Blog

Actualidad

LEY DE INTELIGENCIA ARTIFICIAL. PROPUESTA DE REGLAMENTO DEL PARLAMENTO EUROPEO Y DEL CONSEJO POR EL QUE SE ESTABLECEN NORMAS ARMONIZADAS SOBRE LA INTELIGENCIA ARTIFICIAL (21 04 2021).

Propuesta de Reglamento de la UE sobre Inteligencia Artificial.

Tercera Parte

 

  1. Transparencia

5.1.- Objeto de Transparencia para determinados sistemas de IA.

Los proveedores se asegurarán de que los sistemas de IA destinados a interactuar con personas físicas se diseñen y desarrollen de manera que las personas físicas sean informadas de que están interactuando con un sistema de IA, a menos que esto sea obvio por las circunstancias y el contexto de uso.

Esta obligación no se aplicará a los sistemas de IA autorizados por la ley para detectar, prevenir, investigar y perseguir delitos, a menos que dichos sistemas estén disponibles para que el público denuncie un delito.

Los usuarios de un sistema de reconocimiento de emociones o de un sistema de categorización biométrica deberán informar del funcionamiento del sistema a las personas físicas expuestas al mismo. Esta obligación no se aplicará a los sistemas de IA utilizados para la categorización biométrica, que están permitidos por la ley para detectar, prevenir e investigar delitos.

Los usuarios de un sistema de IA que genere o manipule contenidos de imagen, audio o vídeo que se parezcan sensiblemente a personas, objetos, lugares u otras entidades o acontecimientos existentes y que a una persona le parezcan falsamente auténticos o veraces («deep fake»), deberán revelar que el contenido ha sido generado o manipulado artificialmente.

No obstante, el primer párrafo no se aplicará cuando la utilización esté autorizada por la ley para detectar, prevenir, investigar y perseguir infracciones penales o sea necesaria para el ejercicio del derecho a la libertad de expresión y el derecho a la libertad de las artes y las ciencias garantizados en la Carta de los Derechos Fundamentales de la UE, y siempre que se garanticen adecuadamente los derechos y las libertades de terceros.

  1. Apoyo a la Innovación

6.1.- Medidas de Apoyo a la Innovación.

  • Sand box:

Los espacios aislados (“Sand Box”)de regulación de la IA establecidos por una o más autoridades competentes de los Estados miembros o por el Supervisor Europeo de Protección de Datos proporcionarán un entorno controlado que facilite el desarrollo, la prueba y la validación de sistemas innovadores de IA durante un tiempo limitado antes de su comercialización o puesta en servicio con arreglo a un plan específico. Esto se llevará a cabo bajo la supervisión y orientación directas de las autoridades competentes con el fin de garantizar el cumplimiento de los requisitos del Reglamento de la IA y, en su caso, de otra legislación de la Unión y de los Estados miembros supervisada dentro del recinto de pruebas.

Los Estados miembros se asegurarán de que, en la medida en que los sistemas innovadores de IA impliquen el tratamiento de datos personales o entren en el ámbito de supervisión de otras autoridades nacionales o autoridades competentes que proporcionen o apoyen el acceso a los datos, las autoridades nacionales de protección de datos y esas otras autoridades nacionales están asociadas al funcionamiento del recinto de seguridad de la IA.

Los espacios aislados (“Sand Box”) de regulación de la IA no afectarán a los poderes de supervisión y corrección de las autoridades competentes. Cualquier riesgo significativo para la salud y la seguridad y los derechos fundamentales que se detecte durante el desarrollo y las pruebas de dichos sistemas dará lugar a una mitigación inmediata y, en su defecto, a la suspensión del proceso de desarrollo y pruebas hasta que se produzca dicha mitigación.

Los participantes en el recinto de pruebas de regulación de la IA (“Sand Box”) seguirán siendo responsables, con arreglo a la legislación de la Unión y de los Estados miembros en materia de responsabilidad, de cualquier daño infligido a terceros como resultado de la experimentación que tenga lugar en el recinto de pruebas.

  • Tratamiento de datos personales:

En el «Sand Box» de la IA, los datos personales recogidos legalmente para otros fines se tratarán para desarrollar y probar determinados sistemas innovadores de IA en el «Sand Box» en las siguientes condiciones:

  • los sistemas innovadores de IA se desarrollarán para salvaguardar el interés público sustancial en uno o varios de los siguientes ámbitos:
    • la prevención, la investigación, la detección o el enjuiciamiento de delitos o la ejecución de sanciones penales, incluidas la protección y la prevención de amenazas a la seguridad pública, bajo el control y la responsabilidad de las autoridades competentes. El tratamiento se basará en el Derecho de los Estados miembros o de la Unión;
    • la seguridad y la salud públicas, incluida la prevención, el control y el tratamiento de las enfermedades;
    • un alto nivel de protección y mejora de la calidad del medio ambiente;
  • los datos tratados son necesarios para el cumplimiento de uno o varios de los requisitos mencionados en el apartado 4.2. anterior, cuando dichos requisitos no puedan cumplirse eficazmente mediante el tratamiento de datos anónimos, sintéticos u otros datos no personales;
  • existen mecanismos eficaces de supervisión para determinar si durante la experimentación del «Sand Box» puede surgir algún riesgo elevado para los derechos fundamentales de los interesados, así como un mecanismo de respuesta para mitigar rápidamente esos riesgos y, en caso necesario, detener el tratamiento;
  • los datos personales que se traten en el contexto del “Sand Box” estén en un entorno de tratamiento de datos funcionalmente separado, aislado y protegido, bajo el control de los participantes, y sólo tengan acceso a ellos las personas autorizadas;
  • que los datos personales tratados no sean transmitidos, transferidos o accedidos de otra manera por otras partes;
  • cualquier tratamiento de datos personales en el contexto del recinto de seguridad no dé lugar a medidas o decisiones que afecten a los interesados;
  • los datos personales tratados en el contexto del recinto de seguridad se eliminan una vez que la participación en el recinto de seguridad ha finalizado o los datos personales han llegado al final de su período de conservación;
  • los registros del tratamiento de datos personales en el contexto del “Sand Box” se conservan durante la duración de la participación en el “Sand Box” y 1 año después de su finalización, únicamente con el fin de cumplir con las obligaciones de responsabilidad y documentación en virtud de este artículo o de otra legislación de la Unión o de los Estados miembros, y sólo mientras sea necesario;
  • La descripción completa y detallada del proceso y de los fundamentos de la formación, las pruebas y la validación del sistema de IA se conserva, junto con los resultados de las pruebas, como parte de la documentación técnica;
  • un breve resumen del proyecto de IA desarrollado en el “Sand Box”, sus objetivos y resultados esperados publicados en el sitio web de las autoridades competentes.
  • Medidas para los pequeños proveedores y usuarios:

Los Estados miembros emprenderán las siguientes acciones:

  • proporcionar a los pequeños proveedores y a las empresas de nueva creación un acceso prioritario a los espacios aislados de regulación (“Sand Box”) de la IA en la medida en que cumplan las condiciones de elegibilidad;
  • organizar actividades específicas de sensibilización sobre la aplicación del Reglamento de IA adaptadas a las necesidades de los pequeños proveedores y usuarios;
  • cuando proceda, establecer un canal de comunicación específico con los pequeños proveedores y usuarios y otros innovadores para proporcionar orientación y responder a las consultas sobre la aplicación del Reglamento de IA.

 

  1. Seguimiento posterior a la comercialización, intercambio de información, vigilancia del mercado.

7.1.- Seguimiento posterior a la comercialización.

Los proveedores establecerán y documentarán un sistema de seguimiento posterior a la comercialización de forma proporcional a la naturaleza de las tecnologías de inteligencia artificial y a los riesgos del sistema de IA de alto riesgo.

El sistema de seguimiento post comercialización recogerá, documentará y analizará de forma activa y sistemática los datos pertinentes proporcionados por los usuarios o recogidos a través de otras fuentes sobre el rendimiento de los sistemas de IA de alto riesgo a lo largo de su vida útil, y permitirá al proveedor evaluar la conformidad continua de los sistemas de IA con los requisitos establecidos en el Reglamento de IA

7.2.- Intercambio de información sobre incidentes y fallos de funcionamiento.

Los proveedores de sistemas de IA de alto riesgo introducidos en el mercado de la Unión Europea informarán a las autoridades de vigilancia del mercado de los Estados miembros en los que se haya producido el incidente o la infracción de las obligaciones derivadas de la legislación de la Unión Europea destinada a proteger los derechos fundamentales, de todo incidente grave o de todo mal funcionamiento de dichos sistemas.

Dicha notificación se realizará inmediatamente después de que el proveedor haya establecido una relación de causalidad entre el sistema de IA y el incidente o el mal funcionamiento o la probabilidad razonable de dicha relación y, en cualquier caso, a más tardar 15 días después de que los proveedores tengan conocimiento del incidente grave o del mal funcionamiento.

7.3.- Vigilancia y control de los sistemas de IA.

La autoridad nacional de supervisión informará periódicamente a la Comisión de los resultados de las actividades pertinentes de vigilancia del mercado. La autoridad nacional de supervisión comunicará sin demora a la Comisión y a las autoridades nacionales de competencia pertinentes cualquier información identificada en el curso de las actividades de vigilancia del mercado que pueda ser de interés potencial para la aplicación del Derecho de la Unión sobre las normas de competencia.

Para los sistemas de IA comercializados, puestos en servicio o utilizados por entidades financieras reguladas por la legislación de la Unión en materia de servicios financieros, la autoridad de vigilancia del mercado a efectos del presente Reglamento será la autoridad pertinente responsable de la supervisión financiera de dichas entidades con arreglo a dicha legislación.

Se concederá a las autoridades de vigilancia del mercado pleno acceso a los conjuntos de datos de formación, validación y ensayo utilizados por el proveedor, incluso a través de interfaces de programación de aplicaciones u otros medios técnicos y herramientas adecuados que permitan el acceso a distancia.

Las autoridades u organismos públicos nacionales que supervisen o hagan cumplir las obligaciones derivadas del Derecho de la Unión que protegen los derechos fundamentales en relación con el uso de los sistemas de IA de alto riesgo estarán facultados para solicitar y acceder a cualquier documentación creada o conservada en virtud del Reglamento de IA cuando el acceso a dicha documentación sea necesario para el cumplimiento de las competencias de su mandato dentro de los límites de su jurisdicción.

Cuando la documentación sea insuficiente para determinar si se ha producido un incumplimiento de las obligaciones derivadas del Derecho de la Unión destinadas a proteger los derechos fundamentales, la autoridad u organismo público podrá presentar una solicitud motivada a la autoridad de vigilancia del mercado para que organice la comprobación del sistema de IA de alto riesgo a través de medios técnicos. La autoridad de vigilancia del mercado organizará las pruebas con la estrecha participación de la autoridad u organismo público solicitante en un plazo razonable tras la solicitud.

Cuando, tras realizar una evaluación, la autoridad de vigilancia del mercado de un Estado miembro compruebe que, aunque un sistema de IA es conforme con el Reglamento de IA, presenta un riesgo para la salud o la seguridad de las personas, para el cumplimiento de las obligaciones derivadas del Derecho de la Unión o nacional destinadas a proteger los derechos fundamentales o para otros aspectos de la protección del interés público exigirá al operador correspondiente que adopte todas las medidas adecuadas para garantizar que el sistema de IA en cuestión, cuando se comercialice o se ponga en servicio, deje de presentar ese riesgo, para retirar el sistema de IA del mercado o para recuperarlo en un plazo razonable, proporcional a la naturaleza del riesgo, según prescriba.

El proveedor u otros operadores pertinentes velarán por que se adopten medidas correctoras en relación con todos los sistemas de IA afectados que hayan comercializado en toda la Unión dentro del plazo prescrito por la autoridad de vigilancia del mercado del Estado miembro.

El Estado miembro informará inmediatamente a la Comisión y a los demás Estados miembros

La Comisión consultará sin demora a los Estados miembros y al operador correspondiente y evaluará las medidas nacionales adoptadas.

Cuando la autoridad de vigilancia del mercado de un Estado miembro haga una de las siguientes constataciones, exigirá al proveedor correspondiente que ponga fin al incumplimiento en cuestión:

  • el marcado de conformidad se ha colocado infringiendo el Reglamento IA;
  • no se ha colocado el marcado de conformidad;
  • no se ha elaborado la declaración de conformidad de la UE;
  • la declaración de conformidad de la UE no se ha redactado correctamente;
  • no se ha colocado el número de identificación del organismo notificado que participa en el procedimiento de evaluación de la conformidad, en su caso;

En caso de que persista el incumplimiento, el Estado miembro en cuestión adoptará todas las medidas adecuadas para restringir o prohibir la comercialización del sistema de IA de alto riesgo o garantizar su recuperación o retirada del mercado.

