¿Qué es el Wi-Fi Tracking? ¿Es legal en España?

El seguimiento Wi-Fi, o wifi tracking, es una tecnología que está ganando popularidad y se usa con diferentes fines gracias a que permite obtener información sobre el movimiento de las personas a través de sus móviles, incluso sin que estas sean conscientes de ello. Esto plantea dudas sobre sus riesgos para la privacidad y la posible vulneración de la normativa de protección de datos.

En las siguientes líneas explicamos qué es y cómo funciona el seguimiento Wi-Fi, cuáles son sus riesgos para la privacidad y cómo cumplir el RGPD y la LOPDGDD si se va a hacer uso de esta tecnología.

¿Qué es el wifi tracking o seguimiento Wi-Fi?

El wifi tracking es una tecnología que permite identificar y rastrear dispositivos móviles a través de las señales Wi-Fi que estos emiten, pudiendo detectar la presencia de un dispositivo en una zona específica e identificar sus patrones de movimiento.

Para ello se utiliza la dirección MAC del dispositivo móvil, que es la que permite identificar cuando el dispositivo está cerca de un punto de acceso Wi-Fi, incluso si no está activo el rastreo de redes Wi-Fi del dispositivo o este no está conectado a ella.

Gracias al seguimiento wifi se pueden monitorizar patrones de comportamiento y obtener información de carácter anónimo o agregado sobre cómo las personas interactúan en un espacio determinado. De esa forma, se puede saber, por ejemplo, cuántas personas están presentes en una tienda en un momento dado, cuánto tiempo permanecen en ella o cuáles son las zonas más transitadas de un evento masivo.

¿Para qué se usa el wifi tracking?

El wifi tracking tiene múltiples aplicaciones y es una tecnología que se puede usar en diferentes sectores.

En grandes espacios de acceso público, aeropuertos o estaciones de transporte, el seguimiento Wi-Fi ayuda a mejorar la gestión del espacio, ya que puede ayudar a identificar puntos de congestión y a distribuir a las personas de manera más eficiente.

En eventos, como pueden ser ferias o conciertos, el seguimiento Wi-Fi se usa para medir el aforo en tiempo real, mejorar la seguridad y optimizar la logística.

Así mismo, puede usarse en el ámbito comercial para analizar el comportamiento de los clientes dentro de una tienda, obteniendo información sobre los flujos de tráfico y el tiempo de permanencia en distintas áreas de la tienda. Gracias a esta información, el comercio minorista puede optimizar el diseño de las tiendas, gestionar mejor el personal e incluso personalizar la experiencia de compra.

Otro sector que puede usar el seguimiento Wi-Fi es el turístico, puesto que permite obtener datos sobre los patrones de movimiento de los visitantes, lo que puede ayudar a las ciudades a gestionar los flujos de turistas y a mejorar los servicios ofrecidos.

¿El wifi tracking es legal en España?

El wifi tracking es legal en España, siempre y cuando no se vulnera la normativa de protección de datos y se sigan las orientaciones de la AEPD para su despliegue y que detallaremos más adelante.

Si bien es cierto que, en general, el objetivo principal del seguimiento wifi no es obtener información privada de los dispositivos móviles y las personas a los que pertenecen, el empleo de esta tecnología puede suponer una invasión de la privacidad si no se adoptan las medidas de seguridad correspondiente. Además, en ocasiones, puede suponer el tratamiento de categorías especiales de datos (art. 9 del RGPD), por lo que es esencial seguir las orientaciones dadas por la Agencia.

¿Cómo funciona el seguimiento WiFi?

El seguimiento WiFi funciona utilizando la emisión de señales periódicas por parte del dispositivo móvil, incluso si estos no están conectados a una red WiFi, puesto que siguen enviando la señal rastreando redes WiFi disponibles.

Dispositivos móviles como los smartphones envían solicitudes de conexión (conocidas como «probes») en busca de puntos de acceso a redes WiFi a las que conectarse. Cada solicitud incluye el envío de la dirección MAC del dispositivo, un identificador único. Cuando un punto de acceso WiFi cercano recibe la solicitud, registra la dirección MAC y la intensidad de la señal, lo que permite identificar la proximidad del dispositivo.

Captada la dirección MAC, el sistema de seguimiento puede utilizarla para analizar el comportamiento del dispositivo y, por tanto, de la persona que lo lleva. Dependiendo de la implementación, los datos recogidos pueden incluir desde la presencia del dispositivo en un área, pasando por el tiempo que la persona permanece en un determinado lugar, hasta movimientos detallados entre diferentes zonas de una localización concreta.

Cabe señalar que, aunque la dirección MAC es un identificador único, que puede utilizarse para identificar dispositivos individuales, también se puede procesar de forma que se garantice el anonimato de las personas, utilizando técnicas de anonimización de datos o agregación de datos.

¿Qué riesgos para la privacidad tiene el seguimiento Wi-Fi?

