La consulta plantea la conformidad con lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de datos de Carácter Personal, y su Reglamento de desarrollo, aprobado por Real Decreto 1720/2007, de 21 de diciembre, de la herramienta a la que la misma se refiere consistente, según se indica, en una aplicación accesible por Internet y como aplicación móvil para la gestión de las zonas de aparcamiento regulado.
Se señala que a través de la citada aplicación el interesado podrá, por una parte, emitir los recibos necesarios para el estacionamiento en las zonas vigiladas, así como recibir información acerca de los incumplimientos que se hayan producido, con indicación del lugar, ubicación y vehículo que hubiera incumplido las normas de estacionamiento vigilado y controlado.
A tal efecto, el interesado habrá de rellenar un formulario web en el que incorporará una dirección de correo electrónico a la que se enviará una confirmación para la instalación de la aplicación, pudiendo incluir la matrícula de hasta cinco vehículos.
La única medida que se incluye en la consulta es la mención en la política de privacidad, que deberá ser aceptada por el usuario, de una leyenda en la que manifestará haber informado a los terceros a cuyos vehículos se refiere la aplicación acerca del tratamiento de sus datos, en los términos establecidos, según se indica, en el artículo 5.4 de la Ley Orgánica 15/1999, planteándose si las medidas de seguridad adoptadas (aunque sólo se cita la mencionada con anterioridad) son suficientes, teniendo en cuenta que se comunicarán a través de la aplicación datos relacionados con el incumplimiento de obligaciones tributarias por parte de quienes conduzcan los vehículos cuyas matrículas sean incorporadas a la aplicación, relacionados con el incumplimiento de las obligaciones de pago del estacionamiento vigilado.
Como primera cuestión a tener en consideración, debe indicarse que la consulta no incorpora cuestión alguna relacionada con el tratamiento que por la misma va a llevarse a cabo de los datos relacionados, por una parte, con los estacionamientos controlados y, por otra, con las “infracciones” cometidas; es decir, con el impago de las correspondientes tasas municipales y los consiguientes recargos que pudieran imponerse sobre las mismas, en la terminología empleada por la propia consultante.
Así, en primer lugar, no será posible conocer quién ostentará la condición de responsable del tratamiento, teniendo en cuenta que la potestad tributaria en relación con las tasas municipales corresponde a la propia Corporación Municipal, lo que hace considerar que la entidad consultante no sería sino encargada del tratamiento de los datos relacionados con el adeudo y pago de las mencionadas tasas.
Además no se acompaña a la consulta información alguna relacionada con el tratamiento que de los datos de los usuarios de la aplicación va a llevar a cabo la consultante, bien como responsable bien como encargada del tratamiento. Ello es particularmente relevante si se tiene en cuenta que se está haciendo referencia a una aplicación web y a una aplicación móvil que pueden implicar la recogida de determinados datos cuya adecuación a la finalidad perseguida por el tratamiento puede no resultar enteramente amparada por el artículo 4.1 de la Ley Orgánica 1571999.
En particular, de las imágenes adjuntas a la consulta parece desprenderse que se producirá una recogida de datos relacionados con la navegación de los usuarios, debiendo clarificarse si dichas informaciones resultará “adecuadas, pertinentes y no excesivas” en relación con la finalidad del tratamiento, que no parece ser otra que la gestión de las zonas de estacionamiento controlado, facilitando el pago y advirtiendo de los posibles incumplimientos.
En este sentido, indica el Dictamen 2/2013 sobre las aplicaciones de los dispositivos inteligentes, adoptado el 27 de febrero de 2013 por el Grupo de Trabajo creado por el artículo 29 de la Directiva 95/46/CE (documento WP202) lo siguiente:
“La limitación de la finalidad va unida al principio de minimización de datos. Para evitar el tratamiento de datos innecesario y potencialmente ilícito, los desarrolladores de aplicaciones deben considerar atentamente los datos que son estrictamente necesarios para realizar la función deseada.
Las aplicaciones pueden acceder a muchas funciones del dispositivo y, por tanto, son capaces de hacer muchas cosas, como enviar SMS furtivos o acceder a imágenes y a la lista de contactos. Muchas tiendas de aplicaciones soportan actualizaciones (semi)automáticas en las que los desarrolladores de aplicaciones pueden integrar nuevas características y hacer accesibles dichos archivos con poca o ninguna intervención del usuario final.
En este punto, el grupo de trabajo desea subrayar que las terceras partes que pueden acceder a los datos del usuario a través de las aplicaciones deben respetar los principios de limitación de la finalidad y minimización de datos. Los identificadores únicos, a menudo no modificables, no deben utilizarse para fines publicitarios y/o analíticos basados en intereses, debido a la incapacidad de los usuarios para revocar la autorización. Los desarrolladores de aplicaciones deben garantizar que se impide la desvirtuación de funciones evitando el cambio del tratamiento que efectúa una versión de una aplicación por el que hace otra sin enviar a los usuarios finales anuncios informativos y darles la oportunidad de renunciar al tratamiento o al conjunto del servicio. También deben ofrecerse a los usuarios medios técnicos para verificar las declaraciones sobre objetivos predeterminados, dándoles acceso a información sobre los flujos de tráfico saliente por aplicación, en relación con el tráfico iniciado por ellos mismos.
