Análisis del uso de NNTT en las AAPP

Fuente de la imagen: stux en pixabay

Parte de la tarde del martes la dediqué a hojear la Guía Tecnologías y Protección de Datos en Administraciones Públicas (AAPP)[1], que recientemente ha publicado la Agencia Española de Protección de Datos (AEPD) y que referencié en el sitio Protección de Datos, bajo el explícito “Tecnologías y Protección de Datos en las AAPP”[2]. En el documento se analizan algunas de las nuevas tecnologías (NNTT) que están aplicándose en las AAPP, los riesgos inherentes a su uso en lo relativo a la protección de datos personales y las salvaguardas que deben ser implementadas por estas. La Guía examina cookies y otras tecnologías de seguimiento, uso de las redes sociales, cloud computing, big data, inteligencia artificial, blockchain y smart cities[3]. Los servicios implementados en las AAPP están guiados por el servicio público, si bien el tratamiento de datos personales que realizan tiene un riesgo característico derivado de la cantidad de datos recogidos, el volumen de personas afectadas, la imposibilidad de oponerse al tratamiento en muchos casos y el desequilibrio existente entre Administración y ciudadanos. Las AAPP, como responsables del tratamiento de los datos de los ciudadanos, antes de poner en marcha nuevas actividades de tratamiento o modificar servicios ya prestados, deben identificar los riesgos a los que puede estar expuesto el tratamiento y adoptar las medidas técnicas y organizativas que permitan eliminar o al menos mitigar los daños que pudieran derivarse del mismo para los derechos y libertades de las personas. 

En relación al cloud computing, entiende la AEPD que presenta riesgos como la privacidad de la información almacenada, la continuidad de los servicios, los cambios legales y la pérdida de control de la infraestructura y las aplicaciones utilizadas[4]. No es improbable que en los servicios en la nube se produzcan brechas de seguridad que pongan en peligro la disponibilidad, la integridad o la confidencialidad de los datos personales, con consecuencias para los derechos y libertades de las personas físicas. Un ciberataque, un mal funcionamiento del sistema o un error humano pueden poner en peligro los datos de los ciudadanos. La gestión del riesgo de seguridad de la información no recae de forma exclusiva en la empresa proveedora del servicio que actúa como encargada de tratamiento, sino que corresponde a la Administración determinar las medidas de seguridad que debe de exigir al encargado y que, obligatoriamente, han de quedar reflejadas de forma contractual. Por otro lado, en la fase de diseño de los tratamientos de Big Data hay que analizar de forma objetiva qué cantidad de datos es necesaria y suficiente, ajustarse al principio de minimización de datos y no adoptar estrategias en las que se recurre a recoger la máxima cantidad posible de datos[5]. El tratamiento masivo de datos de carácter personal es uno de los supuestos para los que el RGPD[6] exige una evaluación del riesgo, requiriendo la realización de una evaluación de impacto relativa a la protección de datos y, en función del resultado obtenido, de una consulta previa a la Autoridad de Control[7]. 

La AEPD recomienda medir, evaluar y gestionar los riesgos de reidentificación, tomando las medidas necesarias para reducir la probabilidad de esa reidentificación, con consecuencias de gran impacto en caso de categorías especiales de datos como los datos médicos, de menores o de personas en condiciones de especial vulnerabilidad. Parte de estos riesgos también se aplican a las smart cities. La Agencia aconseja tomar medidas para mitigar ese riesgo como aplicar técnicas de privacidad diferencial o el empleo de estrategias de agregación de información para evitar correlaciones, a la vez que señala que la instalación de sensores de forma masiva incrementa la probabilidad de que se produzcan fallos de seguridad que también pueden provenir de ataques intencionados. Los destinatarios de la Guía son principalmente los Delegados de Protección de Datos (DPD) de las AAPP y los empleados públicos encargados de promover, gestionar y utilizar estas tecnologías en la Administración, aunque también puede ser útil a empresas que trabajen como encargadas de tratamiento o desarrolladoras de aplicaciones para las AAPP, así como a los propios ciudadanos, para entender cómo les afectan estas tecnologías en los servicios que les presta la Administración. Fuente de la información: AEPD. Fuente de la imagen: stux en pixabay. 

______________________________

[1] Guía Tecnologías y Protección de Datos en Administraciones Públicas. AEPD. 2020. Documento visitado el 02/12/2020. 

[2] Velasco Carretero, Manuel. Tecnologías y Protección de Datos en las AAPP. Protección de Datos. 2020. Sitio visitado el 02/12/2020. 

[3] Su contenido se ampliará en versiones sucesivas, extendiéndolo a otras tecnologías específicas. 

[4] En el caso de las AAPP, por el volumen y la sensibilidad de los datos que gestionan, estos riesgos deben ser objeto de un riguroso análisis. 

[5] La Guía recoge que este problema se puede ver acentuado en el caso de recopilación masiva de datos soportada por sensores en contextos de tratamiento, como los realizados en las Smart Cities. 

[6] Reglamento Europeo de Protección de Datos. 

[7] Además, el documento alerta del enriquecimiento de la información de una misma persona con datos de distintas fuentes, lo que puede derivar en nuevas conexiones o matices de su personalidad que por separado no se habrían manifestado.