RGPD a l'administració pública: com anonimitzar actes administratius

L’administració pública espanyola té una doble obligació que sembla contradictòria però no ho és: publicar els seus actes i decisions de forma transparent i, alhora, protegir les dades personals dels ciutadans que apareixen en aquests documents. L’equilibri entre la Llei de Transparència i el RGPD no és opcional — és un requisit legal amb conseqüències reals per als funcionaris i organismes que no el gestionen correctament.

Què obliga el RGPD a les administracions públiques

El RGPD s’aplica a qualsevol organisme que tracti dades personals, incloses totes les administracions públiques espanyoles: ajuntaments, diputacions, comunitats autònomes, organismes autònoms, universitats públiques i entitats del sector públic instrumental.

Les obligacions més rellevants per a la gestió documental són:

Principi de minimització (art. 5.1.c): Només s’han de tractar les dades personals que siguin adequades, pertinents i limitades al que és necessari per a la finalitat perseguida. Quan la finalitat és informar el públic, en la majoria dels casos no és necessari incloure el DNI complet, l’adreça postal o el número de la Seguretat Social dels ciutadans implicats.

Privacitat des del disseny (art. 25): Els sistemes de gestió documental de les administracions han d’incorporar mesures tècniques que garanteixin la protecció de dades per defecte — no com una revisió posterior, sinó com a part del flux de publicació.

Responsabilitat proactiva (art. 5.2): L’organisme ha de poder demostrar que compleix amb el RGPD. En el context documental, això implica registrar quins documents es van publicar, quines dades contenien i quines mesures es van aplicar per protegir els interessats.

Publicació en portals de transparència: quines dades s’han de suprimir

La Llei 19/2013 de Transparència, Accés a la Informació Pública i Bon Govern obliga les administracions a publicar informació sobre contractes, subvencions, retribucions, actes de reunions i resolucions de procediments. No obstant això, l’AEPD ha emès criteris clars sobre quines dades personals s’han de suprimir abans d’aquesta publicació.

En resolucions i actes administratius:

• DNI complet → substituir per les quatre últimes xifres o suprimir
• Adreça postal de l’interessat
• Número de telèfon i correu electrònic
• Número de compte bancari (habitual en resolucions de subvencions)
• Dades de salut o situació familiar quan no siguin rellevants per a l’acte

En contractes i licitacions:

• Dades personals dels tècnics signants que no són càrrecs públics
• DNI de representants legals d’empreses licitadores
• Dades bancàries incloses en la documentació administrativa

En actes d’òrgans col·legiats:

• L’AEPD ha establert que les actes de plens municipals es poden publicar amb els noms dels càrrecs electes, però han de protegir les dades de ciutadans que intervinguin com a particulars (per exemple, en períodes de precs i preguntes).

En resolucions sancionadores:

• La publicació de sancions només és obligatòria en els casos previstos expressament per la llei i amb les limitacions establertes per a cada tipus de procediment.

Anonimització vs. seudonimització: la distinció clau per a l’AEPD

Aquest és el punt tècnic més important i també el que genera més confusió en els equips de gestió documental de les administracions.

Seudonimització: Se substitueix la dada per un codi o referència alternativa (per exemple, DNI 12345678A → CIUTADÀ-0042). La dada original continua existint en un fitxer de correspondència. El document seudonimitzat continua sent un document amb dades personals des del punt de vista del RGPD, perquè existeix la possibilitat tècnica de reidentificació.

Anonimització: La dada s’elimina o transforma de forma irreversible. No existeix fitxer de correspondència ni possibilitat tècnica de recuperar la dada original. El document resultant ja no conté dades personals i no està subjecte al RGPD.

Per a la publicació en portals de transparència, l’AEPD recomana anonimització real, no seudonimització, excepte en casos on la llei exigeixi explícitament identificar l’interessat (com en determinades publicacions del BOE o de taulers d’anuncis per a notificacions).

