Blog

Actualidad

DIRECTRICES DEL COMITÉ EUROPEO DE PROTECCION DE DATOS SOBRE LOS ASISTENTES DE VOZ VIRTUALES Segunda Parte

Acercamiento a los Asistentes Virtuales de Voz. (Cont.)

Limitación de la finalidad y base jurídica

El procesamiento de las peticiones de voz por parte de los VVAs tiene una finalidad evidente, la ejecución de la petición. Sin embargo, a menudo existen finalidades adicionales que no son tan evidentes, como la mejora de las capacidades de comprensión del lenguaje natural del VVA mediante el entrenamiento del modelo del VVA con técnicas de machine learning.

Entre las finalidades más comunes del tratamiento de datos personales por parte de los VVAs encontramos:

  • Ejecutar las solicitudes de los usuarios.
  • Mejora del VVA mediante el entrenamiento del modelo de aprendizaje automático y la revisión y etiquetado humanos de las transcripciones de voz.
  • Identificación del usuario (mediante datos de voz).
  • Elaboración de perfiles de usuario para contenidos o publicidad personalizados.

Debido a su papel de intermediarios y a la forma en que están diseñados, los VVAs procesan una gran variedad de datos personales y no personales. Esto permite procesar datos personales para muchos fines que van más allá de responder a las solicitudes de los usuarios y que podrían pasar totalmente desapercibidos. Mediante el análisis de los datos recogidos a través de los VVA, es posible conocer o deducir los intereses, los horarios, las rutas de conducción o los hábitos de los usuarios. Esto podría permitir el tratamiento de datos personales con fines imprevistos, que irían mucho más allá de las expectativas razonables de los usuarios.

Los responsables del tratamiento deben especificar claramente su(s) finalidad(es) en relación con el contexto en el que se utiliza el VVA, de modo que los interesados las entiendan claramente.

Ejecutar las solicitudes de los usuarios.

El uso principal de un VVA es emitir órdenes de voz que deben ser ejecutadas por el VVA o por una app o servicio asociado (por ejemplo, un servicio de streaming de música, un servicio de mapas o una cerradura electrónica). Por lo tanto, se puede procesar la voz del usuario y potencialmente otros datos (por ejemplo, la posición del usuario cuando solicita una ruta para un determinado destino).

En la medida en que el tratamiento de los comandos de voz implique el almacenamiento o el acceso a la información almacenada en los dispositivos terminales del usuario final, deberá cumplirse el artículo 5, apartado 3, de la Directiva sobre privacidad electrónica. Si bien el apartado 3 del artículo 5 incluye el principio general de que dicho almacenamiento o acceso requiere el consentimiento previo del usuario final, también prevé una excepción al requisito de consentimiento cuando sea «estrictamente necesario para que el prestador de un servicio de la sociedad de la información solicitado explícitamente por el abonado o usuario pueda prestar el servicio«. En la medida en que los datos de voz se tratan para ejecutar las solicitudes del usuario, están exentos del requisito de consentimiento previo.

Como se ha indicado anteriormente, cualquier operación de tratamiento de datos personales posterior al almacenamiento o acceso a la información en el dispositivo terminal de los usuarios finales debe tener una base legal en virtud del artículo 6 del RGPD para ser lícita.

Cuando un individuo toma la decisión de utilizar un VVA, esta acción implica generalmente que el usuario inicial necesita primero registrar una cuenta para activar el VVA. En otras palabras, esta situación se refiere a una relación contractual entre el usuario registrado y el controlador del VVA. Teniendo en cuenta su contenido y objetivo fundamental, el propósito central de este contrato es utilizar el VVA para ejecutar la solicitud de asistencia del usuario.

Por lo tanto, cualquier tratamiento de datos personales que sea necesario para ejecutar la solicitud del usuario puede basarse en la base jurídica de la ejecución del contrato.

La ejecución de un contrato puede ser una base jurídica para el tratamiento de datos personales utilizando el aprendizaje automático (“Machine Learing”) (“ML”) cuando sea necesario para la prestación del servicio. El tratamiento de datos personales mediante ML para otros fines que no son necesarios, como la mejora del servicio, no debe basarse en esa base jurídica.

Por último, no deben confundirse las bases jurídicas de la ejecución del contrato y el consentimiento en virtud del RGPD. El consentimiento prestado para celebrar el contrato, es decir, para aceptarlo, forma parte de la validez de este contrato y no se refiere al significado específico del consentimiento con arreglo al RGPD.

Cuando el uso de un VVA no requiera configurar previamente una cuenta de usuario al VVA, el consentimiento podría ser una posible base legal.

Identificación del usuario (utilizando datos de voz)

El uso de datos de voz para la identificación del usuario implica el tratamiento de datos biométricos. En consecuencia, el responsable del tratamiento tendrá que identificar una exención en virtud del artículo 9 del RGPD, además de la identificación de una base jurídica en virtud del artículo 6 del RGPD.

De las excepciones enumeradas en el artículo 9 del RGPD, sólo el consentimiento explícito de los interesados parece aplicable para este fin específico.

Elaboración de perfiles de usuario para contenidos o publicidad personalizados

Los VVA tienen acceso al contenido de todos los comandos de voz, incluso cuando están dirigidos a servicios prestados por terceros. Este acceso permitiría al diseñador de VVAs construir perfiles de usuario muy precisos que podrían utilizarse para ofrecer servicios o anuncios personalizados. La personalización de los contenidos puede constituir un elemento intrínseco y esperado de un servicio de VVA.

