RIPD-Recomendaciones de la RIPD para el tratamiento de datos personales sobre la salud en pandemia

RECOMENDACIONES DE LA

RED IBEROAMERICANA DE

PROTECCIÓN DE DATOS (RIPD)

PARA EL TRATAMIENTO DE DATOS

PERSONALES SOBRE LA SALUD EN

TIEMPOS DE PANDEMIA

2021 Red Iberoamericana Rede Ibero-Americana

ÍNDICE

01. Glosario 3

02. Siglas 6

03. Introducción 8

04. Bases jurídicas del tratamiento de datos personales 10

05. Responsables y encargados del tratamiento de datos personales 13

06. Las “apps de autoevaluación” 16

07. La toma de temperatura para el control de la pandemia 22

08. El tratamiento de la información sobre la Covid para la oferta y búsqueda de 26 empleo

09. La legitimación para el control por las Fuerzas y cuerpos de seguridad en las 28 situaciones de confinamiento obligatorio

10. El uso de los datos de localización y las apps de seguimiento y rastreo de contactos 30 en el contexto de la pandemia

11. El tratamiento de los datos de salud con fines de investigación sanitaria en el 34 contexto de la pandemia

12. La monitorización remota de ensayos clínicos con medicamentos 37

13. Trabajo a distancia 40

01. GLOSARIO Para los efectos del presente documento se heredadas o adquiridas de una persona entenderá por1: física que proporcionen una información • Anonimización: la aplicación de medidas única sobre la fisiología o la salud de esa de cualquier naturaleza dirigidas a persona, obtenidos en particular del impedir la identificación o reidentificación análisis de una muestra biológica de tal de una persona física sin esfuerzos persona; desproporcionados. • Datos Personales: cualquier información

• Consentimiento: manifestación de la concerniente a una persona física voluntad, libre, específica, inequívoca e identificada o identificable, expresada informada, del titular a través de la cual en forma numérica, alfabética, gráfica, acepta y autoriza el tratamiento de los fotográfica, alfanumérica, acústica o de datos personales que le conciernen. cualquier otro tipo. Se considera que • Coronavirus: extensa familia de virus una persona es identificable cuando su que pueden causar enfermedades tanto identidad pueda determinarse directa en animales como en humanos. En los o indirectamente, siempre y cuando humanos, se sabe que varios coronavirus esto no requiera plazos o actividades causan infecciones respiratorias que desproporcionadas. pueden ir desde el resfriado común • Datos personales sensibles: aquellos que hasta enfermedades más graves como el se refieran a la esfera íntima de su titular, síndrome respiratorio de Oriente Medio o cuya utilización indebida puedan dar

(MERS) y el síndrome respiratorio agudo origen a discriminación o conlleve un riesgo severo (SRAS). El coronavirus que se ha grave para éste. De manera enunciativa, se descubierto más recientemente causa la consideran sensibles los datos personales enfermedad por coronavirus COVID-19. que puedan revelar aspectos como origen • COVID‑19: enfermedad infecciosa racial o étnico; creencias o convicciones causada por el coronavirus que se ha religiosas, filosóficas y morales; afiliación descubierto más recientemente. Tanto sindical; opiniones políticas; datos relativos este nuevo virus como la enfermedad a la salud, a la vida, preferencia u orientación

que provoca eran desconocidos antes de sexual, datos genéticos o datos biométricos que estallara el brote en Wuhan (China) dirigidos a identificar de manera unívoca a en diciembre de 2019. Actualmente la una persona física. COVID-19 es una pandemia que afecta a • Datos relativos a la salud: datos muchos países de todo el mundo. personales relativos a la salud física o • Datos biométricos: datos personales mental de una persona física, incluida obtenidos a partir de un tratamiento técnico la prestación de servicios de atención específico, relativos a las características sanitaria, que revelen información sobre su físicas, fisiológicas o conductuales de una estado de salud; persona física que permitan o confirmen la • Elaboración de perfiles: toda forma identificación única de dicha persona, como de tratamiento automatizado de datos imágenes faciales o datos dactiloscópicos; personales consistente en utilizar datos • Datos genéticos: datos personales personales para evaluar determinados relativos a las características genéticas aspectos personales de una persona 1 Las definiciones sobre tratamiento de datos personales fueron tomadas de los Estándares de protección de datos personales para los Estados Iberoamericanos (RIPD) de 2017: https://www.redipd.org/es y el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos): https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=CELEX:32016R0679#d1e4722-1-1 Los conceptos