  1. Códigos de Conducta.

La Comisión y los Estados miembros fomentarán y facilitarán la elaboración de códigos de conducta destinados a fomentar la aplicación voluntaria a los sistemas de IA distintos de los sistemas de IA de alto riesgo de los requisitos establecidos en el Reglamento de IA sobre la base de especificaciones técnicas y soluciones que sean medios adecuados para garantizar el cumplimiento de dichos requisitos a la luz de la finalidad prevista de los sistemas.

La Comisión y el Consejo fomentarán y facilitarán la elaboración de códigos de conducta destinados a fomentar la aplicación voluntaria a los sistemas de IA de requisitos relacionados, por ejemplo, con la sostenibilidad medioambiental, la accesibilidad de las personas con discapacidad, la participación de las partes interesadas en el diseño y el desarrollo de los sistemas de IA y la diversidad de los equipos de desarrollo sobre la base de objetivos claros e indicadores clave de rendimiento para medir la consecución de dichos objetivos.

Los códigos de conducta pueden ser elaborados por proveedores individuales de sistemas de IA, por organizaciones que los representen o por ambos, incluso con la participación de los usuarios y de cualquier parte interesada y sus organizaciones representativas. Los códigos de conducta pueden abarcar uno o varios sistemas de IA, teniendo en cuenta la similitud de la finalidad de los sistemas en cuestión.

Las autoridades nacionales competentes y los organismos notificados que participen en la aplicación del presente Reglamento respetarán la confidencialidad de la información y los datos obtenidos en el desempeño de sus tareas y actividades, de manera que se protejan , en particular los derechos de propiedad intelectual, y la información comercial confidencial o los secretos comerciales de una persona física o jurídica; la aplicación efectiva del Reglamento de IA, en particular a efectos de inspecciones, investigaciones o auditorías; los intereses de la seguridad pública y nacional; y la integridad de los procedimientos penales o administrativos.

Sin perjuicio de lo dispuesto en el apartado 1, la información intercambiada de forma confidencial entre las autoridades nacionales competentes y entre las autoridades nacionales competentes y la Comisión no se divulgará sin consultar previamente a la autoridad nacional competente de origen y al usuario cuando los sistemas de IA de alto riesgo sean utilizados por las autoridades policiales, de inmigración o de asilo, cuando dicha divulgación pueda poner en peligro los intereses de la seguridad pública y nacional.

En cumplimiento de las condiciones establecidas en el Reglamento de IA, los Estados miembros establecerán el régimen de sanciones, incluidas las multas administrativas, aplicables a las infracciones del presente Reglamento y adoptarán todas las medidas necesarias para garantizar su correcta y eficaz aplicación.

Las sanciones previstas deberán ser eficaces, proporcionadas y disuasorias. Tendrán especialmente en cuenta los intereses de los pequeños proveedores y de la puesta en marcha y su viabilidad económica.

Las siguientes infracciones serán objeto de multas administrativas de hasta 30.000.000 de euros o, si el infractor es una empresa, de hasta el 6 % de su volumen de negocios anual total a nivel mundial correspondiente al ejercicio económico anterior, el que sea mayor.

El incumplimiento por parte del sistema de IA de cualquier requisito u obligación prevista en el presente Reglamento, se sancionará con multas administrativas de hasta 20 000 000 de euros o, si el infractor es una empresa, de hasta el 4 % de su volumen de negocios anual total en todo el mundo durante el ejercicio anterior, el que sea mayor.

El suministro de información incorrecta, incompleta o engañosa a los organismos notificados y a las autoridades nacionales competentes en respuesta a una solicitud será objeto de multas administrativas de hasta 10 000 000 EUR o, si el infractor es una empresa, de hasta el 2 % de su volumen de negocios anual total a nivel mundial correspondiente al ejercicio financiero anterior, si esta cifra es superior.

A la hora de decidir la cuantía de la multa administrativa en cada caso concreto, se tendrán en cuenta todas las circunstancias relevantes de la situación específica y se prestará la debida atención a lo siguiente

  • la naturaleza, la gravedad y la duración de la infracción y de sus consecuencias;
  • si otras autoridades de vigilancia del mercado ya han aplicado multas administrativas al mismo operador por la misma infracción.
  • el tamaño y la cuota de mercado del operador que comete la infracción;

El Supervisor Europeo de Protección de Datos podrá imponer multas administrativas a las instituciones, agencias y organismos de la Unión que entren en el ámbito de aplicación del Reglamento de IA.

A la hora de decidir si se impone una multa administrativa y de decidir el importe de la misma en cada caso concreto, se tendrán en cuenta todas las circunstancias pertinentes de la situación específica y se prestará la debida atención a lo siguiente:

  • la naturaleza, la gravedad y la duración de la infracción y de sus consecuencias;
  • la cooperación con el Supervisor Europeo de Protección de Datos para remediar la infracción y mitigar los posibles efectos adversos de la misma, incluido el cumplimiento de cualquiera de las medidas previamente ordenadas por el Supervisor Europeo de Protección de Datos contra la institución, agencia u organismo de la Unión de que se trate en relación con el mismo asunto;
  • cualquier infracción anterior similar cometida por la institución, agencia u organismo de la Unión Europea;

Las siguientes infracciones serán objeto de multas administrativas de hasta 500 000 euros:

  • el incumplimiento de la prohibición de las prácticas de inteligencia artificial;
  • el incumplimiento del sistema de IA de los requisitos establecidos en el artículo 10 de la propuesta de Reglamento.

El incumplimiento por parte del sistema de IA de cualquier requisito u obligación en virtud del presente Reglamento, distintos de los establecidos en los artículos 5 y 10 de la propuesta de Reglamento, estará sujeto a multas administrativas de hasta 250 000 euros.

Antes de adoptar decisiones en virtud del presente artículo, el Supervisor Europeo de Protección de Datos dará a la institución, agencia u organismo de la Unión objeto del procedimiento llevado a cabo por el Supervisor Europeo de Protección de Datos la oportunidad de ser oída en relación con la posible infracción.

El Supervisor Europeo de Protección de Datos basará sus decisiones únicamente en elementos y circunstancias sobre los que las partes interesadas hayan podido pronunciarse.

Los denunciantes, si los hay, serán asociados estrechamente al procedimiento.

Se respetarán plenamente los derechos de defensa de los interesados en el procedimiento. Tendrán derecho a acceder al expediente del Supervisor Europeo de Protección de Datos, sin perjuicio del interés legítimo de las personas o empresas en la protección de sus datos personales o secretos comerciales.

  1. Entrada en Vigor.

El Reglamento entrará en vigor el vigésimo día siguiente al de su publicación en el Diario Oficial de la Unión Europea.

El Reglamento se aplicará a partir de [24 meses después de la entrada en vigor del Reglamento].

 

 

 

ANEXO I

DEFINICIONES

 

A efectos de lo establecido en el Reglamento de IA se habrán de tener en cuenta las siguientes definiciones:

  • «sistema de inteligencia artificial» (sistema de IA): software desarrollado con una o varias de las técnicas y enfoques enumerados en el anexo I del Reglamento, a definir, y que puede, para un conjunto determinado de objetivos definidos por el ser humano, generar resultados como contenidos, predicciones, recomendaciones o decisiones que influyen en los entornos con los que interactúan;
  • «proveedor«: una persona física o jurídica, autoridad pública, agencia u otro organismo que desarrolle un sistema de IA o que haga desarrollar un sistema de IA con el fin de comercializarlo o ponerlo en servicio bajo su propio nombre o marca, ya sea a cambio de una remuneración o de forma gratuita;
  • proveedor a pequeña escala«: proveedor que es una micro o pequeña empresa;
  • usuario«: cualquier persona física o jurídica, autoridad pública, organismo o cualquier otra entidad que utilice un sistema de IA bajo su autoridad, excepto cuando el sistema de IA se utilice en el curso de una actividad personal no profesional;
  • representante autorizado«: toda persona física o jurídica establecida en la Unión Europea que haya recibido un mandato escrito de un proveedor de un sistema de IA para, respectivamente, cumplir y ejecutar en su nombre las obligaciones y procedimientos establecidos por el Reglamento de IA;
  • «importador«: toda persona física o jurídica establecida en la Unión Europea que comercialice o ponga en servicio un sistema de IA que lleve el nombre o la marca de una persona física o jurídica establecida fuera de la Unión Europea;
  • Distribuidor«: cualquier persona física o jurídica de la cadena de suministro, distinta del proveedor o del importador, que pone a disposición un sistema de IA en el mercado de la Unión Europea sin afectar a sus propiedades;
  • operador«: el proveedor, el usuario, el representante autorizado, el importador y el distribuidor;
  • «comercialización«: la primera puesta a disposición de un sistema de IA en el mercado de la Unión Europea;
  • puesta en el mercado«: todo suministro de un sistema de IA para su distribución o uso en el mercado de la Unión Europea en el curso de una actividad comercial, ya sea a cambio de una remuneración o de forma gratuita;
  • puesta en servicio«: el suministro de un sistema de IA para su primera utilización directamente al usuario o para su propio uso en el mercado de la Unión Europea para su finalidad prevista;
  • Finalidad prevista«: el uso al que el proveedor destina un sistema de IA, incluidos el contexto y las condiciones específicas de uso, tal como se especifica en la información facilitada por el proveedor en las instrucciones de uso, los materiales de promoción o venta y las declaraciones, así como en la documentación técnica;
  • Uso indebido razonablemente previsible«: el uso de un sistema de IA de forma no conforme con su finalidad prevista, pero que puede resultar de un comportamiento humano razonablemente previsible o de la interacción con otros sistemas;
  • Componente de seguridad de un producto o sistema«: un componente de un producto o de un sistema que cumple una función de seguridad para dicho producto o sistema o cuyo fallo o mal funcionamiento pone en peligro la salud y la seguridad de las personas o los bienes;
  • instrucciones de uso«: la información proporcionada por el proveedor para informar al usuario, en particular, sobre la finalidad prevista y el uso adecuado de un sistema de IA, incluido el entorno geográfico, conductual o funcional específico en el que se prevé utilizar el sistema de IA de alto riesgo;
  • «Recuperación de un sistema de IA«: cualquier medida destinada a lograr el retorno para el proveedor de un sistema de IA puesto a disposición de los usuarios;
  • retirada de un sistema de IA«: cualquier medida destinada a impedir la distribución, exhibición y oferta de un sistema de IA;
  • Rendimiento de un sistema de IA«: la capacidad de un sistema de IA para lograr su objetivo;
  • Autoridad notificante«: la autoridad nacional responsable de establecer y aplicar los procedimientos necesarios para la evaluación, designación y notificación de los organismos de evaluación de la conformidad, así como de su seguimiento;
  • Evaluación de la conformidad«: el proceso de verificar si se han cumplido los requisitos establecidos en el capítulo 2 del título III del Reglamento en relación con un sistema de IA;
  • Organismo de evaluación de la conformidad«: un organismo que realiza actividades de evaluación de la conformidad de terceros, incluidos los ensayos, la certificación y la inspección;
  • Organismo notificado«: un organismo de evaluación de la conformidad designado con arreglo al presente Reglamento y a otra legislación pertinente de armonización de la Unión Europeo;
  • Modificación sustancial«: un cambio en el sistema de IA tras su comercialización o puesta en servicio que afecte a la conformidad del sistema de IA con los requisitos establecidos en el capítulo 2 del título III del presente Reglamento o que dé lugar a una modificación de la finalidad prevista para la que se ha evaluado el sistema de IA;
  • Marcado CE de conformidad» (marcado CE)”: un marcado por el que un proveedor indica que un sistema de IA es conforme a los requisitos establecidos en el título III, capítulo 2, del Reglamento;
  • Seguimiento posterior a la comercialización«: todas las actividades realizadas por los proveedores de sistemas de IA para recoger y revisar de forma proactiva la experiencia adquirida con el uso de los sistemas de IA que comercializan o ponen en servicio, con el fin de identificar cualquier necesidad de aplicar inmediatamente las acciones correctivas o preventivas necesarias;
  • «Autoridad de vigilancia del mercado«: la autoridad nacional que realiza las actividades y adopta las medidas;
  • «Norma armonizada«: una norma europea;
  • Especificaciones comunes«: un documento, distinto de una norma, que contiene soluciones técnicas que proporcionan un medio para cumplir determinados requisitos y obligaciones establecidos en el Reglamento;
  • Datos de entrenamiento«: datos utilizados para entrenar un sistema de IA mediante el ajuste de sus parámetros aprendibles, incluidos los pesos de una red neuronal;
  • «Datos de validación» los datos utilizados para proporcionar una evaluación del sistema de IA entrenado y para ajustar sus parámetros no aprendibles y su proceso de aprendizaje, entre otras cosas, con el fin de evitar el sobreajuste; mientras que el conjunto de datos de validación puede ser un conjunto de datos separado o parte del conjunto de datos de entrenamiento, ya sea como una división fija o variable;
  • Datos de prueba«: los datos utilizados para proporcionar una evaluación independiente del sistema de IA entrenado y validado con el fin de confirmar el rendimiento esperado de dicho sistema antes de su comercialización o puesta en servicio;
  • Datos de entrada«: los datos proporcionados a un sistema de IA o adquiridos directamente por éste, a partir de los cuales el sistema produce un resultado;
  • Datos biométricos«: los datos personales resultantes de un tratamiento técnico específico relativo a las características físicas, fisiológicas o de comportamiento de una persona física, que permiten o confirman la identificación única de dicha persona física, como las imágenes faciales o los datos dactiloscópicos;
  • “Sistema de reconocimiento de emociones«: un sistema de IA destinado a identificar o inferir emociones o intenciones de personas físicas a partir de sus datos biométricos;
  • Sistema de categorización biométrica«: un sistema de IA destinado a asignar a las personas físicas a categorías específicas, como el sexo, la edad, el color del pelo, el color de los ojos, los tatuajes, el origen étnico o la orientación sexual o política, sobre la base de sus datos biométricos;
  • Sistema de identificación biométrica a distancia«: un sistema de IA destinado a identificar personas físicas a distancia mediante la comparación de los datos biométricos de una persona con los datos biométricos contenidos en una base de datos de referencia, y sin que el usuario del sistema de IA sepa previamente si la persona estará presente y podrá ser identificada;
  • «Sistema de identificación biométrica a distancia en tiempo real» se entiende un sistema de identificación biométrica a distancia en el que la captación de datos biométricos, la comparación y la identificación se producen sin un retraso significativo. Esto comprende no sólo la identificación instantánea, sino también breves retrasos limitados para evitar la elusión.
  • Sistema de identificación biométrica a distancia «posterior«: sistema de identificación biométrica a distancia distinto de un sistema de identificación biométrica a distancia «en tiempo real»;
  • Espacio de acceso público«: cualquier lugar físico accesible al público, independientemente de que se apliquen determinadas condiciones de acceso;
  • «Autoridad policial» significa:
  • cualquier autoridad pública competente en materia de prevención, investigación, detección o enjuiciamiento de delitos o de ejecución de sanciones penales, incluida la salvaguardia y la prevención de amenazas a la seguridad pública; o
  • cualquier otro organismo o entidad al que el Derecho de los Estados Miembros haya encomendado el ejercicio de la autoridad pública y de los poderes públicos a efectos de la prevención, investigación, detección o persecución de delitos o de la ejecución de sanciones penales, incluidas la salvaguardia y la prevención de las amenazas a la seguridad pública;
  • Aplicación de la ley«: las actividades llevadas a cabo por las autoridades policiales y judiciales para la prevención, la investigación, la detección o el enjuiciamiento de delitos o la ejecución de sanciones penales, incluida la salvaguardia y la prevención de las amenazas a la seguridad pública;
  • Autoridad nacional de supervisión«: la autoridad a la que un Estado miembro asigna la responsabilidad de ejecutar y aplicar el presente Reglamento, de coordinar las actividades encomendadas a dicho Estado miembro, de actuar como punto de contacto único para la Comisión y de representar al Estado miembro en el Consejo Europeo de Inteligencia Artificial;
  • Autoridad nacional competente«: la autoridad nacional de supervisión, la autoridad de notificación y la autoridad de vigilancia del mercado;
  • Incidente grave«: cualquier incidente que directa o indirectamente conduzca, pueda haber conducido o pueda dar lugar a alguno de los siguientes hechos: (i) la muerte de una persona o un daño grave a la salud de una persona, a la propiedad o al medio ambiente, o (ii) una interrupción grave e irreversible de la gestión y el funcionamiento de las infraestructuras críticas.

