Cámaras inteligentes y privacidad: ¿el equilibrio adecuado?

Vigilancia Legal No. 33 – Marzo de 2021

Cámaras inteligentes y privacidad: ¿el equilibrio adecuado?Desde marzo, cámaras instaladas en el transporte público Su objetivo es verificar que los usuarios cumplan con el uso de mascarillas. Estas medidas forman parte del arsenal desplegado para frenar la propagación de la epidemia de COVID-19.

Numerosas medidas de vigilancia adoptadas en los últimos meses (aplicaciones anti-Covid, tests a empleados, drones, pasaportes de vacunas, etc.) han suscitado debates y reacciones, tanto en la CNIL como en las instancias parlamentarias o ante los tribunales.

El sistema de control mencionado aquí, por el contrario, pasó sin problemas bajo el yugo de la Comisión de Protección de Datos, y las razones son simples: A diferencia de los sistemas de videovigilancia desarrollados en 2020, que recogían muchos datos personales y que habían sido interrumpidos, estos procesan el mínimo estricto de datos necesarios para verificar que se usan mascarillas.

Más específicamente, el sistema no procesa datos biométricos ni implementa reconocimiento facial, y los datos no se utilizan para perseguir delitos.

El objetivo principal es producir información estadística y crear conciencia pública.

Estas garantías son tanto más importantes cuanto que cualquier dispositivo de videovigilancia constituye una violación de los derechos fundamentales y los interesados rara vez pueden oponerse al tratamiento.

A este respecto, la CNIL ha considerado en el pasado que decir "no" con la cabeza delante de una cámara no podía considerarse un medio de oposición realista y suficiente.

Debido a estas violaciones, los sistemas de cámaras inteligentes deben ser regulados por ley, como fue el caso con el decreto publicado el 10 de marzo sobre el uso de mascarillas en el transporte público.

Las garantías previstas por el decreto, así como los objetivos de salud pública y de protección de las personas, parecen suficientes a la CNIL para justificar una limitación del derecho a la vida privada y, en particular, para dejar de lado el derecho de oposición.

La Comisión, sin embargo, subraya la peligro de adicción individuos dado el aumento de las medidas de vigilancia actuales.

Por lo tanto, insiste en queinformación detallada personas y durante un período de uso del dispositivo limitado en el tiempo y directamente vinculado al contexto de la epidemia.

Y también

Francia:

• Destrucción de datos personales :La CNIL recuerda, con motivo del incendio que destruyó un centro de datos de OVH el 10 de marzo, los pasos que debe seguir el responsable del tratamiento ante las personas afectadas.

Se especifica que la indisponibilidad y la destrucción de datos constituyen violaciones de datos en el sentido del RGPD, que deben serle notificadas en determinadas condiciones.

La CNIL también remite al sitio web cybermalveillance.gouv.fr, que ofrece consejos sobre cómo gestionar este tipo de incidentes.

• La CNIL también ha publicado su prioridades de control para 2021Entre ellos se incluyen cuestiones de ciberseguridad de los sitios web, seguridad de los datos sanitarios y el uso de cookies, todos ellos temas de gran actualidad.

Recordamos que la CNIL ha actualizado sus directrices sobre las cookies y que en abril iniciará una auditoría exhaustiva sobre sus condiciones de recogida.

• Transferencias de datos fuera de la Unión Europea: El Consejo de Estado decidió el 12 de marzo no suspender la colaboración entre el Ministerio de Salud y Doctolib En el contexto de la actual campaña de vacunación, a pesar de los riesgos citados por las autoridades estadounidenses en cuanto al acceso a los datos, Doctolib ha recurrido parcialmente a una filial estadounidense de Amazon para el alojamiento de datos.

El Consejo de Estado está convencido, en particular, de la existencia, en el caso de solicitudes de acceso presentadas por una autoridad estadounidense, de un procedimiento específico que prevé la impugnación de cualquier solicitud general o que no se ajuste a la reglamentación europea.

Los datos alojados están además protegidos mediante un procedimiento de cifrado basado en un tercero de confianza ubicado en Francia para evitar que terceros puedan leerlos.

• Datos profesionales :El 9 de marzo, el tribunal de París rechazó la solicitud de un dentista de eliminar su perfil y sus reseñas de Google My Business.

El Tribunal confirma el carácter personal de estos datos, pero considera que equilibrio de derechos se inclina a favor de la libertad de expresión e información de Google y de los usuarios de Internet, al proporcionar información relativa al ejercicio de la profesión de dentista y a las experiencias de los pacientes afectados.