4 sobre COVID fueron tomado de la página web de la Organización Mundial de la Salud: https://www.who.int/es física, en particular para analizar o conjunto con otros, determina los fines, predecir aspectos relativos al rendimiento medios, alcance y demás cuestiones profesional, situación económica, salud, relacionadas con un tratamiento de datos preferencias personales, intereses, personales. fiabilidad, comportamiento, ubicación o • Titular: persona física a quien le conciernen movimientos de dicha persona física; los datos personales. • Encargado: prestador de servicios, que • Tratamiento: cualquier operación o con el carácter de persona física o jurídica conjunto de operaciones efectuadas o autoridad pública, ajena a la organización mediante procedimientos físicos o del responsable, trata datos personales a automatizados realizadas sobre datos nombre y por cuenta de éste. personales, relacionadas, de manera • Exportador: persona física o jurídica enunciativa más no limitativa, con la de carácter privado, autoridad pública, obtención, acceso, registro, organización, servicios, organismo o prestador de estructuración, adaptación, indexación, servicios situado en territorio de un Estado modificación, extracción, consulta, que efectúe transferencias internacionales almacenamiento, conservación, de datos personales, conforme a lo elaboración, transferencia, difusión, dispuesto en los Estándares. posesión, aprovechamiento y en general • Pandemia: Esla propagación mundial cualquier uso o disposición de datos de una nueva enfermedad. Se produce personales. una pandemia de gripe cuando surge un • Seudonimización: el tratamiento de nuevo virus gripal que se propaga por el datos personales de manera tal que ya mundo y la mayoría de las personas no no puedan atribuirse a un interesado sin

tienen inmunidad contra él. Por lo común, utilizar información adicional, siempre los virus que han causado pandemias que dicha información adicional figure por con anterioridad han provenido de virus separado y esté sujeta a medidas técnicas gripales que infectan a los animales. y organizativas destinadas a garantizar que • Responsable: persona física o jurídica los datos personales no se atribuyan a una de carácter privado, autoridad pública, persona física identificada o identificable; servicios u organismo que, solo o en 5 02.

SIGLAS

APD Autoridad de Protección de Datos AEMPS Agencia Española del Medicamento y Productos Sanitarios Estándares de Protección de Datos Personales para los Estándares Estados Iberoamericanos aprobados por la RIPD en 2017 REGLAMENTO (UE) 2016/679 DEL PARLAMENTO Reglamento General EUROPEO Y DEL CONSEJO de 27 de abril de 2016 relativo de Protección de Datos o a la protección de las personas físicas en lo que respecta al RGPD tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE RIPD o Red Red Iberoamericana de Protección de Datos TDP Tratamiento de datos personales 7 03. INTRODUCCIÓN La pandemia de la COVID-19 ha generado Para la elaboración de este documento se han mucha incertidumbre y retos a la sociedad. tenido en cuenta los Estándares de protección de Los datos personales han sido relevantes para datos personales para los Estados Iberoamericanos adoptar, entre otras, políticas para mitigar los de la RIPD2 como el referente para establecer efectos de dicho virus e implementar medidas los principios, términos, definiciones, etc. No

