Què ens va ensenyar el GDPR sobre l'EAA

Ja hem estat aquí abans

El 2018, el GDPR va entrar en vigor i la resposta de la majoria d’organitzacions va seguir un arc previsible. Un període de gairebé silenci. Després, a mesura que s’acostava el termini, una cursa. Després, quan l’aplicació va arribar de veritat, una urgència genuïna i una correguda per complir en un termini molt més curt del que hauria hagut de ser.

La European Accessibility Act va per la mateixa trajectòria. El termini —28 de juny de 2025— ja ha passat. L’aplicació està en marxa. I les organitzacions que van tractar l’accessibilitat com un assumpte del “ja ho resoldrem algun dia” ara estan descobrint que aquest algun dia ha arribat.

Si vas passar pel GDPR, bona part del que segueix et resultarà familiar.

Què tenen en comú

Un termini de compliment que la majoria d’organitzacions van incomplir

Quan el GDPR va entrar en vigor el maig de 2018, les enquestes mostraven que la majoria de les empreses de la UE no complien: en alguns informes, la xifra superava el 60%. La història amb l’EAA sembla similar. La recerca publicada poc abans del termini de juny de 2025 mostrava de manera consistent que només una petita fracció de les empreses cobertes per la llei havia assolit un compliment significatiu.

Totes dues lleis comparteixen el mateix patró bàsic: un llarg període d’aproximació durant el qual la majoria d’organitzacions actuen de manera limitada, seguit d’una allau d’activitat a mesura que s’acosta el termini, seguida d’una aplicació contínua per a les que no es van moure prou de pressa.

Un àmbit territorial que moltes empreses van subestimar

El GDPR s’aplica a qualsevol organització que tracti dades de residents de la UE, independentment d’on estigui ubicada l’organització. L’EAA funciona de manera similar: si el teu producte o servei digital es ven a clients de la UE, i la teva organització compleix els llindars de mida (més de 10 empleats i més de 2 milions d’euros de facturació), has de complir, independentment de si tens la seu a Munic o a San Francisco.

Moltes empreses de fora de la UE es van sorprendre per l’abast del GDPR. El mateix està passant amb l’EAA.

Un marc de sancions amb dents de veritat

Les multes del GDPR —de fins al 4% de la facturació anual global o €20 million, la que sigui més alta— van ser titulars. Les organitzacions es van trobar rebent sancions multimilionàries en euros per errors que, en molts casos, eren evitables.

Les sancions de l’EAA es fixen a escala nacional, de manera que varien entre estats membres. Però no són trivials. Tant Itàlia com França preveuen multes de l’ordre de desenes de milers d’euros per infracció. La implementació de la Barrierefreiheitsstärkungsgesetz (BFSG) d’Alemanya inclou sancions substancials. I, a diferència del GDPR, on moltes infraccions es descobrien a través de filtracions de dades o queixes, els errors d’accessibilitat són visibles per a qualsevol que visiti el teu lloc web amb un lector de pantalla, cosa que inclou les organitzacions de defensa de la discapacitat que presenten queixes d’accessibilitat.

En què es diferencia l’EAA del GDPR

Les infraccions d’accessibilitat són visibles des de fora

Les infraccions del GDPR sovint requerien una queixa interna o una notificació de bretxa per sortir a la llum. Els errors d’accessibilitat es poden descobrir públicament. Qualsevol pot obrir el teu lloc web, executar una anàlisi automàtica o provar-lo amb un lector de pantalla i documentar el que troba. Els grups de defensa de la discapacitat fan exactament això, de manera sistemàtica.

Això significa que el conjunt de possibles denunciants és molt més gran, i la barrera per presentar una queixa és molt més baixa. No necessites accés a sistemes interns ni documents filtrats. Només necessites un navegador.

L’estàndard tècnic ja està especificat

El GDPR exigia a les organitzacions implementar “mesures tècniques i organitzatives adequades” per protegir les dades, un estàndard que era deliberadament vague per permetre el canvi tecnològic. L’EAA especifica un estàndard tècnic concret: la EN 301 549, que fa referència a les Web Content Accessibility Guidelines (WCAG 2.1/2.2) al Nivell AA.

Aquesta claredat és una arma de doble tall. D’una banda, les organitzacions saben exactament què han d’aconseguir. De l’altra, fa que sigui fàcil demostrar l’incompliment: les eines automàtiques poden generar un informe detallat d’infraccions en segons.

L’aplicació primerenca ja està passant

El GDPR va tenir un primer any d’aplicació relativament tranquil abans que arribessin les grans multes. L’aplicació de l’EAA es mou més ràpidament. Les autoritats franceses van començar a emetre notificacions a grans minoristes poc després del termini. Un tribunal de París va dictar sentència sobre un cas d’accessibilitat d’una plataforma escolar que incloïa possibles multes de €25,000 anuals. Les organitzacions de defensa de tots els estats membres de la UE presenten queixes activament.

Les lliçons del GDPR que s’apliquen a l’EAA

”Complirem abans que l’aplicació ens arribi” no és una estratègia

Moltes organitzacions van fer aquest càlcul amb el GDPR i van descobrir que l’aplicació va ser més ràpida i més dirigida del que esperaven. Les queixes d’accessibilitat s’estan presentant ara. Les organitzacions que s’avancen a això són les que comencen a auditar i corregir abans de rebre una notificació formal.

La documentació importa tant com la correcció tècnica

El GDPR exigia a les organitzacions mantenir registres de les activitats de tractament, avaluacions d’impacte sobre la protecció de dades i proves de consentiment. L’EAA exigeix plataformes accessibles i, en moltes implementacions nacionals, declaracions d’accessibilitat que documentin els nivells de conformitat actuals, les excepcions conegudes i els mecanismes de contacte perquè els usuaris informin de les barreres.

Tenir una declaració d’accessibilitat que reflecteixi amb precisió el teu estat actual —i poder demostrar una millora contínua— és una prova significativa de compliment de bona fe.

El compliment és un procés, no un projecte

El parany mental del GDPR era tractar el compliment com una casella per marcar: contractar un equip jurídic, actualitzar la política de privadesa, afegir bàners de galetes, fet. Moltes organitzacions llavors s’aturaven, només per descobrir que havien de revisar el seu compliment a mesura que llançaven nous productes o actualitzaven els existents.

L’accessibilitat funciona de la mateixa manera. Cada nova funció, cada component de tercers, cada renovació de disseny pot introduir noves barreres. Un compliment sostenible requereix integrar l’accessibilitat als teus fluxos de treball de desenvolupament i de contingut, no tractar-la com una correcció puntual. La nostra guia sobre l’accessibilitat al cicle de vida del desenvolupament de programari cobreix com és això a la pràctica.

Comença amb una línia de base

Abans de poder planificar la correcció, has d’entendre en quina situació et trobes actualment. Això significa executar una auditoria —tant automàtica com manual— per documentar els errors, prioritzar-los per impacte i freqüència, i crear un pla de correcció realista.

Si encara no ho has fet, el punt de partida més ràpid és una anàlisi automàtica gratuïta, que et dona una imatge immediata de les infraccions automatitzables. Per obtenir la imatge completa —incloent-hi el 60–70% aproximat de barreres que les eines automàtiques no poden detectar— calen proves manuals fetes per persones que utilitzen tecnologia d’assistència.

Les organitzacions que van gestionar bé el GDPR no van esperar l’aplicació. Van avaluar la seva posició, van fer un pla i el van executar amb la mateixa urgència que aplicarien a qualsevol altre risc empresarial material. L’EAA mereix el mateix tractament.