Acercamiento a los Vehículos conectados.
El automóvil es uno de los productos de consumo masivo que ha impactado en la sociedad mundial desde el Siglo XX hasta nuestros días. El automóvil ha significado para el ser humano “libertad”. Es un espacio privado de las personas y las familias en donde se puede disfrutar de una forma de autonomía de decisión, sin encontrar ninguna interferencia externa. Hoy en día, a medida que los vehículos conectados se van imponiendo, esta visión ya no se corresponde con la realidad. La conectividad en el vehículo se está extendiendo rápidamente a todos los modelos de automóvil, y los vehículos se están convirtiendo en enormes centros de datos. En la actualidad, muchos modelos lanzados al mercado en los últimos años integran sensores y equipos conectados a bordo, que pueden recoger y registrar, entre otras cosas, el rendimiento del motor, los hábitos de conducción, los lugares visitados y, potencialmente, incluso los movimientos oculares del conductor, su pulso o datos biométricos con el fin de identificar de forma única a una persona física.
Este tratamiento de datos no se limita a los actores tradicionales de la industria del automóvil, sino que también está conformado por la aparición de nuevos actores pertenecientes a la economía digital. Estos nuevos actores pueden ofrecer servicios de “info entretenimiento”, como música en línea, información sobre el estado de la carretera y el tráfico, o proporcionar sistemas y servicios de asistencia a la conducción, como el software de piloto automático, actualizaciones del estado del vehículo, seguros basados en el uso o cartografía dinámica. Además, dado que los vehículos están conectados a través de redes de comunicación electrónica, los gestores de las infraestructuras viarias y los operadores de telecomunicaciones que participan en este proceso también desempeñan un papel importante con respecto a las posibles operaciones de tratamiento aplicadas a los datos personales de los conductores y pasajeros.
Los vehículos conectados están generando cantidades cada vez mayores de datos, la mayoría de los cuales pueden considerarse datos personales, ya que estarán relacionados con los conductores o los pasajeros.
Los datos recogidos por un coche conectado no están directamente vinculados a un nombre, sino a aspectos técnicos y características del vehículo, y se refieren al conductor o a los pasajeros del coche. A modo de ejemplo, los datos relativos al estilo de conducción o a la distancia recorrida, los datos relativos al desgaste de las piezas del vehículo, los datos de localización o los datos recogidos por las cámaras pueden referirse al comportamiento del conductor, así como a la información sobre otras personas que puedan estar dentro o a los sujetos de datos que pasen por allí. Estos datos técnicos son producidos por una persona física y permiten su identificación directa o indirecta, por el responsable del tratamiento o por otra persona. El vehículo puede considerarse como un terminal que puede ser utilizado por diferentes usuarios.
El reto consiste en incorporar la dimensión de la "protección de los datos personales" desde la fase de diseño del producto, y en garantizar que los usuarios de los automóviles disfruten de transparencia y control en relación con sus datos. Este enfoque contribuye a reforzar la confianza de los usuarios y, por tanto, el desarrollo a largo plazo de estas tecnologías.
1.- Finalidades, ámbito de aplicación y exclusiones de las Directrices
1.1.- Finalidades.
En palabras del EDPB, las Directrices pretenden facilitar el cumplimiento del tratamiento de datos personales realizado con todos los interesados que participan en el entorno del vehículo conectado. Pero, sin embargo, tal y como expone el EDPB, en dichas Directrices, no se pretende abarcar todos los casos de uso posibles ni proporcionar orientación para todas las situaciones específicas posibles.
1.2.- Ámbito de aplicación.
Las Directrices se centran en particular en el tratamiento de datos personales en relación con el uso no profesional de los vehículos conectados por parte de los interesados: por ejemplo, conductores, pasajeros, propietarios de vehículos, otros usuarios de la carretera, etc.
Más concretamente, se ocupa de los datos personales que: (i) se procesan dentro del vehículo; (ii) se intercambian entre el vehículo y los dispositivos personales conectados a él (por ejemplo, el smartphone del usuario); o (iii) se recogen localmente en el vehículo y se exportan a entidades externas (por ejemplo, fabricantes de vehículos, gestores de infraestructuras, compañías de seguros, reparadores de automóviles) para su posterior procesamiento.