de bioseguridad. obstante, no se transcriben todos los aspectos de los mismos, sino que se hace alusión a Los Estados y las empresas han adoptado algunos de ellos. Por lo tanto, este documento protocolos de bioseguridad para mitigar, debe leerse de manera conjunta e integral con controlar y realizar el adecuado manejo del los citados estándares. riesgo de la pandemia por el Coronavirus COVID-19 respecto de diversas actividades, Este texto no es un concepto legal, ni un artículo servicios, sectores, procesos, establecimientos académico, ni constituye asesoría jurídica. y lugares. La implementación de las medidas Tampoco pretende ser un listado exhaustivo adoptadas implica la recolección y tratamiento de recomendaciones específicas porque ello de datos personales. es un asunto interno que corresponde decidir a cada organización a la luz de los objetivos y Dichas medidas no suspenden el derecho la magnitud de cada proyecto que implique el fundamental a la protección de datos personales, tratamiento de datos personales en épocas de cuya normativa permanece plenamente vigente pandemia. y es de obligatorio cumplimiento para los Responsables y Encargados del Tratamiento de Datos Personales. Estas recomendaciones pretenden establecer los principales aspectos que deben tenerse presente cuando se tratan datos personales en épocas de pandemia. Como tal, presentan algunas orientaciones para que sean tenidas en cuenta por quienes recolectan o usan datos personales. 2 Cfr. Red Iberoamericana de Protección de Datos -RIPD- (2017). Estándares de protección de datos personales para los Estados Iberoamericanos. Disponibles en: https://www.redipd.org/sites/default/files/inline-files/Estandares_Esp_Con_logo_RIPD.pdf

9 04.

BASES JURÍDICOS DEL

TRATAMIENTO DE DATOS PERSONALES La emergencia sanitaria derivada de la de los titulares de los datos. pandemia del virus SARS-COV-2, que provoca • Se debe tener en cuenta que los la enfermedad de la COVID-19, ha generado responsables y encargados legítimos para la necesidad de emplear información personal el tratamiento de datos de salud, son los para atender todo lo relacionado con la misma establecimientos sanitarios públicos o y, especialmente, mitigar sus efectos adversos privados, los profesionales vinculados a sobre las personas y la sociedad. las ciencias de la salud en cumplimiento de la Ley en la materia, y que de manera El tratamiento de información personal se expresa se reconozca que la titularidad de encuentra regulado por normas que reconocen la información sobre el estado de salud, el derecho a la Protección de Datos Personales corresponde al paciente. como un derecho fundamental. Por ello, es • Se debe considerar que fuera los imperioso realizar un uso responsable de dicha profesionales vinculados con las información, procurando alcanzar equilibrios ciencias de la salud, el tratamiento y la con otros derechos. comunicación de datos de salud deben hacerse con el consentimiento del titular, En ese sentido, el tratamiento de los datos en las condiciones antes mencionadas o personales, realizados con motivo de la en el marco de alguna de las excepciones COVID-19 deberán observar las bases jurídicas establecidas en las leyes de la materia, de cada país en que son tratados los datos, razones de interés general autorizadas conforme a las siguientes consideraciones: por ley, cuando el organismo solicitante tenga mandato legal para hacerlo, o para • Tener la certeza de que se están tratando finalidades estadísticas o científicas, en

datos personales, es decir, información este último caso disociado de sus titulares. que hace a una persona física identificada • Se sugiere revisar en la legislación o identificable. Lo anterior toda vez que, doméstica si se encuentra previsto el si se está frente a datos anónimos, que no procedimiento de disociación, el cual permiten la identificación de una persona consiste en hacer que la información no física, no aplicará la normativa sobre pueda vincularse a persona determinada o protección de datos personales. determinable, por lo que debe descartarse • Se debe tener especial cuidado especial cualquier tratamiento con información en los datos que han pasado por un que pueda volver a vincularse con una tratamiento de seudonimización, ya que persona, salvo cuando la ley expresamente este procedimiento permite identificar a lo permita. una persona mediante la suma de nuevos • En ningún caso, los responsables del datos de forma razonable, por lo que es tratamiento de datos quedan eximidos importante tomar en cuenta lo señalado del cumplimiento de los demás principios al respecto en diversas normativas generales de la Protección de Datos regionales3. Personales. Así, los datos recolectados • La mayoría de las legislaciones en la materia, deben ser los mínimos necesarios consideran a los datos de salud como datos para el cumplimiento de la finalidad sensibles o con categorías especiales, informada y no emplearse para fines por lo que su tratamiento requiere como distintos o incompatibles con aquellos principio, el cumplimiento de requisitos que motivaron su recolección. Deben especiales, en particular, contar con el adoptarse medidas para garantizar la consentimiento previo, expreso, informado, seguridad y confidencialidad de los datos específico, inequívoco y en su caso, escrito y otras medidas técnicas y organizativas

