El post de hoy lo dedicamos al WiFi tracking. ¿Has oído hablar de esta tecnología? ¿Sabes para qué se utiliza? Te lo explicamos con un ejemplo: entras a una tienda con tu móvil en el bolsillo. Si se ha instalado un sistema de WiFi tracking, puede trazar, gracias a la señal que capta de tu teléfono, el recorrido que haces por la tienda o en qué zonas te detienes más.
Ésta es una información sumamente valiosa para las empresas, dado que, por ejemplo, da pistas sobre qué productos o zonas captan más la atención de los clientes información muy útil para acciones de marketing. Por tanto, cuando hablamos de WiFi tracking, nos referimos a sistemas a través de los cuales, haciendo uso de una señal WiFi, se puede averiguar qué recorrido ha hecho un dispositivo -y, con él, la persona que lo porta- por un determinado espacio.
¿El WiFi tracking implica un tratamiento de datos personales?
Antes que nada, vamos con un recordatorio básico: un dato personal es cualquier información que nos permite identificar, de forma directa o indirecta, a una persona física. Así, cualquier acción o tecnología que encaje con lo anterior debe cumplir con la normativa de protección de datos.
¿Supone el WiFi tracking un tratamiento de datos personales? A esta pregunta trata de responder la AEPD en una de sus consultas, tema que también se ha planteado en informes y dictámenes del Grupo de Trabajo del art. 29, RGPD.
Un factor importante: el plazo de conservación de los datos
Si en algo coinciden los documentos citados, a la hora de determinar si hay tratamiento de datos, es en la importancia del plazo de conservación que se le asigne a la información que se obtenga.
Por ejemplo: si obtienes información a partir de WiFi tracking pero la conservas durante poco tiempo -pongamos que un mes- es bastante que en ese plazo se desarrolle la tecnología capaz de permitir identificar al usuario que hay tras el dispositivo. En cambio, si almacenas la información por un periodo superior de tiempo -años, por decir algo- hay muchas probabilidades de que haya avances tecnológicos y de que, entonces, sí pudieras identificar a la persona. ¿Ves el matiz?
¿Puede haber casos en los que no aplique la normativa de protección de datos?
Aquí, la AEPD hace una diferencia clave entre dos conceptos que se repiten mucho en el marco de la privacidad:
- Anonimización: implica una disociación absoluta de los datos. Así, incluso si quien instala el sistema puede tener acceso a información del dispositivo, nunca podrá identificar a la persona que hay detrás.
- Seudonimización: técnica que, si bien no permite identificar a la persona directamente, sí presenta altas probabilidades de que pueda hacerse de forma indirecta, y no garantiza un conjunto de datos anónimo.
En la consulta que citábamos más arriba, la consultante explica que dispone de tecnologías de cifrado y seudonimización, pero no de anonimización. Si hubiera optado por estas últimas, podría quedar exenta de aplicar la normativa, ya que podría entenderse que no está tratando datos como tal. Pero, como hablamos de seudonimización, con el consiguiente riesgo de hacer identificable a la persona, siempre aplicará el RGPD y la LOPDGDD y tocará cumplirlos
¡Ojo! Ya con independencia de por qué sistema optes o de si te toca cumplir la ley, es importantísimo que se implementen medidas de seguridad y que, además, se informe a los usuarios de su existencia y funcionamiento.
WiFi tracking y geolocalización: qué hay que saber
Claro está que si hablamos de tecnologías que nos permiten trazar el recorrido de un dispositivo y, potencialmente, de su portador, entramos en el terreno de la geolocalización.
El tratamiento de datos de geolocalización ha aumentado exponencialmente en los últimos años, dado que proporciona una información sumamente valiosa sobre las persnas y además pueden ligarse a otro tipo de datos: de salud, de comportamiento, financieros, etc.
Pero no es oro todo lo que reluce: cualquiera que trate datos de geolocalización debe aplicar controles y prever los riesgos, asegurando que ello no implique vigilancia ni poner en entredicho la intimidad de la persona.
¿Cómo hacer buen uso de estas tecnologías en un negocio?
El RGPD (art. 6) recoge las bases que pueden legitimar el tratamiento de datos personales, o sea, las condiciones que debemos cumplir para no buscarnos un lío. La primera y más importante de ellas es el consentimiento del interesado.
Es tal su relevancia que la AEPD considera que, por regla general, cualquier tecnología de WiFi tracking requiere el consentimiento previo del interesado cuya información vaya a tratarse, por lo delicado de dicho tratamiento.
Repetimos: por regla general. Así, no siempre hay que pedir consentimiento para tratar datos, lo que nos lleva a plantearnos si esto sería posible en el uso de WiFi tracking y si podríamos basar este tratamiento en otras legitimaciones del RGPD, como la existencia de un interés legítimo tras dicho tratamiento.