Primera Parte

Seguna Parte

Tercera Parte

Actualidad

DIRECTRICES DEL COMITÉ EUROPEO DE PROTECCION DE DATOS SOBRE LOS VEHICULOS CONECTADOS Y LAS APLICACIONES RELACIONADAS CON LA MOVILIDAD. Primera Parte

Acercamiento a los Vehículos conectados.

El automóvil es uno de los productos de consumo masivo que ha impactado en la sociedad mundial desde el Siglo XX hasta nuestros días. El automóvil ha significado para el ser humano “libertad”. Es un espacio privado de las personas y las familias en donde se puede disfrutar de una forma de autonomía de decisión, sin encontrar ninguna interferencia externa. Hoy en día, a medida que los vehículos conectados se van imponiendo, esta visión ya no se corresponde con la realidad. La conectividad en el vehículo se está extendiendo rápidamente a todos los modelos de automóvil, y los vehículos se están convirtiendo en enormes centros de datos. En la actualidad, muchos modelos lanzados al mercado en los últimos años integran sensores y equipos conectados a bordo, que pueden recoger y registrar, entre otras cosas, el rendimiento del motor, los hábitos de conducción, los lugares visitados y, potencialmente, incluso los movimientos oculares del conductor, su pulso o datos biométricos con el fin de identificar de forma única a una persona física.

Este tratamiento de datos no se limita a los actores tradicionales de la industria del automóvil, sino que también está conformado por la aparición de nuevos actores pertenecientes a la economía digital. Estos nuevos actores pueden ofrecer servicios de “info entretenimiento”, como música en línea, información sobre el estado de la carretera y el tráfico, o proporcionar sistemas y servicios de asistencia a la conducción, como el software de piloto automático, actualizaciones del estado del vehículo, seguros basados en el uso o cartografía dinámica. Además, dado que los vehículos están conectados a través de redes de comunicación electrónica, los gestores de las infraestructuras viarias y los operadores de telecomunicaciones que participan en este proceso también desempeñan un papel importante con respecto a las posibles operaciones de tratamiento aplicadas a los datos personales de los conductores y pasajeros.

Los vehículos conectados están generando cantidades cada vez mayores de datos, la mayoría de los cuales pueden considerarse datos personales, ya que estarán relacionados con los conductores o los pasajeros.

Los datos recogidos por un coche conectado no están directamente vinculados a un nombre, sino a aspectos técnicos y características del vehículo, y se refieren al conductor o a los pasajeros del coche. A modo de ejemplo, los datos relativos al estilo de conducción o a la distancia recorrida, los datos relativos al desgaste de las piezas del vehículo, los datos de localización o los datos recogidos por las cámaras pueden referirse al comportamiento del conductor, así como a la información sobre otras personas que puedan estar dentro o a los sujetos de datos que pasen por allí. Estos datos técnicos son producidos por una persona física y permiten su identificación directa o indirecta, por el responsable del tratamiento o por otra persona. El vehículo puede considerarse como un terminal que puede ser utilizado por diferentes usuarios.

El reto consiste en incorporar la dimensión de la «protección de los datos personales» desde la fase de diseño del producto, y en garantizar que los usuarios de los automóviles disfruten de transparencia y control en relación con sus datos. Este enfoque contribuye a reforzar la confianza de los usuarios y, por tanto, el desarrollo a largo plazo de estas tecnologías.

1.- Finalidades, ámbito de aplicación y exclusiones de las Directrices

1.1.- Finalidades.

En palabras del EDPB, las Directrices pretenden facilitar el cumplimiento del tratamiento de datos personales realizado con todos los interesados que participan en el entorno del vehículo conectado. Pero, sin embargo, tal y como expone el EDPB, en dichas Directrices, no se pretende abarcar todos los casos de uso posibles ni proporcionar orientación para todas las situaciones específicas posibles.

1.2.- Ámbito de aplicación.

Las Directrices se centran en particular en el tratamiento de datos personales en relación con el uso no profesional de los vehículos conectados por parte de los interesados: por ejemplo, conductores, pasajeros, propietarios de vehículos, otros usuarios de la carretera, etc.

Más concretamente, se ocupa de los datos personales que: (i) se procesan dentro del vehículo; (ii) se intercambian entre el vehículo y los dispositivos personales conectados a él (por ejemplo, el smartphone del usuario); o (iii) se recogen localmente en el vehículo y se exportan a entidades externas (por ejemplo, fabricantes de vehículos, gestores de infraestructuras, compañías de seguros, reparadores de automóviles) para su posterior procesamiento.

La definición de vehículo conectado debe entenderse como un concepto amplio. Puede definirse como un vehículo equipado con muchas unidades de control electrónico (“ECU”) que están conectadas entre sí a través de una red en el vehículo, así como con instalaciones de conectividad que le permiten compartir información con otros dispositivos tanto dentro como fuera del vehículo. Así, se pueden intercambiar datos entre el vehículo y los dispositivos personales conectados a él, por ejemplo, permitiendo la duplicación de aplicaciones móviles en la unidad de información y entretenimiento del coche.

También se incluye el desarrollo de aplicaciones móviles autónomas, es decir, independientes del vehículo (por ejemplo, que dependen del uso exclusivo del teléfono inteligente) para ayudar a los conductores.

Las aplicaciones de los vehículos conectados son múltiples y diversas y pueden incluir, de conformidad con el EDPB:

  1. Gestión de la movilidad: funciones que permiten a los conductores llegar rápidamente a un destino, y de forma rentable, proporcionando información oportuna sobre la navegación por GPS, las condiciones ambientales potencialmente peligrosas (por ejemplo, carreteras heladas), la congestión del tráfico o las obras en la carretera, la asistencia en aparcamientos o garajes, la optimización del consumo de combustible o la tarificación de las carreteras.
  2. Gestión del vehículo: funciones que supuestamente ayudan a los conductores a reducir los costes de conducción y a mejorar la facilidad de uso, como la notificación del estado del vehículo y la transferencia de datos de uso (por ejemplo, para los servicios de reparación del vehículo), los seguros personalizados «Paga como y cuando conduces«, las operaciones a distancia (por ejemplo, el sistema de calefacción) o las configuraciones del perfil (por ejemplo, la posición del asiento).
  3. Seguridad vial: funciones que advierten al conductor de peligros externos y respuestas internas, como la protección contra colisiones, las advertencias de peligro, los avisos de salida de carril, la detección de somnolencia del conductor, la llamada de emergencia (eCall) o las «cajas negras» de investigación de accidentes (registrador de datos de eventos).
  4. Entretenimiento: funciones que proporcionan información al conductor y a los pasajeros y que implican su entretenimiento, como interfaces de teléfonos inteligentes (llamadas de manos libres, mensajes de texto generados por voz), puntos de acceso WLAN, música, vídeo, Internet, medios sociales, oficina móvil o servicios «domésticos inteligentes».
  5. Asistencia al conductor: funciones que implican una conducción parcial o totalmente automatizada, como la asistencia operativa o el piloto automático en el tráfico denso, en el aparcamiento o en las autopistas,
  6. Bienestar: funciones que controlan el confort, la capacidad y la aptitud del conductor para conducir, como la detección de la fatiga o la asistencia médica.

Por lo tanto, los datos personales pueden recogerse a través de varios medios, entre ellos (i) sensores del vehículo, (ii) cajas telemáticas o (iii) aplicaciones móviles (por ejemplo, a las que se accede desde un dispositivo perteneciente a un conductor).

Muchos de los datos que genera un vehículo conectado se refieren a una persona física identificada o identificable y, por tanto, constituyen datos personales. Por ejemplo, los datos incluyen datos directamente identificables (por ejemplo, la identidad completa del conductor), así como datos indirectamente identificables como los detalles de los viajes realizados, los datos de uso del vehículo (por ejemplo, los datos relativos al estilo de conducción o la distancia recorrida), o los datos técnicos del vehículo (por ejemplo, los datos relativos al desgaste de las piezas del vehículo), que, mediante referencias cruzadas con otros archivos y especialmente el número de identificación del vehículo (VIN), pueden relacionarse con una persona física.

Los datos personales en los vehículos conectados también pueden incluir metadatos, como el estado de mantenimiento del vehículo. En otras palabras, cualquier dato que pueda asociarse a una persona física entra, por tanto, en el ámbito de las presentes directrices.

El ecosistema del vehículo conectado abarca un amplio espectro de actores. Este ecosistema incluye más concretamente a los actores tradicionales de la industria del automóvil, así como a los actores emergentes de la industria digital. Por lo tanto, estas directrices se dirigen a los fabricantes de vehículos, fabricantes de equipos y proveedores de automóviles, reparadores de automóviles, concesionarios de automóviles, proveedores de servicios para vehículos, gestores de flotas, compañías de seguros de automóviles, proveedores de entretenimiento, operadores de telecomunicaciones, gestores de infraestructuras viales y autoridades públicas, así como a los interesados.

1.3.- Exclusiones.

Algunos tratamientos de datos efectuados por personas físicas dentro del vehículo corresponden al «curso de una actividad puramente personal o doméstica» y, por consiguiente, quedan fuera del ámbito de aplicación del Reglamento General de Protección de Datos (“RGPD” o “GDPR”).