Cuando la personalización tiene lugar en el contexto de una relación contractual y como parte de un servicio solicitado explícitamente por el usuario final (y el tratamiento se limita a lo estrictamente necesario para prestar este servicio), dicho tratamiento puede basarse en el artículo 6, apartado 1, letra b), del RGPD.

Si el tratamiento no es estrictamente «necesario para la ejecución de un contrato» en el sentido del artículo 6, apartado 1, letra b) del RGPD, el proveedor de VVA debe, en principio, solicitar el consentimiento del interesado.

En lo que respecta a la elaboración de perfiles de usuario con fines publicitarios, cabe señalar que esta finalidad nunca se considera un servicio solicitado explícitamente por el usuario final. Por lo tanto, en caso de tratamiento con este fin, debe recogerse sistemáticamente el consentimiento de los usuarios.

Tratamiento de los datos de los niños.

Los niños también pueden interactuar con los VVAs o pueden crear sus propios perfiles conectados a los de los adultos. Algunos VVAs están integrados en dispositivos que se dirigen específicamente a los niños

Cuando la base jurídica del tratamiento sea la ejecución de un contrato, las condiciones para el tratamiento de los datos de los niños dependerán de la legislación contractual nacional.

Cuando la base jurídica del tratamiento es el consentimiento y según el artículo 8, apartado 1, del RGPD, el tratamiento de los datos de los niños sólo es lícito «cuando el niño tiene al menos 16 años. Cuando el niño sea menor de 16 años, dicho tratamiento sólo será lícito si, y en la medida en que, el consentimiento sea dado o autorizado por el titular de la responsabilidad parental sobre el niño«. En consecuencia, para cumplir con el RGPD, cuando el consentimiento es la base legal, debe solicitarse el permiso explícito de los padres o tutores para recoger, procesar y almacenar los datos de los niños (voz, transcripciones, etc.).

Los responsables del tratamiento de datos deberían invertir en el desarrollo de medios para que los padres o tutores puedan controlar el uso que hacen los niños de los AVS.

Conservación de datos.

Los VVAs procesan y generan una gran variedad de datos personales como la voz, transcripciones de voz, metadatos o registros del sistema. Estos tipos de datos pueden tratarse para una amplia gama de fines, como la prestación de un servicio, la personalización o la investigación científica. De acuerdo con el principio de limitación del almacenamiento de datos del RGPD, los VVA deben almacenar los datos durante un período no superior al necesario para los fines para los que se tratan los datos personales. Por lo tanto, los periodos de conservación de los datos deben estar vinculados a los diferentes fines del tratamiento. Los proveedores de servicios de VVA o los terceros que prestan servicios a través de VVA deben evaluar el período máximo de conservación para cada conjunto de datos y finalidad.

El principio de minimización de datos está estrechamente relacionado con el principio de limitación del almacenamiento de datos. Los responsables del tratamiento no sólo deben limitar el periodo de almacenamiento de los datos, sino también el tipo y la cantidad de los mismos.

Algunos VVA almacenan por defecto datos personales, como fragmentos de voz o transcripciones, durante un periodo indefinido, al tiempo que ofrecen a los usuarios medios para eliminar dichos datos. Conservar los datos personales indefinidamente va en contra del principio de limitación del almacenamiento. Proporcionar a los interesados los medios para eliminar sus datos personales no elimina la responsabilidad del responsable del tratamiento de definir y aplicar una política de conservación de datos.

El diseño del VVA debe tener en cuenta los controles de los usuarios para borrar sus datos personales en sus dispositivos y en todos los sistemas de almacenamiento remoto. Estos controles pueden ser necesarios para resolver diferentes tipos de solicitudes de los usuarios, por ejemplo, una solicitud de borrado o la retirada de un consentimiento previamente otorgado.

Al igual que en otros contextos, los responsables del tratamiento pueden necesitar conservar los datos personales como prueba de un servicio prestado a un usuario para cumplir una obligación legal. El responsable del tratamiento puede conservar los datos personales sobre esa base. Sin embargo, los datos conservados deben ser los mínimos necesarios para cumplir con dicha obligación legal y durante el mínimo de tiempo. Por supuesto, los datos conservados para cumplir una obligación legal no deben utilizarse para ningún otro fin sin una base legal.

La capacidad de reconocimiento de voz de los VVAs mejora al entrenar los sistemas de aprendizaje automático con los datos de los usuarios. Si los usuarios no consienten o retiran su consentimiento para el uso de sus datos con ese fin, sus datos no podrían utilizarse legalmente para entrenar ningún otro modelo y deberían ser eliminados por el responsable del tratamiento, suponiendo que no hay ningún otro fin que justifique la retención continuada.

Los responsables y encargados del tratamiento deben utilizar modelos que no restrinjan su capacidad para detener el tratamiento si una persona revoca su consentimiento, ni tampoco deben utilizar modelos que restrinjan su capacidad para facilitar los derechos del interesado. Los responsables y encargados del tratamiento deben aplicar medidas de mitigación para reducir el riesgo de reidentificación a un umbral aceptable.

En el caso de que el usuario retire su consentimiento, los datos recogidos del usuario ya no pueden ser utilizados para el entrenamiento posterior del modelo. Sin embargo, el modelo previamente entrenado con estos datos no tiene que ser eliminado.

