Qué normativa de protección de datos se aplica al Internet de las cosas

El RGPD se aplica a los sistemas de Internet de las cosas cuando tratan datos personales dentro de su ámbito material y territorial. La Directiva 95/46/CE, citada en el texto histórico de esta página, quedó derogada el 25 de mayo de 2018 y ya no debe presentarse como el marco vigente.

En España, el RGPD se complementa con la Ley Orgánica 3/2018. Dependiendo del producto también pueden intervenir normas de comunicaciones electrónicas, consumo, ciberseguridad, productos o regulación sectorial.

Cuándo un dato generado por un objeto es personal

El artículo 4.1 del RGPD define dato personal como cualquier información sobre una persona física identificada o identificable. En IoT puede incluir datos de localización, identificadores en línea, registros de uso, imágenes, voz, actividad física o información inferida.

Una medición técnica también puede ser personal si permite distinguir o relacionar razonablemente a alguien. Los patrones de iluminación, climatización o movimiento pueden revelar presencia y rutinas; un reloj puede asociar métricas con una cuenta individual.

La seudonimización reduce riesgos, pero los datos siguen siendo personales si pueden volver a atribuirse a una persona mediante información adicional. La anonimización solo queda fuera del RGPD cuando la identificación deja de ser razonablemente posible atendiendo a los medios y al contexto.

Ámbito territorial del RGPD

El artículo 3 del RGPD contempla varias situaciones. Se aplica al tratamiento realizado en el contexto de las actividades de un establecimiento de un responsable o encargado en la Unión, con independencia de dónde se ejecute técnicamente el tratamiento.

También puede aplicarse a una organización no establecida en la Unión cuando trata datos de personas que se encuentran en ella y las actividades se relacionan con:

• la oferta de bienes o servicios, con independencia de que exista pago;
• el control de su comportamiento, cuando este tenga lugar en la Unión.

La nacionalidad no es el criterio general del artículo 3. Tampoco basta con que un dispositivo sea accesible desde Europa: deben analizarse las circunstancias, la oferta dirigida, el seguimiento y la actividad del establecimiento.

El rol depende de las decisiones reales

En un ecosistema IoT pueden intervenir fabricantes, desarrolladores, plataformas en la nube, aplicaciones, redes sociales, distribuidores, proveedores de análisis y clientes empresariales.

El nombre comercial no determina su rol. Una entidad será responsable si decide los fines y medios esenciales del tratamiento; puede existir corresponsabilidad cuando varias entidades los determinan conjuntamente. Un proveedor será encargado cuando trate datos por cuenta del responsable y conforme a sus instrucciones.

Una misma empresa puede tener roles distintos según la operación. Por ejemplo, una plataforma podría actuar como encargada al alojar datos para un cliente y como responsable respecto de analítica propia que decide realizar para su finalidad.

Fabricantes de dispositivos

Un fabricante no es responsable únicamente por fabricar el objeto. Debe examinarse si decide qué sensores se activan, qué datos se recogen, con qué frecuencia se transmiten, cuánto se conservan o para qué finalidades se utilizan.

Si determina esas decisiones, puede actuar como responsable respecto de esos tratamientos. Si se limita a suministrar hardware sin acceder a datos ni decidir su uso, la calificación puede ser diferente. El análisis debe basarse en las funciones reales y no en una presunción aplicable a todos los fabricantes.

Aplicaciones, plataformas e integraciones

Una aplicación que recibe datos de un dispositivo puede definir finalidades propias, como personalización, publicidad o análisis. En ese caso puede ser responsable respecto de esas operaciones. Si solo presta un servicio siguiendo instrucciones documentadas, puede actuar como encargada.

Los permisos técnicos no sustituyen la base jurídica ni la información. Que una API permita acceder a una categoría de datos no significa que cualquier acceso o reutilización sea lícito.

Cuando una persona comparte actividad en una red social, la plataforma puede tratar los datos para prestar esa función y para otras finalidades que ella misma determine. Cada finalidad debe contar con base jurídica, transparencia y límites propios.

Obligaciones que deben distribuirse

• Datos y finalidades de cada operación.
• Rol de cada entidad y sus responsabilidades.
• Base jurídica aplicable.
• Información que recibirá la persona.
• Plazos de conservación y destinatarios.
• Atención de derechos.
• Medidas de seguridad y gestión de incidentes.
• Transferencias internacionales, si existen.
• Necesidad de una evaluación de impacto.

Cuando exista corresponsabilidad, el artículo 26 exige determinar de modo transparente las responsabilidades respectivas. Si interviene un encargado, la relación debe ajustarse al artículo 28.

Para una visión general de riesgos y diseño, puede consultarse la entrada sobre Internet de las cosas y protección de datos.

Si necesitas delimitar responsabilidades en un proyecto IoT, puedes contactar con Maniacs.

Fuentes oficiales

• Reglamento general de protección de datos en el BOE: artículos 3, 4, 24, 26 y 28.
• Dictamen 8/2014 WP223 sobre Internet de las cosas, referencia histórica del Grupo de Trabajo del Artículo 29.