Las redes sociales pueden proporcionar a los investigadores tres tipos de datos diferentes: datos proporcionados, datos observados y datos inferidos/derivados (o una combinación de todos ellos). Estos tipos de datos podrían definirse así^[1]:

• Por “datos facilitados” se entiende la información suministrada activamente por el interesado al proveedor de las redes sociales y/o a los responsables. Por ejemplo: los usuarios de las redes sociales pueden indicar su edad en la descripción de sus perfiles. En estas directrices no abordaremos el tratamiento de dichos datos, ya que no es diferente de otros datos recogidos por un proveedor de servicios.
• Los “datos observados” se refieren a los datos proporcionados por el interesado en virtud de la utilización de un servicio o dispositivo. Entre ellos se incluyen:
  • los datos de un usuario concreto de las redes sociales pueden recopilarse a partir de su actividad en la propia plataforma de las redes sociales (por ejemplo, el contenido que el usuario ha compartido, consultado o gustado)
  • datos relacionados con el uso de los dispositivos en los que se ejecuta la aplicación de los medios sociales (por ejemplo, coordenadas GPS, número de teléfono móvil)
  • datos obtenidos por un desarrollador de aplicaciones de terceros utilizando las interfaces de programación de aplicaciones (API) o los kits de desarrollo de software (SDK) ofrecidos por los proveedores de medios sociales
  • datos recogidos a través de sitios web de terceros que hayan incorporado plugins o píxeles sociales
  • datos recogidos a través de terceros (por ejemplo, partes con las que el interesado ha interactuado, ha comprado un producto o se ha suscrito a tarjetas de fidelización); o
  • datos recogidos a través de servicios ofrecidos por empresas que son propiedad del proveedor de redes sociales o que son operadas por él..
• Los “datos inferidos” y los “datos derivados” son los creados por el responsable del tratamiento sobre la base de los datos facilitados por el interesado o los observados por el responsable. Pueden derivarse mediante cálculos deterministas o inferirse de forma probabilística. Por ejemplo, un proveedor de redes sociales podría inferir que es probable que una persona esté interesada en una determinada actividad o producto sobre la base de su comportamiento de navegación por la web y/o sus conexiones a la red.

La forma de obtener los datos no es relevante a la hora de calificarlos como datos personales o no personales, ni a la hora de decidir si pertenecen a categorías especiales de datos de acuerdo con el Art. 9 del RGPD. Sin embargo, puede tener consecuencias importantes en otros aspectos. Por ejemplo, a la hora de determinar si los interesados podían prever, o no, un tratamiento concreto, o a la hora de determinar los límites de su derecho de portabilidad o la información que debe facilitárseles. Hay que tener en cuenta que en el caso de los datos observados, inferidos o derivados, los usuarios no suelen ser conscientes de que se están recogiendo o generando datos.

Cuadro 1: Inferir datos. EjemplosEjemplo 1 “La empresa X ha desarrollado una aplicación que, mediante el análisis de los datos brutos de las señales de electrocardiograma generadas por sensores comerciales comúnmente disponibles para los consumidores, es capaz de detectar patrones de adicción a las drogas. El motor de la aplicación puede extraer características específicas de los datos brutos del ECG que, según los resultados de investigaciones anteriores, están relacionadas con el consumo de drogas. El producto, compatible con la mayoría de los sensores del mercado, podría utilizarse como aplicación independiente o a través de una interfaz web que requiera la carga de los datos. Debe recabarse el consentimiento explícito del usuario para procesar los datos con ese fin. El cumplimiento de este requisito de consentimiento puede satisfacerse en las mismas condiciones y en el momento en que se recaba el consentimiento del interesado en virtud del artículo 7, letra a).” Fuente: Grupo de Trabajo del Art. 29, Dictamen 8/2014 del sobre la evolución reciente de la Internet de las cosas (SEP 16, 2014) https://www.dataprotection.ro/servlet/ViewDocument?id=1088. Ejemplo 2 Los datos de Fitbit podrían ser relevantes para los posibles empleadores, que podrían hacer inferencias sobre “la impulsividad y la incapacidad de retrasar la gratificación -que podrían inferirse de los hábitos de ejercicio- se correlacionan con el abuso de alcohol y drogas, el comportamiento alimentario desordenado, el tabaquismo, el mayor endeudamiento con tarjetas de crédito y la menor puntuación crediticia. La falta de sueño -que un Fitbit registra- se ha vinculado a un mal bienestar psicológico, problemas de salud, bajo rendimiento cognitivo y emociones negativas como la ira, la depresión, la tristeza y el miedo”. fuente: Peppet, Scott R ‘Regulating the Internet of Things: First Steps toward Managing Discrimination, Privacy, Security and Consent’ (2014) 93 Tex. L. Rev. 85. Hay que tener en cuenta que la inferencia de datos de salud es un tratamiento especialmente sensible, ya que esos datos (independientemente de que se infieran o no) son datos de categorías especiales.

1. Guidelines 8/2020 on the targeting of social media users Version 2.0 Adopted on 13 April 2021: https://edpb.europa.eu/system/files/2021-04/edpb_guidelines_082020_on_the_targeting_of_social_media_users_en.pdf ↑