IntimidAPP: los problemas del tratamiento de datos biosanitarios en wearables y apps para móviles / Privacy: the problems of biosanitary data processing in wearables and apps for mobiles

RESUMEN

La entrada en vigor del Reglamento General de Protección de Datos el pasado 28 de mayo alcanzó cierta notoriedad entre la ciudadanía, normalmente desapegada de todo celo sobre sus datos de carácter personal. Ello se debió a la necesidad por parte de diferentes aplicaciones y servicios digitales de recabar de nuevo el consentimiento, para encontrarse acorde con los estándares del RGPD, y poder seguir tratando los datos de los usuarios. Sin embargo, pasado el revuelo inicial, y tras volver a aceptar todo tipo de cláusulas y condiciones sin haberlas leído detenidamente, encontramos que muchas aplicaciones y servicios recaban y tratan multitud de datos sanitarios y biométricos, cuyo tratamiento está prohibido por defecto al tratarse de datos especialmente sensibles. Por ello, se encuentran sujetos a la obtención del preceptivo consentimiento "expreso y por escrito" que exige el art. 9.2.a) del RGPD para este tipo de datos. No hablamos solo de las "imágenes faciales o datos dactiloscópicos" con los que el art. 4.14 ejemplifica los datos biométricos, sino también de informaciones mucho más elaboradas como las que se obtienen a través de pulseras deportivas, básculas inteligentes, y otros datos altamente sensibles por sí mismos. La posibilidad de combinación de diversos datos en clave Big Data, y el riesgo de creación de perfiles en base a ellos, constituye una seria amenaza que afecta claramente al derecho fundamental a la intimidad y a la protección de datos de carácter personal

ABSTRACT

General Data Protection Regulation became enforceable on last May 28th and reached a certain notoriety among citizens, often inattentive over their personal data. This was due to the need of different digital applications and services to obtain users' consent again in accordance with the new standards set by the GDPR, in order to be able to keep treating their data adequately. However, after the initial fuss, and after accepting all kinds of clauses and conditions without having read them carefully, we find that many applications and services collect and process a wide variety of health and biometric data, whose treatment is forbidden by default because of their especially sensitive nature. For this reason, treatment of these data is subject to obtaining the mandatory "express and written" consent required by art. 9.2.a) of the RGPD for this kind of data. We do not speak only of the "facial images or dactyloscopic data" exemplified in art. 4.14 about biometric data, but also of a much more elaborate information, such as those obtained through sports wristbands, smart scales, and other highly sensitive data. The possibility of combining diverse data with the power of Big Data, and the risk of creating profiles based on them, constitutes a serious threat that clearly affects the fundamental right to privacy and to the protection of personal data