| Informe | 2016-0197 |
| Enlace | 📋 |
Resumen del informe jurídico de la AEPD sobre el proyecto NOBEL GRID (2016-0197)
El informe de la Agencia Española de Protección de Datos (AEPD) evalúa el cumplimiento de la normativa de protección de datos en el proyecto europeo NOBEL GRID, que busca desarrollar herramientas para optimizar la gestión energética en redes inteligentes. El análisis se centra en el tratamiento de datos personales en actividades como talleres, encuestas, entrevistas y la implementación de una aplicación móvil/web que recopila información de consumo energético.
Aspectos clave del informe:
Normativa aplicable:
Hasta el 25 de mayo de 2018, rige la Ley Orgánica 15/1999 y el Reglamento de desarrollo (RD 1720/2007), que transponen la Directiva 95/46/CE.
A partir de esa fecha, se aplicará el Reglamento General de Protección de Datos (RGPD, UE 2016/679), con requisitos más estrictos, especialmente en transparencia y derechos de los interesados.
Ámbito de aplicación:
La normativa protege solo a personas físicas, no a empresas o personas jurídicas.
Quedan excluidos los datos de empresarios individuales cuando actúen en su condición mercantil, pero no los profesionales autónomos que ejercen sin forma empresarial.
Datos personales en el proyecto:
Se consideran datos personales cualquier información vinculada a personas físicas, como datos de contacto, voz, imagen, ubicación o datos de dispositivos móviles.
Las opiniones o evaluaciones subjetivas sobre los participantes también se incluyen.
Aunque el proyecto prevé anonimizar algunos datos en la fase de demostración, la AEPD advierte que la mera eliminación de identificadores directos no garantiza el anonimato, ya que técnicas como la reidentificación pueden vincular la información a individuos. Se recomienda una anonimización irreversible o seudonimización para evitar riesgos.
Obligaciones de los responsables del tratamiento:
Consentimiento informado: Debe ser libre, específico, inequívoco e informado, indicando claramente la finalidad del tratamiento y los derechos de los interesados (acceso, rectificación, supresión, oposición y portabilidad).
Para la aplicación móvil, se exige información previa a su instalación, clara y accesible, incluyendo los datos recogidos (ej.: geolocalización, contactos) y su uso.
Se recomienda el cumplimiento del principio de minimización de datos, accediendo solo a la información necesaria para el funcionamiento de la app.
Seguridad de los datos:
Adoptar medidas técnicas y organizativas para proteger los datos contra accesos no autorizados, pérdidas o alteraciones (ej.: cifrado, seudonimización, pruebas de penetración).
Incluir en el diseño de la aplicación principios de «privacidad por defecto y desde el diseño», como la validación de entradas, gestión segura de contraseñas y mecanismos contra malware.
Si el proyecto se extiende más allá de 2018, el RGPD exigirá notificar violaciones de seguridad a la AEPD en un plazo máximo de 72 horas.
Comunicación o cesión de datos:
Si los datos se comparten con terceros (ej.: socios del proyecto), debe mediar consentimiento explícito de los interesados, salvo que los terceros actúen como encargados del tratamiento (con contrato que limite su uso a las instrucciones del responsable).
Las transferencias internacionales de datos fuera del Espacio Económico Europeo requieren garantías adicionales, como cláusulas contractuales típicas u otros mecanismos previstos en el RGPD y la LOPDGDD.
Principios de calidad de los datos:
Finalidad: Los datos solo pueden usarse para los fines declarados al recabarlos.
Proporcionalidad: Solo deben recopilarse datos adecuados, pertinentes y no excesivos.
Conservación: Los datos deben suprimirse cuando ya no sean necesarios, generalmente en 1-2 años tras la finalización del proyecto.
Recomendaciones adicionales:
Para la aplicación móvil, se sugiere incluir un política de privacidad detallada con ejemplos de cómo se ajusta a la normativa y aclarar si terceros (ej.: proveedores de análisis) actúan como encargados o responsables independientes.
Evaluar riesgos de profiling (elaboración de perfiles) y garantizar transparencia sobre su uso.
Conclusión:
El proyecto NOBEL GRID debe garantizar el cumplimiento de la normativa de protección de datos mediante el consentimiento válido, la minimización de datos, la seguridad robusta y la transparencia en todas las fases. La AEPD insta a adaptar los procesos al RGPD si el proyecto se extiende más allá de 2018 y a adoptar medidas adicionales para prevenir la reidentificación de datos anonimizados.