3 RIPD (2017). Estándares de protección de datos personales para los Estados Iberoamericanos. Numeral 5. 11 comprobables para garantizar un vigilando que sean pertinentes, correctos y tratamiento acorde a la legislación vigente4. actualizados. • Es fundamental informar al personal del • Se deberá informar a los titulares de los responsable de los datos recabados sobre datos sobre la información de identificación el cuidado de la información personal y, del responsable, qué datos se recaban y con en su caso, de las consecuencias penales qué fines a través de los medios que estén asociadas a la revelación de dicha previstos por la legislación doméstica en la información. Resulta también conveniente materia. estipular las condiciones para el • El tratamiento deberá limitarse al tratamiento de la información en contratos cumplimiento de las finalidades que se suscriban con los encargados de previamente informado a los titulares de tratamiento. los datos personales. • El tratamiento adecuado de los datos • Persistentemente se debe velar por personales requiere asegurar el el cumplimiento de los principios de cumplimiento de los derechos de los protección de datos personales, debiendo titulares de los datos, en la forma y en los adoptar las medidas necesarias para su plazos que prevé la legislación vigente. aplicación. Debe cumplirse con el derecho a informar • Las instituciones y prestadores de servicios previamente del tratamiento a los de salud públicos y privados deben recabar titulares, con el derecho a la revocación del solamente los datos personales mínimos consentimiento ante el requerimiento del necesarios para lograr el propósito de titular afectado y con los derechos previstos implementar medidas para prevenir o en el Capítulo III de los Estándares y los contener la propagación de COVID-19 y,

previstos en las respectivas legislaciones en su caso, brindar la atención, diagnóstico nacionales. y tratamiento médico correspondiente. • Al momento de llevar a cabo el registro de datos personales, seleccionar las categorías de datos relevantes y adecuadas para el problema que se ha de abordar, 4 RIPD (2017). Op. cit. Capítulo III. 12 05.

RESPONSABLES Y

ENCARGADOS DEL

TRATAMIENTO DE DATOS PERSONALES El tratamiento de datos personales derivado finalidades para las cuáles serán recabados de la emergencia sanitaria por la COVID-19 y tratados sus datos personales. obliga el establecimiento de las líneas generales • Los responsables podrán tratar, de acuerdo para garantizar el debido uso de los mismos con la normativa aplicable, los datos conforme a los principios de protección de personales de sus colaboradores que sean datos, incluso frente a estas circunstancias necesarios para garantizar la salud de excepcionales. Líneas que deberán seguir todo su personal y evitar la propagación tanto los responsables como los encargados de COVID-19 en las instituciones y del tratamiento de los datos, sin que esto organizaciones. signifique una excusa para no realizar todas • Limitar el periodo de tratamiento al tratarse las medidas necesarias en la lucha contra la de datos inherentes a la salud de un titular pandemia o en sentido contrario, se utilice la y por ser considerados datos personales emergencia sanitaria para eliminar el derecho a sensibles de acuerdo con el marco legal en la protección de los datos. materia de protección de datos personales. • Definir los plazos de conservación de los Los responsables y encargados del Sector datos personales relacionados con casos Público y Privado que traten datos personales de COVID-19, así como los mecanismos

