La comercialització de les dades
Amb 25 anys de diferència, les advertències d’Orwell a la seva novel·la homònima 1984 i els avanços sense control de les noves tecnologies comencen apropar-nos a una realitat distòpica.
El passat 29 d’octubre, la notícia de que l'Institut Nacional d'Estadística (INE) pactava amb les operadores de telefonia mòbil realitzar un estudi sobre mobilitat emprant informació anònima va impactar la societat.1
Aquest projecte per part de l’INE ha obert un gran debat i generat una gran inquietud, davant de la qual el propi INE s’ha vist obligat a emetre un comunicat on afirma que en el referit estudi es tractarien taules agregades de resultats, sense identificació dels números ni dels titulars, i sempre sotmès a la Llei de la funció estadística pública.2
Ara bé, aquesta informació relativa a la innocuïtat de la informació tractada té diverses derivades.
D’una banda, les dades de localització són per definició del Reglament general de protecció de dades (RGPD), dades que poden permetre la identificació d’una persona i, per tant, dades personals. No obstant, vet aquí que el legislador europeu no va considerar que les dades de localització fossin dades que mereixessin una especial protecció, com seria el cas de les dades biomètriques, i d’aquella manca de protecció s’han derivat algunes laxituds pel que fa a la seva protecció.
No obstant, les dades de localització dels terminals mòbils objecte de l’estudi de l’INE s’han d’entendre assimilades a dades de categoria especial, tal i com preveu la Guia del Grup de Treball de l'Article 29, de 4 d’abril de 2017, per a l’avaluació de l’impacte en la protecció de dades: “[…] puede considerarse que algunas categorías de datos aumentan el posible riesgo para los derechos y libertades de las personas. Estos datos personales se consideran sensibles (dado que este término es de uso común) porque están vinculados a hogares y actividades privadas (como comunicaciones electrónicas cuya confidencialidad debe ser protegida), porque afectan al ejercicio de un derecho fundamental (como datos de localización cuya recogida compromete la libertad de circulación) o porque su violación implica claramente graves repercusiones en la vida cotidiana del interesado (como datos financieros que podrían usarse para cometer fraude en los pagos).3
Arribats a aquest punt, la normativa estadística d’aplicació preveu que les actuacions de l’INE s’han de basar en el principi de proporcionalitat i, per tant, aquest ha d’observar el criteri de correspondència entre la quantitat d’informació que demana i els resultats que del seu tractament en pretén obtenir.
Considerant doncs que la normativa estadística estableix que les dades de categoria especial són d’aportació estrictament voluntària i, en conseqüència, només es poden recollir amb el consentiment previ exprés dels afectats, en concordança amb el posicionament del Grup de Treball de l’Article 29, caldria plantejar-se per aquest estudi de l’INE la seva proporcionalitat i la necessitat de recavar prèviament dels ciutadans aquest consentiment exprés.
D’altra banda, la consideració de dades agregades i anonimitzades que fa l’INE revesteix d’especial importància si considerem les dades de localització com una dada que mereix una especial protecció per la seva afectació a la lliure circulació de les persones.
En aquest punt, la Directiva sobre la privacitat i les comunicacions electròniques,4 transposada al nostre ordenament per les successives Lleis generals de telecomunicacions, preveu la possibilitat que les operadores puguin tractar les dades de localització que proporcionen la posició geogràfica de l'equip terminal de l'usuari mòbil només si aquestes es fan anònimes, o previ consentiment dels usuaris o abonats.
Però en tot cas, aquest tractament de dades personals per part de les operadores, contra remuneració o d'una altra manera, sempre s'ha d'ajustar al RGPD.
Per tant, en relació amb el tractament de dades anònimes, tot i que la normativa de protecció de dades exclou de la seva aplicació les dades anònimes, cal considerar que les dades de localització no són anònimes en origen sinó que han passat per un procés d’anonimització.
En aquest sentit, el Dictamen 05/2014, del Grup de Treball de l’Article 29, relatiu a tècniques d’anonimització estableix que “Por último, los responsables del tratamiento deben ser conscientes de que un conjunto de datos anonimizado puede entrañar todavía riesgos residuales para los interesados. Efectivamente, por una parte, la anonimización y la reidentificación son campos de investigación activos en los que se publican con regularidad nuevos descubrimientos y, por otra, incluso los datos anonimizados, como las estadísticas, pueden usarse para enriquecer los perfiles existentes de personas, con la consiguiente creación de nuevos problemas de protección de datos. En suma, la anonimización no debe contemplarse como un procedimiento esporádico, y los responsables del tratamiento de datos han de evaluar regularmente los riesgos existentes.”
