A vueltas con la geolocalización: ¿Realmente queremos que se registre cada paso que damos?

«A vueltas con la geolocalización: ¿Realmente queremos que se registre cada paso que damos?», post de Judit Garrido, abogada de ECIJA, para The Law Clinic.

En muchas ocasiones, los usuarios regalan su privacidad a ciertos proveedores de aplicativos móviles sin recapacitar sobre las consecuencias que esto conlleva. Esto se observa claramente, ente otros casos, a la hora de valorar cómo queremos tratar y qué límites queremos aplicar al impacto en nuestra intimidad al permitir estar localizados en todo momento.

El Grupo de Trabajo del Artículo 29 de la Unión Europea publicó el Dictamen 02/2013 sobre las aplicaciones de los dispositivos inteligentes y el Dictamen 13/2011, sobre servicios de geolocalización de los dispositivos móviles inteligentes, estableciendo que los proveedores de servicios y aplicaciones de geolocalización deben cumplir con una serie de requisitos antes de obtener datos de los usuarios. Asimismo y en este sentido, los mencionados Dictámenes concretan que los proveedores deben eliminar los datos que recaban una vez éstos no sean necesarios ni pertinentes, siguiendo y cumpliendo así el principio de calidad de los datos.

Ahora bien, a pesar de la existencia de varios requisitos obligatorios para los proveedores, aún cedemos nuestros datos sin leer bien las políticas de privacidad y términos y condiciones de los aplicativos on-line, solo por el afán de estar dentro de la era tecnológica. De hecho, un estudio de los profesores A. Obar y Oeldorf-Hirsch publicado recientemente, demostraba que, de 543 alumnos objeto del estudio, el 98% aceptó las condiciones de una red social sin entender ni analizar su contenido.

En este contexto ¿cómo podemos saber si nuestros datos están bien protegidos? Para saber si realmente, a priori nuestros datos personales quedan enmarcados en un círculo de cumplimiento normativo, debemos:

  • Estar informados de los fines para los cuales nuestros datos de geolocalización van a ser tratados.
  • Dar el consentimiento previo, específico e informado. Aparte de la opción de prestar nuestro consentimiento, debemos tener la opción de impedir el tratamiento de nuestros datos al desinstalar la aplicación de nuestro dispositivo.
  • Disponer de la opción de poder revocar el mencionado consentimiento en todo momento.
  • Conocer y ejercitar, cuando sea necesario, los derechos de acceso, rectificación, cancelación y oposición en relación con nuestros datos.

Si volvemos al caso de la aplicación pokémon go, hay que tener en cuenta que los desarrolladores de la misma deben indicar en sus políticas todo lo antedicho y deben ofrecer al usuario la opción de aceptar sus condiciones y no imponer las mismas por defecto. En este sentido, es necesario que los proveedores a la hora de diseñar la aplicación, lo hagan cumpliendo el principio de privacidad desde el diseño. En este caso concreto, la política de privacidad de la aplicación pokémon go indica a los usuarios que el proveedor podrá usar la información de la localización de los mismos para mejorar los servicios que prestan. No obstante, si bien informan de la posibilidad de dichos usos, sus textos legales no cumplen con muchos otros de los requisitos que deberían cumplir.

Así pues, a pesar de que muchos de los aplicativos que usamos a diario y que conllevan la cesión de nuestra ubicación geográfica son muy útiles, debe tenerse en cuenta las implicaciones que conlleva dar parte de nuestra privacidad a proveedores y a entidades de los que no tenemos prácticamente información. Si bien puede resultar una relación de simbiosis la del usuario y la aplicación, dado que ésta última puede mejorar sus servicios mediante la información que obtiene de sus usuarios, no se debe caer en el impulso de la aceptación de cualquier término y condición para obtener facilidades y diversión mediante la tecnología.

Pokemon Go, el cazador cazado.

«Pokemon Go, el cazador cazado», post de Marta Aldea, asociada senior de ECIJA, para TheLawClinic.

El pasado viernes 15 de julio  la aplicación gratuita para móviles Pokémon Go aterrizaba en España.

El videojuego requiere que el jugador recorra su ciudad para descubrir las distintas clases de pókemon, que aparecen en las calles, iglesias, centros comerciales o en cualquier lugar recóndito.

La aplicación de realidad aumentada desarrollada por Niantic y Nintendo está ya disponible en España a través la App Store de Apple o en la Play Store para Android, habiendo sido un rotundo éxito también en nuestro país.

