Comunicado AAIP. Protección de datos personales y geolocalización

En fecha 29 de abril la Agencia de Acceso a la Información Pública (AAIP) informó, a través de un comunicado subido al sitio oficial, cómo deben tratarse los datos personales para el uso de herramientas de geolocalización, especialmente ante la emergencia sanitaria provocada por el coronavirus COVID-19.

De este modo, la AAIP comunica que la Ley 25.326 de Protección de Datos Personales y el Convenio 108 para la Protección de las Personas con respecto al Tratamiento Automatizado de Datos de Carácter Personal, aprobado en nuestro país por la Ley 27.483, no prohíben el monitoreo de la ubicación de las personas, pero las medidas de tratamiento de datos que se implementen deben realizarse respetando el derecho humano a la privacidad de las personas.

La AAIP señala 12 principios fundamentales de la regulación vigente en materia de protección de datos que se aplican al uso de herramientas de geolocalización y tracking. A continuación se describen algunos de ellos, con especial atención en aquellos aplicables al sector privado:

- Toda información referida a la ubicación de una persona y/o sus desplazamientos constituye un dato personal protegido bajo la Ley 25.326. La recopilación de datos de ubicación podrá realizarse cuando: a) El titular de los datos haya prestado su consentimiento libre, expreso e informado. El consentimiento podrá ser obtenido a través de la aceptación de términos y condiciones en una aplicación o plataforma web; b) o en aquellos casos en que no se precisa el consentimiento sea porque: (i) Los datos se obtengan de fuentes de acceso público irrestricto; (ii) Se recaben para el ejercicio de funciones propias de los poderes del Estado o en virtud de una obligación legal; (iii) Deriven de una relación contractual, científica o profesional del titular de los datos y resulten necesarios para su desarrollo o cumplimiento. (art. 5 Ley 25.326)

- Los datos de ubicación son definidos como información recopilada por una red o servicio sobre dónde está o estaba ubicado el teléfono del usuario u otro dispositivo.

- Los datos de ubicación pueden inferirse por GPS (sistema de posicionamiento global), torres de celdas (operadores de telefonía móvil), redes wifi, bluetooth o una combinación de señales.

- Los responsables de tratamiento de datos personales pueden realizar actividades de monitoreo si los datos se encuentran disociados, en cuyo caso no resulta aplicable la Ley 25.326 porque el dato disociado no es un dato personal. El dato de ubicación será considerado disociado cuando el procedimiento que deba aplicarse para lograr su identificación con una persona requiera la aplicación de medidas o plazos desproporcionados o inviables (Criterio 3 de la Resolución AAIP 4/2019).

- Cuando el monitoreo esté autorizado por el consentimiento del titular de los datos, el responsable de tratamiento de datos personales debe darle al titular la oportunidad de revocarlo en cualquier momento.

- Para monitorear o seguir la geolocalización de una persona, los responsables de tratamiento de datos personales deben respetar en todo momento el principio de calidad del dato, previsto en el Artículo 4 de la Ley 25.326. En este sentido, se exige que: (i) Los datos personales que se recojan deben ser ciertos, adecuados, pertinentes y no excesivos en relación al ámbito y finalidad para los que se hubieren obtenido (ej. La geolocalización debe limitarse a finalidades asociadas a paliar los efectos del coronavirus COVID-19 y no debe interferir arbitrariamente en la privacidad de la persona); (ii) la recolección de datos no puede hacerse por medios desleales, fraudulentos o en forma contraria a las disposiciones de la Ley 25.326. El monitoreo debe hacerse al descubierto, informando a la población; (iii) los datos objeto de monitoreo no pueden ser utilizados para finalidades distintas o incompatibles con aquellas que motivaron su obtención, no puede ser extendido a otras finalidades que no se relacionen con mitigar los efectos del coronavirus COVID-19; (iv) los datos deben ser exactos y actualizarse en el caso de que ello fuere necesario; (v) los datos total o parcialmente inexactos, o que sean incompletos, deben ser suprimidos y sustituidos, o en su caso completados cuando se tenga conocimiento de la inexactitud o carácter incompleto de la información de que se trate; (vi) los datos deben ser almacenados de modo que permitan el ejercicio de los derechos de acceso, rectificación y supresión de datos personales; (vi) los datos deben ser destruidos cuando hayan dejado de ser necesarios o pertinentes a los fines para los cuales hubiesen sido recolectados. El almacenamiento debe permitir que los datos personales sean identificables para facilitar su posterior eliminación.

- El responsable debe cumplir con el principio de información previsto en el Artículo 6 de la Ley 25.326. Ello significa que debe aclarar cómo y por qué realiza el seguimiento de personas, en dónde se almacena la información, con quiénes se comparten esos datos, las consecuencias del tratamiento y la posibilidad que tiene el titular de los datos de ejercer los derechos de acceso, rectificación o supresión.

- Los datos deben ser almacenados de modo que se cumplan los principios de seguridad y confidencialidad previstos en los Artículos 9 y 10 de la Ley 25.326. A esos efectos, se recomienda adoptar las medidas de seguridad recomendadas en la Resolución AAIP 47/2018.

- La AAIP recomienda al responsable de tratamiento de datos personales realizar una evaluación de impacto de manera previa a la implementación de la herramienta, con el fin de controlar y mitigar sus riesgos, así como evaluar su viabilidad. Dicha evaluación de impacto podrá realizarse conforme a la Guía de Evaluación de Impacto en la Protección de Datos elaborada por la Agencia en colaboración con la Unidad Reguladora y de Control de Datos Personales de la República Oriental del Uruguay.