1/2018