| Informe | 2016-0085 |
| Enlace | 📋 |
Resumen del informe jurídico de la AEPD (Expediente 2016-0085)
La Agencia Española de Protección de Datos (AEPD) emitió un dictamen sobre el cumplimiento de la legislación española en materia de protección de datos para el proyecto «SMARTPOSITION», financiado por el programa Horizonte 2020 de la UE. El proyecto busca desarrollar sistemas de posicionamiento móvil en tiempo real utilizando datos como Wi-Fi, Bluetooth, GPS, altimetría, aceleración y dirección mediante software integrado.
Cuestión principal: Aplicación de la normativa de protección de datos
La AEPD analiza si el proyecto implica tratamiento de datos personales, regulado por la Ley Orgánica 15/1999 (LOPD) y el Reglamento (UE) 2016/679 (RGPD), que entrarían en vigor en mayo de 2018.
Según la normativa, datos personales incluyen cualquier información (numérica, alfabética, gráfica, etc.) que identifique o pueda identificar a una persona física, ya sea directa o indirectamente, incluyendo datos de localización. El Grupo de Trabajo del Artículo 29 de la UE (ahora European Data Protection Board) ha destacado que el concepto abarca incluso información subjetiva o evaluaciones, siempre que se relacione con una persona.
Aplicabilidad al proyecto SMARTPOSITION
La entidad española consultante aclaró que:
No se han realizado pruebas reales con datos de personas, sino simulaciones con datos sintéticos.
El proyecto aún no involucra tratamientos reales de datos personales, sino desarrollo técnico en fase experimental.
Dado que el tratamiento de datos personales no se ha producido en el marco de las actividades de la entidad española (y, por tanto, no cumple la condición del Artículo 3.a) del Reglamento de desarrollo de la LOPD, según el cual debe efectuarse «en el marco de un establecimiento del responsable del tratamiento ubicado en territorio español»), no resulta aplicable la normativa española de protección de datos en esta fase.
Conclusión
La AEPD concluye que, al no existir tratamientos reales de datos personales en el proyecto, no procede evaluar su cumplimiento con la normativa de protección de datos. Sin embargo, recuerda que, en caso de que en el futuro se utilicen datos identificativos de personas reales (p. ej., en pruebas piloto o despliegues comerciales), sí sería obligatorio cumplir con el RGPD y la LOPD, incluyendo principios como la minimización de datos, el consentimiento o la notificación a la AEPD si fuera necesario.
Recomendación implícita: Si el proyecto evoluciona hacia fases con datos reales, deberá diseñarse con mecanismos de privacidad desde el diseño (Privacy by Design) y evaluarse su impacto según el RGPD.