La recopilación de datos de las redes sociales suele implicar la firma de algún tipo de acuerdo con sus representantes. De hecho, es probable que no se proporcione acceso a su API, o a herramientas similares, si no se ha documentado este acuerdo. A veces, la adhesión a las políticas de los desarrolladores ni siquiera forma parte de este acuerdo, ya que está clarísimo que quien recibe datos de la red tiene que seguirlas. Sin embargo, el investigador/innovador debe asegurarse de que esta arquitectura legal está adecuadamente fijada desde el principio.
Por otra parte, es obvio que los responsables suelen confiar algunas de las tareas técnicas a un encargado del tratamiento, que podría incluso implicar a un subprocesador. En la práctica, sin embargo, habrá ocasiones en las que será difícil garantizar que el procesador no esté actuando realmente como un controlador o un co-controlador.
Los investigadores e innovadores deben hacer todo lo posible para evitar estos problemas, ya que el reglamento de protección de datos exige una respuesta clara a la pregunta “¿quién es el responsable de este tratamiento?” para garantizar una protección “efectiva y completa” de los derechos y libertades de los interesados.[1] Por lo tanto, un requisito clave de una política adecuada de protección de datos desde el diseño esaclarar desde el principio quiénes son los responsables formales de los datos y los encargados del tratamiento, a fin de garantizar que se entienda la responsabilidad legal.
Para cumplir este objetivo, deben alcanzarse y documentarse, siempre que sea posible, acuerdos escritos entre todos los agentes implicados en el desarrollo de las herramientas (véase el artículo 28 del RGPD). Estos deben incluir especificaciones claras sobre las responsabilidades asumidas por todos los participantes. Promover una interacción continua entre todos los DPD implicados podría ser una excelente opción. Pueden adoptarse órganos y herramientas de supervisión ad hoc para garantizar una supervisión fluida del tratamiento de los participantes.
- Véase: EDPB Guidelines (Guidelines 8/2020 on the targeting of social media users Version 2.0 Adopted on 13 April 2021, en: https://edpb.europa.eu/system/files/2021-04/edpb_guidelines_082020_on_the_targeting_of_social_media_users_en.pdf, p. 11) ↑