| Informe | 2017-0202 |
| Enlace | 📋 |
Resumen del Informe Jurídico de la AEPD sobre el Proyecto DANTE (2017-0202)
El informe de la Agencia Española de Protección de Datos (AEPD) analiza la conformidad del proyecto DANTE (Detecting and ANalysing Terrorist-related online contents and financing activities) con la normativa de protección de datos, tanto bajo el marco legal anterior (Directiva 95/46/CE y Ley Orgánica 15/1999) como el vigente (Reglamento UE 2016/679 y Directiva UE 2016/680).
Ámbito de aplicación y normativa aplicable
Proyecto DANTE: Su objetivo es desarrollar herramientas TIC para detectar financiación, propaganda y reclutamiento terrorista en internet, incluyendo la dark web. Participan entidades privadas, universidades, centros de investigación y fuerzas de seguridad de la UE.
Normativa aplicable:
Hasta mayo de 2018: Directiva 95/46/CE y Ley Orgánica 15/1999 (España).
Desde mayo de 2018: Reglamento UE 2016/679 (para datos generales) y Directiva UE 2016/680 (para datos de seguridad pública).
Tratamiento de datos y legitimación
Datos recabados por fuerzas de seguridad: Pueden usarse para investigación científica (art. 4 Directiva 2016/680), siempre que cumplan los fines de prevención del terrorismo.
Datos de expertos participantes: Requieren consentimiento libre, específico, informado e inequívoco (art. 6 LOPDGDD y art. 7 RGPD).
Datos públicos en internet: Su tratamiento debe respetar los principios de minimización y finalidad (art. 5 RGPD).
Obligaciones de los responsables y encargados
Registro de actividades: Obligatorio para responsables (art. 30 RGPD), salvo excepciones (empresas <250 empleados sin riesgo).
Medidas de seguridad:
Ley Orgánica 15/1999: Niveles básico, medio y alto según datos tratados.
RGPD: Enfoque basado en riesgo (seudonimización, cifrado, evaluación periódica).
Cesión de datos: Solo permitida con consentimiento del afectado o para fines legítimos (art. 11 LOPDGDD). Si las entidades son encargadas del tratamiento, no se requiere consentimiento, pero deben cumplir estrictamente las instrucciones del responsable.
Principios clave
Proporcionalidad y minimización: Solo se pueden tratar datos necesarios para el proyecto.
Exactitud: Los datos deben estar actualizados para evitar falsos positivos.
Conservación: Los datos deben cancelarse o bloquearse cuando ya no sean necesarios (art. 16 LOPDGDD).
Evaluación de impacto y protección desde el diseño
Directiva 2016/680: Exige evaluaciones de impacto para tratamientos de alto riesgo (art. 27) y medidas privacy by design y by default (art. 20), como seudonimización y limitación de accesos.
Conclusiones
El proyecto DANTE debe garantizar:
Base legal para el tratamiento (consentimiento o interés público).
Seguridad reforzada (especialmente para datos sensibles).
Transparencia (información clara a los afectados).
Derechos de los interesados (acceso, rectificación, supresión).
La AEPD destaca la importancia de aplicar principios como la minimización de datos y la evaluación de riesgos, especialmente por el uso de técnicas de big data y perfilado.
En resumen, el informe subraya la necesidad de que el proyecto cumpla con el marco legal vigente, priorizando la protección de derechos fundamentales y la transparencia en el tratamiento de datos personales.