Los empleadores que proporcionan coches de empresa a los miembros de su plantilla pueden querer controlar las acciones de sus empleados (por ejemplo, para garantizar la seguridad del empleado, de los bienes o de los vehículos, para asignar recursos, para hacer un seguimiento y facturar un servicio o para comprobar el tiempo de trabajo). El tratamiento de datos realizado por los empleadores en este contexto plantea consideraciones específicas al contexto laboral, que podrían estar reguladas por leyes laborales a nivel nacional que no pueden detallarse en estas directrices.

Aunque el tratamiento de datos en el contexto de los vehículos comerciales utilizados con fines profesionales (como el transporte público) y el transporte compartido y la solución MaaS pueden plantear consideraciones específicas que quedan fuera del ámbito de estas directrices generales, muchos de los principios y recomendaciones aquí expuestos también serán aplicables a esos tipos de tratamiento.

Los vehículos conectados, al ser sistemas habilitados por radio, están sujetos a un seguimiento pasivo, como el seguimiento por Wi-Fi o Bluetooth. En este sentido, no se diferencian de otros dispositivos conectados y entran en el ámbito de aplicación de la Directiva sobre la privacidad y las comunicaciones electrónicas, que se está revisando actualmente. Por lo tanto, esto excluye también el seguimiento a gran escala de los vehículos equipados con Wi-Fi por parte de una densa red de transeúntes que utilizan servicios comunes de localización de teléfonos inteligentes. Estos informan rutinariamente de todas las redes Wi-Fi visibles a los servidores centrales. Dado que el Wi-Fi integrado puede considerarse un vehículo secundario identificador, se corre el riesgo de una recopilación sistemática y continua de los perfiles completos de los movimientos de los vehículos.

Los vehículos están cada vez más equipados con dispositivos de grabación de imágenes (por ejemplo, sistemas de cámaras de aparcamiento o dashcams). Dado que se trata de la cuestión de la filmación de lugares públicos, que requiere una evaluación del marco legislativo pertinente que es específico de cada Estado miembro, este tratamiento de datos queda fuera del ámbito de estas directrices.

El tratamiento de datos que permite los sistemas cooperativos de transporte inteligente (C-ITS), tal como se define en la Directiva 2010/40/UE25, ha sido tratado en un dictamen específico del Grupo de Trabajo del Artículo 29.

2.- Definiciones a tener en consideración a la hora de interpretar las Directrices.

A efectos de la lectura, interpretación y estudio de las Directrices se deberían tener en cuenta las siguientes definiciones:

  1. El tratamiento de datos personales abarca cualquier operación que implique datos personales, como la recogida, el registro, la organización, la estructuración, el almacenamiento, la adaptación o la modificación, la recuperación, la consulta, la utilización, la divulgación por transmisión, la difusión o cualquier otra forma de puesta a disposición, la alineación o la combinación, la limitación, el borrado o la destrucción, etc.
  2. El interesado es la persona física a la que se refieren los datos objeto del tratamiento. En el contexto de los vehículos conectados, puede ser, en particular, el conductor (principal u ocasional), el pasajero o el propietario del vehículo.
  3. El responsable del tratamiento de datos es la persona que determina los fines y los medios del tratamiento que tiene lugar en los vehículos conectados. Los responsables del tratamiento de datos pueden incluir a los proveedores de servicios que procesan los datos del vehículo para enviar al conductor información sobre el tráfico, mensajes de eco conducción o alertas sobre el funcionamiento del vehículo, las compañías de seguros que ofrecen contratos «Pay As You Drive«, o los fabricantes de vehículos que recogen datos sobre el desgaste de las piezas del vehículo para mejorar su calidad.
  4. El encargado del tratamiento es cualquier persona que procesa datos personales para y en nombre del responsable del tratamiento. El encargado del tratamiento recoge y trata los datos por orden del responsable del tratamiento, sin utilizarlos para sus propios fines. Por ejemplo, en algunos casos, los fabricantes de equipos y los proveedores de automóviles pueden tratar los datos por cuenta de los fabricantes de vehículos (lo que no implica que no puedan ser responsables del tratamiento para otros fines).
  5. El destinatario es una persona física o jurídica, una autoridad pública, una agencia u otro organismo al que se le comunican los datos personales, sea o no un tercero. A modo de ejemplo, un socio comercial del proveedor de servicios que recibe del proveedor de servicios datos personales generados a partir del vehículo es un destinatario de datos personales. Tanto si actúa como nuevo responsable del tratamiento de datos como si lo hace como encargado del mismo, deberá cumplir con todas las obligaciones impuestas por el RGPD.

No obstante, las autoridades públicas que puedan recibir datos personales en el marco de una investigación no tendrán la consideración de destinatarios; el tratamiento de estos datos por parte de dichas autoridades públicas deberá ajustarse a las normas de protección de datos aplicables en función de los fines del tratamiento. Por ejemplo, las autoridades policiales son terceros autorizados cuando solicitan datos personales en el marco de una investigación de conformidad con el Derecho de la Unión o de los Estados miembros.

 

3.- Riesgos para la privacidad y la protección de datos.

El Grupo de Trabajo del Artículo 29 ya expresó varias preocupaciones sobre los sistemas de la Internet de las Cosas (IoT) que pueden aplicarse a los vehículos conectados, principalmente, la seguridad y el control de los datos, que pueden dar lugar a problemas de seguridad vial y pueden afectar a la integridad física del conductor, ocupantes y peatones, entre otros.

Los vehículos conectados plantean importantes problemas de protección de datos y privacidad en relación con el tratamiento de los datos de localización, ya que su naturaleza cada vez más intrusiva puede poner en peligro las posibilidades actuales de permanecer en el anonimato. El uso de las tecnologías de localización requiere la aplicación de salvaguardias específicas para evitar la vigilancia de las personas y el uso indebido de los datos.

3.1.- Falta de control y asimetría de información

Es posible que los conductores y los pasajeros de los vehículos no estén siempre adecuadamente informados sobre el tratamiento de datos que tiene lugar en o a través de un vehículo conectado. La información puede darse sólo al propietario del vehículo, que puede no ser el conductor, y también puede no proporcionarse en el momento oportuno. Por lo tanto, existe el riesgo de que no se ofrezcan suficientes funcionalidades u opciones para ejercer el control necesario para que las personas afectadas puedan hacer uso de sus derechos de protección de datos y privacidad. Este punto es importante ya que, a lo largo de su vida, los vehículos pueden pertenecer a más de un propietario, ya sea porque se venden o porque se alquilan en lugar de comprarse.

La comunicación en el vehículo puede activarse automáticamente y por defecto, sin que el individuo sea consciente de ello. A falta de la posibilidad de controlar eficazmente cómo interactúan el vehículo y sus equipos conectados, será extraordinariamente difícil para el usuario controlar el flujo de datos.

3.2.- Calidad del consentimiento del usuario

El EDPB subraya que, cuando el tratamiento de datos se basa en el consentimiento, deben cumplirse todos los elementos del consentimiento válido, lo que significa que el consentimiento debe ser libre, explicito e informado y constituye una indicación inequívoca de los deseos del interesado.

Los responsables del tratamiento de datos deben prestar mucha atención a las modalidades de obtención del consentimiento válido de los distintos participantes, como los propietarios o los usuarios de los vehículos. Dicho consentimiento debe proporcionarse por separado, para fines específicos y no puede estar vinculado al contrato de compra o alquiler de un coche nuevo.

El consentimiento debe ser tan fácil de retirar como de otorgar.

En muchos casos, el usuario puede no ser consciente del tratamiento de datos que se realiza en su vehículo. Esta falta de información constituye un obstáculo importante para demostrar un consentimiento válido en virtud del RGPD, ya que el consentimiento debe ser informado. En tales circunstancias, el consentimiento no puede invocarse como base jurídica para el correspondiente tratamiento de datos con arreglo al RGPD.

Los mecanismos clásicos utilizados para obtener el consentimiento de los individuos pueden ser difíciles de aplicar en el contexto de los vehículos conectados, lo que da lugar a un consentimiento de «baja calidad» basado en la falta de información o en la imposibilidad de hecho de proporcionar un consentimiento ajustado a las preferencias expresadas por los individuos. En la práctica, el consentimiento también podría ser difícil de obtener para los conductores y pasajeros que no están relacionados con el propietario del vehículo en el caso de vehículos de segunda mano, alquilados o prestados.

3.3.- Tratamiento posterior de los datos personales

Cuando los datos se recojan sobre la base del consentimiento y posteriormente se tratan de acuerdo con el art. 6 del RGPD, sólo podrá seguir tratándose si el responsable del tratamiento solicita un consentimiento adicional para esta otra finalidad o si el responsable del tratamiento puede demostrar que se basa en una ley de la Unión o de un Estado miembro para salvaguardar los objetivos mencionados en el art. 23 (1) del RGPD.

El consentimiento inicial nunca legitimará el tratamiento posterior, ya que el consentimiento debe ser informado y específico para ser válido.

Por ejemplo, los datos de telemetría, que se recogen durante el uso del vehículo con fines de mantenimiento, no pueden ser revelados a las compañías de seguros de automóviles sin el consentimiento de los usuarios con el fin de crear perfiles de conductores para ofrecer pólizas de seguros basadas en el comportamiento de conducción.

Además, los datos recogidos por los vehículos conectados podrán ser tratados por las autoridades policiales para detectar excesos de velocidad u otras infracciones, siempre y cuando se cumplan las condiciones específicas de la directiva de aplicación de la ley. En este caso, dichos datos se considerarán relativos a condenas e infracciones penales en las condiciones establecidas por el art. 10 del GDPR y cualquier legislación nacional aplicable.

Los fabricantes pueden proporcionar a las autoridades policiales dichos datos si se cumplen las condiciones específicas para dicho tratamiento. El tratamiento de datos personales con el único fin de satisfacer las solicitudes de las autoridades policiales no constituye una finalidad específica, explícita y legítima en el sentido del artículo 5.1.b del RGPD. Cuando las autoridades policiales están autorizadas por la ley, los fabricantes tendrían derecho a facilitarles todos los datos de que dispongan, siempre y cuando se respete el marco jurídico pertinente en cada Estado Miembro.

3.4.- Recogida excesiva de datos

Con el número cada vez mayor de sensores que se despliegan en los vehículos conectados, existe un riesgo muy alto de que se recojan demasiados datos en comparación con lo necesario para lograr el objetivo.

3.5.- Seguridad de los datos personales

La pluralidad de funcionalidades, servicios e interfaces (por ejemplo, web, USB, Wi-Fi) que ofrecen los vehículos conectados aumenta la superficie de ataque y, por tanto, el número de posibles vulnerabilidades a través de las cuales se podrían comprometer los datos personales. A diferencia de la mayoría de los dispositivos IoT, los vehículos conectados son sistemas críticos en los que un fallo de seguridad puede poner en peligro la vida de sus usuarios y de las personas que se encuentran alrededor. Por lo tanto, la importancia de abordar el riesgo de que los hackers intenten explotar las vulnerabilidades de los vehículos conectados es mayor.

Además, los datos personales almacenados en los vehículos y/o en ubicaciones externas (la nube) deben estar adecuadamente protegidos contra el acceso no autorizado. Por ejemplo, durante el mantenimiento, un vehículo tiene que ser entregado a un técnico que necesitará acceder a algunos de los datos técnicos del vehículo. Aunque el técnico necesita tener acceso a los datos técnicos, existe la posibilidad de que intente acceder a todos los datos almacenados en el vehículo.

4.- Recomendaciones Generales

Con el fin de mitigar los riesgos para los titulares de los datos identificados anteriormente, los fabricantes de vehículos y equipos, los proveedores de servicios o cualquier otra parte interesada que pueda actuar como responsable del tratamiento o del procesamiento de datos en relación con los vehículos conectados deberían seguir las siguientes recomendaciones generales.

4.1. Categorías de datos

La mayoría de los datos asociados a los vehículos conectados se considerarán datos personales en la medida en que sea posible vincularlos a una o varias personas identificables. Esto incluye datos técnicos relativos a los movimientos del vehículo (por ejemplo, velocidad, distancia recorrida), así como relativos al estado del vehículo (por ejemplo, temperatura del refrigerante del motor, RPM del motor, presión de los neumáticos). Determinados datos generados por los vehículos conectados también pueden merecer una atención especial, dada su sensibilidad y/o su posible repercusión en los derechos e intereses de los interesados.

El EDPB ha identificado tres categorías de datos personales que justifican una atención especial por parte de los fabricantes de vehículos y equipos, los proveedores de servicios y otros responsables del tratamiento de datos: los datos de localización, los datos biométricos (y cualquier categoría especial de datos según se define en el artículo 9 del RGPD) y los datos que podrían revelar infracciones o violaciones de tráfico.