La prova pràctica per distingir si has anonimitzat correctament: podria algú que llegeix el document publicat, combinant-lo amb altres fonts d’informació pública disponible, identificar la persona? Si la resposta és sí, el document no està anonimitzat.

Com implementar un flux d’anonimització al teu organisme

La majoria dels organismes públics espanyols no tenen un flux sistemàtic d’anonimització documental. El procés habitual és manual: un funcionari revisa el document abans de publicar-lo i elimina manualment les dades que recorda que són sensibles. Aquest enfocament té tres problemes estructurals: és lent, és inconsistent i no genera traçabilitat.

Un flux d’anonimització sistemàtic per a una administració pública ha d’incloure:

1. Classificació de tipus de documents Establir quines categories de documents es publiquen (resolucions, contractes, subvencions, actes) i quin tipus de dades personals conté habitualment cada categoria.

2. Detecció automatitzada Utilitzar eines de NLP capaces d’identificar dades personals en text no estructurat, incloent-hi formats específics del context espanyol: DNI, NIE, número de Seguretat Social, matrícula de vehicle, IBAN.

3. Revisió humana de casos ambigus L’automatització no reemplaça la revisió humana en casos on la dada és contextualment sensible (per exemple, un nom que també és el d’una empresa o una adreça que identifica una persona però és part d’una referència cadastral).

4. Log d’auditoria Cada document publicat ha d’anar acompanyat d’un registre intern que certifiqui quin procés d’anonimització es va aplicar, en quina data i per quina persona o sistema. Aquest log és l’evidència que protegeix l’organisme davant una reclamació davant l’AEPD.

5. Revisió periòdica de criteris L’AEPD actualitza periòdicament els seus criteris d’interpretació. Els procediments d’anonimització s’han de revisar almenys una vegada a l’any per assegurar que continuen sent conformes.

Preguntes freqüents sobre RGPD i administració pública

Pot una administració publicar el nom dels perceptors de subvencions?

Sí, en general. La Llei de Transparència obliga a publicar les subvencions concedides incloent-hi l’import i el beneficiari. No obstant això, quan el beneficiari és una persona física (no una empresa), el RGPD limita quina informació addicional es pot publicar juntament amb el seu nom. L’AEPD ha establert que publicar nom + import + objecte de la subvenció és proporcional; publicar nom + DNI + adreça ja no ho és.

Estan obligades les entitats locals petites (ajuntaments rurals) a complir el RGPD?

Sí, sense excepcions. El RGPD s’aplica a qualsevol organisme que tracti dades personals, independentment de la seva mida. El que varia segons la mida és l’obligació de designar un Delegat de Protecció de Dades (DPO), però no el compliment dels principis bàsics.

Què passa si un ciutadà sol·licita informació que conté dades de tercers?

L’exercici del dret d’accés a la informació pública (Llei de Transparència) no preval automàticament sobre el RGPD. L’organisme ha de ponderar tots dos drets i, en general, facilitar la informació sol·licitada en format anonimitzat quan sigui possible fer-ho sense desvirtuar l’objecte de la sol·licitud.

Pot l’AEPD sancionar una administració pública?

Sí. Encara que les administracions no poden ser sancionades amb multes econòmiques directes en els mateixos termes que les empreses privades, l’AEPD pot emetre advertiments amb efecte públic i exigir mesures correctores amb terminis obligatoris. A més, els responsables individuals poden incórrer en responsabilitat disciplinària.

Conclusió

Publicar amb transparència no significa publicar sense control. Les administracions públiques espanyoles tenen l’eina normativa i tècnica per complir simultàniament amb la Llei de Transparència i el RGPD: l’anonimització sistemàtica de documents abans de la seva publicació.

El primer pas és reconèixer que el procés manual no és sostenible a escala. Si el teu organisme publica desenes o centenars de documents al mes, coneix com anonimiza.do pot automatitzar aquest procés i convertir l’anonimització en part natural del flux de publicació, no en un coll d’ampolla.