La definición de vehículo conectado debe entenderse como un concepto amplio. Puede definirse como un vehículo equipado con muchas unidades de control electrónico (“ECU”) que están conectadas entre sí a través de una red en el vehículo, así como con instalaciones de conectividad que le permiten compartir información con otros dispositivos tanto dentro como fuera del vehículo. Así, se pueden intercambiar datos entre el vehículo y los dispositivos personales conectados a él, por ejemplo, permitiendo la duplicación de aplicaciones móviles en la unidad de información y entretenimiento del coche.
También se incluye el desarrollo de aplicaciones móviles autónomas, es decir, independientes del vehículo (por ejemplo, que dependen del uso exclusivo del teléfono inteligente) para ayudar a los conductores.
Las aplicaciones de los vehículos conectados son múltiples y diversas y pueden incluir, de conformidad con el EDPB:
- Gestión de la movilidad: funciones que permiten a los conductores llegar rápidamente a un destino, y de forma rentable, proporcionando información oportuna sobre la navegación por GPS, las condiciones ambientales potencialmente peligrosas (por ejemplo, carreteras heladas), la congestión del tráfico o las obras en la carretera, la asistencia en aparcamientos o garajes, la optimización del consumo de combustible o la tarificación de las carreteras.
- Gestión del vehículo: funciones que supuestamente ayudan a los conductores a reducir los costes de conducción y a mejorar la facilidad de uso, como la notificación del estado del vehículo y la transferencia de datos de uso (por ejemplo, para los servicios de reparación del vehículo), los seguros personalizados "Paga como y cuando conduces", las operaciones a distancia (por ejemplo, el sistema de calefacción) o las configuraciones del perfil (por ejemplo, la posición del asiento).
- Seguridad vial: funciones que advierten al conductor de peligros externos y respuestas internas, como la protección contra colisiones, las advertencias de peligro, los avisos de salida de carril, la detección de somnolencia del conductor, la llamada de emergencia (eCall) o las "cajas negras" de investigación de accidentes (registrador de datos de eventos).
- Entretenimiento: funciones que proporcionan información al conductor y a los pasajeros y que implican su entretenimiento, como interfaces de teléfonos inteligentes (llamadas de manos libres, mensajes de texto generados por voz), puntos de acceso WLAN, música, vídeo, Internet, medios sociales, oficina móvil o servicios "domésticos inteligentes".
- Asistencia al conductor: funciones que implican una conducción parcial o totalmente automatizada, como la asistencia operativa o el piloto automático en el tráfico denso, en el aparcamiento o en las autopistas,
- Bienestar: funciones que controlan el confort, la capacidad y la aptitud del conductor para conducir, como la detección de la fatiga o la asistencia médica.
Por lo tanto, los datos personales pueden recogerse a través de varios medios, entre ellos (i) sensores del vehículo, (ii) cajas telemáticas o (iii) aplicaciones móviles (por ejemplo, a las que se accede desde un dispositivo perteneciente a un conductor).
Muchos de los datos que genera un vehículo conectado se refieren a una persona física identificada o identificable y, por tanto, constituyen datos personales. Por ejemplo, los datos incluyen datos directamente identificables (por ejemplo, la identidad completa del conductor), así como datos indirectamente identificables como los detalles de los viajes realizados, los datos de uso del vehículo (por ejemplo, los datos relativos al estilo de conducción o la distancia recorrida), o los datos técnicos del vehículo (por ejemplo, los datos relativos al desgaste de las piezas del vehículo), que, mediante referencias cruzadas con otros archivos y especialmente el número de identificación del vehículo (VIN), pueden relacionarse con una persona física.
Los datos personales en los vehículos conectados también pueden incluir metadatos, como el estado de mantenimiento del vehículo. En otras palabras, cualquier dato que pueda asociarse a una persona física entra, por tanto, en el ámbito de las presentes directrices.
El ecosistema del vehículo conectado abarca un amplio espectro de actores. Este ecosistema incluye más concretamente a los actores tradicionales de la industria del automóvil, así como a los actores emergentes de la industria digital. Por lo tanto, estas directrices se dirigen a los fabricantes de vehículos, fabricantes de equipos y proveedores de automóviles, reparadores de automóviles, concesionarios de automóviles, proveedores de servicios para vehículos, gestores de flotas, compañías de seguros de automóviles, proveedores de entretenimiento, operadores de telecomunicaciones, gestores de infraestructuras viales y autoridades públicas, así como a los interesados.