4.2. – Datos de localización

Al recopilar datos personales, los fabricantes de vehículos y equipos, los proveedores de servicios y otros responsables del tratamiento de datos deben tener en cuenta que los datos de localización son especialmente reveladores de los hábitos de vida de los interesados.

Los desplazamientos permiten deducir el lugar de trabajo y de residencia, así como los centros de interés (ocio) de un conductor, y pueden revelar posiblemente información sensible como la religión a través del lugar de culto, o la orientación sexual a través de los lugares visitados. Por tanto, se debe estar especialmente atentos para no recoger datos de localización, salvo si es absolutamente necesario para el objetivo del tratamiento. Por ejemplo, cuando el tratamiento consiste en detectar el movimiento del vehículo, el giroscopio es suficiente para cumplir esa función, sin que sea necesario recoger datos de localización.

La recogida de datos de localización debe estar sujetos al cumplimiento de los siguientes principios:

  1. una configuración adecuada de la frecuencia de acceso y del nivel de detalle de los datos de localización recogidos en relación con la finalidad del tratamiento. Por ejemplo, una aplicación meteorológica no debería poder acceder a la ubicación del vehículo cada segundo, ni siquiera con el consentimiento del interesado;
  2. proporcionar información precisa sobre la finalidad del tratamiento (por ejemplo, ¿se almacena el historial de localización? En caso afirmativo, ¿cuál es su finalidad?);
  • cuando el tratamiento se basa en el consentimiento, la obtención de un consentimiento válido (libre, explicito e informado) distinto de las condiciones generales de venta o uso, por ejemplo en el ordenador de a bordo;
  1. activando la localización sólo cuando el usuario lanza una funcionalidad que requiere conocer la localización del vehículo, y no por defecto y de forma continua cuando el coche se pone en marcha;
  2. informar al usuario de que se ha activado la localización, en particular mediante el uso de iconos (por ejemplo, una flecha que se mueve por la pantalla);
  3. la opción de desactivar la localización en cualquier momento; y
  • definiendo un periodo de almacenamiento limitado.

4.3. Datos biométricos

En el contexto de los vehículos conectados, los datos biométricos utilizados con el fin de identificar de forma única a una persona física pueden ser tratados, en el ámbito del art. 9 del RGPD y las excepciones nacionales, entre otras cosas, para permitir el acceso a un vehículo, para autenticar al conductor/propietario, y/o para permitir el acceso a los ajustes y preferencias del perfil del conductor.

El uso de datos biométricos implica, por un lado, prever la existencia de una alternativa no biométrica (por ejemplo, utilizando una llave física o un código) sin restricciones adicionales (es decir, el uso de la biometría no debe ser obligatorio) y, por otro lado, almacenar y comparar la plantilla biométrica de forma cifrada sólo a nivel local, sin que los datos biométricos sean tratados por un terminal de lectura/comparación externa.

Es importante garantizar que la solución de autenticación biométrica sea suficientemente fiable, en particular mediante el cumplimiento de los siguientes principios:

  1. el ajuste de la solución biométrica utilizada (por ejemplo, la tasa de falsos positivos y falsos negativos) se adapta al nivel de seguridad del control de acceso requerido;
  2. la solución biométrica utilizada se basa en un sensor resistente a los ataques (como el uso de una huella plana para el reconocimiento de huellas dactilares);
  • el número de intentos de autentificación es limitado;
  1. la plantilla/modelo biométrico se almacena en el vehículo, de forma encriptada mediante un algoritmo criptográfico y una gestión de claves que se ajustan al estado de la técnica;
  2. los datos brutos utilizados para componer la plantilla biométrica y para la autentificación del usuario se procesan en tiempo real sin que se almacenen nunca, ni siquiera localmente.

Segunda Parte

Tercera parte

Actualidad

DIRECTRICES DEL COMITÉ EUROPEO DE PROTECCION DE DATOS SOBRE LOS VEHICULOS CONECTADOS Y LAS APLICACIONES RELACIONADAS CON LA MOVILIDAD. Segunda Parte

4.4.- Datos que revelan delitos penales u otras infracciones

Para el tratamiento de datos relacionados con posibles infracciones penales en el sentido del art. 10 del RGPD, se recomienda recurrir al tratamiento local de los datos cuando el interesado tenga pleno control sobre el tratamiento en cuestión. En efecto, salvo algunas excepciones, está prohibido el tratamiento externo de datos que revelen delitos u otras infracciones. Por lo tanto, en función de la sensibilidad de los datos, deben establecerse fuertes medidas de seguridad para ofrecer protección contra el acceso, la modificación y la supresión ilegítimos de esos datos.

De hecho, algunas categorías de datos personales de los vehículos conectados podrían revelar que se ha cometido o se está cometiendo un delito u otra infracción («datos relacionados con el delito») y, por lo tanto, estarían sujetos a restricciones especiales (por ejemplo, los datos que indican que el vehículo ha cruzado una línea blanca, la velocidad instantánea de un vehículo combinada con datos precisos de localización). En particular, en el caso de que estos datos sean tratados por las autoridades nacionales competentes con fines de investigación y enjuiciamiento de delitos, se aplicarán las salvaguardias previstas en el artículo 10 del RGPD.

4.5.- Propósitos

Los datos personales pueden tratarse para una amplia variedad de fines en relación con los vehículos conectados, como la seguridad del conductor, los seguros, el transporte eficiente, el entretenimiento o los servicios de información. De acuerdo con el GDPR, los controladores de datos deben asegurarse de que sus propósitos son «específicos, explícitos y legítimos», que no se procesan de manera incompatible con esos fines y que existe una base legal válida para el procesamiento.

4.6. Pertinencia y minimización de datos

Para cumplir con el principio de minimización de datos, los fabricantes de vehículos y equipos, los proveedores de servicios y otros responsables del tratamiento de datos deben prestar especial atención a las categorías de datos que necesitan de un vehículo conectado, ya que sólo recogerán los datos personales que sean pertinentes y necesarios para el tratamiento. Por ejemplo, los datos de localización son especialmente intrusivos y pueden revelar muchos hábitos de vida de los interesados. En consecuencia, no se deben recoger datos de localización, excepto si hacerlo es absolutamente necesario para el propósito del tratamiento.

4.7. Protección de datos por diseño y por defecto

Teniendo en cuenta el volumen y la diversidad de los datos personales producidos por los vehículos conectados, los responsables del tratamiento están obligados a garantizar que las tecnologías desplegadas en el contexto de los vehículos conectados estén configuradas para respetar la privacidad de las personas, aplicando las obligaciones de protección de datos desde el diseño y por defecto.

Las tecnologías deben estar diseñadas para minimizar la recogida de datos personales, proporcionar configuraciones por defecto que protejan la privacidad y garantizar que los interesados estén bien informados y tengan la opción de modificar fácilmente las configuraciones asociadas a sus datos personales.

4.8.- Tratamiento local de datos personales

Los fabricantes de vehículos y equipos, los proveedores de servicios y otros responsables del tratamiento de datos deberían, siempre que sea posible, utilizar procesos que no impliquen datos personales o la transferencia de datos personales fuera del vehículo. Sin embargo, la naturaleza de los vehículos conectados presenta riesgos, como la posibilidad de ataques al procesamiento local por parte de actores externos o la filtración de datos locales mediante la venta de partes del vehículo. Por lo tanto, hay que tener en cuenta la atención y las medidas de seguridad adecuadas para garantizar que el procesamiento local siga siendo local.

Algunos ejemplos de este tipo de solución podrían ser:

  1. aplicaciones de eco conducción que procesan los datos del vehículo para mostrar consejos de ecoconducción en tiempo real en la pantalla de a bordo;
  2. aplicaciones que implican una transferencia de datos personales a un dispositivo como un smartphone bajo el control total del usuario (a través de, por ejemplo, Bluetooth o Wi-Fi), y en las que los datos del vehículo no se transmiten a los proveedores de aplicaciones o a los fabricantes de vehículos; esto incluiría, por ejemplo, el acoplamiento de los smartphones para utilizar la pantalla del coche, los sistemas multimedia, el micrófono (u otros sensores) para las llamadas telefónicas, etc., en la medida en que los datos recogidos permanezcan bajo el control del interesado y se utilicen exclusivamente para prestar el servicio que ha solicitado;
  • aplicaciones de mejora de la seguridad en el vehículo, como las que emiten señales acústicas o vibraciones del volante cuando un conductor adelanta a un coche sin señalizar o se pasa de líneas blancas o que proporcione alertas sobre el estado del vehículo (por ejemplo, una alerta sobre el desgaste que afecta a las pastillas de freno);
  1. aplicaciones para el desbloqueo, el arranque y/o la activación de determinados comandos del vehículo utilizando los datos biométricos del conductor que se almacenan en el vehículo (como los modelos de cara o de voz o las minucias de las huellas dactilares).

Aplicaciones como las anteriores implican un tratamiento realizado para actividades puramente personales por parte de una persona física (es decir, sin la transferencia de datos personales a un responsable o encargado del tratamiento). Por lo tanto, de acuerdo con el art. 2(2) del RGPD, estas aplicaciones quedan fuera del ámbito de aplicación del RGPD.

Sin embargo, si el RGPD no se aplica al tratamiento de datos personales por parte de una persona física en el curso de una actividad puramente personal o doméstica, sí se aplica a los controladores o procesadores que proporcionan los medios para el tratamiento de datos personales para dichas actividades personales o domésticas (fabricantes de automóviles, proveedores de servicios, etc.). Por lo tanto, cuando actúen como responsables o encargados del tratamiento de datos, deben desarrollar aplicaciones seguras para el automóvil y con el debido respeto al principio de privacidad por diseño y por defecto.

Los fabricantes de automóviles y los proveedores de servicios deberían considerar el procesamiento local de datos, siempre que sea posible, para mitigar los riesgos potenciales del procesamiento en la nube.

En general, los usuarios deberían poder controlar cómo se recogen y procesan sus datos en el vehículo:

  1. la información relativa al tratamiento debe proporcionarse en el idioma del conductor (manual, ajustes, etc.);
  2. se recomienda que sólo se traten por defecto los datos estrictamente necesarios para el funcionamiento del vehículo. Los interesados deberían tener la posibilidad de activar o desactivar el tratamiento de datos para cada uno de los otros fines y responsables del tratamiento y tener la posibilidad de suprimir los datos en cuestión, teniendo en cuenta la finalidad y la base jurídica del tratamiento de datos;
  • los datos no deben ser transmitidos a terceros (es decir, el usuario tiene acceso exclusivo a los datos);
  1. los datos deben conservarse sólo durante el tiempo necesario para la prestación del servicio o mientras lo exija la legislación de la Unión Europea o de los Estados Miembros;
  2. los interesados deben poder eliminar definitivamente cualquier dato personal antes de que los vehículos se pongan a la venta;
  3. los interesados deben tener, siempre que sea posible, un acceso directo a los datos generados por estas aplicaciones.

Por último, aunque no siempre sea posible recurrir al tratamiento local de los datos para cada caso de uso, a menudo se puede establecer un «tratamiento híbrido». Por ejemplo, en el contexto de los seguros basados en el uso, los datos personales relativos al comportamiento al volante (como la fuerza ejercida sobre el pedal del freno, el kilometraje recorrido, etc.) podrían ser procesados dentro del vehículo o por el proveedor de servicios telemáticos en nombre de la compañía de seguros (el controlador de datos) para generar puntuaciones numéricas que se transfieren a la compañía de seguros sobre una base definida (por ejemplo, mensualmente). De este modo, la compañía de seguros no tiene acceso a los datos de comportamiento en bruto, sino sólo a la puntuación agregada que es el resultado del tratamiento.

4.9.- Anonimización y seudonimización

Si se prevé la transmisión de datos personales fuera del vehículo, debe considerarse la posibilidad de anonimizarlos antes de su transmisión. A la hora de anonimizar, el responsable del tratamiento debe tener en cuenta todos los tratamientos implicados que puedan dar lugar a una nueva identificación de los datos, como la transmisión de datos anonimizados a nivel local. Una vez que un conjunto de datos está realmente anonimizado y las personas ya no son identificables, la legislación europea de protección de datos deja de ser aplicable. En consecuencia, la anonimización, cuando sea pertinente, puede ser una buena estrategia para mantener los beneficios y mitigar los riesgos en relación con los vehículos conectados.

Otras técnicas, como la seudonimización, pueden ayudar a minimizar los riesgos generados por el tratamiento de datos, teniendo en cuenta que, en la mayoría de los casos, los datos directamente identificables no son necesarios para lograr la finalidad del tratamiento. La seudonimización, si se refuerza con garantías de seguridad, mejora la protección de los datos personales al reducir los riesgos del uso indebido. La seudonimización es reversible, a diferencia de la anonimización, y los datos seudonimizados se consideran datos personales sujetos al RGPD.