No se debe incitar a los interesados a conservar sus datos indefinidamente.

La anonimización de las grabaciones de voz es especialmente difícil, ya que es posible identificar a los usuarios a través del contenido del propio mensaje y de las características de la voz. No obstante, se están llevando a cabo algunas investigaciones sobre técnicas que podrían permitir eliminar información situacional como los ruidos de fondo y anonimizar la voz.

Seguridad

Para procesar de forma segura los datos personales, los VVA deben proteger su confidencialidad, integridad y disponibilidad.

Las VVAs son multiusuario. Pueden permitir más de un usuario registrado y cualquier persona de su entorno puede emitir comandos y utilizar sus servicios. Cualquier servicio de VVA que requiera confidencialidad implicará algún mecanismo de control de acceso y autenticación de usuarios. Sin control de acceso, cualquiera que pueda emitir comandos de voz al VVA podría acceder, modificar o borrar los datos personales de cualquier usuario (por ejemplo, pedir los mensajes recibidos, la dirección del usuario o los eventos del calendario).

Emitir órdenes de voz al VVA no requiere estar físicamente cerca de él, ya que se puede manipular, por ejemplo, a través de la emisión de señales (por ejemplo, de radio o televisión). Algunos de los métodos conocidos para emitir órdenes a distancia a los VVA, como el láser o las ondas ultrasónicas (inaudibles), ni siquiera son detectables por los sentidos humanos.

La autenticación del usuario puede basarse en uno o varios de los siguientes factores: algo que se sabe (como una contraseña), algo que se tiene (como una tarjeta inteligente) o algo que se es (como una huella vocal).

La autenticación mediante algo que el usuario conoce es problemática. El secreto que permitiría a los usuarios demostrar su identidad debería ser pronunciado en voz alta, exponiéndolo a cualquier persona del entorno.

La autenticación mediante algo que tenga el usuario requeriría que los proveedores de servicios de VVA creasen, distribuyesen y gestionasen «tokens» que pudiesen utilizarse como prueba de identidad.

La autenticación mediante algo que el usuario es implica el uso de datos biométricos con el fin de identificar de forma única a una persona física.

Las cuentas de usuario del VVA están asociadas a los dispositivos en los que se presta el servicio. A menudo, la misma cuenta utilizada para gestionar el VVA se utiliza para gestionar otros servicios. La mayoría de los VVA no requieren ni ofrecen un mecanismo de identificación o autenticación cuando un dispositivo que presta un servicio VVA tiene una sola cuenta de usuario. Cuando hay más de una cuenta de usuario asociada al dispositivo, algunos VVAs ofrecen un control de acceso básico opcional en forma de número PIN sin autentificación.

Aunque la identificación o autentificación del usuario puede no ser necesaria para acceder a todos los servicios de VVA, definitivamente lo será para algunos. Sin un mecanismo de identificación o autenticación, cualquiera podría acceder a los datos de otros usuarios y modificarlos o borrarlos a voluntad.

La mayoría de los VVA confían ciegamente en sus redes locales. Cualquier dispositivo comprometido en la misma red podría cambiar la configuración del altavoz inteligente o permitir la instalación de malware o asociarle apps/habilidades falsas sin el conocimiento o acuerdo del usuario.

Los VVAs, como cualquier otro software, están sujetos a vulnerabilidades de software. Sin embargo, debido a la concentración del mercado de los VVA, cualquier vulnerabilidad podría afectar a millones de usuarios de VVA.

 

Leer la Primera parte
Leer la Tercera parte

Actualidad

DIRECTRICES DEL COMITÉ EUROPEO DE PROTECCION DE DATOS SOBRE LOS ASISTENTES DE VOZ VIRTUALES Tercera Parte

Tratamiento de categorías especiales de datos.

Los VVA tienen acceso a información de carácter íntimo que puede protegerse en virtud del artículo 9 del RGPD, como los datos biométricos. Por lo tanto, los diseñadores y desarrolladores de VVA deben identificar cuidadosamente en qué casos el tratamiento implica categorías especiales de datos.

Consideraciones generales al tratar categorías especiales de datos.

Los VVAs pueden tratar categorías especiales de datos en diferentes circunstancias: (i) Como parte de sus propios servicios, por ejemplo, al gestionar las citas médicas en las agendas de los usuarios; (ii) Cuando actúan como interfaz para servicios de terceros, los proveedores de VVA procesan el contenido de los comandos. Un ejemplo podría ser cuando una usuaria emite órdenes a un VVA para que utilice una aplicación de terceros utilizada para hacer un seguimiento de su ovulación; y (iii) Cuando los datos de voz se utilizan con el fin de identificar de forma única al usuario.

Consideraciones específicas para el tratamiento de datos biométricos.

Algunos VVA tienen la capacidad de identificar de forma exclusiva a sus usuarios simplemente basándose en su voz. Este proceso se conoce como reconocimiento de plantillas de voz.

El reconocimiento de la voz del usuario sobre la base de una plantilla de voz equivale al tratamiento de categorías especiales de datos personales en el sentido del artículo 9 del RGPD (tratamiento de datos biométricos con el fin de identificar de manera única a una persona física). El tratamiento de datos biométricos con fines de identificación del usuario, requerirá el consentimiento explícito del sujeto o sujetos de los datos en cuestión.

