| Informe | 2017-0303 |
| Enlace | 📋 |
Resumen del informe jurídico de la AEPD sobre el proyecto eTEACHER (2017-0303)
El informe de la Agencia Española de Protección de Datos (AEPD) analiza la conformidad del proyecto europeo eTEACHER (financiado por el programa Horizonte 2020) con la normativa española y europea de protección de datos. El proyecto busca mejorar la eficiencia energética en edificios mediante herramientas TIC que recopilan datos de usuarios y edificios para ofrecer consejos personalizados.
Marco normativo aplicable
Normativa vigente en 2017: Ley Orgánica 15/1999 (LOPD) y su Reglamento de desarrollo (RD 1720/2007), que transponen la Directiva 95/46/CE.
Normativa futura: A partir del 25 de mayo de 2018, entrará en vigor el Reglamento General de Protección de Datos (RGPD, UE 2016/679), que introduce nuevas obligaciones como la evaluación de impacto y la notificación de brechas de seguridad.
Tratamiento de datos personales en el proyecto
El informe identifica múltiples datos personales que podrían tratarse en el proyecto, incluyendo:
Datos de usuarios: Nombre, voz, imagen, localización, direcciones IP, historial de uso de aplicaciones, datos biométricos (si se recogen), etc.
Datos de edificios: Información técnica asociada a viviendas o centros públicos (ej. consumo energético).
Datos de menores: Se requiere el consentimiento de padres/tutores para menores de 14 años (art. 13 RD 1720/2007).
El proyecto implica varios tratamientos de datos, como:
Recogida de datos mediante formularios, encuestas o aplicaciones móviles.
Análisis de comportamiento para generar perfiles de usuarios.
Comunicación de datos a terceros (ej. socios del proyecto, proveedores de energía).
Obligaciones de los responsables del tratamiento
Las entidades participantes en el proyecto (españolas y europeas) deben cumplir con las siguientes obligaciones:
A. Consentimiento informado
Debe ser libre, específico, inequívoco e informado (art. 6 LOPD).
Los usuarios deben ser informados sobre:
Finalidad del tratamiento.
Destinatarios de los datos (ej. otros socios del proyecto).
Derechos (acceso, rectificación, cancelación, oposición).
Posibilidad de revocar el consentimiento.
Para menores de 14 años: Consentimiento de padres/tutores (art. 13 RD 1720/2007).
B. Información previa al tratamiento
Debe proporcionarse antes de recoger los datos (art. 5 LOPD), incluyendo:
Identidad del responsable del tratamiento.
Finalidad y base legal del tratamiento.
Plazos de conservación.
Derechos del interesado.
C. Medidas de seguridad
Deben implementarse medidas técnicas y organizativas para garantizar la confidencialidad, integridad y disponibilidad de los datos (art. 9 LOPD).
Principios clave:
Privacidad por defecto y desde el diseño: Minimizar la recogida de datos y limitar el acceso a lo estrictamente necesario.
Protección de datos en aplicaciones móviles: Evitar el acceso no autorizado a sensores del dispositivo (ej. localización, contactos).
Seudonimización: Recomendable para reducir riesgos, pero no exime de cumplir con la normativa (el RGPD la define como una medida de seguridad, no de anonimización).
D. Cesión de datos a terceros
Solo puede realizarse con consentimiento previo del interesado (art. 11 LOPD).
Si las entidades actúan como encargadas del tratamiento, no se requiere consentimiento, pero deben cumplir con un contrato que regule su relación con el responsable (art. 12 LOPD).
E. Conservación y cancelación de datos
Los datos deben cancelarse cuando dejen de ser necesarios para la finalidad para la que se recabaron (art. 4.5 LOPD).
En el proyecto, se recomienda establecer un plazo concreto de conservación (ej. 1-2 años tras finalizar el proyecto).
Evaluación de impacto y RGPD
Aunque no era obligatoria en 2017, la AEPD recomienda realizar una evaluación de impacto si el proyecto se prolonga tras la entrada en vigor del RGPD (2018), especialmente por:
Tratamiento de datos de menores.
Uso de perfiles de usuarios.
Tratamiento a gran escala (varios países europeos).
El RGPD introduce nuevas obligaciones:
Notificación de brechas de seguridad a la AEPD en 72 horas (art. 33 RGPD).
Derecho a la portabilidad de datos.
Principio de transparencia: Información clara y accesible sobre el tratamiento.
Conclusiones y recomendaciones
Conformidad con la LOPD: El proyecto debe ajustarse a la normativa española, garantizando el consentimiento informado, la seguridad de los datos y la cancelación oportuna.
Adaptación al RGPD: Si el proyecto continúa tras mayo de 2018, deberá cumplir con las nuevas exigencias del RGPD, como la evaluación de impacto y la notificación de brechas.
Protección de menores: Deben implementarse procedimientos para verificar la edad y el consentimiento de padres/tutores.
Seudonimización vs. anonimización: La seudonimización reduce riesgos, pero no exime de cumplir con la normativa. La anonimización debe garantizar que no sea posible reidentificar al usuario.
Seguridad en aplicaciones móviles: Los desarrolladores deben aplicar medidas técnicas (ej. cifrado, autenticación segura) y prácticas de usuario (ej. actualizaciones periódicas).
Recomendaciones finales
Registro de ficheros: Notificar la creación de ficheros de datos personales en la AEPD.
Formularios de consentimiento: Adaptarlos a los requisitos legales, incluyendo información clara sobre finalidades y derechos.
Evaluación de riesgos: Realizar un análisis de riesgos para identificar posibles vulnerabilidades en el tratamiento de datos.
Formación: Capacitar al personal involucrado en el proyecto sobre protección de datos.
Conclusión
El informe de la AEPD concluye que el proyecto eTEACHER puede llevarse a cabo, pero debe garantizar el cumplimiento estricto de la normativa de protección de datos, tanto en su versión actual (LOPD) como en la futura (RGPD). Las entidades participantes deben adoptar medidas técnicas y organizativas para proteger los datos y garantizar los derechos de los interesados.