La CNIL y su futuro marco para aplicaciones móviles

El tema de las aplicaciones móviles ha sido ampliamente discutido por la Comisión Nacional de Tecnologías de la Información y Libertades en los últimos meses. Tras el anuncio de un plan de acción en noviembre de 2022 y tras una consulta pública sobre el tratamiento de los datos vinculados a estas solicitudes el pasado mes de enero, la CNIL publica hoy un proyecto de recomendación que somete a consulta pública. El objetivo: aclarar las obligaciones de los distintos actores de este ecosistema, facilitar su cumplimiento y promover la implementación de buenas prácticas. Por lo tanto, para elaborar su proyecto de recomendación, la autoridad administrativa consultó a los distintos actores que operan en el ámbito de las aplicaciones móviles. Esto incluye editores de aplicaciones, desarrolladores, proveedores de kits de desarrollo de software (SDK), proveedores de sistemas operativos (SO) y/o tiendas de aplicaciones, o incluso actores institucionales, así como diversos representantes de la sociedad civil.

Al mismo tiempo, para comprender mejor los problemas económicos asociados con la recopilación de datos en los mundos móviles, la organización lanzó una convocatoria de contribuciones que alimentó sus reflexiones. El fruto de todo este trabajo se presenta ahora en forma de proyecto de recomendación. Se dirige a cinco categorías principales de partes interesadas involucradas en el ecosistema de aplicaciones móviles antes mencionado. La CNIL precisa que “dentro de cada una de estas categorías de partes interesadas, el contenido de la recomendación se dirige más particularmente a los delegados de protección de datos y a los equipos técnicos y jurídicos”. Cabe recordar también que el proyecto está sujeto a consulta pública hasta el 8 de octubre. Al final de este período, la CNIL examinará y adoptará una versión final de la recomendación.

Competencia: una segunda denuncia ante la UE por Microsoft Teams

Recordar a cada parte interesada su papel y responsabilidades.

En detalle, el proyecto incluye una parte dedicada a cada actor para que todos puedan identificar las propuestas que les conciernen directamente. “En esta lógica, también se pueden identificar fácilmente las partes que preocupan a sus socios para animarles a cumplir”, especifica la Comisión. Por lo tanto, las partes 1 y 2 presentan la recomendación y definen su alcance. La parte 3 recuerda las condiciones de aplicación de la normativa relativa a la protección de datos personales a las aplicaciones móviles.

La Parte 4 analiza la cuestión de compartir las funciones y responsabilidades de diferentes actores en el suministro de una aplicación móvil en el sentido del Reglamento General de Protección de Datos (GDPR). Finalmente, las partes 5 a 9 reúnen recomendaciones prácticas y específicas para cada una de las cinco categorías de partes interesadas involucradas.

Cada actor tiene su parte de responsabilidades.

A partir de esta recomendación, la CNIL pretende aclarar el reparto de responsabilidades entre cada parte que compone el ecosistema móvil y sus respectivas obligaciones. Esto responde, según ella, a una fuerte demanda derivada de la consulta. Por lo tanto, cada parte debe identificar, para cada tratamiento de datos personales, si es, en el sentido del RGPD, responsable o corresponsable del tratamiento, subcontratista o si no cumple alguno de estos requisitos. El proyecto también debería ayudar a aclarar y mejorar la gestión de la recogida del consentimiento de los usuarios, tanto para fomentar la transparencia como para garantizar el cumplimiento legal de los profesionales implicados. Ciertos recursos calificados como “sensibles” según la CNIL, como la geolocalización, la agenda de contactos, las cámaras, el bloc de notas, los documentos multimedia, etc. – permitirle participar en esta recopilación de consentimiento en ciertos casos. Sin embargo, las autorizaciones deben diseñarse y utilizarse de manera que protejan los derechos de las personas, incluso proporcionándoles información suficientemente clara. Para ello, el regulador recomienda un vínculo entre las solicitudes de permiso realizadas por las aplicaciones para habilitar determinadas funcionalidades y la recopilación de consentimiento válido.

IoT y nube en el menú de la Ley de Datos finalizada

Finalmente, el proyecto debe promover buenas prácticas por parte de los proveedores de sistemas operativos y tiendas de aplicaciones en beneficio de los usuarios. Esta recomendación también destaca la implementación de arquitecturas en las que las aplicaciones móviles sean software simple que funcione offline, sin recopilar ni procesar datos personales. Si se promocionan este tipo de aplicaciones es principalmente porque, por naturaleza, protegen más la privacidad de sus usuarios y, en ocasiones, ya no están sujetas al RGPD...