relacionados con casos de COVID-19, deberán: que se emplearán para eliminarlos de forma segura, tomando en consideración la • Contar con estrictas medidas de seguridad normatividad sectorial en la materia. administrativas, físicas y técnicas para • Notificar cualquier vulneración de evitar cualquier pérdida, destrucción, robo, seguridad de datos personales, a los extravío, uso o acceso, daño, modificación titulares y cuando corresponda, a la o alteración no autorizada, tales como: Autoridad de Protección de Datos. generación de contraseñas, doble Adicionalmente, el responsable deberá verificación, eliminación de virus, etc. analizar las causas por las cuales se • Cumplir con los principios y obligaciones presentó la vulneración e implementar en establecidos en las leyes en materia de su plan de trabajo las acciones preventivas protección de datos personales vigentes, y correctivas para adecuar las medidas de salvo los casos de excepción previstos en seguridad, en relación con el tratamiento las mismas. de los datos personales, a efectos de • Garantizar la confidencialidad sobre prevenir futuras vulneraciones. cualquier dato personal o personal sensible • Evitar la difusión pública no autorizada de relacionado con casos de COVID-19, para información y datos personales de casos evitar daño o discriminación de la persona -posibles o confirmadosde COVID-19. afectada. • Proteger y evitar la difusión de datos • Adoptar las medidas que considere personales de niñas, niños y adolescentes convenientes para procurar que los en casos -posibles o confirmadosde datos personales de casos de COVID-19, COVID-19. sean exactos, completos, pertinentes, • Implementar medidas de seguridad físicas, actualizados y correctos.Toda comunicación técnicas y administrativas en aquellos

que se realice en la organización sobre dispositivos móviles, de almacenamiento, la posible presencia de la COVID-19 en equipos de cómputo y sistemas el lugar de trabajo, no debe identificar a informáticos que realicen tratamiento de ningún colaborador de forma individual. datos personales de casos de COVID-19. • El tratamiento de datos personales ante • No divulgar la identidad de los titulares el COVID-19, debe ser informado y el sospechosos o afectados por el COVID-19, titular debe conocer en todo momento las evitando la obtención y tratamiento 14 de información y datos personales que expresión genere discriminación o conlleve resulten innecesarios, no pertinentes o un riesgo grave para sus titulares. excesivos. • Impedir que el tratamiento de los datos personales para brindar información a la sociedad en el ejercicio a la libertad de 15 06. LAS “APPS DE AUTOEVALUACIÓN” Existe una eclosión de uso de aplicaciones de protección de datos. Con el fin de lograr para dispositivos móviles (apps) para muchas este objetivo, y al mismo tiempo mantener finalidades dentro de la cuales se encuentran una experiencia positiva para el usuario, la aquellas para mitigar o controlar la pandemia privacidad debe tomarse en cuenta desde de la COVID-19. Sin perjuicio de los beneficios el inicio del diseño de una aplicación. del uso de las apps, desde 2013 las autoridades • Los desarrolladores necesitan tomar una de protección de datos mediante la Declaración clara decisión sobre qué información es de Varsovia sobre la appificación de la sociedad5 necesaria para el funcionamiento de la plantearon lo siguiente: aplicación y deben asegurarse que ninguna información adicional pueda ser recabada • “Quienes desarrollan estas aplicaciones de no mediar el consentimiento del usuario.

