Datos de localización y rastreo

Iñigo de Miguel Beriain y Lorena Pérez Campillo (UPV/EHU)

La última sección de este documento reproduce parcialmente la parte “IA” escrita originalmente por Gianclaudio Malgieri y Andrés Chomczyk Penedo (VUB)

Mario Muñoz Organero y Julián Estévez han prestado un valioso apoyo en relación con las cuestiones técnicas. Elena Gil González revisó esta parte de las Directrices

Esta parte de las Directrices ha sido validada por Iñaki Pariente, ex director de la Agencia Vasca de Protección de Datos

Introducción

“En el contexto de los servicios de geolocalización en línea prestados por servicios de la sociedad de la información pueden distinguirse tres diferentes funcionalidades, con distintas responsabilidades para el tratamiento de los datos personales. Se trata del responsable del tratamiento de datos de una infraestructura de geolocalización; el proveedor de una aplicación o un servicio específico de geolocalización; y el creador del sistema operativo de un dispositivo móvil inteligente. En la práctica, las empresas, a menudo, cumplen numerosas funciones al mismo tiempo, por ejemplo, cuando combinan un sistema operativo con una base de datos que dispone de un inventario de puntos de acceso Wifi y una plataforma de publicidad”.^[1]

En esta sección de las Directrices, nos centramos en los dos últimos tipos de responsables: los que están dispuestos a proporcionar una aplicación o servicio específico de geolocalización o a diseñar el sistema operativo de un dispositivo móvil inteligente. Nos centramos aquí, pues, en los datos geoespaciales. Son datos que ofrecen muchos beneficios sociales y económicos, y estas oportunidades deben aprovecharse de forma responsable. Los datos geoespaciales son una categoría amplia que incluye, como mínimo, estos tipos de datos:

• “Datos geoespaciales” en un sentido amplio. Este es el término utilizado en el sitio web de EthicalGEO.^[2] Incluye tanto los datos de localización como los de proximidad.
• “Datos de localización”: datos geoespaciales específicos o muy granulares, que permiten una información muy precisa de dónde está geoposicionado un sujeto o dispositivo.
• “Datos de proximidad”: datos geoespaciales menos precisos, que permiten conocer de forma general dónde está geoposicionado un sujeto o dispositivo. Por ejemplo, dividiendo un mapa en cuadrantes más grandes, utilizando información de códigos postales en lugar de direcciones específicas, etc. En general, los datos de proximidad informan al usuario sobre si un interesado (sujeto titular de datos personales) ha estado cerca de otro interesado o de un lugar concreto.

En esta parte de las Directrices no abordamos las cuestiones de protección de datos relacionadas con el tratamiento realizado por terceros en línea que permiten el tratamiento (posterior) de los datos de localización, como los navegadores, los sitios de redes sociales o los medios de comunicación que permiten, por ejemplo, el “geoetiquetado”. No consideramos aquí el desarrollo de un dispositivo o sistema basado en datos de localización o proximidad. Estas actividades se incluyen en el acápite de estas Directrices dedicado a las redes sociales y los servicios en línea.

También es necesario señalar que los desarrolladores del sistema operativo del dispositivo móvil inteligente podrían ser los responsables del tratamiento de los datos de proximidad o de localización cuando interactúan directamente con el usuario y recogen datos personales (por ejemplo, solicitando el registro inicial del usuario y/o recopilando información de localización con el fin de mejorar los servicios). “Un desarrollador también es el responsable del tratamiento de los datos que trata si el dispositivo tiene una funcionalidad de `teléfono a casa´ para su localización. Dado que en ese caso los desarrolladores deciden los medios y los fines de ese flujo de datos, son los responsables del tratamiento de esos datos. Un ejemplo común de esta funcionalidad de `llamar a casa´ es la provisión automática de actualizaciones de la zona horaria basadas en la ubicación.”^[3]

Este acápite de las Directrices sigue la estructura de la iniciativa Locus Charter. Se trata de un importante intento de crear algunos principios internacionales comunes para ayudar a los usuarios de datos geoespaciales a tomar decisiones mejor informadas, y proporcionar la base para la comunicación con las personas afectadas por esas decisiones. PANELFIT se complace en cooperar en un esfuerzo de colaboración de este tipo, apoyado originalmente por las iniciativas Benchmark y EthicalGEO. Siguiendo la mencionada iniciativa, consideramos que hay diez principios básicos que deben abordarse cuando se utilizan datos de posición/proximidad: reconocer las oportunidades, comprender los impactos, no dañar, proteger a los vulnerables, abordar los sesgos, minimizar la intrusión, minimizar los datos, proteger la privacidad, evitar la identificación de las personas y responsabilidad proactiva. Esta parte de las Directrices pretende concretar estos principios éticos en un asesoramiento jurídico tangible.

Descargo de responsabilidad

Esta parte de las Directrices se redactó en un momento en el que no se había aprobado el Reglamento sobre privacidad electrónica. Puede ocurrir que, en el momento de utilizar esta herramienta, el Reglamento esté en vigor. De ser así, habrá que tener en cuenta los posibles cambios que éste haya producido en el marco normativo. En cualquier caso, este documento ha tratado de introducir algunas de las principales disposiciones incluidas en el proyecto de Reglamento sobre la privacidad electrónica. Esto es así porque, como mínimo, debemos entender que son requisitos éticos que exige una correcta implementación del RGPD. En este sentido, hemos introducido en esta parte de las Directrices las principales instrucciones desarrolladas por el Comité Europeo de Protección de Datos (CEPD) al respecto.^[4]

Hasta que el Reglamento sobre la privacidad electrónica entre en vigor, existirá una situación fragmentada. De hecho, las autoridades de control se enfrentan ahora a una situación en la que la interacción entre la Directiva sobre la privacidad electrónica y el RGPD coexisten y plantean cuestiones en cuanto a las competencias, las tareas y los poderes de las autoridades de protección de datos en aquellos asuntos que desencadenan la aplicación tanto del RGPD como de las leyes nacionales de aplicación de la Directiva sobre la privacidad electrónica.^[5]

1. Grupo de Trabajo del Artículo 29 (2011) Dictamen 13/2011 sobre los servicios de geolocalización en los dispositivos móviles inteligentes, adoptado el 16 de mayo de 2011. 881/11/ES WP 185, P. 12, disponible en: https://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2011/wp185_es.pdf ↑
2. https://ethicalgeo.org/ ↑
3. Grupo de Trabajo del Artículo 29 (2011) Dictamen 13/2011 sobre los servicios de geolocalización en los dispositivos móviles inteligentes, adoptado el 16 de mayo de 2011. 881/11/ES WP 185, P. 12, disponible en: https://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2011/wp185_es.pdf ↑
4. Dictamen 5/2019 sobre la interacción entre la Directiva sobre la privacidad y las comunicaciones electrónicas y el Reglamento general de protección de datos, en particular en lo que respecta a la competencia, funciones y poderes de las autoridades de protección de datos Adoptado el 12 de marzo de 2019, disponible en: https://edpb.europa.eu/sites/default/files/files/file1/201905_edpb_opinion_eprivacydir_gdpr_interplay_es.pdf ↑
5. Ibid ↑