Cuando se utilicen datos de voz para la identificación o autenticación biométricas, los responsables del tratamiento de datos deben hacer transparente dónde se utiliza la identificación biométrica y cómo se almacenan y propagan las huellas vocales (plantillas biométricas) entre los dispositivos.

Cuando el usuario registrado configura los VVAs para identificar la voz de sus usuarios, la voz de los usuarios no registrados y accidentales también será procesada con el fin de identificarlos de forma única. En otras palabras, la funcionalidad de reconocimiento de hablantes implementada en los asistentes de voz puede requerir que se registren los datos biométricos de la voz de las personas que hablan en el hogar, para permitir distinguir las características de la voz del usuario de las de la persona que desea ser reconocida. La identificación biométrica puede tener, por tanto, la consecuencia de someter a personas no informadas a un tratamiento biométrico, registrando su plantilla y comparándola con la del usuario que desea ser reconocido.

Para evitar esta recopilación de datos biométricos sin el conocimiento de los interesados y permitir al mismo tiempo que el usuario sea reconocido por el asistente, hay que dar prioridad a las soluciones basadas únicamente en los datos del usuario. En concreto, esto significa que el reconocimiento biométrico sólo se activa en cada uso a iniciativa del usuario, y no por un análisis permanente de las voces escuchadas por el asistente.

Mecanismos para Ejercer los Derechos de los Interesados.

En cumplimiento del RGPD, los responsables del tratamiento de datos que prestan servicios de VVA deben permitir a todos los usuarios, registrados y no registrados, ejercer sus derechos como interesados.

Los proveedores y desarrolladores de VVA deben facilitar a los interesados el control de sus datos durante todo el periodo de tratamiento, en particular facilitar su derecho de acceso, rectificación, supresión, su derecho a restringir el tratamiento y, en función de la base jurídica del tratamiento, su derecho a la portabilidad de los datos y su derecho de oposición.

El responsable del tratamiento debe proporcionar información sobre los derechos del interesado en el momento en que éste enciende un VVA y, a más tardar, en el momento en que se procesa la primera solicitud de voz del usuario.

Dado que el principal medio de interacción para los VVA es la voz, los diseñadores de VVA deben garantizar que los usuarios, registrados o no, puedan ejercer cualquier derecho del interesado, utilizando comandos de voz fáciles de seguir.

Los diseñadores de VVA y los desarrolladores de aplicaciones, en particular, deberían implementar herramientas específicas que proporcionen una forma eficaz y eficiente de ejercer tales derechos. Por lo tanto, deberían proponer para sus dispositivos una forma de ejercer los derechos de los interesados, proporcionándoles herramientas de autoservicio, como un sistema de gestión de perfiles.

En cuanto al ejercicio de los derechos de los interesados en caso de múltiples usuarios, cuando un usuario, registrado o no, ejerce uno de sus derechos, debe hacerlo sin perjuicio de los derechos de los demás usuarios.

Derecho de acceso

Según el artículo 12, apartado 1, del RGPD, la comunicación prevista en el artículo 15 debe realizarse por escrito o por otros medios, incluidos, en su caso, los medios electrónicos. Por lo que se refiere al acceso a los datos personales objeto de tratamiento, el artículo 15, apartado 3, establece que cuando el interesado presente la solicitud por medios electrónicos, y salvo que los interesados soliciten otra cosa, la información deberá facilitarse en un formulario electrónico de uso común. El interesado no debería estar obligado a comprar programas o equipos informáticos específicos para poder acceder a la información.

Por lo tanto, los responsables del tratamiento deben enviar, previa solicitud, una copia de los datos personales, y de los datos de audio (incluidas las grabaciones de voz y las transcripciones) en particular, en un formato común legible por el interesado.

Derecho de rectificación

Para facilitar la rectificación de los datos, los usuarios, registrados o no, deben poder gestionar y actualizar, en cualquier momento, sus datos por voz directamente desde el dispositivo VVA. Los usuarios deberían ser notificados por voz, o por escrito de la actualización.

Derecho al borrado

Los usuarios, registrados o no, deben poder, en cualquier momento, por voz desde el dispositivo VVA, o desde una herramienta de autoayuda integrada en cualquier dispositivo asociado al VVA, eliminar los datos que les conciernen.

El derecho de supresión pueda hacerse efectivo mediante la anonimización.

En algunos casos, sin una pantalla de terceros o la posibilidad de visualizar los datos almacenados (por ejemplo, una aplicación móvil o un dispositivo tabular), es difícil tener una vista previa de las pistas grabadas, para juzgar la pertinencia de las sugerencias. Para facilitar su uso, el asistente de voz debería disponer de un tablero (o de una aplicación) ampliamente accesible para borrar el historial de las peticiones realizadas y personalizar la herramienta en función de las necesidades del usuario.

Para cualquier tratamiento de datos y, en particular, cuando los interesados registrados consienten que las grabaciones de voz sean transcritas y utilizadas por el proveedor para la mejora de sus servicios, los proveedores de VVA deben poder, a petición del usuario, suprimir la grabación de voz inicial, así como cualquier transcripción relacionada de los datos personales.

El responsable del tratamiento debe garantizar que no se produzca ningún otro tratamiento tras el ejercicio del derecho de supresión. 