La información y la supervisión por el usuario son aspectos fundamentales para garantizar el respeto de los principios de la minimización de datos y la limitación de la finalidad.”
Por otra parte, debe tenerse en cuenta que la captación de datos a través de dispositivos de almacenamiento de datos en los terminales de los usuarios, tales como cookies u otros similares, se encuentran sujetos al régimen establecido en el artículo 22.2 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio electrónico, según el cual:
“Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal.
Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros adecuados del navegador o de otras aplicaciones.
Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario.”
Tampoco se señala en la consulta nada acerca de las reglas a las que se someterá la consultante, bien directamente, bien en su condición de encargada del tratamiento de la Corporación Local en cuanto a las medidas de seguridad que implantará en sus tratamientos, que al menos deberán ser las de nivel medio, o en lo que respecta a los plazos de conservación de la información y el modo en que se atenderán los derechos de los afectados.
Dicho todo lo anterior, el problema que plantea la consulta es el derivado de que la información que será facilitada a través del aplicativo vendrá referida a un total de hasta cinco matrículas que serán introducidas por el usuario en su terminal. De este modo, el usuario de la aplicación recibirá información asociada a cinco vehículos, sin que necesariamente aquél sea titular o conductor habitual de ninguno de ellos.
Para resolver este problema la consultante se limita a incorporar en el formulario que habrá de aceptarse por el interesado que el mismo confirma haber informado a las terceras personas vinculadas con la titularidad o la condición de conductor habitual de esos vehículos acerca del tratamiento de sus datos.
El documento WP202 anteriormente mencionado se refiere al deber de información al afectado relacionado con las aplicaciones en terminales móviles, recordando que “La disponibilidad de esta información sobre el tratamiento de datos personales es imprescindible para obtener el consentimiento del usuario para tal tratamiento. El consentimiento solo puede ser válido si la persona ha sido previamente informada sobre los principales elementos del tratamiento de datos. Facilitar dicha información únicamente después de que el tratamiento de datos personales se haya iniciado (que suele comenzar durante la instalación) no se considera suficiente ni tiene validez jurídica. De acuerdo con el informe de la FTC, el grupo de trabajo subraya la necesidad de proporcionar información en el momento en que es importante para los consumidores, justo antes de la recogida de esa información por las aplicaciones. Ser informado de qué datos se están tratando es especialmente importante, habida cuenta del amplio acceso que las aplicaciones suelen tener a sensores y estructuras de datos del dispositivo, donde dicho acceso no es, en muchos casos, obvio. La información adecuada también es de vital importancia cuando las aplicaciones tratan categorías especiales de datos personales como, por ejemplo, el estado de salud, las creencias políticas, la orientación sexual, etc. Por último, los desarrolladores de aplicaciones deben diferenciar claramente la información obligatoria y opcional, y el sistema debe permitir al usuario denegar el acceso a información opcional utilizando por defecto opciones respetuosas de la intimidad.”
La cuestión en el presente caso es que no será posible conocer si esas terceras personas han sido realmente informadas acerca del tratamiento de sus datos, teniendo además en cuenta que la información no sólo se referirá al cumplimiento de obligaciones tributarias por parte de quienes fueran titulares o conductores de esos vehículos (vinculadas al pago de las tasas correspondientes), sino que podrá arrojar datos relacionados con la ubicación de vehículo en un momento determinado, que permitirían al usuario de la aplicación conocer el lugar concreto en que se encuentra el titular o conductor habitual.
De este modo, y aun cuando no se está procediendo al tratamiento de un dato de localización de un terminal determinado sí se está facilitando información sobre la ubicación geográfica de un vehículo en un momento determinado, lo que podría perjudicar los derechos de su titular o conductor en caso de que la inclusión de la matrícula del vehículo se hubiera llevado a cabo sin su conocimiento.
Este perjuicio no puede considerarse subsanado por el mero hecho de que se incluya en la política de privacidad del aplicativo una leyenda en que se informe al usuario de que ha debido informar previamente a los titulares o conductores de los vehículos acerca del tratamiento de los datos asociados a los mismos, dado que no resulta posible acreditar que esa información se ha otorgado y, menos aún, que se ha obtenido el consentimiento de esas terceras personas implicadas.
De este modo, a menos que pueda establecerse un vínculo entre el usuario de la aplicación y el vehículo, por ejemplo, el relacionado con el abono del impuesto municipal de vehículos u otro similar, no debería en ningún caso informarse a través de la aplicación de la fecha, hora y ubicación de los vehículos que hubieran infringido las normas de estacionamiento vigilado.
Igualmente, podría ser una medida adecuada que la información acerca de la infracción (sin incorporar los datos de ubicación) únicamente se facilitase en caso de que el usuario hubiera de proceder directamente, a través del aplicativo, a su abono, dado que en ese caso sí podría establecerse una vinculación lógica entre el usuario y el vehículo al que la infracción se refiriese.
Informe Juridíco 2014: App para estacionamiento controlado. Información de terceras personas. Desproporción en el acceso al dato de la ubicación.
Escríbenos por WhatsApp