Niantic,  compañía que ha desarrollado el juego, dirigida John Hank,  formó parte de Google hasta el año 2015, momento en el que se desvincularon las dos compañías.

La pregunta que debemos hacernos como usuarios es ¿qué beneficio obtiene la compañía con una aplicación que es gratuita?

Una vez descargada en nuestro smartphone, nos solicita los siguientes accesos:

  • Identidad
  • Ubicación
  • Fotos/multimedia/archivos
  • Cámara
  • Información de conexión de Bluetooth.

Confirmados los permisos, comienza el proceso de registro que podemos llevar a cabo  bien a través de nuestra cuenta de Google o bien con una cuenta preexistente del Club de Entrenadores Pokémon.

Al registrarnos con Google, las primeras versiones de la aplicación le permitían un acceso absoluto a nuestra cuenta, en la última versión se solicita exclusivamente conocer el usuario de Google y la dirección de correo electrónico.

A continuación tenemos que aprobar la política de privacidad, pero ¿qué información y datos estamos permitiendo que traten?

  • Datos identificativos: información que permita identificar o reconocer al usuario, teniendo como límite la configuración de privacidad de nuestra cuenta en Google.
  • Datos de registro: adicionalmente, pueden almacenar la dirección de Protocolo de Internet (IP) del usuario, el agente de usuario, el tipo de navegador, el sistema operativo, la página web que ha visitado un usuario antes de acceder a la aplicación, las páginas o funciones a los que se ha desplazado un usuario y el tiempo dedicado a esas páginas o funciones, términos de búsqueda, los enlaces en sus servicios en los que el usuario ha hecho clic y otras estadísticas.
  • Mientras se está jugando, se almacena el nombre de usuario, y los mensajes enviados a otros usuarios, el país de procedencia y el idioma.
  • Información sobre cookies y balizas.
  • Ubicación.

La siguiente pregunta que debemos hacernos es ¿con quién comparte la aplicación estos datos?

De acuerdo a la política de privacidad, no se comparten los datos identificativos (¿el resto si?) salvo con:

  • The Pokémon Company («TPC») y TPCI.
  • Con los proveedores de servicios
  • Terceros ( En este caso, parece que solo se comparte información agregada y no identificativa)
  • Transacciones comerciales ( en el supuesto que la compañía sea absorbida por terceros, se compartirá toda la información que dispongan)
  • Por último, el cajón de sastre: se puede compartir cualquier información con el gobierno, organismos de enjuiciamiento civil o entidades privadas para aplicar y hacer cumplir la ley.

Como se puede observar, uno de los principales activos comerciales de Pokémon Go es la información que facilitamos y no sólo de nuestros datos personales, sino de nuestros hábitos, puesto que le estamos dando el poder de conocer nuestro día a día, dónde vamos, qué lugares visitamos, en cuáles nos detenemos…

 

Algunas reflexiones acerca del régimen sancionador en el nuevo reglamento europeo de protección de datos

«Algunas reflexiones acerca del régimen sancionador en el nuevo reglamento europeo de protección de datos», artículo de Isaac Pastor, asociado de ECIJA, para The Law Clinic.

Mucho se ha hablado hasta ahora de las principales novedades que traerá consigo la reciente aprobación del Reglamento Europeo de Protección de Datos, si bien, todavía el mismo plantea numerosos interrogantes, entre ellos, el referido a la aplicación del régimen sancionador en el ámbito de la administración pública.

La vigente normativa de protección de datos en España, cuenta con un régimen sancionador que ha sido duramente criticado, por ser uno de los más exigentes a nivel europeo, debido a la elevada cuantía de las sanciones económicas que el mismo plantea.

De esta manera, cuando una persona, empresa o entidad privada comete una infracción, la misma puede llevar aparejada una sanción económica que podría llegar incluso hasta los seiscientos mil euros.

Si bien, como ha puesto de manifiesto recientemente la Directora de la Agencia Española de protección de Datos en la 8º sesión anual abierta celebrada hace escasas semanas, el número total de sanciones impuestas o de dinero recaudado a través de dichas sanciones, ha disminuido considerablemente.

