La Agencia Española de Protección de Datos (AEPD) ha sancionado en una nueva resolución a un negocio por no cumplir con la Ley de Protección de Datos en el proceso de verificación de los usuarios de su aplicación. Una multa que, en un primer momento, ascendía a los 1.000 euros; si bien la aplicación de determinadas reducciones por el reconocimiento de la infracción y el pago voluntario acabó reduciendo la sanción final a 600 euros.
En este caso, el negocio solicitaba una copia del Documento Nacional de Identidad (DNI) para poder realizar el proceso de verificación que permitía acceder a la versión de suscripción de pago de la aplicación. Y tener de ese modo acceso a herramientas adicionales. Un recurso habitual hoy en día dentro de los servicios de las aplicaciones para dispositivos móviles.
Como señalaron a este diario en la AEPD, «la comprobación de la exactitud de los datos puede cumplirse sin necesidad de solicitar copia del DNI o documento de identidad, pues existen otras alternativas igualmente válidas que permiten realizar esta comprobación de forma fiable, a través de sistemas de verificación de la identidad, acorde a los requisitos legales”.
Los procesos de verificación o autenticación deben vigilar el cumplimiento de la protección de datos
Como se señala en la resolución, estos procedimientos para registrar a los usuarios o clientes en las plataformas digitales del negocio deben adecuarse a lo establecido en el Reglamento General de Protección de Datos (RGPD).
Como explicaron desde la AEPD, en estos supuestos, los negocios pasan a ser responsables del tratamiento de datos, y, por tanto, “deben cumplir con el artículo 5.1 del RGPD, donde se establece que los datos personales serán: (…) c) adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados (‘minimización de datos’)”.
Según este principio de minimización de datos, se deben aplicar medidas técnicas y organizativas que garanticen que se tratan solo los datos precisos que requiera el negocio para el fin determinado –es decir, que no se solicitan datos que no sirvan estrictamente para el objetivo que se quiere cumplir–, lo que permite reducir la extensión de su tratamiento, su plazo de conservación y su accesibilidad.
Además, en la propia resolución se aclara que el sancionado, una vez conocida la presentación de la reclamación ante esta Agencia, encargó un informe a un experto externo, en el que se manifestó expresamente que la recogida de copias escaneadas del DNI como método de verificación de la identidad es intrusivo y no se ajusta a lo contenido en los preceptos legales vigentes.
Los negocios deben usar métodos lo menos invasivos posible e informar de ellos
En ese sentido, los negocios deben usar métodos menos invasivos, como la recopilación de la información de manera manual, para evitar poder incurrir en determinadas infracciones. Y siempre teniendo en cuenta que cualquier información que identifique o pueda permitir que terceros identifiquen a los clientes se trata de un dato personal; como son el nombre y los apellidos, el DNI, el correo electrónico o la dirección IP.
Para asegurar el cumplimiento de la normativa, si solicitan datos a sus clientes, consumidores o pacientes deben informales de:
- La finalidad de su uso, para qué van a ser utilizados.
- El tratamiento que les darán.
- Si se elaborará un perfil a partir de su información personal.
- Si a partir de ese perfil personal se tomarán luego decisiones que les afecten.
- Cómo ejercer sus derechos: acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad.
- El tiempo que se van a conservar estos datos.
Como excepción, en determinadas ocasiones pueden tratarse datos personales sin el consentimiento de los usuarios, en situaciones en las que se protegen sus intereses vitales, los datos están incluidos en una fuente accesible al público y cuando exista una ley que habilite a una entidad para llevar a cabo este procedimiento.
Principios que deben seguir los responsables del tratamiento de datos en webs y apps
El Reglamento General de Protección de Datos también recoge este conjunto de principios que los responsables y encargados del tratamiento deben tener en cuenta cuando vayan realizar tratamiento de datos:
- Principio de “licitud, transparencia y lealtad”. Es decir, los datos deben ser tratados de manera lícita, leal y transparente para el interesado.
- Principio de “finalidad”. Incluye dos obligaciones. Que los datos sean tratados con una o varias finalidades determinadas, explícitas y legítimas y que sean tratados después de manera incompatible con los fines para los que fueron recogidos.
- Principio de “minimización de datos”, detallado anteriormente.
- Principio de “exactitud”. Obliga a disponer de medidas razonables para que los datos estén “actualizados, se supriman o modifiquen sin dilación cuando sean inexactos con respecto a los fines para los que se tratan”.
- Principio de “limitación del plazo de conservación”. La conservación de los datos no debe perdurar más allá del momento en que se logre el fin para el que fueron recabados. Una vez que se ha alcanzado el fin, deben ser borrados, bloqueados o, en su defecto, anonimizados.
- Principio de “seguridad”. Los responsables deben poner las medidas técnicas y organizativas necesarias para garantizar la integridad, disponibilidad y confidencialidad de los datos.
- Principio de “responsabilidad activa”. Obliga a los responsables a mantener una “diligencia debida” sobre el tratamiento de los datos. Es decir, a proteger y a garantizar los derechos y libertades de las personas de las que se tratan estos datos personales mediante los análisis de riesgos pertinentes y procedimientos acordes al RGPD.