pocas veces están conscientes de las Esto también se aplica cuando el código de implicaciones que para la privacidad un tercero o plug in son utilizados por los de las personas tiene su trabajo y no desarrolladores de las aplicaciones, por están familiarizados con conceptos tales ejemplo, los provenientes de anuncios en como “privacidad desde el diseño” y las redes. “consecuencias al no optar”. • “Los principales sistemas operativos y las A continuación, se señalarán los principales plataformas de las aplicaciones ofrecen aspectos que deben tenerse presentes cuando algunas opciones de privacidad; pero, no se utilizan apps con ocasión de la pandemia de la permiten al usuario el control total para COVID-19 desde la perspectiva de la regulación una adecuada protección de sus datos sobre tratamiento de datos personales. personales, tampoco posibilita el verificar Asimismo, se presentan algunas orientaciones qué información es recabada ni cuál el uso para que sean tomadas en consideración por que habrá de dársele. quienes desarrollan estas aplicaciones. Adicionalmente, en dicha Declaración se Neutralidad tecnológica en el tratamiento de manifestó que: datos personales • Es fundamental que los usuarios de las La regulación sobre tratamiento de datos apps estén y sigan estando en control de personales es neutral, tecnológica y sus propios datos. Ellos deben ser capaces temáticamente. Ello significa que aplica a de decidir qué información compartir, con cualquier tratamiento dato con independencia quién compartirla y para qué fines. de las técnicas, procesos o tecnologías • Los usuarios deben tener la opción de -actuales o futurasque se utilicen para permitir o no el acceso a información dicho efecto. En este sentido, el artículo 4.1 específica como los datos de localización o de los Estándares dice que los mismos son

su libreta de direcciones. “aplicables al tratamiento de datos personales • Las aplicaciones deberán desarrollarse que obren en soportes físicos, automatizados conforme al principio de disminuir la total o parcialmente, o en ambos soportes, aparición de sorpresas para el usuario: con independencia de la forma o modalidad de excluir características o propiedades su creación, tipo de soporte, procesamiento, ocultas, no recabar datos sin especificar el almacenamiento y organización”. contexto del acopio. • Los desarrolladores de las apps deben La neutralidad tecnológica es importante asegurarse de que sus proyectos propician porque cualquier actividad que se realice con el cumplimiento de la normativa en materia datos personales, a través de medios manuales o 5 Cfr. ICDPPC (2013). “Declaración de Varsovia sobre la appification de la sociedad”. En: http://globalprivacyassembly.org/wpcontent/uploads/2015/02/Warsaw-declaration-on-Applification-of-society-ES.pdf (Varsovia, Polonia24 de septiembre de 2013) 17 automatizados, con o sin intervención humana, relacionados con el COVID-19. debe observar las reglas establecidas en las normas sobre protección de datos personales. Para el efecto, se deben tener presentes las exigencias de las regulaciones locales En suma, la regulación sobre tratamiento de y las recomendaciones de organismos datos personales debe aplicarse al margen internacionales6 respecto de la creación de de los procedimientos, metodologías o aplicaciones móviles en general y de su uso mecanismos que se utilicen para recolectar, durante la pandemia del COVID19. Esto usar o tratar ese tipo de información. Por redundará en beneficio de los ciudadanos y de ende, debe ser cumplida por quien realice las entidades que utilizan apps porque generará

tratamiento de datos mediante el uso de mayor confianza en sus usuarios y en el público técnicas, herramientas como, entre otros, en en general. internet de las cosas, las Apps, la inteligencia artificial, la robótica y la computación en la Se sugiere que: nube. El uso de esas innovaciones tecnológicas debe respetar la protección de datos y evitar • Sean específicas las finalidades del convertirse en un instrumento para disminuir tratamiento de datos; el nivel de protección de los derechos de las • La recolección de datos debe limitarse a personas que es exigido por la regulación en aquellos que sean pertinentes y adecuados comento. para alcanzar la finalidad específica; • El tratamiento de datos solo debe ser Respetar las normas locales sobre por el tiempo necesario y razonable para Tratamiento de Datos Personales (TDP) cumplir los objetivos de las apps para prevenir o mitigar la propagación de la Los responsables o encargados que desarrollen COVID-19. Una vez cumplida la finalidad, apps deben tener presente que están se deben suprimir los datos. Es necesario obligados a cumplir las normas nacionales documentar los procedimientos para el sobre tratamiento de datos personales. Lo tratamiento, conservación y supresión de anterior les permitirá definir una estrategia los datos. para, entre otros: (i) mitigar riesgos jurídicos; (ii) ganarganar y mantener la confianza de los Datos de geolocalización y tecnologías de titulares de los datos; (iii) no afectar la buena detección de cercanía reputación de su organización y (iv) evitar eventuales investigaciones de las autoridades Por defecto, los servicios, las tecnologías o de protección de datos o de otras entidades. infraestructuras7 destinadas a prestar servicios

