¿Qué técnica utilizaría en un entorno de compartición de datos para garantizar el principio de minimización de datos señalado por el RGPD? -> Pruebas de conocimiento cero
Las Zero-knowledge proof (pruebas de conocimiento cero) permiten demostrar que se conoce una información o que se cumple una determinada condición sin revelar la información subyacente.
Esto encaja muy bien con el principio de minimización de datos del Reglamento General de Protección de Datos:
Solo deben tratarse los datos personales adecuados, pertinentes y limitados a lo necesario para la finalidad perseguida.
Ejemplo:
- En lugar de revelar la fecha completa de nacimiento, demostrar criptográficamente que una persona es mayor de 18 años.
Algoritmos de compresión -> No reducen la cantidad de datos personales tratados.
Esquema muy útil para estudiar
Principio de minimización (RGPD)
- Tratar solo los datos necesarios.
- Evitar recopilar información innecesaria.
- Reducir la exposición de datos personales.
Pruebas de conocimiento cero (Zero-Knowledge Proof)
- Demostrar sin revelar.
- Preservar la privacidad.
- Reducir los datos compartidos.
Ejemplo:
"No te digo mi edad,
solo demuestro que soy mayor de edad."Técnicas que NO son minimización
- Compresión → reduce tamaño.
- Indexación → mejora rendimiento.
- Cifrado → protege los datos, pero no reduce los que se comparten.
- Anonimización y seudonimización → mejoran la privacidad, aunque no son exactamente lo mismo que la minimización.
La Agencia Española de Protección de Datos cambió su criterio tras la publicación de las Directrices 05/2022 del Comité Europeo de Protección de Datos (EDPB) sobre reconocimiento facial y datos biométricos.
En ese momento existía una gran incertidumbre jurídica sobre:
- cuándo el dato biométrico constituye una categoría especial de datos (art. 9 RGPD);
- qué base jurídica permitía utilizarlo para control horario;
- si bastaba el interés público o hacía falta una ley específica.
Esquema para estudiar
Datos biométricos
Ejemplos:
- Huella.
- Iris.
- Reconocimiento facial.
- Geometría de la mano.
RGPD
Si permiten identificar de forma unívoca a una persona:
➡ Son categoría especial de datos (art. 9).
Su tratamiento está prohibido, salvo que concurra una excepción del artículo 9.2.
Ámbito laboral
- Consentimiento → normalmente no válido.
- Puede requerirse una habilitación legal específica, según el caso.
- Deben respetarse:
- necesidad;
- proporcionalidad;
- minimización.
Lo importante para la oposición
No memorizaría la pregunta, sino esta idea:
El uso de biometría para control horario ha sido objeto de cambios de criterio por la AEPD y el EDPB, por lo que las preguntas antiguas pueden haber quedado desfasadas.
Según la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, el tratamiento de los datos personales de un menor de edad únicamente podrá fundarse en su consentimiento cuando: -> Sea mayor de catorce años, salvo aquellos casos en que la ley exija la asistencia de los titulares de la patria potestad o tutela para la celebración del acto o negocio jurídico en cuyo contexto se recaba el consentimiento para el tratamiento.
Es prácticamente el texto literal del artículo 7 de la LOPDGDD:
«El tratamiento de los datos personales de un menor de edad únicamente podrá fundarse en su consentimiento cuando sea mayor de catorce años. Se exceptúan los casos en los que la ley exija la asistencia de los titulares de la patria potestad o tutela para la celebración del acto o negocio jurídico en cuyo contexto se recaba el consentimiento para el tratamiento.»
Si el menor tiene 14 años o más, puede prestar por sí mismo el consentimiento, salvo la excepción legal indicada.
Esquema muy útil para estudiar
Artículo 7 LOPDGDD
Menor de 14 años
➡ Consentimiento de quienes ejerzan la patria potestad o tutela.
Mayor de 14 años
➡ Puede consentir por sí mismo.
Excepción
➡ Cuando otra ley exija la asistencia de los representantes legales para el acto o negocio jurídico correspondiente.
Truco para recordar
LOPDGDD
👉 14 años.
Pero añade siempre la coletilla:
«…salvo que la ley exija asistencia de los representantes legales.»
¿Qué organismo es responsable de supervisar la aplicación del Reglamento General de Protección de Datos (GDPR) en la Unión Europea?: -> Comité Europeo de Protección de Datos (CEPD).
El Comité Europeo de Protección de Datos (European Data Protection Board, EDPB) es el organismo creado por el RGPD para garantizar la aplicación coherente del Reglamento en toda la Unión Europea.
Entre sus funciones están:
- emitir directrices e interpretaciones del RGPD;
- resolver conflictos entre autoridades nacionales de protección de datos;
- promover una aplicación uniforme del Reglamento.
Supervisor Europeo de Protección de Datos (SEPD) -> El SEPD (EDPS) supervisa el tratamiento de datos realizado por:
- instituciones;
- organismos;
- agencias de la Unión Europea.
No supervisa la aplicación general del RGPD en todos los Estados miembros.
Esquema para el examen
Protección de datos en la UE
| Organismo | Función |
|---|---|
| CEPD (EDPB) | ⭐ Aplicación coherente del RGPD |
| SEPD (EDPS) | Supervisa las instituciones y organismos de la UE |
| Autoridades nacionales (AEPD, CNIL, etc.) | Supervisan el cumplimiento del RGPD en cada Estado |
Truco para recordar
- CEPD (EDPB) → Coordina Europa.
- SEPD (EDPS) → Supervisa las instituciones europeas.