 

Derecho a la portabilidad de los datos

El tratamiento de datos realizado por los proveedores de VVA entra en el ámbito de aplicación de la portabilidad de los datos, ya que las operaciones de tratamiento se basan principalmente en el consentimiento del interesado.

En la práctica, el derecho a la portabilidad de los datos debería facilitar el cambio entre diferentes proveedores de VVA. En el caso de los AVS que operan en un entorno digital, en particular cuando la voz del interesado se registra en una aplicación o plataforma, el derecho a la portabilidad de los datos debería concederse para todos los datos personales facilitados por el interesado.

Además, el responsable del tratamiento debería ofrecer a los usuarios la posibilidad de recuperar directamente sus datos personales desde su área de usuario. Los usuarios también deberían poder ejercer este derecho mediante un comando de voz.

Los proveedores y desarrolladores de VVA deben ofrecer a los interesados un amplio control sobre los datos personales que les conciernen, con el fin de permitirles transferir los datos personales de un proveedor de VVA a otro.

Este derecho debe permitir al usuario recuperar, para su uso personal, los datos que haya comunicado mediante su voz (por ejemplo, el historial de interacciones de voz) y en el marco de la creación de su cuenta de usuario (por ejemplo: nombre y apellidos), en particular.

En cuanto al formato, los proveedores de VVA deben proporcionar los datos personales utilizando formatos abiertos de uso común (por ejemplo, mp3, wav, csv, gsm, etc.) junto con los metadatos adecuados utilizados para describir con precisión el significado de la información intercambiada.

 

Leer la Primera parte
Leer la Segunda parte

Actualidad

DIRECTRICES DEL COMITÉ EUROPEO DE PROTECCION DE DATOS SOBRE LOS ASISTENTES DE VOZ VIRTUALES. Primera Parte

Acercamiento a los Asistentes Virtuales de Voz.

El European Data Protection Board (“EDPB”), en español, Comité Europeo de Protección de Datos, con fecha 9 de marzo de 2021, editó las “Directrices sobre Asistentes de Voz Virtuales. Versión 1.0” (“Guidelines 02/2021 on Virtual Voice Assistants.Version 1.0“), sometiendo las mismas a consulta pública.

Dichas Directrices definen a un asistente de voz virtual (“VVA”) como “un servicio que entiende las órdenes de voz y las ejecuta o media con otros sistemas informáticos si es necesario.

En el momento actual, los VVAs están disponibles en la mayoría de los smartphones y tabletas, vehículos conectados, ordenadores tradicionales e, incluso, en dispositivos autónomos como los altavoces inteligentes o las Smart TV. Los VVAs actúan como interfaz entre los usuarios y sus dispositivos informáticos y los servicios en línea, como motores de búsqueda o las tiendas online.

Para funcionar correctamente, un VVAs necesita un dispositivo terminal provisto de micrófonos y altavoces. El dispositivo almacena la voz y otros datos que los VVAs actuales transfieren a los servidores VVAs remotos.

La cercanía de los VVAs, les da acceso a información y datos de carácter personal e íntimo, que, de no gestionarse adecuadamente, podrían dar lugar a la conculcación de los derechos fundamentales de las personas en el ámbito de su intimidad y privacidad.

Ahora bien, los VVAs usan las interacciones basadas en el habla, esto es, en la voz, lo que supone un conjunto de ventajas para la sociedad: fácil aprendizaje de su uso, rapidez en la ejecución de las ordenes, acceso más rápido a la información, etc.

Las personas se deciden a equiparse de un VVA debido a la fluidez o la simplificación de las tareas a realizar. La EPDB pone como ejemplos de fluidez y sencillez: “realizar/responder una llamada, programar un temporizador, etc., especialmente cuando los usuarios no tienen las manos disponibles. La automatización del hogar es la principal aplicación propuesta por los diseñadores de los VVAs. Al proponer simplificar la ejecución de tareas (encender la luz, regular la calefacción, bajar las persianas, etc.) y centralizarlas a través de una única herramienta que puede activarse fácilmente a distancia, se inscriben en el discurso como facilitador doméstico. Además del uso personal o doméstico, los comandos de voz pueden ser interesantes en entornos profesionales en los que es difícil manejar herramientas informáticas y utilizar comandos escritos (por ejemplo, en trabajos de fabricación).”

En principio, los principales beneficiarios de los VVA podrían ser las personas con discapacidad o dependientes.

Aunque las ventajas son muchas, el solo hecho de que los mismos tengan acceso a datos personales muy íntimos, hace, pues, necesario observar de cerca su estructura, alcance y arquitectura para frenar posibles violaciones de los derechos a la protección datos. Se hace, también, necesario que todas las autoridades de control escruten los VVA y se fijen líneas y limitaciones en materia de protección de datos.

Por ello, el fin último de las Directrices no es otro que orientar a los creadores y prestadores de servicios de VVA sobre los elementos a tener en consideración, derivados de la aplicación del Reglamento General de Protección de Datos (Reglamento 2016/679/UE del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos)(“RGPD”) a los mismos, desgranando las recomendaciones, sino obligaciones, que han de tener en cuenta los creadores y entrenadores de los VVA en materia de protección de datos dentro de la Unión Europea.

Por lo tanto, los responsables del tratamiento de datos que prestan servicios de VVA y sus encargados tienen que tener en cuenta tanto el RGPD como la Directiva sobre privacidad electrónica (Directiva 2002/58/CE del Parlamento Europeo y del Consejo, de 12 de julio de 2002, relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las comunicaciones electrónicas.)