• En un contexto similar, el Tribunal de Casación, en sentencia de 17 de febrero, insistió en la necesidad de esta ponderación de los derechos e intereses en juego, en lo que respecta a la publicación en Internet de una condena penal vinculados a la actividad profesional del reclamante.

El hecho de que dicha información sea pública y de carácter profesional no implica que pueda publicarse en Internet sin verificación previa de la invasión de la privacidad del denunciante.

La ponderación de los derechos e intereses en juego debe tener en cuenta la posible "contribución de la publicación incriminada a un debate de interés general, la notoriedad de la persona interesada, el objeto de la información, la conducta anterior de la persona interesada, el contenido, la forma y las repercusiones de dicha publicación".

En el presente caso, la Corte considera que Este balance no se realizó y remite a las partes al Tribunal de Apelación.

Europa:

• El RGPD, dos años después: 

El 25 de marzo, el Parlamento Europeo adoptó una Resolución sobre el informe de evaluación de la Comisión Europea sobre la implementación del RGPD.

Apoya la necesidad de continuar esta aplicación de manera más eficaz, en particular en el contexto de acciones coordinadas por parte de las autoridades supervisoras europeas.

A este respecto, tomamos nota de los recientes enfrentamientos entre la autoridad alemana y la autoridad irlandesa de protección de datos, acusada esta última de no controlar suficientemente a las "big tech" establecidas en su territorio.

El Parlamento Europeo identifica como prioritarias las cuestiones relacionadas con el tratamiento de datos realizado por las principales plataformas y servicios digitales, en particular en el ámbito de la publicidad en línea, el microtargeting, la elaboración de perfiles basados en algoritmos y los riesgos relacionados con la difusión y amplificación de información en las redes.

También resulta esencial desarrollar herramientas para un público más amplio, en particular para las microempresas y las pymes, como destaca el Comité Europeo de Protección de Datos (CEPD) en su programa de trabajo 2021-2022. Cabe destacar que Bélgica acaba de publicar una serie de herramientas prácticas para pequeñas y medianas empresas con este fin.

• Europa: Adopción de dos documentos por parte del CEPD:

Por una parte, en relación con las cuestiones de protección de datos relativas a la coches conectados, y por otro lado el asistentes de voz.

• Bélgica:  

Como parte de una nueva publicación, la Universidad Libre de Bruselas organiza un evento en línea el 22 de abril sobre " la sociedad de los algoritmos : tecnología, poder y conocimiento”. La inscripción está abierta en la web de la universidad.

Internacional :

• ESTADOS UNIDOS :

Además de los proyectos de ley que se están adoptando actualmente en varios Estados, acaba de presentarse al Parlamento estadounidense a nivel federal un texto denominado "Information Transparency and Personal Data Control Act (ITPDCA)".

Esta ley establece en particular las condiciones en las que los consumidores deben poder consentir u oponerse al tratamiento de sus datos, la transparencia de las transferencias a terceros y la obligación de someter su tratamiento a auditorías periódicas.

La Comisión Federal de Comercio sería responsable de supervisar el cumplimiento de la ley.

• Corea:

Se está concluyendo un procedimiento de adecuación de la protección de datos que facilitará el intercambio de datos entre Corea y la Unión Europea. Las conclusiones de la Comisión se presentarán próximamente al Comité Europeo de Protección de Datos para su dictamen.

• NACIONES UNIDAS:

El Relator Especial de la ONU sobre la privacidad, Joseph Cannataci, cuyo mandato está llegando a su fin, acaba de publicar un informe sobre la inteligencia artificial y la privacidad de los niños.

• GAFA:

Google anuncia que pondrá fin al uso de cookies para un nuevo modelo de recopilación de datos: el Aprendizaje Federado de Cohortes (FLoC), que se dirige a grupos en lugar de a individuos, en función de intereses comunes.

Este anuncio ha suscitado diversas reacciones, entre ellas algunos que señalan que el nuevo sistema de recogida, si bien modifica las técnicas utilizadas, no impedirá la publicidad dirigida a los internautas.

Datos sobre más de 500 millones de cuentas Facebook, incluidos los números de teléfono de muchos usuarios, se pusieron a la venta en línea durante el fin de semana de Pascua. Se cree que los datos provienen de una falla de seguridad descubierta y corregida en 2019. 

Anne Christine Lacoste

Socia de Olivier Weber Avocat, Anne Christine Lacoste es abogada especializada en derecho de datos, fue responsable de Relaciones Internacionales en el Supervisor Europeo de Protección de Datos y trabajó en la implementación del RGPD en la Unión Europea.