هذه المقالة هي نتيجة المناقشة التي تم إجراؤها في الجلسة: "قضايا العمل وحماية البيانات في القانون 2/2023 المؤرخ 20 فبراير بشأن حماية المخبرe"

تنص المادة 5 من القانون 2/2023 ، المؤرخ 20 فبراير ، الذي ينظم حماية الأشخاص الذين يبلغون عن الانتهاكات التنظيمية ومكافحة الفساد ، على أن الهيئة الإدارية أو الهيئة الإدارية لكل كيان أو هيئة يقتضيه القانون ، بالإضافة إلى كونه مسؤولاً عن تنفيذ نظام المعلومات الداخلي ، سيكون له وضع الشخص المسؤول عن معالجة البيانات الشخصية وفقا لأحكام اللوائح الخاصة بحماية البيانات الشخصية. يفترض إذن الإسناد على سبيل المثال لا الحصر من حالة مراقب البيانات.

ليس من العبث أن نتذكر أن هذا الرقم محدد من قبل اللائحة العامة لحماية البيانات بخطوط دقيقة للغاية. "المسؤول عن العلاج" أو "المراقب": الشخص الطبيعي أو الاعتباري أو السلطة العامة أو الخدمة أو أي هيئة أخرى تحدد ، بمفردها أو بالاشتراك مع آخرين ، أغراض ووسائل العلاج ؛ إذا حدد قانون الاتحاد أو الدول الأعضاء أغراض ووسائل المعالجة ، فيمكن وضع المراقب أو المعايير المحددة لتعيينه بموجب قانون الاتحاد أو قانون الدول الأعضاء ؛

من ناحية أخرى ، هناك إسناد للأدوار ذات الطبيعة المادية بناءً على تحديد الكيان أو الموضوع الذي يتمتع بقدرة جوهرية على اتخاذ القرار. من ناحية أخرى ، عندما يتخذ القانون هذه القرارات ، يمكنه أيضًا أن ينسب إلى موضوع معين حالة المسؤول. هذه ليست قضية خلافية. ما هو قابل للنقاش هو ما إذا كان اختيار المشرع صحيحًا. في مناسبات عديدة ، مع الحرية التي تمنحها لنا الأوساط الأكاديمية ، انتقدنا الحلول المختبرية. وهذا بلا شك لأنه يمكن أن يصبح غير فعال أو إشكالي لأسباب مختلفة.

الأول ، والأكثر أولية ، يعود بنا إلى النهج المادي. لا يحدد القانون الغايات والوسائل فحسب ، بل يعزز أيضًا أ نموذج إدارة معين. المادة 8 منه ، عند تنظيم تعيين ووظائف الشخص المسؤول عن نظام المعلومات الداخلي ، تحدد الشخص أو الهيئة الجماعية التي ، بناءً على قانون الاستقلال ، ستتخذ قرارات إدارية عادية. النظام الأساسي الذي ، بعيدًا عن التأثر ، كان من الممكن إثراؤه من خلال إسناد حالة مراقب البيانات. وهذا لأسباب عديدة مختلفة.

الأول منذ شفافية وموثوقية النظام ، فضلاً عن إمكانية الوصول إليه. نظرًا لأهمية قراره ، فسيكون عادةً أن مقدم الشكوى تحقق بعناية من المعلومات القانونية بما في ذلك سياسات الخصوصية: ما الذي ستفهمه عندما تقرأ أن الشخص المسؤول عن العلاج هو "مجلس إدارة" ، فيما يتعلق به ستثير أي نوع من الاتصالات؟ لم يحصل المتصل على شهادة الخصوصية من AEPD وكان بإمكانه فهم أن "نظام المعلومات" الذي كان سيحمي هويته موجه من قبل أولئك الذين ينوي التنديد بهم. إذا كان الأمر كذلك ، فلن يقدم أي شخص في عقله الصحيح شكوى. وعلى الرغم من التأكيد على أن "الحس السليم" ليس له قيمة قانونية أو عقلانية قليلة ، فإنه عندما يتم تنظيمه فإنه يستحق أن تضع نفسك في مكان الأشخاص الذين لن يلاحظوا هذه الأطعمة الشهية العقائدية.

الأمر الأكثر سخافة هو الحاجة إلى تصميم مجموعة من تدابير الامتثال المصممة لضمان تعويض نظام المعلومات. لا توجد قاعدة واحدة لحماية البيانات تشير إلى أن الوصول إلى نظام المعلومات يمكن أن يستخدم حق النقض من قبل الهيئة التي تُنسب إليها حالة مراقب البيانات. وهذا هو النتيجة الرئيسية لهذا البناء القانوني. لا ينبغي لأحد أعضاء مجلس الإدارة أو الأشخاص في فريقك الوصول إلى نظام المعلومات. وهذا يثير المفارقة عندما ، وفقًا للمادة 36.4 من LOPDGDD ، يقوم الشخص المفوض بحماية البيانات بإخطار "الهيئات الإدارية والتنظيمية للشخص المسؤول" بانتهاك محتمل في نظام المعلومات هذا. لا يتخذ DPD قرارات ، فهو يشرف فقط ، ويجب على الشخص المسؤول التحقيق في المشكلات وتصحيحها. قد يشمل هذا الإجراء الوصول إلى نظام المعلومات والمعلومات الخاصة به. يضع القرار الفني الذي يتضمنه القانون القدرة على اتخاذ قرار بشأن معالجة البيانات في هيئة يجب ، في ظل ظروف معينة ، حظر الوصول إلى المعلومات.

La حماية البيانات حسب التصميم وبشكل افتراضي ليست مهمة مخبرية قانونية فقط. يتطلب معرفة ، أو على الأقل محاكاة عمليات الإدارة ، حتى لو كانت في نموذج تصميم ، فإنها لا تعمل. إذا تم تكوين خريطة العملية بمخطط واضح ، فسيكون من الصعب إسناد هذه المسؤولية إلى مجلس الإدارة. يتوافق الفضاء الطبيعي لمثل هذه المهمة ، بشكل طبيعي ، مع هيئة الامتثال.

هذا يفرض على مفوضي حماية البيانات النظر في سياستين على الأقل. أولا ، تأكد من ذلك تفي المعلومات حول العلاج بوظيفة مطلوبة من الشفافية وإمكانية الوصول في أبعادها من الوضوح. يجب أن يفهم المتصل أن "المجلس" ، حتى لو كان مسؤولاً عن العلاج ، عند "الإبلاغ عنه" ، لن يتمكن من الوصول إلى المعلومات. والثاني هو تصميم المنهجية الداخلية وتشكيل تصميم نظام المعلومات الذي يضمن ، من أجل الامتثال للقانون العام لحماية البيانات ، نحن لا نؤثر على واجب أنfidenciality من القانون 2/2023.

ريكار مارتينيز مارتينيز

أستاذ القانون الدستوري بجامعة فالنسيا ، ومدير كرسي الخصوصية والتحول الرقمي التابع لمايكروسوفت بجامعة فالنسيا والمستشار الأكاديمي لـ FIDE