Elementos de Protección de Datos a tener en Consideración.

Marco Jurídico aplicable a los VVAs.

A nivel de la Unión Europea podemos fijar el marco jurídico por el que se regulan los VVAs a las siguientes normas: (i) el RGPD, ya que una de las funciones principales de los citados asistentes es el tratamiento de datos personales; (ii) la Directiva sobre la privacidad en las comunicaciones electrónicas, antes citada, que establece una norma específica para todos agentes que deseen almacenar o acceder a información almacenada en el equipo terminal de un abonado o usuarios en el Espacio Económico Europeo (“EEE”) 

Identificación del tratamiento de datos y de las partes interesadas.

Pluralidad de Datos.

De todos es conocido que un VVA tiene múltiples posibilidades de asistencia en diversos entornos de la vida cotidiana. Todo ello con una capacidad de acceso a datos personales que debiéndose tener, muy en cuenta, el tratamiento de los datos personales.

Cualquier interacción de un tipo de datos que se refiera a una persona física identificada o identificable con un VVA puede entrar en el ámbito de la definición de datos personales del artículo 4 del RGPD. Una vez que se produce la interacción, puede tratarse diversos datos personales a lo largo del funcionamiento del VVA.

Desde la solicitud inicial hasta la respuesta, la acción o el seguimiento relacionados con ella (por ejemplo, el establecimiento de una alerta semanal), la primera entrada de datos personales generará, por tanto, datos personales posteriores.

La pluralidad de datos personales tratados cuando se utiliza un VVA, también se refiere a una pluralidad de categorías de datos personales a las que debe prestarse atención. La AEPD recuerda que cuando se tratan categorías especiales de datos, el artículo 9 del RGPD exige que el responsable del tratamiento identifique una excepción válida a la prohibición de tratamiento del artículo 9, apartado 1, y una base jurídica válida en virtud del artículo 6, apartado 1, utilizando un medio adecuado identificado en virtud del artículo 9, apartado 2. El consentimiento explícito puede ser una de las excepciones apropiadas cuando el consentimiento sea la base jurídica invocada en virtud del apartado 1 del artículo 6.

Pluralidad de Sujetos.

Al utilizar un VVA, los datos personales se procesan desde la primera interacción con el VVA. Para algunos sujetos esto se refiere a la compra de un VVA y/o la configuración de una cuenta de usuario (es decir, los usuarios registrados). Para otros sujetos de datos se refiere a la primera vez que interactúan conscientemente con el VVA de otro sujeto que compró y/o configuró este VVA (es decir, usuarios no registrados). Además, existe una tercera categoría de sujetos: los usuarios accidentales que, registrados o no, hacen peticiones al VVA sin saberlo (por ejemplo, diciendo la expresión correcta de despertar sin saber que el VVA está activo).

El término pluralidad de sujetos de datos también se refiere a los múltiples usuarios de un VVA (por ejemplo, dispositivo compartido entre usuarios registrados y no registrados, entre colegas, en una familia, en la escuela) y a los diferentes tipos de usuarios según su condición (por ejemplo, un adulto, un niño, un anciano o una persona discapacitada).

Pluralidad de tratamiento de datos.

Cuanto más servicios o funciones ofrezcan los VVAs y estén conectado a otros dispositivos o servicios gestionados por otras partes, más aumentará la cantidad de datos personales que se procesan y el tratamiento de reutilización. Esto da lugar a una pluralidad de tratamientos realizados por medios automatizados.

Además de los medios automatizados, algunos procesamientos pueden implicar también medios humanos. Este es el caso, por ejemplo, cuando la tecnología implementada implica la intervención humana, como la revisión de la transcripción de voces en textos, o el suministro de anotaciones sobre datos personales que pueden utilizarse para insertar nuevos modelos en una tecnología de aprendizaje automático.

Tratamiento por parte de los responsables y encargados del tratamiento.

Los interesados deben estar en condiciones de comprender e identificar las funciones del VVA y deben poder ponerse en contacto o actuar con cada una de las partes interesadas, tal como exige el RGPD. El reparto de funciones no debe ir en detrimento de los interesados. Las principales partes interesadas pueden identificarse bajo el papel de un proveedor o diseñador, un desarrollador de aplicaciones, un integrador, un propietario o una combinación de ellos. Son posibles diferentes escenarios, dependiendo de quién hace qué en la relación comercial de los interesados, de la solicitud del usuario, de los datos personales, de las actividades de tratamiento de datos y de sus fines.

El diseñador puede actuar como controlador de datos cuando determina los fines y los medios de un tratamiento, pero puede intervenir como procesador de datos cuando trata datos personales en nombre de otras partes, como un desarrollador de aplicaciones. Por lo tanto, el usuario de VVA estaría sometido a varios responsables del tratamiento: el desarrollador de la aplicación y el diseñador. También es posible que el diseñador, el integrador y el desarrollador se agrupen en un único organismo que actúe como responsable único del tratamiento.

