| Informe | 2016-0236 |
| Enlace | 📋 |
Resumen del Informe jurídico de la AEPD (Ref. 222535/2016)
Cuestión planteada:
El consultante, un proyecto de investigación del programa Horizonte 2020, solicitaba utilizar datos geolocalizados de Twitter para analizar patrones de movilidad y actividad poblacional con fines de planificación de transporte. Los datos se obtendrían mediante APIs públicas, y se planteaba su tratamiento previo —eliminando ciertos campos y aplicando un hash para crear un identificador único— para anonimizarlos.
Contenido y conclusiones del informe
Aplicabilidad de la LOPDGDD (Ley Orgánica 15/1999):
Los datos de geolocalización son datos de carácter personal, pues permiten identificar indirectamente a las personas (ej.: rutas habituales, lugares visitados). La definición de dato personal incluye cualquier información vinculada a una persona identificable o identificada, incluso sin nombre explícito (considerando la jurisprudencia europea y el RGPD —Reglamento UE 2016/679—).
No existe distinción entre datos públicos y privados en la normativa: aunque los tweets sean públicos en Twitter, su uso requiere base legal conforme a la LOPDGDD.
Tratamiento de los datos en Twitter:
La recolección de datos públicos de Twitter mediante APIs ya constituyen un tratamiento de datos personales, activando la aplicación de la LOPDGDD.
El proyecto no cumple automáticamente los requisitos por ser de investigación científica, aunque esta pueda constituir una base legítima. Se exige justificar:
Finalidad concreta (ej.: análisis agregado, sin reidentificación).
Proporcionalidad (limitar datos al mínimo necesario).
Base legal: el informe considera válido el interés legítimo (art. 6.1.f LOPDGDD y art. 7.f de la Directiva 95/46/CE) o la exención para fines históricos, estadísticos o científicos (art. 9.1 RD 1720/2007), siempre que el proyecto:
Tenga respaldo jurídico (ej.: cumplimiento del programa Horizonte 2020, que fomenta I+D con impacto social).
No vulnere derechos fundamentales (ej.: evitar reidentificación mediante técnicas como el hash).
Restrinja el uso de datos al marco del proyecto.
Anonimización vs. seudonimización:
El procedimiento descrito (eliminar campos + aplicar hash como identificador único) es una seudonimización, no una anonimización plena:
No elimina la posibilidad de reidentificación (ej.: cruzar el hash con otros datos accesibles).
La AEPD insiste: para que un dato sea anonimo, debe ser imposible asociarlo a un individuo, incluso con esfuerzos razonables (siguiendo el Dictamen 5/2014 del Grupo de Trabajo del Artículo 29).
Aunque la seudonimización no exime del cumplimiento de la LOPDGDD, se valora positivamente como medida de seguridad adicional (recomendada por el RGPD).
Requisitos específicos para el proyecto:
Transparencia: Informar a los usuarios de Twitter sobre el tratamiento (aunque sea en APIs públicas).
Seguridad: Implementar medidas técnicas para evitar filtraciones (ej.: cifrado).
Limitación de la finalidad: Los datos deben tratarse exclusivamente para el análisis agregado de movilidad (ej.: número de viajes entre ciudades), sin extrapolar usos posteriores.
Derechos de los afectados: Facilitar el ejercicio de derechos ARCO (acceso, rectificación, cancelación y oposición), aunque sea complejo en big data.
Conclusión
La AEPD concluye que:
La normativa de protección de datos es aplicable a los datos geolocalizados de Twitter, pese a ser públicos.
El proyecto puede realizarse legítimamente si:
Se justifica el interés legítimo científico (avala Horizonte 2020 como marco válido).
Se aplica seudonimización robusta y medidas de seguridad adicionales.
El tratamiento es proporcional y limitado a los fines declarados.
No basta con alegar fin científico: Se requiere un análisis individualizado de cada proyecto para garantizar que cumple con principios como la minimización de datos y el respeto a los derechos fundamentales.
Notas clave:
La AEPD no prohíbe el uso de datos de redes sociales, pero exige rigor en su tratamiento.
Se anticipa la aplicabilidad del RGPD (2016/679), que refuerza exigencias como la seudonimización y la rendición de cuentas (accountability).
Para futuras consultas, se recomienda evaluar cada caso concreto, especialmente en contextos de big data donde la reidentificación es técnica y legalmente compleja.