La Agencia de Acceso a la Información Pública dio a conocer cómo deben tratarse los datos personales para el uso de herramientas de geolocalización y trackeo, especialmente ante la emergencia sanitaria provocada por el COVID-19.
La Ley 25.326 de Protección de Datos Personales y el Convenio 108 para la Protección de las Personas con respecto al Tratamiento Automatizado de Datos de Carácter Personal, aprobado en nuestro país por la Ley 27.483, no prohíben el monitoreo de la ubicación de las personas, pero las medidas de tratamiento de datos que se implementen deben realizarse respetando el derecho humano a la privacidad de las personas.
Por ello, la Agencia de Acceso a la Información Pública señaló los principios fundamentales de la regulación vigente en materia de protección de datos que se aplican al uso de herramientas de geolocalización y tracking, ya sea que dichas herramientas sean empleadas por el sector público, el sector privado o por ambos en colaboración.
En primer lugar, según lo informado por la Agencia, toda información referida a la ubicación de una persona y/o sus desplazamientos constituye un dato personal, protegido bajo la Ley 25.326. A efectos de recoger y tratar ulteriormente esta categoría de información, es necesario que el responsable se ampare en alguna de las bases legales contempladas en el Artículo 5 de la Ley 25.326.
Los datos deben ser exactos y actualizarse en el caso de que ello fuere necesario. Es indispensable que la herramienta sea precisa y que no dé lugar a errores que puedan generar un efecto negativo o perjudicar un derecho del titular de los datos.
La recopilación de datos de ubicación podrá realizarse cuando: el titular de los datos haya prestado su consentimiento libre, expreso e informado; los datos se obtengan de fuentes de acceso público irrestricto; se recaben para el ejercicio de funciones propias de los poderes del Estado o en virtud de una obligación legal; y deriven de una relación contractual, científica o profesional del titular de los datos y resulten necesarios para su desarrollo o cumplimiento.
Por otro lado, los datos de ubicación son definidos como información recopilada por una red o servicio sobre dónde está o estaba ubicado el teléfono del usuario u otro dispositivo. Por ejemplo, sería posible rastrear la ubicación de un teléfono móvil a partir de los datos recopilados por las estaciones base en una red de telefonía móvil. Los datos de ubicación pueden inferirse por GPS (sistema de posicionamiento global), torres de celdas (operadores de telefonía móvil), redes wifi, bluetooth o una combinación de señales.
Estos datos pueden estar en poder de: Proveedores de servicios de telecomunicaciones (prestan servicio central para tener conexión); proveedores de servicios de Internet y servicios de valor agregado, tales como aplicaciones bajadas por el usuario, quien presta su consentimiento sobre el procesamiento de datos de tráfico o datos de ubicación.
La Agencia aclara también que los organismos estatales estarán autorizados a realizar el monitoreo siempre y cuando lo hagan en el ámbito de su competencia específica. Dicha competencia deberá ser interpretada en sentido estricto y no amplio. Cuando no cuenten con esta autorización, el monitoreo deberá ampararse en otra base legal alternativa, tal como el consentimiento.
Para monitorear o seguir la geolocalización de una persona, los responsables de tratamiento de datos personales deben respetar en todo momento el principio de calidad del dato, previsto en el Artículo 4 de la Ley 25.326. Ello implica que: los datos personales que se recojan a los efectos de su tratamiento deben ser ciertos, adecuados, pertinentes y no excesivos en relación al ámbito y finalidad para los que se hubieren obtenido.
En el caso concreto del monitoreo o el seguimiento de geolocalización, este debe limitarse a finalidades asociadas a paliar los efectos del coronavirus COVID-19 y no debe interferir arbitrariamente en la privacidad de la persona que es objeto del monitoreo.
La recolección de datos no puede hacerse por medios desleales, fraudulentos o en forma contraria a las disposiciones de la Ley 25.326. El monitoreo debe hacerse al descubierto, informando a la población.
Asimismo, los datos objeto de monitoreo no pueden ser utilizados para finalidades distintas o incompatibles con aquellas que motivaron su obtención. El monitoreo no puede ser extendido a otras finalidades que no se relacionen con mitigar los efectos del coronavirus COVID-19.
Los datos deben ser exactos y actualizarse en el caso de que ello fuere necesario. Es indispensable que la herramienta sea precisa y que no dé lugar a errores que puedan generar un efecto negativo o perjudicar un derecho del titular de los datos.
Los datos deben ser almacenados de modo que permitan el ejercicio de los derechos de acceso, rectificación y supresión de datos personales contemplados en los Artículos 14 y 16 de la Ley 25.326; y los datos deben ser destruidos cuando hayan dejado de ser necesarios o pertinentes a los fines para los cuales hubiesen sido recolectados.
Cuando el monitoreo haya sido revocado por el titular de datos o cuando su finalidad haya sido cumplida, por ejemplo, porque la pandemia del coronavirus COVID-19 llegó a su conclusión, los datos deben eliminarse. El almacenamiento debe permitir que los datos personales sean identificables para facilitar su posterior eliminación.