Davant d’aquest risc, evident en un cas com el que ens ocupa on les dades seran facilitades al principal guardià de dades personals del sistema – aka INE, no queda clar qui realitza el procés d’anonimització, quin mètode es farà servir per tractar les dades de posicionament per terminal de forma anònima i, sí, en el seu cas, s’ha realitzat una avaluació impacte d’acord amb el RGPD donat que el procés d’anonimització és, en si mateix, un tractament de dades.
En el mateix sentit, pel que fa al risc de reidentificació, el Grup de Treball de l’Article 29 en el referit dictamen 05/2014 estableix que “Además, conviene tener la precaución de no caer en el error de pensar que los datos son anónimos para el tercero cuando el responsable del tratamiento todavía puede identificar al interesado en la base de datos original mediante el conjunto de medios que pueden ser razonablemente utilizados.”
El propi Tribunal de Justícia de la Unió Europea ha establert que el Dret de la Unió s'oposa a una conservació generalitzada i indiferenciada de les dades de trànsit i de localització i, que en tot cas, el fet que la conservació de les dades s'efectuï sense que els usuaris dels serveis de comunicacions electròniques hagin estat informats pot generar en les persones afectades el sentiment que la seva vida privada és objecte d'una vigilància constant. En conseqüència, només la lluita contra la delinqüència greu pot justificar tal ingerència i sempre i quan les autoritats nacionals competents a les quals es concedeixi l'accés a les dades conservades informin a les persones afectades.5
Cal doncs una revisió legislativa tant de la normativa general de telecomunicacions com de la normativa de conservació de dades relatives a les comunicacions electròniques i a les xarxes públiques de comunicacions.6
Així mateix, l’ingent quantitat de dades de que ja disposa l’INE de cadascú de nosaltres unida a la informació que poguessin facilitar les operadores podria permetre, en atenció als actuals avenços de la tecnologia, efectuar la vinculació i identificació de les persones concretes, deixant sense efecte la mal anomenada anonimització. De tal forma que les dades de localització objecte de tractament quedarien sota l’aplicació de la normativa de protecció de dades i, per tant, en l’obligació de recavar-ne el nostre consentiment.
El mateix Tribunal Constitucional pel que fa les mesures adequades en el tractament de dades personals en fixa els límits i considera que: “La naturaleza y el alcance de las garantías que resulten constitucionalmente exigibles en cada caso dependerán de tres factores esencialmente: el tipo de tratamiento de datos que se pretende llevar a cabo; la naturaleza de los datos; y la probabilidad y la gravedad de los riesgos de abuso y de utilización ilícita que, a su vez, están vinculadas al tipo de tratamiento y a la categoría de datos de que se trate.”7
Atenent aquests factors, tampoc cal menystenir l’evident finalitat comercial darrere d’aquesta possibilitat que la normativa de comunicacions electròniques facilita a les operadores de tractar les dades anònimes. Així doncs, cal requerir que aquestes actuacions es duguin a terme amb ple respecte a la normativa de protecció de dades i, per tant, qualsevol actuació hauria de ser informada prèviament als usuaris donat que la possibilitat de fer ús de dades anònimes no eximeix del deure d’informació relatiu al tractament d’anonimització per part de les operadores i, si fos el cas, de la possibilitat dels usuaris d’oposar-se al mateix.
En atenció als anteriors plantejaments, la situació ens ha de portar a instar a l’INE a recavar el consentiment dels afectats abans de realitzar un estudi estadístic d’aquestes característiques; a establir mesures de control en relació amb el procés d’anonimització de les nostres dades personals per part de les operadores de telefonia mòbil; a que aquestes informin als usuaris d’aquest procés d’anonimització i de la possibilitat d’oposar-s’hi; i, a reformar l’actual marc legislatiu de comunicacions electròniques per adaptar-lo a la nova realitat de protecció de dades atenent els actuals avenços i riscos tecnològics.
Robert Rubió i Roger Casanova de Vilalta
Sectorial de Societat de la Informació
societatinformacio@esquerra.cat
3 Aquest Grup es va crear en virtut de l'article 29 de la Directiva 95/46/CE, es tractava d'un òrgan consultiu europeu independent en matèria de protecció de dades i dret a la intimitat. Les seves funcions han esta assumides pel Comitè Europeu de Protecció de Dades del RGPD.
4 Directiva 2002/58/CE de Parlament Europeu i de Consell, de 12 de juliol de 2002, relativa al tractament de les dades personals i a la protecció de la intimitat en el sector de les comunicacions electròniques
5 Sentència de 8 d’abril de 2014, Digital Rights Ireland & Seitlinger (C-293/12 i C-594/12).
6 Llei 9/2014, de 9 de maig, general de telecomunicacions i Llei 25/2007, de 18 d’octubre, de conservació de dades relatives a les comunicacions electròniques i a les xarxes públiques de comunicacions.
7 Sentència 76/2019, de 22 de maig del 2019.