La AEPD no se cierra a ello, pero siempre, teniendo en cuenta que si pretendemos implantar un sistema de este tipo sin consentimiento de los usuarios, es fundamental:
- Evaluar qué tiene más peso, si el interés en instalar y hacer uso de dicha tecnología, o los derechos y libertades de las personas implicadas
- Valorar la fuente y naturaleza de ese interés en el que se basaría el tratamiento
- Tener en cuenta las repercusiones para el interesado
- Aplicar garantías suficientemente adecuadas al tratamiento
Concluyendo y recordando: la implementación de sistemas de este tipo, si es con consentimiento. Si prefieres hacerlo de otra forma, sí o sí deberás realizar necesariamente las acciones anteriores y, a partir de ellas, valorar.
Basar un sistema de WiFi tracking en el interés legítimo solo podría considerarse lícito si se implementan las salvaguardas, garantías y medidas técnicas y organizativas necesarias y siempre con esa previa ponderación, en la que deben prevalecer los intereses de la persona.
Principios aplicables al uso de WiFi tracking
Como cualquier tratamiento de datos, es indispensable respetar los principios que la normativa establece si vas a hacer uso de WiFi tracking o sistemas similares.
Primeramente, es fundamental analizar la proporcionalidad de la instalación del sistema; en otras palabras: si realmente existe un equilibrio entre el fin que pretendes conseguir y la medida usada para ello. Debes asegurarte de justificar que sea una medida necesaria para lograr tus objetivos y en caso de que encuentres una alternativa menos invasiva, optar por esta última.
Y, por supuesto, no olvidemos que la legislación vigente no solo establece la obligación de cumplir, sino también de ser capaz de demostrar que se ha cumplido. Esto constituye el principio de responsabilidad proactiva o accountability, que implica que el responsable del tratamiento debe velar por la aplicación de las medidas y garantías necesarias para proteger los datos personales, y asegurar que el tratamiento se realice de forma lícita, transparente, leal, limitada y haciendo uso de la información estrictamente necesaria.
Si voy a hacer uso de WiFi tracking, ¿qué pasos tengo que seguir?
Siguiendo la línea de lo que la AEPD establece, hay una serie de pautas indispensables que todo aquel que quiera implementar sistemas de WiFi tracking debería tener en cuenta. A modo de resumen:
a) Implementar medidas que garanticen la anonimización
b) Delimitar el ámbito en que se realiza el WIFI tracking
c) Limitación o acotación de las zonas en que se realiza
d) Si hay datos sensibles en juego (por ejemplo, productos relacionados con la salud), siempre con consentimiento
e) No pueden cruzarse los datos de geolocalización con los procedentes de otras fuentes (videovigilancia, datáfonos…)
f) Solo aplicar en las áreas de interés a efectos de marketing, no en otras zonas
g) No alojar los datos en servidores ubicados en otros locales
h) Si una misma persona visita el establecimiento varias veces, no se le pude asignar el mismo identificador en cada visita
i) Si pones tu red WiFi a disposición de quienes accedan a tu establecimiento, para que puedan conectarse a Internet, no puedes condicionar ese acceso a que te den su consentimiento para el tratamiento de WiFi tracking. El consentimiento siempre es libre.
j) Los interesados deben tener reconocido su derecho de oposición, es decir, a negarse a que se usen sus datos para los fines descritos
k) Debe garantizarse el derecho de información, de forma concisa, transparente, inteligible y de fácil acceso, recogiendo todo lo que estipula el artículo 13 RGPD.
l) Valorar si el tratamiento podría implicar un alto riesgo para los derechos y libertades de los interesados y, en su caso, realizar la correspondiente Evaluación de Impacto.
m) Si, aun habiendo completado el paso anterior, sigue habiendo posibilidad de un alto riesgo, deberá plantearse una consulta a la AEPD antes de implementar el sistema
n) Lo anterior hace necesario, además, que cuentes con los servicios de un Delegado de Protección de Datos (DPO), ya que será la persona encargada de asesorarte -entre otros asuntos- en todo lo que respecta a la realización de EIPD.
En conclusión…
Sin lugar a dudas, el WiFi tracking es una tecnología muy interesante y atractiva para analizar los comportamientos de los usuarios y obtener ventajas comerciales. Pero hay que ser muy cauteloso a la hora de implementarla, valorar los riesgos y actuar de forma segura, para no perjudicar a las personas en juego.
La AEPD, en la consulta analizada, ha tratado de aclarar si el WiFi tracking implica tratamiento de datos personales o no y si, por tanto, debe cumplir con el RGPD y demás normativa. Al final, la respuesta se resume en una palabra: depende.
Como hemos visto, son varios los factores que servirán para determinar si hay tratamiento de datos o no y cómo se debe actuar al respecto. Como hablamos de tecnologías útiles, pero complicadas, lo mejor es no quedarse con la duda y contar con asesoramiento especializado antes de llevarlas a cabo. Si es tu caso, te invitamos a ponerte en contacto con nosotros.
¡Por cierto! Si te interesa el tema de las redes WiFi y cómo usarlas correctamente, te invitamos a leer el post que escribimos hace tiempo, sobre WiFi y RGPD.