Si su organización despliega tarjetas, sensores, contadores o cualquier dispositivo que registra quién hace qué, esto le interesa: la AEPD ha sancionó un diseño que muchos habrían dado por bueno.
El apaño costaba una miaja y cabía en dos incisos de pliego. O no.
El misterioso caso de la anonimización trucha mallorquina
En Palma, desde 2018, los contenedores de fracción orgánica solo se abren con la tarjeta ciudadana.
Al abrir, el lector del contenedor guarda el número completo de la tarjeta.
Cada veinticuatro horas el contenedor envía a la concesionaria tres datos: qué contenedor, qué día y a qué hora, y qué tarjeta.
El Ayuntamiento y la concesionaria argumentaron que ésta “no trataba datos personales”.
Parecía buena idea: la concesionaria tiene los números de tarjeta pero no sabe de quién son, el Ayuntamiento sabe de quién son, pero no ve las lecturas, y si las dos partes no se vinculan, no hay tratamiento de datos personales.
La AEPD no compró la burra: en su resolución PS-00329-2024 castigó seis infracciones, entre ellas la falta de base legal, información a los vecinos y evaluación de impacto. Casi ná.
¿Por qué?
El hecho de que la empresa municipal no pueda entrar en la base del Ayuntamiento no convierte los datos en anónimos, porque quien diseña el sistema y emite la tarjeta sabe perfectamente de quién es cada número.
El sistema era especialmente lamentable, porque la concesionaria era una empresa municipal y ¡¡el mismo número de tarjeta!! era el identificador utilizado en el autobús urbano, en Bicipalma y para pedir el certificado de residencia...
Un plan sin fisuras.
Probablemente hoy la AEPD, aplicando las guidelines de anonimización del EDPB del 2026 (Directrices 01/2025), habría despachado el asunto en una línea: “el destinatario es encargado de tratamiento y entonces no hay tu tía”.
Estás leyendo ZERO PARTY DATA. La newsletter sobre actualidad y derecho tecnológico de Jorge García Herrero y Darío López Rincón.
En los ratos libres que nos deja esta newsletter, resolvemos movidas complicadas relacionadas con la normativa de protección de datos personales e inteligencia artificial. Si tienes de alguna de esas, haznos así con la manita. O contáctanos por correo en jgh(arroba)jorgegarciaherrero.com
SRB / Scania y encargados de tratamiento
Está por ver, diga lo que diga el EDPB, que un encargado de tratamiento no pueda beneficiarse de la doctrina SRB / Scania. Por dos razones:
1.- Porque en esto como en casi todo, la decisión la van a tener los tribunales, no las autoridades de cumplimiento.
2.- Porque una cosa es lo formal y otra lo material: y este es el tema que me propongo explicar hoy.
El problema de fondo
Los mismos datos pueden ser personales para una empresa y no serlo para otra. Es la doctrina del Tribunal de Justicia de la UE desde la sentencia SRB de septiembre de 2025, en la que consolida la línea que había abierto en Scania y otras.
Pero nadie se pone de acuerdo en cómo aplicar esta teoría subjetiva.
Y ahí está la oportunidad: quien sepa aplicarla con método tiene hoy la ventaja que la competencia considera un riesgo.
¿Qué gana su empresa aplicando SRB / Scania?
Un informe sobre esto requiere bastante trabajo, pero no les voy a aburrir ahora con ello. Hoy me voy derecho al resultado, porque tiene un triple interés:
Primero. El resultado óptimo de este trabajo es “sacar” un tratamiento de datos del perímetro del RGPD. Fuera del perímetro desaparecen el registro de actividades, la información a los interesados, la evaluación de impacto, el contrato de encargo y, por encima de todo, la sanción.