Varias partes interesadas pueden tratar los mismos datos personales, aunque el interesado no espere realmente que otras partes distintas del proveedor de VVA participen en la cadena de tratamiento. Así, cuando un interesado actúa ante el proveedor de VVA en relación con sus datos personales (por ejemplo, el ejercicio de los derechos del interesado), esto no significa automáticamente que esta acción se aplique a los mismos datos personales que son tratados por otro interesado. Cuando estos interesados son controladores independientes, es importante que se dé un aviso de información claro a los interesados, explicando las distintas etapas y actores del tratamiento. Además, en los casos de corresponsabilidad, debe quedar claro si cada responsable del tratamiento es competente para cumplir con todos los derechos del interesado o qué responsable es competente para cada derecho.

Dado que en la cadena de tratamiento pueden intervenir muchas partes interesadas y, respectivamente, mucho personal, pueden producirse situaciones de riesgo si no se aplican las medidas y salvaguardias adecuadas.

El ecosistema de VVA es complejo, ya que puede haber muchos actores que intercambien y procesen datos personales como responsables o procesadores de datos. Es de suma importancia aclarar el papel de cada actor con respecto a cada tratamiento y seguir el principio de minimización de datos también con respecto al intercambio de datos

Además, los responsables del tratamiento deben estar atentos a las transferencias de datos personales y garantizar el nivel de protección requerido, en particular cuando utilizan servicios situados fuera del EEE.

Transparencia.

Dado que los VVA procesan datos personales (por ejemplo, la voz de los usuarios, su ubicación o el contenido de la comunicación), deben cumplir los requisitos de transparencia del RGPD regulados en el artículo 5, apartado 1, letra a), así como en los artículos 12 y 13. Los responsables del tratamiento están obligados a informar a los usuarios del tratamiento de sus datos personales de forma concisa, transparente, inteligible y de fácil acceso.

No proporcionar la información necesaria es un incumplimiento de las obligaciones que puede afectar a la legitimidad del tratamiento de datos. Cumplir con el requisito de transparencia es un imperativo.

El cumplimiento de los requisitos de transparencia puede ser especialmente difícil para el proveedor de servicios de VVA o cualquier otra entidad que actúe como responsable del tratamiento de datos. Dada la naturaleza específica de los VVA, los responsables del tratamiento se enfrentan a varios obstáculos para cumplir los requisitos de transparencia del RGPD: (i) Múltiples usuarios; (ii) Complejidad del ecosistema (quien trata los datos personales cuando se utiliza un VVA no es nada evidente para los usuarios); y (iii) Especificidades de la interfaz vocal (los sistemas digitales aún no están preparados para las interacciones sólo con la voz.)

Las aplicaciones deberían poner a disposición del usuario la información necesaria en una página web en línea antes de su descarga. De este modo, la información se ofrece lo antes posible y, a más tardar, en el momento en que se obtienen los datos.

Algunos proveedores de VVA incluyen aplicaciones de terceros en la configuración por defecto del VVA para que estas aplicaciones puedan ejecutar dichas aplicaciones utilizando expresiones de activación específicas. Los VVAs que utilizan esta estrategia de despliegue de apps de terceros deben asegurarse de que los usuarios obtienen la información necesaria también en el procesamiento de terceros.

Sin embargo, muchos diseñadores de VVA requieren cuentas de usuario de VVA que agrupan el servicio de VVA con otros múltiples servicios como el correo electrónico, la transmisión de vídeo o las compras, por nombrar algunos. La decisión del diseñador de VVA de vincular la cuenta a muchos servicios diferentes tiene el efecto de requerir políticas de privacidad muy largas y complejas. La longitud y la complejidad de estas políticas de privacidad dificultan enormemente el cumplimiento del principio de transparencia.

Aunque la forma más habitual de proporcionar la información necesaria es por escrito, el RGPD permite también «otros medios». La información puede darse en forma electrónica, por ejemplo, a través de un sitio web. Una opción para los dispositivos sin pantalla podría ser proporcionar un enlace fácil de entender, ya sea directamente o en un correo electrónico. Las soluciones ya existentes podrían servir de ejemplo para la información, por ejemplo, las prácticas de los centros de llamadas de notificar a la persona que llama sobre la grabación de una llamada telefónica y dirigirla a sus políticas de privacidad. Las limitaciones de la VVA sin pantalla no eximen al responsable del tratamiento de los datos de proporcionar la información necesaria de acuerdo con el RGPD cuando se configura la VVA o se instala o utiliza una aplicación de VVA. Los proveedores y desarrolladores de VVA deben desarrollar interfaces basadas en la voz para facilitar la información obligatoria.

Los VVAs podrían ser de gran interés para los usuarios con problemas de visión, ya que proporcionan un medio alternativo de interacción con los servicios informáticos que tradicionalmente se basan en la información visual. Según el artículo 12, apartado 1, del RGPD, es posible proporcionar la información necesaria de forma oral exclusivamente si lo solicita el interesado, pero no como método predeterminado. Sin embargo, las limitaciones de los VVAs sin pantalla requerirían medios de información oral automatizados que podrían complementarse con medios escritos. Al utilizar el audio para informar a los interesados, los responsables del tratamiento deben proporcionar la información necesaria de forma concisa y clara. Además, los interesados deberían poder volver a escuchar.

Tomar las medidas adecuadas para cumplir con los requisitos de transparencia del GDPR es más complejo cuando hay múltiples usuarios del VVA además del propietario del dispositivo. Los diseñadores de VVA deben considerar cómo informar adecuadamente a los usuarios no registrados y accidentados cuando se procesan sus datos personales.

