| Informe | 2016-0322 |
| Enlace | 📋 |
Resumen del informe jurídico de la AEPD sobre el proyecto WYRED (2016-0322)
El informe de la Agencia Española de Protección de Datos (AEPD) analiza la conformidad del proyecto europeo WYRED (netWorked Youth Research for Empowerment in the Digital Society) con la normativa de protección de datos, especialmente la Ley Orgánica 15/1999 y su Reglamento de desarrollo (RD 1720/2007), así como el futuro Reglamento General de Protección de Datos (RGPD, UE 2016/679), cuya aplicación plena comenzaría en mayo de 2018.
Ámbito de aplicación y datos tratados
El proyecto, financiado por el programa Horizonte 2020, busca empoderar a jóvenes y menores mediante una plataforma digital que recopila datos personales, incluyendo:
Datos identificativos (nombre, edad, imágenes, voz).
Datos especialmente protegidos (ideología, religión, origen racial, salud).
Datos de localización y comportamiento (direcciones IP, interacciones en redes sociales).
Consentimiento de menores: Se exige el consentimiento de los padres o tutores para menores de 18 años, siguiendo el estándar español (14 años en la LOPD) y europeo (16 años en el RGPD, aunque los Estados pueden reducirlo a 13).
Medidas de protección y seudonimización
La AEPD destaca que la seudonimización (no anonimización) aplicada en el proyecto no exime de cumplir la normativa, ya que los datos pueden ser reidentificados indirectamente (ej.: mediante imágenes, combinaciones de datos o interacciones en redes sociales).
Se recomienda implementar medidas técnicas adicionales (cifrado, control de acceso) y evaluaciones de impacto (obligatorias bajo el RGPD para tratamientos de alto riesgo, como el de menores o datos sensibles).
Obligaciones del responsable del tratamiento
Consentimiento informado: Debe ser libre, específico, inequívoco y expreso (para datos sensibles), con información clara sobre finalidades, derechos (acceso, rectificación, cancelación) y cesiones.
Seguridad: Se exigen medidas de nivel alto (art. 81 RD 1720/2007), incluyendo cifrado, control de accesos y auditorías.
Conservación: Los datos deben cancelarse cuando dejen de ser necesarios para la finalidad original.
Transferencias internacionales: Si los datos se envían a países fuera de la UE (ej.: Turquía, Israel), deben garantizarse niveles de protección equivalentes (cláusulas contractuales tipo, Privacy Shield para EE.UU.).
Plataforma digital y aplicaciones móviles
La AEPD advierte sobre los riesgos de identificación involuntaria en redes sociales (ej.: subida de fotos, uso de servicios de mensajería).
Los desarrolladores de apps son responsables del tratamiento y deben cumplir con:
Información transparente sobre qué datos se recogen y para qué.
Consentimiento previo al tratamiento (no válido si se solicita a posteriori).
Medidas de privacidad por defecto (privacy by design) y seguridad en el almacenamiento.
Cloud computing y subcontratación
Si se usan servicios en la nube, el responsable (no el proveedor) sigue siendo accountable por el cumplimiento de la LOPD/RGPD.
Deben firmarse contratos de encargo de tratamiento (art. 12 LOPD) con cláusulas de seguridad y subcontratación regulada.
Las transferencias internacionales (ej.: servidores en EE.UU.) requieren garantías como el Privacy Shield (tras la invalidación del Safe Harbor en 2015).
Recomendaciones clave
Evaluación de impacto (EIPD): Recomendable para el proyecto, dado el tratamiento de menores y datos sensibles.
Formularios de consentimiento: Adaptarlos al RGPD (más exigente en transparencia y derechos).
Políticas de privacidad: Claras y accesibles, con información sobre derechos y medidas de seguridad.
Cancelación de datos: Establecer plazos concretos tras la finalización del proyecto.
Conclusión
El informe subraya que, aunque el proyecto WYRED tiene un enfoque innovador y socialmente valioso, debe garantizar el cumplimiento estricto de la normativa de protección de datos, especialmente en lo relativo a menores, seguridad y transferencias internacionales. La AEPD no aprueba éticamente el proyecto (no es su competencia), pero orienta sobre cómo evitar incumplimientos legales, instando a adoptar medidas proactivas antes de la entrada en vigor del RGPD.
(Resumen: ~500 palabras).