Segundo. Lo que no es tan obvio es que el trabajo desarrollado, aunque por lo que sea el RGPD siga aplicando (y puede ser por múltiples razones), reduce drásticamente los riesgos aparejados al tratamiento (porque la intensidad y riesgos del tratamiento para los titulares de los datos se desvirtualizan más, cuanto más difícil es reidentificarlos, aunque sea posible en algún caso). En la práctica: menos documentación exigible, una sanción potencial dramáticamente menor y una defensa mucho más sólida si la AEPD llama a la puerta.
Tercero. Hay quien llama a este tipo de esfuerzos “privacy by design”. Yo también, y el artículo 25 del RGPD ya lo exige: el mismo trabajo cuenta dos veces, como argumento para salir del reglamento y como prueba de cumplimiento si te quedas dentro.
Y esta dualidad aplicación formal – cero carga material se ve perfectamente en el ejemplo de los contenedores de basura inteligentes.
¿Qué tendrían que haber hecho en Palma? Minimización a partir de la finalidad.
El Ayuntamiento quería saber sustancialmente qué contenedores se usan mucho y cuáles poco, para ajustar frecuencias de recogida y dotación -y su coste-.
Nada más.
No me hace falta saber quién abre el contenedor. Hace falta saber cuántas veces se abre.
Si el lector del contenedor sólo comprueba que la tarjeta es válida y abre, y cuenta el número de aperturas sin grabar el código de la tarjeta... lo tienes hecho.
Al final del día el contenedor no envía una lista de tarjetas: sólo el número de aperturas (“me han abierto cuarenta y siete veces, doce por la mañana y treinta y cinco por la tarde”).
No basta con no guardar el nombre: No se puede reidentificar el dato que no se recoge. Nadie puede filtrar, cruzar ni inferir de un código que no ha tratado. Ni un empleado cotilla, ni un juez, ni un hacktivista.
Si la calle es pequeña y con pocos vecinos, hay que hacer algo más (agregación por franjas horarias, umbrales mínimos de aperturas) y ahí empieza el trabajo fino.
Si su empresa despliega o contrata sistemas de este tipo, ese trabajo fino es exactamente donde brillamos: diseñar la minimización desde la finalidad y documentar el análisis de identificabilidad para que aguante una inspección. Escríbanos y lo vemos sobre su caso concreto.
¿Por qué digo que en el sector privado? Porque… en el público la cosa se complica, aunque el dato no sea personal.
Con todo, al ser una concesión pública ¡Ese concesionario seguirá sujeto al RGPD como encargado!
En España, la ley de contratos del sector público convierte al adjudicatario en encargado del tratamiento, según la D.A. 25 de la Ley de Contratos del Sector Público y el 33.2 de la LOPDgdd que dice que la doctrina del “encargado heterocurioso” no aplica al concesionario público.
La finalidad de estas disposiciones es evitar que el concesionario se pueda hacer “responsable” de datos personales que estaban bajo custodia de la administración, con causa en la concesión.
Adicionalmente: cualquier pliego que se precie configura el sometimiento a la normativa como condición especial de ejecución con carácter de obligación esencial.
Esta situación da, sin duda, para algún otro post:
• ¿Cómo documentar ante la administración que “no hay dato personal” para quedar fuera de forma suficientemente segura del ámbito de estas normas?
• Más importante aún: ¿Cómo convencer al funcionario que redacte el pliego -no va a ser el perfil más amigo de interpretaciones jurisprudenciales avanzadas- para que el pliego recoja un tratamiento de datos no personales?
• Y una última off-topic: ¿Cómo demonios cumplen esta normativa (“el encargado no puede ser responsable”) los Google, Microsoft y demás que predan los datos personales de nuestros hijos a través de sus plataformas educativas contratadas a las consejerías de educación de nuestras Comunidades Autónomas?
Ah, preguntas.
Recuerda: si tienes algo de esto en lo privado, contáctanos en jgh(arroba)jorgegarciaherrero.com.
Para más casos curiosos o complicados o ambos, suscríbete:
Jorge García Herrero
Abogado y Delegado de Protección de Datos