RGPD y geolocalización de trabajadores y voluntarios: guía práctica para operaciones sobre el terreno

El RGPD menciona expresamente los datos de localización como uno de los identificadores que hacen que una información sea personal (artículo 4, punto 1). Una posición en directo vinculada a un miembro del equipo con nombre, y el recorrido de esa persona durante un turno, son datos personales. Con el tiempo pueden revelar mucho más que el trabajo: dónde vive alguien, cuándo hace pausas, a qué médico va.

La organización que decide para qué y cómo se recogen las posiciones es el responsable del tratamiento: el empleador, el ayuntamiento, la organización de rescate o la ONG que dirige la operación. Una empresa que le aloja el software suele ser un encargado del tratamiento y necesita un contrato conforme al artículo 28. Cuando varias organizaciones trabajan en una misma operación, acuerden quién responde de qué; los corresponsables deben establecerlo conforme al artículo 26.

El consentimiento en el RGPD debe darse libremente. Las directrices del CEPD sobre el consentimiento señalan que, por el desequilibrio de poder entre empleador y trabajador, los trabajadores solo en raras ocasiones pueden dar un consentimiento libre, y que los empleadores deberían basarse por lo general en otra base jurídica. Si alguien sufriría consecuencias por negarse, el consentimiento no es válido. La AEPD lo aplica directamente a la geolocalización en su guía sobre protección de datos en las relaciones laborales: la base jurídica es el contrato de trabajo y las facultades de control que la ley atribuye al empleador, y el sistema debe superar un juicio de proporcionalidad.

Los voluntarios no son trabajadores, pero existe una presión parecida cuando el seguimiento es condición para formar parte de una unidad o de una intervención. El consentimiento puede servir para funciones realmente opcionales, por ejemplo compartir la posición con la familia durante un evento largo. Para el núcleo de una operación, el interés legítimo o una misión de interés público, respaldados por una evaluación adecuada, suelen ser más honestos y más estables.

El artículo 35 exige una evaluación de impacto relativa a la protección de datos (EIPD) cuando es probable que el tratamiento entrañe un alto riesgo para los derechos y libertades de las personas. Las directrices sobre la EIPD refrendadas por el CEPD (WP248 rev.01) enumeran criterios que apuntan a un alto riesgo. El seguimiento de la ubicación de un equipo suele cumplir varios:

• Observación sistemática de las posiciones de las personas.
• Interesados vulnerables: las directrices mencionan a los trabajadores, por el desequilibrio de poder.
• Uso innovador de la tecnología, como combinar recorridos con sensores, cámaras o alertas automáticas.
• Asociación o combinación de conjuntos de datos, por ejemplo recorridos con cuadrantes y registros de incidentes.
• Gran escala, cuando se sigue a muchas personas durante largos periodos.
• En España, la lista de la AEPD publicada conforme al artículo 35.4 recoge expresamente los tratamientos que impliquen geolocalización del interesado de forma sistemática y exhaustiva. Según la propia AEPD, un tratamiento que reúne dos o más criterios de esa lista requerirá una EIPD en la mayoría de los casos.

Los artículos 12 y 13 exigen información clara en el momento en que empiezan a recogerse las posiciones. En las operaciones sobre el terreno significa decir a las personas, en lenguaje sencillo y antes de que activen la app, como mínimo: quién es el responsable, por qué se recogen las posiciones y con qué base jurídica, quién puede verlas, cuándo funciona el seguimiento y cuándo se detiene, cuánto tiempo se conservan los recorridos y cómo ejercer sus derechos, incluido el derecho de oposición cuando la base es el interés legítimo o una misión de interés público.

En España, el artículo 90.2 de la LOPDGDD obliga además a informar antes, de forma expresa, clara e inequívoca, a los trabajadores y a sus representantes sobre la existencia y las características de estos dispositivos, y sobre cómo ejercer los derechos de acceso, rectificación, limitación y supresión. Los convenios colectivos pueden añadir garantías (artículo 91).

El dictamen del GT29 sobre el tratamiento de datos en el trabajo, que la AEPD recoge en su guía, añade un punto práctico: cuando los dispositivos o vehículos también pueden usarse a título privado, las personas deberían poder desactivar el seguimiento fuera del horario de trabajo. Un indicador visible de que la ubicación se está compartiendo, y un final claro, generan más confianza que una larga política que nadie lee.

Recoja solo lo que necesita la finalidad (artículo 5, apartado 1, letra c) y no lo conserve más tiempo del necesario (artículo 5, apartado 1, letra e). El RGPD no fija un número de días; usted lo decide y lo justifica. Opciones prácticas que se sostienen bien:

• Comparta las posiciones en directo solo mientras la operación está activa y solo con los roles que las necesitan.
• Conserve los recorridos detallados durante el tiempo necesario para el análisis posterior y después elimínelos o agréguelos.
• Conserve más tiempo solo aquello para lo que tenga un motivo concreto, como un incidente en investigación o una retención por motivos legales.
• No reutilice los recorridos para controlar el rendimiento salvo que esa finalidad se haya evaluado y anunciado antes.
• Elimine la ubicación de las fotos antes de que salgan de la operación, salvo que sea necesaria.

En Sinkaos, cada miembro ve siempre cuándo se comparte su posición y con quién. Se puede limitar el uso compartido a la duración de la operación o a determinados roles, la conservación se fija por tipo de dato, los metadatos de las fotos se eliminan o conservan según la política, y las exportaciones y acciones de administración quedan en un registro de auditoría. Estos ajustes apoyan su trabajo con el RGPD; las decisiones anteriores siguen siendo suyas. Consulte la página de seguridad y la ubicación compartida del equipo.