L’empremta digital i la privacitat

L’Agència Espanyola de Protecció de Dades ha publicat un estudi sobre l’empremta digital (fingerprinting en anglès) que generem quan utilitzem dispositius electrònics.

L’AEPD ha analitzat el mètode d’identificació i rastreig de més de 14.000 pàgines web.

QUÈ ÉS L’EMPREMTA DIGITAL O FINGERPRINTING?

L’estudi descriu l’empremta digital d’un dispositiu com la “recopilació sistemàtica d’informació sobre un determinat dispositiu remot amb l’objectiu d’identificar-lo, singularitzar i, d’aquesta manera, poder fer un seguiment de l’activitat de l’usuari amb el propòsit de perfilar.”

En resum, l’empremta digital són totes aquelles dades que recull un dispositiu (mòbil, ordinador, tablet). Aquest conjunt de dades permet individualitzar un dispositiu que, per regla general, és utilitzat per un únic usuari/a. En conseqüència, l’empremta digital permet identificar de manera indirecta a una persona concreta.

Aquelles empreses que utilitzen aquest tipus de mecanismes i recopilen de forma sistemàtica informació dels dispositius que es connecten als seus servidors, poden fer un seguiment de la navegació dels usuaris i construir perfils.

PROBLEMES DE LA PETJADA PER A LA PRIVACITAT

• Recollida de dades del dispositiu sense consentiment de l’usuari de forma generalitzada.
• És possible arribar a identificar unívocament a un usuari a través del conjunt de dades recollides. Incloent, en ocasions, dades de categoria especial.
• Dificultat per comprovar el compliment del principi de minimització de dades.
• Manca d’eines perquè l’usuari pugui denegar la recollida de dades.
• Falta de mitjans per exercir els drets dels usuaris inclosos en el Reglament Europeu de Protecció de Dades.

L’AEPD assenyala que el tractament de dades mitjançant tècniques d’empremta del dispositiu ha de seguir els criteris inclosos a la seva ‘Guia de l’ús de cookies” i el que estableix l’RGPD.

RECOMANACIONS

L’estudi també incorpora recomanacions per a desenvolupadors i organitzacions que inclouen mecanismes d’empremta digital en els seus productes:

• Incloure l’opció de denegar o acceptar, de manera total o parcial, l’ús de tecnologia fingerprinting.
• Complir amb els requisits d’informació a l’interessat i obtenció del consentiment que preveu la LSSICE.
• Comprovar l’estat de l’opció DNT (Do not track) de l’usuari. En cas afirmatiu, s’hauria de considerar com una negativa per a la recollida i tractament de la seva empremta.
• Es considera una bona pràctica, per part dels proveïdors, l’activació per defecte de l’opció DNT. No obstant això, sempre es donarà l’opció d’atorgar el consentiment.
• Les empreses han d’incloure els tractaments que incloguin ús d’empremta digital en el seu registre d’activitats.
• Avaluar si cal designar un Delegat de Protecció de Dades (DPD).
• S’ha de realitzar una anàlisi de risc de protecció de dades. Si es detecta un risc elevat, serà obligatori realitzar una Avaluació d’impacte (EIPD o DPIA).

Podeu consultar l’estudi complet de l’AEPD en el següent enllaç.