Recomendaciones de la AEPD para el despliegue de aplicaciones móviles en el acceso a espacios públicos

En la lucha con el Covid-19, en muchos países se ha implantado el uso de aplicaciones móviles para el control de la pandemia y su crecimiento, en este aspecto, se deben tener en cuenta las normas que regulan el Derecho Fundamental a la protección de datos recogido en el art. 18 de la Constitución Española. El desarrollo de esta materia se realiza tanto a nivel Europeo con el más que conocido Reglamento General de Protección de Datos, como a nivel nacional a través del la Ley Orgánica de Protección de Datos y Garantía de Derechos Digitales.

A este respecto, la Agencia ha establecido una serie de recomendaciones para la adecuada implantación y posterior uso, de estas aplicaciones.

1. La finalidad debe estar claramente definida
   y debe limitarse a la gestión de medidas de
   distancia social tales como el control de aforo o el
   control de distancia.
2. Los tratamientos que se propongan han de
   ser realmente efectivos con relación a la
   finalidad y no pueden generar falsas expectativas de
   seguridad de acuerdo con el principio de lealtad del
   tratamiento.
3. La implementación de tratamientos basados
   en apps deberá fundamentarse en un análisis
   de necesidad y proporcionalidad que determine
   tanto la utilización de la app como el conjunto de
   datos mínimo necesario para conseguir los fines que
   se persiguen. En particular, la identidad del usuario
   o su seguimiento, incluido el uso de identificadores
   únicos de cualquier tipo o aquellos procedentes de
   la señal wifi o bluetooth, solo podrá tratarse si son
   estrictamente necesarios para la finalidad de la app.
4. No se deberán tratar categorías especiales de
   datos, en particular datos de salud, más allá
   de, en su caso, los estrictamente necesarios para
   gestionar los espacios reservados a personas con
   discapacidad.
5. Las funcionalidades de la app deben
   ser exclusivamente las necesarias para
   las finalidades concretas que se persiguen, no
   mezclando funcionalidades como fidelización,
   publicidad o redes sociales. No se deben tratar los
   datos personales para ninguna otra finalidad que no
   sea la relacionada con la gestión de las medidas de
   distancia social que justifiquen la implantación de la
   app.
6. El uso de la app debe ser de carácter
   voluntario, basado en el consentimiento del
   usuario para el tratamiento de los datos personales
   necesarios para cada una de las funcionalidades
   que se persiguen. El tratamiento deberá estar
   basado en un consentimiento libre, informado y
   específico. El uso de una determinada app no debe
   condicionar el acceso a espacios públicos, debiendo
   proporcionarse alternativas con el mismo grado de
   facilidad de uso.
7. El responsable del tratamiento deberá
   garantizar el cumplimiento de los principios
   del RGPD y LOPDGDD en todos los tratamientos que
   se realicen, incluidos los relativos a la necesidad
   de contratos o vínculos legales que regulen dichos
   tratamientos cuando sean realizados por terceros y
   las medidas de seguridad adecuadas.
8. En el caso de espacios públicos, el responsable
   de tratamiento deberá ser la Administración
   Pública que ostente la competencia, que será quien
   decida los fines y medios del tratamiento.
9. La utilización de herramientas o recursos
   de terceros para la implementación del
   tratamiento o el desarrollo de la app podría incluir
   proceso de datos personales con finalidades de
   publicidad, análisis de uso u otros, en particular el
   tratamiento de identificadores únicos y datos de
   geolocalización que impliquen el seguimiento de las
   personas o la elaboración de perfiles. Por lo tanto, se
   deben utilizar aquellas que ofrezcan las suficientes
   garantías para que dicho procesamiento no se
   produzca.
10. Los datos personales tratados no deben
    almacenarse más allá del tiempo necesario
    para cumplir con las finalidades que se persiguen
    y en todo caso deben ser eliminados cuando estas
    se extingan, excepto para aquellos datos que sea
    necesario conservar por obligación legal.
11. En la medida de lo posible, se deben
    adoptar soluciones comunes para el acceso a
    diferentes espacios públicos en un mismo entorno
    (ciudad, provincia, región), de forma que se evite
    exponer a los usuarios a los potenciales riesgos de
    múltiples apps.
12. El tratamiento de datos personales de
    menores de 14 años por este tipo de apps
    debe ser consentido por sus padres o tutores.