1.3.- Exclusiones.
Algunos tratamientos de datos efectuados por personas físicas dentro del vehículo corresponden al "curso de una actividad puramente personal o doméstica" y, por consiguiente, quedan fuera del ámbito de aplicación del Reglamento General de Protección de Datos (“RGPD” o “GDPR”).
Los empleadores que proporcionan coches de empresa a los miembros de su plantilla pueden querer controlar las acciones de sus empleados (por ejemplo, para garantizar la seguridad del empleado, de los bienes o de los vehículos, para asignar recursos, para hacer un seguimiento y facturar un servicio o para comprobar el tiempo de trabajo). El tratamiento de datos realizado por los empleadores en este contexto plantea consideraciones específicas al contexto laboral, que podrían estar reguladas por leyes laborales a nivel nacional que no pueden detallarse en estas directrices.
Aunque el tratamiento de datos en el contexto de los vehículos comerciales utilizados con fines profesionales (como el transporte público) y el transporte compartido y la solución MaaS pueden plantear consideraciones específicas que quedan fuera del ámbito de estas directrices generales, muchos de los principios y recomendaciones aquí expuestos también serán aplicables a esos tipos de tratamiento.
Los vehículos conectados, al ser sistemas habilitados por radio, están sujetos a un seguimiento pasivo, como el seguimiento por Wi-Fi o Bluetooth. En este sentido, no se diferencian de otros dispositivos conectados y entran en el ámbito de aplicación de la Directiva sobre la privacidad y las comunicaciones electrónicas, que se está revisando actualmente. Por lo tanto, esto excluye también el seguimiento a gran escala de los vehículos equipados con Wi-Fi por parte de una densa red de transeúntes que utilizan servicios comunes de localización de teléfonos inteligentes. Estos informan rutinariamente de todas las redes Wi-Fi visibles a los servidores centrales. Dado que el Wi-Fi integrado puede considerarse un vehículo secundario identificador, se corre el riesgo de una recopilación sistemática y continua de los perfiles completos de los movimientos de los vehículos.
Los vehículos están cada vez más equipados con dispositivos de grabación de imágenes (por ejemplo, sistemas de cámaras de aparcamiento o dashcams). Dado que se trata de la cuestión de la filmación de lugares públicos, que requiere una evaluación del marco legislativo pertinente que es específico de cada Estado miembro, este tratamiento de datos queda fuera del ámbito de estas directrices.
El tratamiento de datos que permite los sistemas cooperativos de transporte inteligente (C-ITS), tal como se define en la Directiva 2010/40/UE25, ha sido tratado en un dictamen específico del Grupo de Trabajo del Artículo 29.
2.- Definiciones a tener en consideración a la hora de interpretar las Directrices.
A efectos de la lectura, interpretación y estudio de las Directrices se deberían tener en cuenta las siguientes definiciones:
- El tratamiento de datos personales abarca cualquier operación que implique datos personales, como la recogida, el registro, la organización, la estructuración, el almacenamiento, la adaptación o la modificación, la recuperación, la consulta, la utilización, la divulgación por transmisión, la difusión o cualquier otra forma de puesta a disposición, la alineación o la combinación, la limitación, el borrado o la destrucción, etc.
- El interesado es la persona física a la que se refieren los datos objeto del tratamiento. En el contexto de los vehículos conectados, puede ser, en particular, el conductor (principal u ocasional), el pasajero o el propietario del vehículo.
- El responsable del tratamiento de datos es la persona que determina los fines y los medios del tratamiento que tiene lugar en los vehículos conectados. Los responsables del tratamiento de datos pueden incluir a los proveedores de servicios que procesan los datos del vehículo para enviar al conductor información sobre el tráfico, mensajes de eco conducción o alertas sobre el funcionamiento del vehículo, las compañías de seguros que ofrecen contratos "Pay As You Drive", o los fabricantes de vehículos que recogen datos sobre el desgaste de las piezas del vehículo para mejorar su calidad.