Los responsables del tratamiento deben encontrar la manera de informar no solo a los usuarios registrados, sino también a los usuarios no registrados y a los usuarios accidentales de VVA. Estos usuarios deben ser informados lo antes posible y, a más tardar, en el momento del tratamiento.

Leer la Segunda parte
Leer la Tercera parte

Actualidad

Pagas extraordinarias. ¿Puede la empresa prorratear unilateralmente su abono?

El artículo 31 del Estatuto de los trabajadores, indica que el trabajador tiene derecho a dos gratificaciones extraordinarias al año, una de ellas con ocasión de las fiestas de Navidad y la otra en el mes que se fije por convenio colectivo o por acuerdo entre el empresario y los representantes legales de los trabajadores.

Por lo tanto, salvo que el convenio colectivo establezca más pagas, todos los trabajadores tienen derecho a dos pagas extraordinarias.

En cuanto al prorrateo de las pagas, el Estatuto de los Trabajadores indica que podrá acordarse en convenio colectivo que las gratificaciones extraordinarias se prorratean en doce mensualidades. El empresario no puede decidir unilateralmente el prorrateo de las pagas extraordinarias, sin embargo, se ha considerado eficaz y con pleno valor liberatoria el abono prorrateado cuando éste tiene su origen en un pacto individual y el convenio colectivo no contempla prohibición expresa.

En el supuesto enjuiciado en la STS 435/2021, de 8 de febrero de 2021 (rec. 2044/2018), la empresa del sector sanitario abonaba las pagas extraordinarias de forma prorrateada pese a la prohibición establecida en convenio colectivo, que fija la obligación de pago en las fechas del 1 al 30 de junio (paga de verano) y del 1 al 20 de diciembre (paga de navidad).

El Alto Tribunal entiende que, aunque el convenio colectivo no refuerce la cláusula en cuanto a la consecuencia o los efectos de su eventual incumplimiento, el hecho de que la empresa todos los meses incluya en la nómina una cantidad como paga extra no es suficiente para determinar la naturaleza de esa parte de la retribución, ni para justificar una actuación contraria a lo establecido en el convenio colectivo. Si el marco normativo que rige la relación contractual entre las partes determina, no solo que las pagas extras se abonen en dos momentos específicos del año, sino que no pueden abonarse de forma prorrateada, cabe partir de la asunción de que la retribución percibida mensualmente por la parte trabajadora corresponde a conceptos salariales distintos de dichas pagas extraordinarias. Tal asunción es plenamente lógica cuando, además, la trabajadora y la empresa no han alcanzado acuerdo bilateral alguno para proceder de otro modo.

Por consiguiente, aun cuando el convenio no contenga una explícita regla que precise las consecuencias del incumplimiento de la prohibición de prorrateo, lo que no cabe derivar de ello es que la instauración unilateral del mismo pueda vaciar de eficacia y contenido a la propia norma paccionada. La interpretación de esta pasa por colegir que, a tenor de la misma, lo que cada persona trabajadora percibe mes a mes no es, en ningún caso, retribución por pagas extras solo porque tal sea la calificación que la empresa le otorgue.

Así pues, la obligación de pago de las dos pagas extras no puede considerarse extinguida con los importes mensuales imputados por la empresa a la prorrata de las mismas.

La sentencia comentada contiene un voto particular formulado por el Magistrado D. Ángel Blasco Pellicer, en el que señala –en contra de lo que sostiene la mayoría- que, en este supuesto, el prorrateo se estuvo llevando a cabo desde el inicio de la relación contractual, sin oposición por parte de la trabajadora, sin merma alguna del salario establecido por convenio colectivo y sin que existiera ningún indicio que permitiera deducir incumplimiento de ninguna clase en relación con el abono del salario.

A falta de consecuencias expresas previstas por el convenio, no puede establecerse como consecuencia de tal incumplimiento la necesidad de volver a abonar lo que ya estaba abonado extemporáneamente. Ante la ausencia de previsión convencional sobre los efectos del incumplimiento de la prohibición de prorratear las pagas extraordinarias, su abono prorrateado permitirá al trabajador exigir que se abone como establece el convenio, pero no el pago de nuevo de lo ya efectivamente abonado.

Tal como prevé el artículo 1156 del CC, las obligaciones se extinguen por el pago; estableciendo el artículo 1126 CC que lo que anticipadamente se hubiese pagado en las obligaciones a plazo no se podrá repetir. Y, aunque se pudiera pensar que la prohibición de no prorratear las pagas extraordinarias que, en definitiva, constituyen pagos a cuenta, la ha establecido el convenio, no en beneficio de ambas partes, sino en el exclusivo beneficio del acreedor-trabajador, sería este el único facultado para consentir el pago antes de la llegada de su vencimiento, pero en modo alguno la ausencia de tal consentimiento permitiría deducir que el pago no se hubiera realizado. Tampoco puede compartirse que lo pagado mensualmente como «parte proporcional de paga extra», de forma pacífica no responda a tal concepto y se convierta, por el incumplimiento empresarial del convenio, en salario ordinario; menos aun cuando no consta que el resto de los conceptos salariales a los que la trabajadora tenía derecho no se hubieran satisfecho puntualmente.

Cerrar Cookies

Éste sitio web usa cookies, si permanece aquí acepta su uso. Puede leer más sobre el uso de cookies en nuestra política de privacidad