4.10.- Evaluaciones de impacto de la protección de datos

Dada la escala y la sensibilidad de los datos personales que pueden generarse a través de los vehículos conectados, es probable que el tratamiento -especialmente en situaciones en las que los datos personales se tratan fuera del vehículo- a menudo suponga un alto riesgo para los derechos y las libertades de las personas. Cuando este sea el caso, los participantes de la industria deberán realizar una evaluación del impacto de la protección de datos (DPIA) para identificar y mitigar los riesgos. Incluso en los casos en que no se requiera una EIPD, es una buena práctica realizarla lo antes posible en el proceso de diseño.

4.11.- Información

Antes del tratamiento de los datos personales, se ha de informar al interesado de la identidad del responsable del tratamiento (por ejemplo, el fabricante de vehículos y equipos o el proveedor de servicios), de la finalidad del tratamiento, de los destinatarios de los datos, del período durante el cual se almacenarán los datos y de los derechos del interesado.

 

 

Además, el fabricante de vehículos y equipos, el proveedor de servicios o cualquier otro responsable del tratamiento de datos también deben proporcionar al interesado la siguiente información, en términos claros, sencillos y fácilmente accesibles:

  1. los datos de contacto del responsable de la protección de datos;
  2. los fines del tratamiento a los que se destinan los datos personales, así como la base jurídica del tratamiento;
  • la mención explícita de los intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, cuando dichos intereses legítimos constituyan la base jurídica del tratamiento;
  1. los destinatarios o categorías de destinatarios de los datos personales, si los hay;
  2. el período durante el cual se almacenarán los datos personales o, si no es posible, los criterios utilizados para determinar dicho período;
  3. la existencia del derecho a solicitar al responsable del tratamiento el acceso y la rectificación o la supresión de los datos personales o la limitación del tratamiento en relación con el interesado, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
  • la existencia del derecho a retirar el consentimiento en cualquier momento sin que ello afecte a la legalidad del tratamiento basado en el consentimiento antes de su retirada;
  • en su caso, el hecho de que el responsable del tratamiento tiene previsto transferir datos personales a un tercer país u organización internacional y las garantías utilizadas para su transferencia;
  1. si el suministro de datos personales es un requisito legal o contractual, o un requisito necesario para celebrar un contrato, así como si el interesado está obligado a proporcionar los datos personales y de las posibles consecuencias de no proporcionarlos; la existencia de una toma de decisiones automatizada, incluida la elaboración de perfiles, que produzca efectos jurídicos en el interesado o que le afecte significativamente de manera similar, y una información significativa sobre la lógica implicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. Este podría ser el caso, en particular, de la provisión de seguros basados en el uso a los individuos;
  2. el derecho a presentar una reclamación ante una autoridad de control;
  3. información sobre el tratamiento posterior;
  • en caso de control conjunto de datos, información clara y completa sobre las responsabilidades de cada controlador de datos.

En algunos casos, los datos personales no se recogen directamente de la persona afectada. Por ejemplo, un fabricante de vehículos y equipos puede confiar en un concesionario para recoger información sobre el propietario del vehículo con el fin de ofrecer un servicio de asistencia de emergencia en carretera. Cuando los datos no se hayan recogido directamente, el fabricante de vehículos y equipos, el proveedor de servicios u otro responsable del tratamiento de datos deberán indicar, además de la información mencionada anteriormente, las categorías de datos personales de que se trate, la fuente de la que proceden los datos personales y, en su caso, si dichos datos proceden de fuentes de acceso público. El responsable del tratamiento deberá facilitar esta información en un plazo razonable tras la obtención de los datos, y a más tardar en la primera de las siguientes fechas: (i) un mes después de la obtención de los datos, teniendo en cuenta las circunstancias específicas en las que se tratan los datos personales, (ii) en el momento de la primera comunicación con el interesado, o (iii) si esos datos se transmiten a un tercero, antes de la transmisión de los datos.

También puede ser necesario proporcionar nueva información a los interesados cuando sean atendidos por un nuevo responsable del tratamiento. Un servicio de asistencia en carretera que interactúa con los vehículos conectados puede ser prestado por diferentes responsables del tratamiento de datos en función del país o la región en que se requiera la asistencia. Los nuevos responsables del tratamiento deben proporcionar a los interesados la información necesaria cuando los interesados crucen las fronteras y los servicios que interactúan con los vehículos conectados sean prestados por nuevos responsables del tratamiento.

La información dirigida a los interesados puede proporcionarse por capas, es decir, separando dos niveles de información: por un lado, la información de primer nivel, que es la más importante para los interesados, y, por otro, la información que presumiblemente interesa en una fase posterior. La información esencial de primer nivel incluye, además de la identidad del responsable del tratamiento, la finalidad del tratamiento y una descripción de los derechos del interesado, así como cualquier información adicional sobre el tratamiento que tenga mayor repercusión en el interesado y el tratamiento que pueda sorprenderle.

Los interesados podrán ser informados mediante cláusulas concisas y fácilmente comprensibles en el contrato de compraventa del vehículo, en el contrato de prestación de servicios, y/o en cualquier soporte escrito, mediante el uso de distintos documentos (por ejemplo, el libro o manual de mantenimiento del vehículo) o el ordenador de a bordo.

Podrían utilizarse iconos normalizados además de la información necesaria, para mejorar la transparencia, reduciendo potencialmente la necesidad de presentar grandes cantidades de información escrita al interesado. Debe ser visible en los vehículos para proporcionar, en relación con el tratamiento previsto, una buena visión general que sea comprensible y claramente legible.

4.12.- Derechos del interesado

Los fabricantes de vehículos y equipos, los proveedores de servicios y otros responsables del tratamiento deben facilitar a los interesados el control de sus datos durante todo el período de tratamiento, mediante la aplicación de herramientas específicas que ofrezcan una forma eficaz de ejercer sus derechos, en particular su derecho de acceso, rectificación, supresión, su derecho a restringir el tratamiento y, en función de la base jurídica del tratamiento, su derecho a la portabilidad de los datos y su derecho de oposición.

Para facilitar la modificación de los ajustes, debería implantarse un sistema de gestión de perfiles para almacenar las preferencias de los conductores conocidos y ayudarles a cambiar fácilmente sus ajustes de privacidad en cualquier momento. El sistema de gestión de perfiles debería centralizar todos los ajustes de datos para cada tratamiento de datos, especialmente para facilitar el acceso, la supresión, la eliminación y la portabilidad de los datos personales de los sistemas del vehículo a petición del interesado. Los conductores deben poder detener la recogida de determinados tipos de datos, temporal o permanentemente, en cualquier momento, a menos que exista un motivo legal específico en el que el responsable del tratamiento pueda basarse para continuar con la recogida de datos específicos. En el caso de un contrato que proporcione una oferta personalizada basada en el comportamiento de conducción, esto puede significar que el usuario, como resultado, debe volver a las condiciones estándar de ese contrato. Estas características deberían implementarse dentro del vehículo, aunque también podrían proporcionarse a los sujetos de los datos a través de medios adicionales. Además, para que los interesados puedan eliminar rápida y fácilmente los datos personales que puedan almacenarse en el salpicadero del coche.

La venta de un vehículo conectado y el consiguiente cambio de titularidad también deberían desencadenar la supresión de cualquier dato personal que ya no sea necesario para los fines especificados anteriormente y el interesado debería poder ejercer su derecho a la portabilidad.

4.13.- Seguridad

Los fabricantes de vehículos y equipos, los proveedores de servicios y otros responsables del tratamiento de datos deben establecer medidas que garanticen la seguridad y la confidencialidad de los datos tratados y tomar todas las precauciones útiles para evitar que el control sea tomado por una persona no autorizada. En particular, los participantes de la industria deben considerar la adopción de las siguientes medidas:

  1. cifrar los canales de comunicación mediante un algoritmo de última generación;
  2. poner en marcha un sistema de gestión de claves de cifrado que sea único para cada vehículo, no para cada modelo;
  • cuando se almacena a distancia, cifrando los datos mediante algoritmos de última generación;
  1. renovar regularmente las claves de cifrado;
  2. proteger las claves de encriptación de cualquier divulgación;
  3. autenticar los dispositivos de recepción de datos;
  • garantizar la integridad de los datos (por ejemplo, mediante hashing);
  • someter el acceso a los datos personales a técnicas fiables de autentificación de los usuarios (contraseña, certificado electrónico, etc.);

En lo que respecta más específicamente a los fabricantes de vehículos, se recomienda la aplicación de las siguientes medidas de seguridad:

  1. separar las funciones vitales del vehículo de las que dependen siempre de las capacidades de telecomunicación (por ejemplo, el «info entretenimiento»);
  2. aplicar medidas técnicas que permitan a los fabricantes de vehículos parchear rápidamente las vulnerabilidades de seguridad durante toda la vida útil del vehículo;
  • para las funciones vitales del vehículo, dar prioridad, en la medida de lo posible, a la utilización de medios de comunicación seguros y específicamente dedicados al transporte;
  1. establecer un sistema de alarma en caso de ataque a los sistemas del vehículo, con la posibilidad de operar en modo degradado;
  2. almacenar un historial de registro de cualquier acceso al sistema de información del vehículo, por ejemplo, remontándose a seis meses como período máximo, para poder entender el origen de cualquier posible ataque y realizar periódicamente una revisión de la información registrada para detectar posibles anomalías.

4.14.- Transmisión de datos personales a terceros

En principio, sólo el responsable del tratamiento y el interesado tienen acceso a los datos generados por un vehículo conectado. No obstante, el responsable del tratamiento puede transmitir los datos personales a un socio comercial (destinatario), en la medida en que dicha transmisión se base legalmente en una de las bases jurídicas indicadas en el art. 6 del RGPD.

Habida cuenta de la posible sensibilidad de los datos sobre el uso del vehículo (por ejemplo, los viajes realizados, el estilo de conducción), se recomienda que se obtenga sistemáticamente el consentimiento del interesado antes de que sus datos se transmitan a un socio comercial que actúe como responsable del tratamiento (por ejemplo, marcando una casilla que no esté previamente marcada o, cuando sea técnicamente posible, utilizando un dispositivo físico o lógico al que la persona pueda acceder desde el vehículo).

El fabricante de vehículos, el proveedor de servicios o cualquier otro responsable del tratamiento de datos puede transmitir los datos personales a un encargado del tratamiento seleccionado para participar en la prestación del servicio al interesado, siempre que el encargado del tratamiento no utilice esos datos para sus propios fines.

4.15.- Transferencia de datos personales fuera de la UE/EEE

Cuando los datos personales se transfieren fuera del Espacio Económico Europeo, se prevén garantías especiales para asegurar que la protección viaja con los datos. En consecuencia, el responsable del tratamiento sólo podrá transferir datos personales a un destinatario en la medida en que dicha transferencia se ajuste a los requisitos establecidos en el capítulo V del RGPD.

4.16.- Uso de tecnologías Wi-Fi en el vehículo

Los avances en la tecnología celular han hecho posible utilizar fácilmente Internet en la carretera. Aunque es posible obtener conectividad Wi-Fi en un vehículo a través de un punto de acceso del smartphone o de un dispositivo dedicado, la mayoría de los fabricantes ofrecen hoy en día modelos que incluyen una conexión de datos celular integrada y que también son capaces de crear redes Wi-Fi.

La conectividad Wi-Fi es ofrecida como un servicio por un profesional de la carretera, como un taxista para sus clientes. En este caso, el profesional o su empresa podrían ser considerados como un proveedor de servicios de Internet (PSI), por lo que estarían sujetos a obligaciones y restricciones específicas en relación con el tratamiento de los datos personales de sus clientes.

La conectividad Wi-Fi se pone en marcha para el uso exclusivo del conductor. En este caso, el tratamiento de los datos personales se considera una actividad puramente personal o doméstica de acuerdo con el art. 2(2)(c) del GDPR.

En general, la proliferación de interfaces de conexión a Internet a través de Wi-Fi plantea mayores riesgos para la privacidad de las personas. En efecto, a través de sus vehículos, los usuarios se convierten en difusores continuos, por lo que pueden ser identificados y rastreados. Para evitar el rastreo, los fabricantes de vehículos y de equipos deberían establecer opciones de exclusión voluntaria de fácil manejo que garanticen que no se recoge el identificador del conjunto de servicios (SSID) de la red Wi-Fi de a bordo.

 

  1. Ejemplos concretos de tratamiento.

 

5.1.- Prestación de un servicio por parte de un tercero.

Los interesados pueden contratar con un proveedor de servicios para obtener servicios de valor añadido relacionados con su vehículo. Por ejemplo, un sujeto de datos puede suscribir un contrato de seguro basado en el uso que ofrece primas de seguro reducidas por conducir menos («Pay As You Drive«) o por un buen comportamiento al volante («Pay How You Drive«) y que requiere la supervisión de los hábitos de conducción por parte de la compañía de seguros.

