Obligaciones para las industrias que fabriquen dispositivos que incorporen el sistema de identificación de huella digital
Un reciente estudio de la Agencia Española de Protección de Datos da recomendaciones acerca de como se deben usar los dispositivos que incorporen el sistema de identificación de huella digital y explica a los usuarios como utilizar opciones de bloqueo o Do not track. Asimismo incluye obligaciones para las industrias que fabriquen o utilicen este tipo de dispositivos.
La Agencia Española de Protección de Datos (AEPD) ha publicado el estudio ‘Fingerprinting o huella digital del dispositivo’ (también disponible en inglés), un documento que analiza esta técnica de identificación y rastreo de los usuarios a través de sus dispositivos. Para su realización la Agencia ha analizado más de 14.000 páginas web dirigidas al público español, describiendo las técnicas más utilizadas para realizar ese perfilado. El estudio también incluye las medidas que pueden poner en marcha los usuarios para tratar de evitar este tipo de seguimiento y una serie de recomendaciones a la industria, tanto a los fabricantes y desarrolladores como a las compañías que explotan datos obtenidos a partir de la huella de los dispositivos.
La huella digital del dispositivo es un conjunto de datos extraídos del dispositivo del usuario que permiten individualizar de forma unívoca dicho terminal. Dado que lo habitual es que las personas no compartan sus equipos, individualizar el terminal supone individualizar a la persona que lo utiliza y, en consecuencia, poder realizar un perfil de la misma. El perfilado no se limita a recopilar y analizar los hábitos de navegación o las búsquedas que realiza, sino a extraer geolocalización, datos de configuración del sistema y las aplicaciones, programas instalados, movimientos del ratón, etc. La combinación de esta y otra información detallada en el estudio permite confeccionar una huella digital única del dispositivo que lo singulariza y, por lo tanto, diferencia de forma unívoca a cada usuario en internet.
El estudio afirma, entre otras conclusiones, que con mucha frecuencia se emplean estas técnicas para recoger datos del equipo del usuario sin ofrecerle información y sin solicitarle su consentimiento, y que el conjunto de datos recabados puede ser tan extenso, o enriquecerse de tal forma, que puede llegar a recoger incluso categorías especiales de datos. El documento añade que, en la mayoría de los casos, al usuario no se le proporcionan herramientas para poder evitar de forma efectiva la recogida de datos y no se le ofrecen medios para ejercer los derechos establecidos en el RGPD cuando se recogen o asocian a datos personales.
El estudio incluye un apartado completo con recomendaciones para el usuario, entre las que se encuentran utilizar la opción Do not track del navegador, que permite dejar constancia de que se quiere evitar el seguimiento; instalar bloqueadores, que permiten eludir la publicidad y el rastreo; deshabilitar el uso de Javascript; alternar entre distintos navegadores o ejecutar el acceso a internet en máquinas virtuales. El estudio de la AEPD recuerda que la navegación privada o de incógnito no resulta efectiva para prevenir el seguimiento, proyectando una falsa sensación de seguridad.
El estudio también incluye unas recomendaciones para la industria, tanto para los desarrolladores de productos y servicios, como para aquellas entidades que explotan los datos obtenidos a partir de la huella del dispositivo. En el caso de fabricantes o desarrolladores, el documento afirma que deberían incluir en sus productos las opciones necesarias para que el usuario disponga de capacidades para denegar o aceptar, de forma total o parcial, el uso de estas tecnologías. Además, deberían proporcionar al consumidor los equipos con las máximas opciones de privacidad activadas de forma predeterminada, y que sea el propio usuario quien reduzca esas opciones. Como buena práctica, los navegadores podrían tener activada por defecto la opción Do Not Track.
En el caso de entidades que quieran explotar datos obtenidos a partir de la huella del dispositivo, se indica que el responsable del tratamiento debe abstenerse de recabar y tratar la huella y cualquier otro dato asociado a la misma si el usuario no ha dado su consentimiento. Además, toda aplicación de huella debería chequear el estado de la opción Do Not Track. En términos generales, el estudio recomienda a las entidades que utilizan el fingerprinting contar con los servicios de un Delegado de Protección de Datos, y deberán realizar un análisis de riesgos de protección de datos relativos a los derechos y libertades de los afectados. Si de dicho análisis se deriva que el nivel de riesgo es elevado, será entonces obligada la realización de una Evaluación de Impacto para la Protección de Datos (EIPD) para establecer las medidas necesarias que garanticen la protección de los derechos de los usuarios.
