| Informe | 2016-0197 |
| Enlace | 📋 |
Resumen del informe jurídico de la AEPD sobre el proyecto NOBEL GRID (N/REF: 176137/2016)
El informe de la Agencia Española de Protección de Datos (AEPD) evalúa el proyecto europeo NOBEL GRID, centrado en desarrollar herramientas TIC para optimizar redes eléctricas inteligentes y la participación de consumidores en el mercado energético. La AEPD analiza el cumplimiento del Reglamento (UE) 2016/679 (RGPD) y la normativa nacional vigente en ese momento (Ley Orgánica 15/1999 y su Reglamento de Desarrollo), destacando aspectos clave como el tratamiento de datos personales, la legitimidad del consentimiento, la seguridad de los datos y la transferencia internacional.
Ámbito de aplicación y datos personales
Datos protegidos: Aplica a datos de personas físicas (no jurídicas), incluyendo información como nombre, dirección, correo electrónico, localización en tiempo real (mediante aplicaciones móviles/web), imágenes o voz si identifican a individuos.
Exclusiones: Por entonces, la normativa no protegía a empresarios individuales en su rol profesional (comerciantes, industriales) ni a personas jurídicas, aunque el RGPD eliminó esta exclusión a partir de mayo de 2018.
Tratamientos implicados: Recolección de datos en actividades como encuestas, talleres, entrevistas y uso de una aplicación web/móvil para gestionar el consumo energético. Esta app recopila información personal y requiere consentimiento informado.
Obligaciones del responsable del tratamiento
Consentimiento: Debe ser libre, inequívoco, específico e informado (art. 6 LOPD y art. 13 RGPD). La AEPD exige que se informe claramente:
Finalidad del tratamiento.
Identidad del responsable (entidad gestora del proyecto).
Cesión de datos a terceros (ej.: socios del proyecto, proveedores cloud).
Derechos ARCO (Acceso, Rectificación, Cancelación, Oposición) y revocabilidad del consentimiento.
Minimización de datos: Solo recopilar información necesaria para el proyecto. Por ejemplo, evitar gafar acceso a datos no esenciales en la app (ej.: contactos, historial de mensajes).
Anonimización no validada: La AEPD señala que el proyecto no cumple con anonimir datos de forma efectiva, ya que técnicas como la eliminación de nombres pueden ser reverseadas (ej.: cruzando datos de localización o correos electrónicos con información personal).
Medidas de seguridad
Principios de «privacidad por defecto y diseño»: Las herramientas TIC deben integrar seguridad desde su desarrollo (ej.: cifrado de datos en tránsito y almacenamiento, autenticación robusta, auditorías periódicas).
Directrices para la app:
Permisos granulares en dispositivos móviles (solo acceso a datos pertinentes).
Identificadores no persistentes (evitar seguimiento a largo plazo).
Notificación inmediata a la AEPD en caso de violaciones de seguridad (requerido por el RGPD, art. 33, aunque no era obligatorio en 2016).
Transferencias internacionales
Si los datos se envían a entidades fuera de la UE/EEE, debe aplicarse el régimen establecido en los arts. 33–34 LOPD o mecanismos como las Cláusulas Contractuales Tipo (posteriores al informe).
En el proyecto, se recomienda que el alojamiento de datos en España (si es por un tercero) cumpla con los requisitos de encargado del tratamiento (art. 12 LOPD), con contrato por escrito y obligaciones claras de destrucción o devolución de datos al finalizar el servicio.
Cesión de datos entre entidades
Comunicación a terceros (ej.: socios del proyecto): Requiere consentimiento explícito de los afectados, salvo que las entidades actúen como encargados del tratamiento (sin cesión, sino bajo instrucciones del responsable).
Contratos obligatorios: Para relaciones responsable-encargado, el contrato debe estipular:
Finalidad exclusiva del servicio.
Prohibición de usar datos para otros finos.
Devolución/destrucción de datos al finalizar el contrato.
Plazos y cancelación de datos
Los datos deben ser cancelados cuando dejen de ser necesarios (ej.: 1–2 años tras concluir el proyecto).
Principio de calidad: Los datos deben ser adecuados, pertinentes y no excesivos (art. 4 LOPD), vinculado a la transparencia y lealtad en el tratamiento.
Recomendaciones futuras al RGPD (vigente desde 2018)
Mayor detalle en la información: El RGPD exige:
Notificar riesgos asociados al tratamiento.
Explicar la base jurídica (ej.: consentimiento vs. interés legítimo).
Detallar transferencias a terceros países y garantías (art. 46–49 RGPD).
Derechos adicionales: Incluir información sobre:
Derecho a la portabilidad.
Decisiones automatizadas (ej.: perfiles de consumo energético).
Plazos de conservación.
Conclusión: El informe subraya la necesidad de ajustar el proyecto NOBEL GRID a la normativa vigente, con especial atención a:
Consentimiento válido para todos los tratamientos.
Seguridad en la app (cifrado, permisos mínimos).
Minimización y anonimización efectiva de datos.
Contratos adecuados para transferencias y cesiones.
Adaptación al RGPD si el proyecto se extiende más allá de 2018.
La AEPD recomienda consultar con un experto en protección de datos para garantizar el cumplimiento continuado, especialmente en entornos digitales con riesgos como fugas, reidentificación o accesos no autorizados.