de geolocalización, las conexiones a bluetooth o Crear políticas de tratamiento de datos sensores de localización estarán desactivadas especiales para la pandemia del COVID‑19 o desconectadas. Sólo se activarán cuando así lo deseen los usuarios y voluntariamente Por tratarse de un proyecto específico y programe su equipo o dispositivo para dicho excepcional que recolectará datos sensibles efecto. La misma regla se aplicará respecto del de millones de personas, se recomienda que uso de tecnologías de detección de cercanía se redacte una política de tratamiento de respecto de personas contagiadas con Covidinformación (PTI) especial para los casos COVID-19. 6 Cfr. (1) Guidelines 04/2020 on the use of location data and contact tracing tools in the context of the COVID-19 outbreak https://edpb.europa.eu/sites/edpb/files/files/file1/edpb_guidelines_20200420_contact_tracing_covid_with_annex_en.pdf; (2) Dictamen 02/2013 sobre las aplicaciones de los dispositivos inteligentes https://ec.europa.eu/justice/article-29/documentation/ opinion-recommendation/files/2013/wp202_es.pdf; (3) Dictamen 13/2011 sobre los servicios de geolocalización en los dispositivos móviles inteligentes: https://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2011/ wp185_es.pdf ; (4) Buenas prácticas de privacidad para desarrollar aplicaciones móviles: https://www.priv.gc.ca/en/privacytopics/technology/mobile-and-digital-devices/mobile-apps/gd_app_201210/ 18 7 Tales como, entre otras, GPS, estaciones de base GSM y WiFi. No se recopilará información sobre los lo siguiente: movimientos y actividades de un usuario mediante el uso de sensores de ubicación (tales • Una descripción detallada de las

como GPS), puntos de acceso WiFi y estaciones operaciones de tratamiento de datos de base. personales que involucra el desarrollo de la app; Anonimización de los datos • Una evaluación de los riesgos específicos para los derechos y libertades de los Una vez que se recolecten los datos personales, titulares de los datos personales, y por regla general, se deberán utilizar herramientas de anonimización para que la Las medidas previstas para afrontar los riesgos, información no esté asociada o vinculada a una incluidas garantías, medidas de seguridad, persona en particular. En caso de ser necesario confidencialidad, diseño de software, circular dicha información, sólo se deberán tecnologías y mecanismos que garanticen la remitir los datos estrictamente necesarios y protección de datos personales, teniendo en anonimizados de tal manera que no se pueda cuenta los derechos e intereses legítimos de identificar al titular del dato. los titulares de los datos y de otras personas eventualmente afectadas. Los resultados de Excepcionalmente se tratará la información este estudio, junto con las medidas para mitigar de forma no anonimizada cuando sea los riesgos, hacen parte de la aplicación del rigurosamente necesario conocer la identidad principio de privacidad desde el diseño y por del titular del dato. defecto. Efectuar estudios de impacto de privacidad Incorporar la privacidad, la ética y la seguridad desde el diseño y por defecto Previo al diseño y desarrollo de las apps se debe efectuar una evaluación de impacto en La privacidad desde el diseño y por defecto la privacidad (Privacy Impact Assessment - PIA (Privacy by Design and by Default) es considerada por sus siglas en inglés), con el fin de poner en una medida proactiva para cumplir con el

funcionamiento un sistema efectivo de manejo Principio de Accountability9, como se observa de riesgos y controles internos, para garantizar en los numerales 1 y 2 del artículo 38 de los que los datos se tratarán debidamente y Estándares de la RIPD. Al incrustar la privacidad