Ello, sin duda es debido, por un lado, a la introducción en el régimen sancionador de la normativa, de la figura del apercibimiento (La Ley 2/2011, de 4 de marzo, introdujo en el art. 45.6 LOPD la posibilidad de la autoridad de control de sustituir la sanción por un apercibimiento al sujeto responsable –con el consiguiente archivo- cuando los hechos fueran constitutivos de infracción leve o grave siempre que exista una concurrencia significativa de elementos atenuantes y el infractor no hubiera sido sancionado con anterioridad, una posibilidad que no contemplaba hasta ese momento la legislación española), y también debido a que los sectores más sancionados a lo largo de los últimos años como telecomunicaciones, entidades financieras, etc, están implantando protocolos internos y reforzando su nivel de cumplimiento.

Por el contrario, la infracción de la normativa por parte de una administración pública en España, tiene como consecuencia una Resolución de la Directora de la Agencia de Protección de Datos que declara la infracción cometida, el establecimiento de medidas para que cesen o se corrijan los efectos de la infracción, y la propuesta, en su caso, de inicio de actuaciones disciplinarias, que se rigen por el régimen disciplinario de las Administraciones Públicas, pero en ningún caso la imposición de sanciones económicas a la propia administración infractora.

En la práctica, esto puede suponer un agravio comparativo, puesto que para las empresas privadas, una sanción económica podría poner en riesgo incluso la propia continuidad de la actividad empresarial, y supone que las mismas tengan que realizar esfuerzos e invertir en medios para lograr el cumplimiento de la normativa y evitar la imposición de este tipo de sanciones, mientras que en las Administraciones Públicas, puede parecer que existe una cierta dejadez respecto al cumplimiento de la normativa, y puede que sea más costoso concienciar al personal que presta sus servicios en la administración respecto al cumplimiento de la misma, ya que, más allá del posible daño reputacional o político que puede ocasionar al aparecer la infracción cometida en los medios de comunicación, la infracción de la normativa no conllevará nunca la imposición de sanción económica alguna.

Pues bien, este régimen sancionador se verá modificado mediante la reciente aprobación del Reglamento Europeo de Protección de Datos, que entrará en vigor en Mayo de 2018.

El mencionado Reglamento establece un régimen sancionador con sanciones económicas auténticamente disuasorias, pudiendo alcanzar incluso el 4% del volumen anual de facturación de una compañía o los 20 millones de euros en los casos más graves.

Dicho Reglamento Europeo de Protección de Datos, en su Artículo 83, referente a las condiciones generales para la imposición de multas administrativas, establece en su apartado séptimo que “sin perjuicio de los poderes correctivos de las autoridades de control, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro”.

Por tanto, corresponderá a cada Estado miembro de la Unión, la decisión acerca de si podrá sancionar económicamente o no a las administraciones públicas.

Esta cuestión fue planteada en la 8º sesión anual de la Agencia Española de Protección de Datos, si bien la misma no se pronunció de forma clara e indicó que la respuesta en uno u otro sentido, debe ser decidida a nivel interno cuando corresponda.

No parece muy probable que ante la actual situación de crisis económica y la falta de recursos públicos en todas las instituciones, en España se abogue por la opción de sancionar económicamente a las Administraciones Públicas, máxime cuando el Reglamento ha optado por otras vías para reforzar el cumplimiento de la nueva norma, por ejemplo, mediante la obligatoriedad de contar con un Delegado de Protección de Datos que asesore a la administración pública en el cumplimiento de sus obligaciones, y que por tanto, a través de éste, se refuerce y mejore su nivel de cumplimiento con respecto a su situación actual.

En definitiva, habrá que esperar un tiempo para ver cómo se transpone este aspecto del Reglamento Europeo en España y en el resto de países miembros, si bien, a la hora de tomar la decisión,  habría que tener en cuenta que son las entidades privadas, las que en última instancia tratan de obtener un beneficio económico derivado del tratamiento de datos personales (se ha llegado a afirmar que los datos personales son el petróleo del Siglo XXI), a diferencia de las Administraciones Públicas, donde las infracciones cometidas no son consecuencia de un interés económico, sino más bien de una deficiente gestión de los datos personales que las mismas manejan o en muchas ocasiones, como por ejemplo, en el ámbito de la administración de justicia, de una evidente falta de medios materiales y personales, y por tanto, la introducción de nuevas figuras como el Delegado de Protección de Datos pueden ser acertados, de cara sobre todo, a que en el ciudadano no se produzca una sensación de indefensión y de impunidad respecto al tratamiento de sus datos en el ámbito de la administración pública, sin olvidar que el Reglamento Europeo, al igual que establece la vigente normativa española, establece la posibilidad de solicitar una indemnización por los daños y perjuicios sufridos como consecuencia del tratamiento de nuestros datos personales.