Confianza
Seguridad y protección de datos en el transporte de centros de día
Los datos de geolocalización de personas dependientes son datos personales de alto riesgo. Se protegen con cuatro medidas: aislamiento de cada centro en la propia base de datos, mínimo privilegio por rol, cifrado en tránsito y en reposo, y caducidad del acceso a la ubicación al cerrarse el servicio.
¿Quién responde de los datos?
| Figura | Quién | Qué le corresponde |
|---|---|---|
| Responsable del tratamiento | El centro de día | Decide finalidad y medios, informa a las familias y atiende los derechos |
| Encargado | En camino | Trata los datos siguiendo instrucciones del centro y aplica las medidas técnicas |
| Subencargado | El proveedor de alojamiento | Aloja la base de datos, autorizado por el centro y sujeto a las mismas obligaciones |
Esa cadena exige un contrato de encargo conforme al artículo 28 del RGPD con cada centro. Se detalla en RGPD y geolocalización del transporte.
¿Qué medidas técnicas se aplican?
- Aislamiento entre centros comprobado en la base de datos. Un error en el código de la aplicación no puede convertirse en una fuga entre centros.
- Mínimo privilegio por rol. El conductor ve solo los pasajeros de sus rutas; la familia, solo a su familiar; el gestor, solo su centro.
- Cifrado en tránsito y en reposo.
- Alojamiento en la Unión Europea, sin transferencias internacionales.
- Acceso temporal a la ubicación: al cerrarse el servicio, la consulta deja de devolver posiciones.
- Invitaciones caducables y de un solo uso, guardadas como resumen criptográfico y nunca en claro.
- Purga automática del rastro GPS a los 30 días.
¿Cuánto tiempo se conservan los datos?
| Dato | Conservación | Motivo |
|---|---|---|
| Coordenadas GPS | 30 días | Pasado ese plazo ya no resuelve ninguna incidencia |
| Alertas leídas | 180 días | Histórico de incidencias del curso |
| Paradas del servicio | Vida del contrato | Justifican la prestación ante la administración |
| Ficha del pasajero | Baja lógica | Conserva la trazabilidad sin mantener el dato activo |
| Invitaciones de acceso | 7 días | Vigencia del enlace de alta de una familia |
La purga es automática. Un plazo de conservación que depende de que alguien se acuerde de borrar no es un plazo de conservación.
¿Qué datos NO se tratan?
Ningún dato de salud: ni diagnósticos, ni grado de dependencia detallado, ni medicación. Lo que se trata es lo imprescindible para prestar y justificar el transporte: nombre, domicilio y sus coordenadas, si necesita vehículo adaptado, un teléfono de contacto y el rastro del vehículo durante el servicio.
El campo de observaciones está limitado en longitud y la interfaz advierte de que se restrinja a información de transporte, porque un campo libre es la vía habitual por la que acaban colándose datos de salud.
¿Qué debe informar el centro a las familias?
Antes de dar acceso a una familia: quién es el responsable, qué datos se tratan, con qué finalidad y base jurídica, durante cuánto tiempo y cómo ejercer los derechos. La base jurídica habitual es la ejecución del contrato de transporte o la misión de interés público cuando el servicio está concertado; el consentimiento no suele ser adecuado, porque la persona usuaria no puede negarse al transporte sin perder el servicio.
Preguntas frecuentes
- ¿Necesita el centro una evaluación de impacto?
- Probablemente sí. Es un tratamiento de geolocalización a gran escala sobre personas vulnerables, dos criterios que las autoridades de control señalan como indicativos de alto riesgo. La evaluación corresponde al centro como responsable, con la información técnica que le facilite el encargado.
- ¿Qué pasa con los datos si el centro deja de usar el servicio?
- El centro, como responsable, tiene derecho a recuperarlos en un formato utilizable y a que se supriman después. El formato de exportación y el plazo de borrado conviene pactarlos por escrito antes de empezar, no cuando llega el momento de marcharse.
- ¿Puede el centro leer los chats entre familia y conductor?
- Puede supervisarlos, porque responde del servicio, pero solo en modo lectura: no puede escribir en la conversación ni modificarla. Los mensajes son inmutables una vez enviados, salvo la marca de leído, y las familias lo saben por la información previa.
Seguir leyendo
RGPD y geolocalización del transporte de personas mayores: quién responde de qué
Responsable, encargado y subencargado en la geolocalización del transporte de un centro de día. Base jurídica, minimización y plazos de conservación según el RGPD.
Protección de datos de personas vulnerables en el transporte: cifrado, roles y minimización
Medidas técnicas para proteger los datos de personas dependientes en el transporte de un centro de día: aislamiento, mínimo privilegio, cifrado y acceso temporal.