GEOLOCALIZACIÓN POR MÓVIL

LA AEPD AVALA LA GEOLOCALIZACIÓN POR MÓVIL DESDE EL MINISTERIO DE TRABAJO.

junio 9, 2021/inConsultora RGPD, PUBLICACIONES JURÍDICAS

Recientemente ha sido publicada una resolución de la Agencia Española de Protección de Datos (E-03690-2020), en la que analiza el supuesto en el que, a raíz de la pandemia, el Ministerio de Transportes colabora con una compañía de telefonía, para realizar estudios sobre la geolocalización de la población. En la misma, la Agencia determina que los tratamientos en los que, tras la recogida, de forma inmediata y automática, se anonimizan los datos, tal y como lo hacía la compañía de telefonía, no es un tratamiento de datos sujeto al Reglamento General de Protección de Datos.

Un estudio sobre la movilidad

En el caso que analiza la Agencia, el Ministerio de Transportes, Movilidad y Agencia Urbana, estudia la movilidad general de los habitantes de una zona geográfica para realizar un estudio sobre la misma entre zonas (durante las veinticuatro horas del día), lo cual ayuda a realizar funciones de seguimiento de la evolución del COVID-19, así como para comparar la movilidad diaria con la semana del 14 al 20 de febrero de 2020 (previa a la crisis sociosanitaria), en diferentes zonas geográficas.

Seguimiento y análisis

Para ello, un operador de telefonía monitoriza el posicionamiento de teléfonos móviles en celdas de telefonía definidas por las antenas terrestres de la compañía. Esta compañía, analiza los datos y los anonimiza aplicándoles una función criptográfica de tipo hash SHA-2, y les aplica una función de agregación (de forma automática, sin la intervención del personal de la empresa). Tras esta anonimización y agregación se traslada esta información al consultor o consultora, para que genere distintos indicadores elevados al total del universo poblacional. Así, con la información que llega al Ministerio no es posible reconstruir y proporcionar información personal alguna. Este tratamiento dura tres días, período durante el cual se almacenan los registros anonimizados (salvo que sea necesario reprocesarlo, en cuyo caso serán 30 días).

Por otro lado, se establece una zona de actuación donde haya una población igual o mayor a 5000 habitantes y en ningún caso inferior a 1000 habitantes (aquellos casos entre 1000 y 4999, se agregarán varias zonas). Así, al emplear este criterio numérico (junto a la regla de agregación), hace que el riesgo de reidentificación sea mínimo. En el mismo sentido, no se emplean muestras inferiores al 2% de la población, ya que no se consideran lo suficientemente fiables.

Se debe dar garantías que cumplan el RGPD

En conclusión, siempre y cuando, sea con fines estadísticos y se apliquen las garantías adecuadas, estaríamos en el ámbito del considerando 26 del RGPD, esto es, quedaría fuera del ámbito de aplicación del RGPD. Estas garantías (al menos las que reconoce la Agencia en esta resolución son):

Anonimización de los datos, de forma que no pueda revertirse el proceso.
Agregación de la información.
Conservación mínima de los datos encriptados.
Poblaciones con más de 5000 habitantes y nunca menos de 1000.
No utilizar muestras inferiores al 2% de la población.
Que los datos (sin anonimizar), no salgan de la infraestructura del proveedor.

Geolocalización

Esta resolución puede tener más implicaciones de las que a priori puede parecer, dado que abre la veda a numerosas actividades desarrolladas a través de Inteligencia Artificial y que, si bien adoptando ciertas medidas, podrían quedar fuera del paraguas del Reglamento, al poderse considerar un tratamiento efímero.

En definitiva, los tratamientos efímeros del considerando 26 del Reglamento General de Protección de Datos avalan la geolocalización desde el móvil por parte del Ministerio de Transportes, Movilidad y Agencia Urbana.