El interesado también podría contratar con una empresa que ofrezca asistencia en carretera en caso de avería y que implique la transmisión de la ubicación del vehículo a la empresa o con un proveedor de servicios para recibir mensajes o alertas relacionados con el funcionamiento del vehículo (por ejemplo, una alerta sobre el estado de desgaste de los frenos o un recordatorio de la fecha de la inspección técnica).

5.2. Seguro basado en el uso

«Pay as you drive» es un tipo de seguro basado en el uso que hace un seguimiento del kilometraje y/o los hábitos de conducción del conductor para diferenciar y recompensar a los conductores «seguros» dándoles primas más bajas. La aseguradora exigirá al conductor que instale un servicio telemático incorporando una aplicación móvil o que active un módulo incorporado de fábrica que rastrea los kilómetros recorridos y/o el comportamiento al volante (patrón de frenado, aceleración rápida, etc.) del titular de la póliza. La información recopilada por el dispositivo telemático se utilizará para asignar al conductor una puntuación con el fin de analizar los riesgos que puede suponer para la aseguradora.

Dado que los seguros basados en el uso requieren el consentimiento en virtud del art. 5(3) de la Directiva sobre privacidad electrónica, el titular de la póliza debe tener la opción de suscribir una póliza de seguro no basada en el uso. De lo contrario, el consentimiento no se consideraría libremente dado, ya que la ejecución del contrato estaría condicionada al consentimiento. Además, el art. 7(3) del RGPD exige que el interesado tenga derecho a retirar su consentimiento.

5.2.1. Base jurídica

Cuando los datos se recojan a través de un servicio de comunicación electrónica disponible al público (por ejemplo, a través de la tarjeta SIM contenida en el dispositivo telemático), será necesario el consentimiento para poder acceder a la información que ya está almacenada en el vehículo. El consentimiento podría recogerse en el momento de la celebración del contrato.

En cuanto al tratamiento de datos personales tras el almacenamiento o el acceso al equipo terminal del usuario final, la compañía de seguros puede basarse en el art. 6(1)(b) del RGPD en este contexto específico, siempre que pueda establecer que el tratamiento tiene lugar en el contexto de un contrato válido con el interesado y que el tratamiento es necesario para que pueda ejecutarse el contrato concreto con el interesado. En la medida en que el tratamiento es objetivamente necesario para la ejecución del contrato con el interesado, se considera que la confianza en el art. 6(1)(b) del RGPD no tendría el efecto de reducir la protección adicional proporcionada por el art. 5(3) de la Directiva sobre privacidad electrónica en este caso concreto. Esta base jurídica se materializa en la firma de un contrato por parte del interesado con la compañía de seguros.

5.2.2.- Datos recogidos

Hay que tener en cuenta dos tipos de datos personales:

  1. datos comerciales y transaccionales: información identificativa del interesado, datos relacionados con la transacción, datos relativos a los medios de pago, etc.;
  2. datos de uso: datos personales generados por el vehículo, hábitos de conducción, localización, etc.

Se recomienda que, en la medida de lo posible, y dado que existe el riesgo de que los datos recogidos a través de la caja telemática puedan ser utilizados indebidamente para crear un perfil preciso de los movimientos del conductor, los datos brutos relativos al comportamiento de conducción sean procesados:

  1. dentro del vehículo en cajas telemáticas o en el smartphone del usuario para que la aseguradora sólo acceda a los datos de los resultados (por ejemplo, una puntuación relativa a los hábitos de conducción), no a los datos brutos detallados;
  2. o por el proveedor de servicios telemáticos en nombre del responsable del tratamiento (la compañía de seguros) para generar puntuaciones numéricas que se transfieren a la compañía de seguros sobre una base definida. En este caso, deben separarse los datos brutos y los datos directamente relacionados con la identidad del conductor. Esto significa que el proveedor de servicios telemáticos recibe los datos en tiempo real, pero no conoce los nombres, las matrículas, etc. de los asegurados. Por otro lado, la aseguradora conoce los nombres de los asegurados, pero sólo recibe las puntuaciones y los kilómetros totales y no los datos brutos utilizados para producir dichas puntuaciones.

Además, hay que tener en cuenta que si sólo es necesario el kilometraje para la ejecución del contrato, no se recogerán los datos de localización.

5.2.3.- Período de conservación

En el contexto del tratamiento de datos que tiene lugar para la ejecución de un contrato (es decir, la prestación de un servicio), es importante distinguir entre dos tipos de datos antes de definir sus respectivos períodos de conservación:

  1. datos comerciales y transaccionales: estos datos pueden conservarse en una base de datos activa durante toda la duración del contrato. Al final del contrato, pueden archivarse físicamente (en un soporte independiente: DVD, etc.) o lógicamente (mediante gestión de autorizaciones) en caso de posibles litigios. Posteriormente, al término de los plazos de prescripción, los datos serán eliminados o anonimizados;
  2. datos de uso: los datos de uso pueden clasificarse como datos brutos y datos agregados. En la medida de lo posible, los responsables o encargados del tratamiento no deberían procesar los datos brutos. Si es necesario, los datos brutos deben conservarse sólo mientras sean necesarios para elaborar los datos agregados y para comprobar la validez de ese proceso de agregación. Los datos agregados deben conservarse mientras sean necesarios para la prestación del servicio o mientras lo exija la legislación de la Unión Europea o de los Estados Miembros.

5.2.4.- Información y derechos de los interesados

Antes del tratamiento de los datos personales, se informará al interesado de acuerdo con el art. 13 del RGPD, de forma transparente y comprensible. En particular, deberá ser informado del período durante el cual se almacenarán los datos personales o, si esto no es posible, de los criterios utilizados para determinar dicho período.

Cuando los datos no se tratan dentro del vehículo, sino que los trata un proveedor telemático en nombre del responsable del tratamiento (la compañía de seguros), la información podría mencionar útilmente que, en este caso, el proveedor no tendrá acceso a los datos directamente relacionados con la identidad del conductor (como los nombres, las matrículas, etc.). Asimismo, teniendo en cuenta la importancia de informar a los interesados sobre las consecuencias del tratamiento de sus datos personales y el hecho de que los interesados no deben ser tomados por sorpresa por el tratamiento de sus datos personales, se recomienda que se informe a los interesados de la existencia de la elaboración de perfiles y de las consecuencias de dicha elaboración,

En cuanto al derecho de los interesados, se les informará específicamente de los medios disponibles para ejercer su derecho de acceso, rectificación, limitación y supresión. Dado que los datos brutos recogidos en este contexto son proporcionados por el interesado (a través de formularios específicos o a través de su actividad) y tratados sobre la base del art. 6(1)(b) del RGPD (ejecución de un contrato), el interesado tiene derecho a ejercer su derecho a la portabilidad de los datos.

La información puede facilitarse en el momento de la firma del contrato.

5.2.5.- Beneficiario

Se recomienda que, en la medida de lo posible, los datos de uso del vehículo se procesen directamente en las cajas telemáticas, de modo que la aseguradora sólo acceda a los datos de los resultados (por ejemplo, una puntuación), no a los datos brutos detallados.

Si un proveedor de servicios telemáticos recoge los datos en nombre del responsable del tratamiento (la compañía de seguros) para generar puntuaciones numéricas, no necesita conocer la identidad del conductor (como nombres, matrículas, etc.) de los titulares de las pólizas.

Primera parte

Tercera parte

Actualidad

DIRECTRICES DEL COMITÉ EUROPEO DE PROTECCION DE DATOS SOBRE LOS VEHICULOS CONECTADOS Y LAS APLICACIONES RELACIONADAS CON LA MOVILIDAD. Tercera Parte

5.3.- Alquilar y reservar una plaza de aparcamiento

El propietario de una plaza de aparcamiento puede querer alquilarla. Para ello, publica una plaza y fija un precio en una aplicación web. Luego, una vez que la plaza de aparcamiento está en la lista, la aplicación notifica al propietario cuando un conductor quiere reservarla. El conductor puede seleccionar un destino y comprobar las plazas de aparcamiento disponibles en función de múltiples criterios. Tras la aprobación del propietario, se confirma la transacción y el proveedor de servicios se encarga de la operación de pago y luego utiliza la navegación para conducir hasta el lugar.

5.3.1.- Base jurídica

Cuando los datos se recogen a través de una comunicación electrónica disponible al público, se aplica el art. 5 (3) de la directiva de privacidad electrónica.

Al tratarse de un servicio de la sociedad de la información, el art. 5 (3) de la Directiva sobre privacidad electrónica no exige el consentimiento para acceder a la información que ya está almacenada en el vehículo cuando el abonado solicita explícitamente este servicio.

Para el tratamiento de los datos personales y sólo para los datos necesarios para la ejecución del contrato en el que el interesado es parte, el art. 6(1)(b) del GDPR será la base legal.

5.3.2.- Datos recogidos

Los datos procesados incluyen los datos de contacto del conductor (nombre, correo electrónico, número de teléfono, tipo de vehículo (por ejemplo, coche, camión, motocicleta), número de matrícula, período de estacionamiento, detalles de pago (por ejemplo, información de la tarjeta de crédito), así como los datos de navegación.

5.3.3.- Período de conservación

Los datos deben conservarse sólo mientras sean necesarios para cumplir el contrato de estacionamiento o, en su defecto, según lo dispuesto por la legislación de la Unión Europea o de los Estados Miembros. Después, los datos se anonimizan o se eliminan.

5.3.4.- Información y derechos de los interesados

Antes del tratamiento de los datos personales, el interesado debe ser informado de acuerdo con el art. 13 del RGPD, de forma transparente y comprensible.

El interesado debe ser informado específicamente de los medios disponibles para ejercer su derecho de acceso, rectificación, limitación y supresión. Dado que los datos recogidos en este contexto son proporcionados por el interesado (a través de formularios específicos o a través de su actividad) y tratados sobre la base del art. 6(1)(b) del RGPD (ejecución de un contrato), el interesado tiene derecho a ejercer su derecho a la portabilidad de los datos.

5.3.5.- Beneficiario

En principio, sólo el responsable y el encargado del tratamiento tienen acceso a los datos.

 

5.4.- eCall

En caso de accidente grave en la Unión Europea, el vehículo activa automáticamente una eCall al 112, el número de emergencias de toda la Unión Europea que permite enviar rápidamente una ambulancia al lugar del accidente.

El generador de eCall instalado en el interior del vehículo, que permite la transmisión a través de una red pública de comunicaciones inalámbricas móviles, inicia una llamada de emergencia, que es activada automáticamente por los sensores del vehículo o manualmente por los ocupantes del mismo sólo en caso de accidente. Además de la activación del canal de audio, el segundo evento activado automáticamente como consecuencia de un accidente consiste en la generación del conjunto mínimo de datos (MSD) y su envío al punto de respuesta de seguridad pública (PSAP).

5.4.1.- Base jurídica

En cuanto a la aplicación de la directiva sobre privacidad electrónica, hay que tener en cuenta dos disposiciones:

  1. el art. 9 relativo a los datos de localización distintos de los datos de tráfico, que sólo se aplica a los servicios de comunicaciones electrónicas;
  2. art. 5 (3) para acceder a la información almacenada en el generador instalado en el interior del vehículo.

A pesar de que, en principio, esas disposiciones exigen el consentimiento del interesado, el Reglamento (UE) 2015/758 constituye una obligación legal a la que está sujeto el responsable del tratamiento (el interesado no tiene verdadera o libre elección y no podrá rechazar el tratamiento de sus datos). Por lo tanto, el Reglamento (UE) 2015/758 anula la necesidad del consentimiento del conductor para el tratamiento de los datos de localización y el DMS.

La base jurídica del tratamiento de esos datos será el cumplimiento de una obligación legal.

5.4.2.- Datos recogidos

El Reglamento (UE) 2015/578 establece que los datos enviados por el sistema eCall basado en el 112 en el vehículo incluirán únicamente la información mínima a la que se refiere la norma EN 15722:2015 «Sistemas de transporte inteligentes – eSafety – eCall conjunto mínimo de datos (MSD)», incluyendo:

  1. la indicación de si eCall se ha activado manual o automáticamente;
  2. el tipo de vehículo;
  • el número de identificación del vehículo (VIN);
  1. el tipo de propulsión del vehículo;
  2. la marca de tiempo de la generación del mensaje de datos inicial dentro del evento de incidente eCall actual;
  3. la última posición conocida de latitud y longitud del vehículo determinada en el último momento posible antes de la generación del mensaje;
  • la última dirección real conocida del vehículo, determinada en el último momento posible antes de la generación del mensaje (sólo las tres últimas localizaciones del vehículo).