- El encargado del tratamiento es cualquier persona que procesa datos personales para y en nombre del responsable del tratamiento. El encargado del tratamiento recoge y trata los datos por orden del responsable del tratamiento, sin utilizarlos para sus propios fines. Por ejemplo, en algunos casos, los fabricantes de equipos y los proveedores de automóviles pueden tratar los datos por cuenta de los fabricantes de vehículos (lo que no implica que no puedan ser responsables del tratamiento para otros fines).
- El destinatario es una persona física o jurídica, una autoridad pública, una agencia u otro organismo al que se le comunican los datos personales, sea o no un tercero. A modo de ejemplo, un socio comercial del proveedor de servicios que recibe del proveedor de servicios datos personales generados a partir del vehículo es un destinatario de datos personales. Tanto si actúa como nuevo responsable del tratamiento de datos como si lo hace como encargado del mismo, deberá cumplir con todas las obligaciones impuestas por el RGPD.
No obstante, las autoridades públicas que puedan recibir datos personales en el marco de una investigación no tendrán la consideración de destinatarios; el tratamiento de estos datos por parte de dichas autoridades públicas deberá ajustarse a las normas de protección de datos aplicables en función de los fines del tratamiento. Por ejemplo, las autoridades policiales son terceros autorizados cuando solicitan datos personales en el marco de una investigación de conformidad con el Derecho de la Unión o de los Estados miembros.
3.- Riesgos para la privacidad y la protección de datos.
El Grupo de Trabajo del Artículo 29 ya expresó varias preocupaciones sobre los sistemas de la Internet de las Cosas (IoT) que pueden aplicarse a los vehículos conectados, principalmente, la seguridad y el control de los datos, que pueden dar lugar a problemas de seguridad vial y pueden afectar a la integridad física del conductor, ocupantes y peatones, entre otros.
Los vehículos conectados plantean importantes problemas de protección de datos y privacidad en relación con el tratamiento de los datos de localización, ya que su naturaleza cada vez más intrusiva puede poner en peligro las posibilidades actuales de permanecer en el anonimato. El uso de las tecnologías de localización requiere la aplicación de salvaguardias específicas para evitar la vigilancia de las personas y el uso indebido de los datos.
3.1.- Falta de control y asimetría de información
Es posible que los conductores y los pasajeros de los vehículos no estén siempre adecuadamente informados sobre el tratamiento de datos que tiene lugar en o a través de un vehículo conectado. La información puede darse sólo al propietario del vehículo, que puede no ser el conductor, y también puede no proporcionarse en el momento oportuno. Por lo tanto, existe el riesgo de que no se ofrezcan suficientes funcionalidades u opciones para ejercer el control necesario para que las personas afectadas puedan hacer uso de sus derechos de protección de datos y privacidad. Este punto es importante ya que, a lo largo de su vida, los vehículos pueden pertenecer a más de un propietario, ya sea porque se venden o porque se alquilan en lugar de comprarse.
La comunicación en el vehículo puede activarse automáticamente y por defecto, sin que el individuo sea consciente de ello. A falta de la posibilidad de controlar eficazmente cómo interactúan el vehículo y sus equipos conectados, será extraordinariamente difícil para el usuario controlar el flujo de datos.
3.2.- Calidad del consentimiento del usuario
El EDPB subraya que, cuando el tratamiento de datos se basa en el consentimiento, deben cumplirse todos los elementos del consentimiento válido, lo que significa que el consentimiento debe ser libre, explicito e informado y constituye una indicación inequívoca de los deseos del interesado.
Los responsables del tratamiento de datos deben prestar mucha atención a las modalidades de obtención del consentimiento válido de los distintos participantes, como los propietarios o los usuarios de los vehículos. Dicho consentimiento debe proporcionarse por separado, para fines específicos y no puede estar vinculado al contrato de compra o alquiler de un coche nuevo.
El consentimiento debe ser tan fácil de retirar como de otorgar.
En muchos casos, el usuario puede no ser consciente del tratamiento de datos que se realiza en su vehículo. Esta falta de información constituye un obstáculo importante para demostrar un consentimiento válido en virtud del RGPD, ya que el consentimiento debe ser informado. En tales circunstancias, el consentimiento no puede invocarse como base jurídica para el correspondiente tratamiento de datos con arreglo al RGPD.
