Si tu app recopila geolocalización y no sabes si cumple la ley

¿Tienes razón?

Tres elementos marcan si tu app cumple: finalidad y proporcionalidad, base legal y transparencia/seguridad. Piensa en esto como un filtro:

1. Finalidad y proporcionalidad. ¿Necesitas la geolocalización para la función que ofreces? Si pides ubicación continua para una función que solo requiere ubicación ocasional, tu tratamiento puede ser desproporcionado.

1. Base legal. ¿Recabes un consentimiento informado y libre, o existe otra base legítima (por ejemplo, cumplimiento de contrato o ejecución de una prestación solicitada por el titular)? El consentimiento debe ser específico para la finalidad de geolocalización y separable de otras condiciones.

1. Transparencia y medidas técnicas. ¿Informas claramente en la app qué datos recoges, cuánto tiempo los conservas, con quién los compartes y cómo se pueden ejercer derechos? ¿Has aplicado cifrado, control de accesos y minimización de datos?

Si la respuesta a estas tres preguntas es afirmativa y documentación y controles lo prueban, vas en buen camino. Si falta cualquiera, tienes riesgo real.

Cómo se soluciona

1. Registra exactamente qué recoges.

• Extrae logs, define si recoges coordenadas, rutas, puntos temporales, precisión y frecuencia. Identifica si el dato se cruza con otros identificadores (número de usuario, IMEI).

1. Revisa la finalidad y minimiza.

• Para cada funcionalidad que usa ubicación, define claramente por escrito la finalidad y prueba por qué la ubicación es necesaria. Reduce la precisión si puedes (p. ej., ciudad en vez de coordenadas).

1. Ajusta la interfaz de usuario para el consentimiento.

• Haz que el consentimiento para geolocalización sea específico y separado de otros consentimientos. Usa texto claro: para qué, cuánto tiempo, con quién se comparte y cómo revocar.
• Guarda prueba del consentimiento: registros con marca temporal y versión de la política.

1. Actualiza la política de privacidad y las bases contractuales.

• Incluye cláusulas que expliquen transferencia de datos a terceros (proveedores de mapas, analytics, publicidad), y acuerdos de tratamiento con esos proveedores.

1. Implementa medidas técnicas.

• Cifrado en tránsito y reposo, control de accesos por roles, logging de accesos, y eliminación segura de datos cuando ya no se necesitan.

1. Evalúa impacto de privacidad.

• Para tratamientos continuos o sensibles, realiza una evaluación de impacto que documente riesgos y medidas adoptadas.

1. Procedimiento ante incidentes.

• Define plan para fugas o accesos no autorizados: quién notifica, cómo se comunica a los titulares y qué medidas técnicas se activan.

Qué puedes hacer tú y qué necesita un experto

• Tú solo: identificar qué datos recoge la app, documentar finalidades y ajustar consentimientos en la interfaz.
• Necesitas profesional: redactar cláusulas contractuales con proveedores foráneos, realizar una evaluación de impacto compleja, o cuando hay una denuncia o incidente que requiere notificación a la autoridad.

Qué puede pasar

1) Se resuelve con cambios en la app. Muchas apps sólo necesitan ajustar el mensaje de consentimiento, reducir precisión o revisar plazos de conservación. El titular revoca y la app deja de procesar datos.

2) Acuerdo con la autoridad o requerimiento de corrección. Si la autoridad recibe queja, puede exigir medidas correctoras; a veces se negocia una regularización mediante cambios técnicos y organizativos. Un acuerdo puede ser preferible al proceso administrativo.

3) Sanción administrativa o obligación de reparación. Si la empresa no corrige o el riesgo es alto, puede iniciarse un procedimiento que derive en sanciones y obligaciones de remediación. Si pierdes en un procedimiento, además de sanciones podrías tener que indemnizar a afectados o implementar medidas costosas.

Y si ganas, ¿cobras? Una decisión a tu favor evita sanciones pero no garantiza que los titulares no reclamen compensación civil; la ejecución contra empresas insolventes limita la recuperación.

Errores que arruinan el caso

• Pedir ubicación continua cuando basta la ubicación puntual.
• Usar un consentimiento genérico escondido en términos y condiciones.
• No mantener el registro de consentimientos y versiones de política.
• Compartir coordenadas con terceros sin contratos de tratamiento claros.
• Confiar en ajustes del sistema operativo sin implementaciones técnicas que aseguren minimización y cifrado.