5.4.3.- Período de conservación

El Reglamento (UE) 2015/758 establece que los datos no se conservarán durante más tiempo del necesario para procesar situaciones de emergencia. Dichos datos se eliminarán por completo cuando ya no sean necesarios para ese fin. Además, en la memoria interna del sistema eCall, los datos se borrarán automática y constantemente. Sólo podrán almacenarse las tres últimas posiciones del vehículo, en la medida en que sea estrictamente necesario para especificar la posición actual del vehículo y el sentido de la marcha en el momento del suceso.

5.4.4.- Información y derechos de los interesados

El art. 6 del Reglamento (UE) 2015/758 establece que los fabricantes deben proporcionar información clara y completa sobre el tratamiento de datos realizado mediante el sistema eCall. Esta información se proporcionará en el manual del propietario por separado para el sistema eCall basado en el 112 en el vehículo y cualquier sistema eCall apoyado por un servicio de terceros antes del uso del sistema. Incluye:

  1. la referencia a la base jurídica del tratamiento;
  2. el hecho de que el sistema eCall basado en el 112 esté activado por defecto;
  • las disposiciones para el procesamiento de datos que realiza el sistema eCall basado en el 112 en el vehículo;
  1. la finalidad específica del tratamiento de eCall, que se limitará a las situaciones de emergencia contempladas en el primer párrafo del art. 5, apartado 2, del Reglamento (UE) 2015/758;
  2. los tipos de datos recogidos y tratados y los destinatarios de los mismos;
  3. el límite de tiempo para la conservación de datos en el sistema eCall basado en el 112 en el vehículo;
  • el hecho de que no haya un seguimiento constante del vehículo;
  • las modalidades de ejercicio de los derechos de los interesados, así como el servicio de contacto encargado de gestionar las solicitudes de acceso;

En cuanto a los derechos de los interesados, hay que señalar que, dado que el tratamiento se basa en una obligación legal, no se aplicarán el derecho de oposición ni el derecho a la portabilidad.

5.4.5.- Beneficiario

Los datos no estarán disponibles fuera del sistema eCall basado en el 112 para ninguna entidad antes de que se active la eCall.

Cuando se activa (ya sea manualmente por los ocupantes del vehículo o automáticamente en cuanto un sensor del vehículo detecta una colisión grave), el sistema eCall establece una conexión de voz con el PSAP correspondiente y el MSD se envía al operador del PSAP.

Además, los datos transmitidos a través del sistema eCall in-vehicle basado en el 112 y tratados por los PSAP pueden ser transferidos a los servicios de emergencia y a los socios de servicios a los que se refiere la Decisión nº 585/2014/UE únicamente en caso de incidentes relacionados con las eCalls y en las condiciones establecidas en dicha Decisión, y se utilizan exclusivamente para la consecución de los objetivos de la misma.

Los datos tratados por los PSAP a través del sistema eCall in- vehicle basado en el 112 no se transfieren a ningún otro tercero sin el consentimiento previo explícito del interesado.

5.4.6.- Seguridad

El Reglamento (UE) 2015/758 establece los requisitos para incorporar al sistema eCall tecnologías que refuercen la protección de la privacidad, con el fin de ofrecer a los usuarios el nivel adecuado de protección de la privacidad, así como las garantías necesarias para evitar vigilancia y usos abusivos. Además, los fabricantes deben garantizar que el sistema de eCall basado en el número 112, así como cualquier otro sistema que proporcione una eCall gestionada por servicios de terceros o un servicio de valor añadido, estén diseñados de forma que sea imposible el intercambio de datos personales entre dichos sistemas.

En lo que respecta a los PSAP, los Estados Miembros deben garantizar que los datos personales estén protegidos contra el uso indebido, incluido el acceso ilícito, la alteración o la pérdida, y que los protocolos relativos al almacenamiento, la duración de la conservación, el tratamiento y la protección de los datos personales se establezcan al nivel adecuado y se respeten debidamente.

5.5.- Estudios de accidentología

Los interesados pueden aceptar voluntariamente participar en estudios de accidentología destinados a comprender mejor las causas de los accidentes de tráfico y, en general, con fines científicos.

5.5.1.- Base jurídica

Cuando los datos se recojan a través de un servicio público de comunicación electrónica, el responsable del tratamiento tendrá que recabar el consentimiento del interesado para poder acceder a la información que ya está almacenada en el vehículo, tal y como establece el art. 5 (3) de la directiva sobre privacidad electrónica. De hecho, ninguna de las exenciones previstas por dichas disposiciones puede aplicarse en este contexto: el tratamiento no tiene como único objetivo llevar a cabo la transmisión de una comunicación a través de una red de comunicaciones electrónicas ni se refiere a un servicio de la sociedad de la información explícitamente solicitado por el abonado o usuario.

En lo que respecta al tratamiento de datos personales y teniendo en cuenta la variedad y la cantidad de datos personales necesarios para los estudios de accidentología, se recomienda que el tratamiento se base en el consentimiento previo del interesado de acuerdo con el art. 6 del RGPD. Este consentimiento previo debe ser proporcionado en un formulario específico, a través del cual el interesado se ofrece a participar en el estudio y a que sus datos personales sean tratados con ese fin. El consentimiento deberá ser una expresión de la voluntad libre, específica e informada de la persona cuyos datos están siendo tratados (por ejemplo, marcar una casilla que no está previamente marcada, o configurar el ordenador de a bordo para activar una función en el vehículo). Este consentimiento debe proporcionarse por separado, para fines específicos, no puede ir unido al contrato de compra o alquiler de un coche nuevo y el consentimiento debe poder retirarse tan fácilmente como se da. La retirada del consentimiento conllevará el cese del tratamiento. En ese caso, los datos se eliminarán de la base de datos activa o se anonimizarán.

El consentimiento requerido por el art. 5( 3) de la Directiva sobre privacidad electrónica y el consentimiento necesario como base jurídica para el tratamiento de datos pueden recogerse al mismo tiempo (por ejemplo, marcando una casilla que indique claramente a qué consiente el interesado).

5.5.2.- Datos recogidos

El responsable del tratamiento sólo recogerá los datos personales que sean estrictamente necesarios para el tratamiento.

Hay que tener en cuenta dos tipos de datos:

  1. datos relativos a los participantes y a los vehículos;
  2. datos técnicos de los vehículos (velocidad instantánea, etc.).

La investigación científica vinculada a la accidentología justifica la recogida de la velocidad instantánea, incluso por parte de personas jurídicas que no administran un servicio público en sentido estricto.

En efecto, como se ha señalado anteriormente, la OEPD considera que la velocidad instantánea recogida en el marco de un estudio de accidentología no es un dato relacionado con la infracción por destino (es decir, no se está recogiendo con el fin de investigar o perseguir una infracción), lo que justifica su recogida por personas jurídicas que no administran un servicio público en sentido estricto.

5.5.3.- Período de conservación

Los datos relativos a los participantes y los vehículos pueden conservarse mientras dure el estudio.

Los datos técnicos de los vehículos deben conservarse durante el menor tiempo posible para el propósito. En este sentido, cinco años a partir de la fecha de finalización del estudio parece un periodo razonable.

Al final de ese periodo, los datos se eliminarán o se anonimizarán.

5.5.4.- Información y derechos de los interesados

Antes del tratamiento de los datos personales, se informará al interesado de acuerdo con el art. 13 del RGPD, de forma transparente y comprensible. En particular, en el caso de la recogida de velocidad instantánea, los interesados deben ser informados específicamente de la recogida de datos. Dado que el tratamiento de datos se basa en el consentimiento, el interesado debe ser informado específicamente de la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la legalidad del tratamiento basado en el consentimiento antes de su retirada. Además, dado que los datos recogidos en este contexto son facilitados por el interesado (a través de formularios específicos o mediante su actividad) y tratados sobre la base del art. 6(1)(a) del RGPD (consentimiento), el interesado tiene derecho a ejercer su derecho a la portabilidad de los datos.

Esta información puede facilitarse al firmar el formulario para aceptar participar en el estudio de accidentología.

5.5.5.- Destinatario

En principio, sólo el responsable y el encargado del tratamiento tienen acceso a los datos.

5.5.6.- Seguridad

Las medidas de seguridad que se establezcan deberán adaptarse al nivel de sensibilidad de los datos. Por ejemplo, si la velocidad instantánea (o cualquier otro dato relacionado con las condenas e infracciones penales) se recoge como parte del estudio de accidentología, recomienda encarecidamente que se establezcan fuertes medidas de seguridad, como:

  1. la aplicación de medidas de seudonimización (por ejemplo, el hashing de clave secreta de datos como el apellido/nombre del interesado y el número de serie);
  2. almacenar los datos relativos a la velocidad instantánea y a la localización en bases de datos separadas (por ejemplo, utilizando un mecanismo de cifrado de última generación con claves y mecanismos de aprobación distintos);
  • y/o la eliminación de los datos de localización en cuanto se califica el evento o la secuencia de referencia (por ejemplo, el tipo de carretera, el día/la noche), y el almacenamiento de los datos de identificación directa en una base de datos separada a la que sólo puede acceder un número reducido de personas.

5.6.- Hacer frente a los robos de vehículos

Los interesados pueden desear, en caso de robo, intentar encontrar su vehículo utilizando la localización. El uso de los datos de localización se limita a las estrictas necesidades de la investigación y a la evaluación del caso por parte de las autoridades judiciales competentes.

5.6.1.- Base jurídica

Cuando los datos se recogen a través de un servicio de comunicación electrónica disponible al público, se aplica el art. 5 (3) de la Directiva de privacidad electrónica.

Al tratarse de un servicio de la sociedad de la información, el art. 5 (3) de la Directiva sobre privacidad electrónica no exige el consentimiento para acceder a la información que ya está almacenada en el vehículo cuando el abonado solicita explícitamente este servicio.

En cuanto al tratamiento de los datos personales, la base jurídica para el tratamiento de los datos de localización será el consentimiento del propietario del vehículo o, en su caso, la ejecución de un contrato (sólo para los datos necesarios para la ejecución del contrato en el que el propietario del vehículo es parte).

El consentimiento deberá ser una expresión de la voluntad libre, específica e informada de la persona cuyos datos se tratan (por ejemplo, marcar una casilla que no esté previamente marcada o configurar el ordenador de a bordo para activar una función en el vehículo). La libertad de dar el consentimiento implica la opción de retirarlo en cualquier momento, de lo que se debe informar expresamente al interesado. La retirada del consentimiento supondrá el cese del tratamiento. En ese caso, los datos deberán ser eliminados de la base de datos activa, anonimizados o archivados.

5.6.2.- Datos recogidos

Los datos de localización sólo pueden transmitirse a partir de la declaración de robo, y no pueden recogerse continuamente el resto del tiempo.

5.6.3.- Período de conservación

Los datos de localización sólo pueden conservarse durante el periodo de evaluación del caso por parte de las autoridades judiciales competentes, o hasta el final de un procedimiento para disipar dudas que no termine con la confirmación del robo del vehículo.

5.6.4.- Información de los interesados

Antes del tratamiento de los datos personales, el interesado debe ser informado de acuerdo con el art. 13 del RGPD, de forma transparente y comprensible. Más concretamente, se recomienda que el responsable del tratamiento haga hincapié en que no existe un seguimiento constante del vehículo y que los datos de localización sólo pueden recogerse y transmitirse a partir de la declaración de robo. Además, el responsable del tratamiento debe proporcionar al interesado información relativa al hecho de que sólo los agentes autorizados de la plataforma de televigilancia y las autoridades legalmente autorizadas tienen acceso a los datos.

En cuanto a los derechos de los interesados, cuando el tratamiento de datos se base en el consentimiento, el interesado deberá ser informado específicamente de la existencia del derecho de revocación de su consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento antes de su retirada. Además, cuando los datos recogidos en este contexto sean proporcionados por ellos (a través de formularios específicos o a través de su actividad) y tratados sobre la base del art. 6(1)(a) (consentimiento) o del art. 6(1)(b) GDPR (ejecución de un contrato), el interesado tiene derecho a ejercer su derecho a la portabilidad de los datos.

En consecuencia, el responsable del tratamiento debe proporcionar una forma fácil de retirar su consentimiento (sólo cuando el consentimiento sea la base legal), libremente y en cualquier momento, así como desarrollar herramientas para poder responder a las solicitudes de portabilidad de datos.

La información puede facilitarse en el momento de la firma del contrato.

5.6.5.- Destinatarios

En caso de declaración de robo, los datos de localización pueden transmitirse a (i) los agentes autorizados de la plataforma de televigilancia, y (ii) a las autoridades legalmente autorizadas.

Primera parte

Segunda Parte

 

Cerrar Cookies

Éste sitio web usa cookies, si permanece aquí acepta su uso. Puede leer más sobre el uso de cookies en nuestra política de privacidad