Los mecanismos clásicos utilizados para obtener el consentimiento de los individuos pueden ser difíciles de aplicar en el contexto de los vehículos conectados, lo que da lugar a un consentimiento de "baja calidad" basado en la falta de información o en la imposibilidad de hecho de proporcionar un consentimiento ajustado a las preferencias expresadas por los individuos. En la práctica, el consentimiento también podría ser difícil de obtener para los conductores y pasajeros que no están relacionados con el propietario del vehículo en el caso de vehículos de segunda mano, alquilados o prestados.
3.3.- Tratamiento posterior de los datos personales
Cuando los datos se recojan sobre la base del consentimiento y posteriormente se tratan de acuerdo con el art. 6 del RGPD, sólo podrá seguir tratándose si el responsable del tratamiento solicita un consentimiento adicional para esta otra finalidad o si el responsable del tratamiento puede demostrar que se basa en una ley de la Unión o de un Estado miembro para salvaguardar los objetivos mencionados en el art. 23 (1) del RGPD.
El consentimiento inicial nunca legitimará el tratamiento posterior, ya que el consentimiento debe ser informado y específico para ser válido.
Por ejemplo, los datos de telemetría, que se recogen durante el uso del vehículo con fines de mantenimiento, no pueden ser revelados a las compañías de seguros de automóviles sin el consentimiento de los usuarios con el fin de crear perfiles de conductores para ofrecer pólizas de seguros basadas en el comportamiento de conducción.
Además, los datos recogidos por los vehículos conectados podrán ser tratados por las autoridades policiales para detectar excesos de velocidad u otras infracciones, siempre y cuando se cumplan las condiciones específicas de la directiva de aplicación de la ley. En este caso, dichos datos se considerarán relativos a condenas e infracciones penales en las condiciones establecidas por el art. 10 del GDPR y cualquier legislación nacional aplicable.
Los fabricantes pueden proporcionar a las autoridades policiales dichos datos si se cumplen las condiciones específicas para dicho tratamiento. El tratamiento de datos personales con el único fin de satisfacer las solicitudes de las autoridades policiales no constituye una finalidad específica, explícita y legítima en el sentido del artículo 5.1.b del RGPD. Cuando las autoridades policiales están autorizadas por la ley, los fabricantes tendrían derecho a facilitarles todos los datos de que dispongan, siempre y cuando se respete el marco jurídico pertinente en cada Estado Miembro.
3.4.- Recogida excesiva de datos
Con el número cada vez mayor de sensores que se despliegan en los vehículos conectados, existe un riesgo muy alto de que se recojan demasiados datos en comparación con lo necesario para lograr el objetivo.
3.5.- Seguridad de los datos personales
La pluralidad de funcionalidades, servicios e interfaces (por ejemplo, web, USB, Wi-Fi) que ofrecen los vehículos conectados aumenta la superficie de ataque y, por tanto, el número de posibles vulnerabilidades a través de las cuales se podrían comprometer los datos personales. A diferencia de la mayoría de los dispositivos IoT, los vehículos conectados son sistemas críticos en los que un fallo de seguridad puede poner en peligro la vida de sus usuarios y de las personas que se encuentran alrededor. Por lo tanto, la importancia de abordar el riesgo de que los hackers intenten explotar las vulnerabilidades de los vehículos conectados es mayor.
Además, los datos personales almacenados en los vehículos y/o en ubicaciones externas (la nube) deben estar adecuadamente protegidos contra el acceso no autorizado. Por ejemplo, durante el mantenimiento, un vehículo tiene que ser entregado a un técnico que necesitará acceder a algunos de los datos técnicos del vehículo. Aunque el técnico necesita tener acceso a los datos técnicos, existe la posibilidad de que intente acceder a todos los datos almacenados en el vehículo.
4.- Recomendaciones Generales
Con el fin de mitigar los riesgos para los titulares de los datos identificados anteriormente, los fabricantes de vehículos y equipos, los proveedores de servicios o cualquier otra parte interesada que pueda actuar como responsable del tratamiento o del procesamiento de datos en relación con los vehículos conectados deberían seguir las siguientes recomendaciones generales.
4.1. Categorías de datos
La mayoría de los datos asociados a los vehículos conectados se considerarán datos personales en la medida en que sea posible vincularlos a una o varias personas identificables. Esto incluye datos técnicos relativos a los movimientos del vehículo (por ejemplo, velocidad, distancia recorrida), así como relativos al estado del vehículo (por ejemplo, temperatura del refrigerante del motor, RPM del motor, presión de los neumáticos). Determinados datos generados por los vehículos conectados también pueden merecer una atención especial, dada su sensibilidad y/o su posible repercusión en los derechos e intereses de los interesados.
