Las aplicaciones móviles y la protección de datos. Newsletter septiembre 2014

Hoy en día casi todos tenemos un móvil o una tableta que nos permiten descargarnos multitud de aplicaciones como el “Whats App”,  para los bancos, multitud de juegos, las propias de las redes sociales etc… ahora bien, casi ninguno nos hemos parado a leer la política de privacidad de esas “apps” o los permisos que le concedemos para que se puedan instalar.

El término “app” es una abreviatura de la palabra en inglés “application”. Es decir, una app es un programa, pero con unas características especiales. Se refieren sobre todo a aplicaciones destinadas a tabletas o a teléfonos del tipo Smartphone.

La pregunta que nos podemos hacer es sencilla: ¿las apps tienen que cumplir con la normativa sobre protección de datos? La respuesta es fácil: las aplicaciones pueden recoger grandes cantidades de datos a partir de los dispositivos (por ejemplo, datos almacenados por el usuario en su dispositivo o datos de distintos sensores como la ubicación) y procesarlos para proporcionar servicios nuevos e innovadores al usuario final. Sin embargo, esas mismas fuentes de datos pueden ser objeto de un tratamiento adicional, normalmente para generar ingresos, de forma desconocida o no deseada por el usuario final. Conclusión: al recoger estos datos deben cumplir con la normativa sobre protección de datos.

Ahora bien, ¿Cómo hay que cumplir? Veámoslo: 

1-. Consentimiento previo a la instalación y tratamiento de datos personales

Al instalar una aplicación, se introduce información en el dispositivo del usuario final. Muchas aplicaciones también acceden a los datos almacenados en el dispositivo, la lista de contactos, las fotografías, los vídeos y otra documentación personal. En todos estos casos se exige el consentimiento del usuario tras habérsele facilitado información clara y completa, antes de la introducción y la extracción de datos del dispositivo.

El usuario no debería verse ante una pantalla que contenga una opción única «Sí, acepto» para completar la instalación, sino que debe disponer de una opción «cancelar» o poder detener la instalación de otra forma.

2-. Durante la utilización de la aplicación

El desarrollador (creador de la app) puede invocar otros fundamentos jurídicos para otros tipos de tratamiento de datos, siempre que ello no implique el tratamiento de datos sensibles de carácter personal no será preciso un nuevo consentimiento puesto que ya se ha prestado con anterioridad.

3-. La finalidad del tratamiento de datos debe estar bien definida

Y ser comprensible para un usuario medio sin conocimientos jurídicos o técnicos especiales. Es decir, no recoger datos que no se van  a usar o usar los que tenemos para otros fines no descritos. Por ejemplo, las aplicaciones pueden acceder a muchas funciones del dispositivo y, por tanto, son capaces de hacer muchas cosas, como enviar SMS furtivos o acceder a imágenes y a la lista de contactos. Muchas tiendas de aplicaciones soportan actualizaciones (semi)automáticas en las que los desarrolladores de aplicaciones pueden integrar nuevas características y hacer accesibles dichos archivos con poca o ninguna intervención del usuario final. Esto es lo que hay que evitar.

Por lo tanto, recalcar que  la información y la supervisión por el usuario son aspectos fundamentales para garantizar el respeto a esta normativa.

4-. Seguridad

El objetivo del cumplimiento de las obligaciones en materia de seguridad es doble: permitir a los usuarios controlar sus datos con más rigor y aumentar el grado de confianza en las entidades que realmente procesan datos de los usuarios. Una decisión importante antes de diseñar una aplicación es la de dónde se almacenarán los datos. Los desarrolladores de aplicaciones deben indicar unas políticas claramente definidas sobre cómo se elaboran y se distribuyen sus programas.

5-. Información

El usuario de aplicaciones  tiene derecho a conocer la identidad del responsable del tratamiento de datos que está tratando sus datos personales. Además, en el contexto de las aplicaciones, el usuario final tiene derecho a saber qué tipo de datos personales están siendo tratados y con qué finalidad se quiere usarlos. Por tanto, si se tratan datos personales, el responsable del tratamiento pertinente deberá informar a los usuarios potenciales, como mínimo, de:

• quiénes son (identidad y datos de contacto)
• las categorías exactas de datos personales que el desarrollador de aplicaciones recogerá y tratará
• los objetivos precisos
• si los datos se comunicarán a terceros
• la forma en que los usuarios pueden ejercer sus derechos (retirar el consentimiento y eliminar datos).

La información esencial sobre el tratamiento de datos debe estar a disposición de los usuarios antes de instalar la aplicación a través de la tienda de aplicaciones. En segundo lugar, la información pertinente sobre el tratamiento de datos debe ser accesible desde dentro de la aplicación, tras su instalación.

6-. Derechos del usuario o titular de los datos

Deben permitir a los usuarios ejercer sus derechos de acceso, rectificación, cancelación y oposición del tratamiento de datos. Para que los usuarios puedan controlar el tratamiento de sus datos personales, las aplicaciones deben informarles de forma clara y visible de la existencia de dichos mecanismos de acceso y corrección.

7-. Conservación de los datos

Los desarrolladores de aplicaciones deben considerar la conservación de datos recogidos con la aplicación y los riesgos para la protección de datos que se plantean. Los plazos concretos dependerán de la finalidad de la aplicación y de la relevancia de los datos para el usuario final. Así, por ejemplo, una aplicación para compartir agendas, diarios o fotos pondría el plazo de conservación bajo el control del usuario final mientras que en el caso de una aplicación de navegación puede bastar con almacenar solo las últimas diez visitas hechas

A modo de conclusión, podemos decir que gran parte de los tipos de datos disponibles en un dispositivo móvil inteligente son de carácter personal.

Muchas empresas son la propia aplicación u otras empresas tienen aplicaciones como parte de su negocio. No podemos aparcar en ninguno de estos casos la obligatoriedad de cumplir con la normativa sobre protección siempre que esas aplicaciones recojan datos personales. El cómo cumplir lo acabamos de describir, a quien recurrir para realizar todo este trabajo lo tienen claro: Evalúa consultores; nos tienen a su disposición para que la app o apps de su negocio cumpla con la normativa sobre protección de datos.