El EDPB ha identificado tres categorías de datos personales que justifican una atención especial por parte de los fabricantes de vehículos y equipos, los proveedores de servicios y otros responsables del tratamiento de datos: los datos de localización, los datos biométricos (y cualquier categoría especial de datos según se define en el artículo 9 del RGPD) y los datos que podrían revelar infracciones o violaciones de tráfico.
4.2. - Datos de localización
Al recopilar datos personales, los fabricantes de vehículos y equipos, los proveedores de servicios y otros responsables del tratamiento de datos deben tener en cuenta que los datos de localización son especialmente reveladores de los hábitos de vida de los interesados.
Los desplazamientos permiten deducir el lugar de trabajo y de residencia, así como los centros de interés (ocio) de un conductor, y pueden revelar posiblemente información sensible como la religión a través del lugar de culto, o la orientación sexual a través de los lugares visitados. Por tanto, se debe estar especialmente atentos para no recoger datos de localización, salvo si es absolutamente necesario para el objetivo del tratamiento. Por ejemplo, cuando el tratamiento consiste en detectar el movimiento del vehículo, el giroscopio es suficiente para cumplir esa función, sin que sea necesario recoger datos de localización.
La recogida de datos de localización debe estar sujetos al cumplimiento de los siguientes principios:
- una configuración adecuada de la frecuencia de acceso y del nivel de detalle de los datos de localización recogidos en relación con la finalidad del tratamiento. Por ejemplo, una aplicación meteorológica no debería poder acceder a la ubicación del vehículo cada segundo, ni siquiera con el consentimiento del interesado;
- proporcionar información precisa sobre la finalidad del tratamiento (por ejemplo, ¿se almacena el historial de localización? En caso afirmativo, ¿cuál es su finalidad?);
- cuando el tratamiento se basa en el consentimiento, la obtención de un consentimiento válido (libre, explicito e informado) distinto de las condiciones generales de venta o uso, por ejemplo en el ordenador de a bordo;
- activando la localización sólo cuando el usuario lanza una funcionalidad que requiere conocer la localización del vehículo, y no por defecto y de forma continua cuando el coche se pone en marcha;
- informar al usuario de que se ha activado la localización, en particular mediante el uso de iconos (por ejemplo, una flecha que se mueve por la pantalla);
- la opción de desactivar la localización en cualquier momento; y
- definiendo un periodo de almacenamiento limitado.
4.3. Datos biométricos
En el contexto de los vehículos conectados, los datos biométricos utilizados con el fin de identificar de forma única a una persona física pueden ser tratados, en el ámbito del art. 9 del RGPD y las excepciones nacionales, entre otras cosas, para permitir el acceso a un vehículo, para autenticar al conductor/propietario, y/o para permitir el acceso a los ajustes y preferencias del perfil del conductor.
El uso de datos biométricos implica, por un lado, prever la existencia de una alternativa no biométrica (por ejemplo, utilizando una llave física o un código) sin restricciones adicionales (es decir, el uso de la biometría no debe ser obligatorio) y, por otro lado, almacenar y comparar la plantilla biométrica de forma cifrada sólo a nivel local, sin que los datos biométricos sean tratados por un terminal de lectura/comparación externa.
Es importante garantizar que la solución de autenticación biométrica sea suficientemente fiable, en particular mediante el cumplimiento de los siguientes principios:
- el ajuste de la solución biométrica utilizada (por ejemplo, la tasa de falsos positivos y falsos negativos) se adapta al nivel de seguridad del control de acceso requerido;
- la solución biométrica utilizada se basa en un sensor resistente a los ataques (como el uso de una huella plana para el reconocimiento de huellas dactilares);
- el número de intentos de autentificación es limitado;
- la plantilla/modelo biométrico se almacena en el vehículo, de forma encriptada mediante un algoritmo criptográfico y una gestión de claves que se ajustan al estado de la técnica;
- los datos brutos utilizados para componer la plantilla biométrica y para la autentificación del usuario se procesan en tiempo real sin que se almacenen nunca, ni siquiera localmente.