El seguimiento Wi-Fi presenta los siguientes riesgos para la privacidad:

• Recogida de datos sin consentimiento del interesado: Muchas personas no son conscientes de que los dispositivos móviles con conexión Wi-Fi emiten señales para rastrear la presencia de redes inalámbricas a las que conectarse, incluso cuando no están conectados a ninguna red o, teóricamente, no está activado el Wi-Fi en el dispositivo. Esto provoca que sus movimientos puedan ser rastreados sin su conocimiento ni su consentimiento.
• Identificación y seguimiento continuo y persistente: Aunque la dirección MAC no revela en sí misma información personal, su uso continuado y persistente puede permitir crear perfiles detallados de los movimientos de las personas e inferir información personal basada en ellos (vulnerando el principio de minimización de datos), especialmente cuando se utiliza la misma dirección MAC en múltiples visitas.
• Falta de anonimización adecuada: Si los datos recogidos no se anonimizan correctamente, existe el riesgo de que las personas puedan ser identificadas y sus datos personales se utilicen para fines no autorizados.

¿Cómo usar el wifi tracking y cumplir la ley de protección de datos?

Para cumplir la ley de protección de datos al usar técnicas de wifi tracking es necesario seguir, cómo decíamos más arriba, las orientaciones dadas por la AEPD para el despliegue de esta tecnología y que hemos recogido y detallado en los siguientes puntos.

Para evitar un mal uso del wifi tracking o vulnerar la privacidad de los usuarios, se debe adoptar el principio de responsabilidad proactiva y, primero, determinar si se puede desplegar el seguimiento wifi en nuestro negocio o actividad y, segundo, determinar qué medidas se deben aplicar para garantizar la confidencialidad de los datos recabados.

Determinar la base legitimadora

Antes de implementar tecnología de wifi tracking y recabar los datos de seguimiento de los dispositivos móviles, es primordial determinar la base legal para el tratamiento de esos datos personales. De las bases jurídicas que recoge el RGPD (art. 6), las más probables serán el consentimiento explícito de los interesados o el interés legítimo del responsable del tratamiento. Como responsables del tratamiento, debemos evaluar con detenimiento qué base jurídica puede amparar el tratamiento de datos que se realiza mediante el seguimiento Wi-Fi.

El consentimiento explícito para usar el seguimiento Wi-Fi presenta algunos problemas, ya que, cómo hemos visto, por su propia naturaleza, los interesados pueden que no sean ni siquiera conscientes de que se está usando la señal que emite su dispositivo para seguirle.

El consentimiento podría ser base legitimadora si es posible informar de manera clara y obtener la aprobación explícita de los interesados antes de rastrear sus dispositivos. Esto puede hacerse en espacios cerrados (como tiendas o eventos), donde es posible instalar carteles informativos o usar métodos interactivos para obtener el consentimiento.

El interés legítimo puede ser utilizado en casos donde el seguimiento de los dispositivos es necesario para la gestión de un espacio (como en aeropuertos o grandes superficies), pero siempre que se realicen evaluaciones de proporcionalidad que garanticen que el tratamiento no afecta negativamente los derechos fundamentales de los individuos, y siempre que su utilización se justifique debidamente.

Otras bases jurídicas requieren del análisis concreto de cada caso para poder determinar si son de aplicación.

Evaluación de impacto obligatoria

El seguimiento Wi-Fi puede presentar un alto nivel de riesgo para los derechos y libertades de las personas, especialmente cuando se lleva a cabo un seguimiento a gran escala o persistente de los interesados. Por este motivo, se debe hacer una evaluación de impacto en protección de datos (EIPD) en casos donde el tratamiento pueda suponer un riesgo significativo.

En realidad, la AEPD recomienda que siempre que se vaya a realizar una actividad de Wi-Fi tracking, se lleve a cabo una evaluación de impacto, ya que a través de ella se pueden identificar y mitigar los riesgos asociados con el uso del Wi-Fi tracking, garantizando que las medidas de protección de datos sean adecuadas y proporcionales. Además, en algunos casos, puede ser necesario consultar con las autoridades de protección de datos antes de implementar la tecnología​.

Aplicar medidas técnicas y organizativas adecuadas

Si se determina una base jurídica válida para el tratamiento de datos del seguimiento WiFi y se supera la EIPD, será necesario implementar medidas técnicas y organizativas que garanticen la seguridad de los datos y reduzcan el impacto negativo que una posible brecha de seguridad podría tener para los interesados y su privacidad.

Entre las medidas que se recomienda adoptar, no pueden faltar:

• Anonimizar los datos: Se debe anonimizar los datos recogidos, o agregarlos, lo antes posible, para evitar la posible identificación de personas individuales.
• Limitar la duración del seguimiento: El uso del seguimiento Wi-Fi debe limitarse a un espacio determinado y evitar rastrear dispositivos fuera de este (puede ocurrir, por ejemplo, que si hay una red Wi-Fi cercana a un edificio de viviendas, se puedan rastrear los dispositivos dentro de los domicilios, lo que supondría una invasión de la privacidad innecesaria). Así mismo, y para limitar la trazabilidad y la creación de perfiles, no se deben utilizar los mismos identificadores únicos para los dispositivos en diferentes visitas (es decir, se debería asignar un nuevo identificador por cada visita). Además, se debe fijar un plazo de conservación de datos personales mínimo para cumplir con la finalidad propuesta.
• Medidas de seguridad: Se deben establecer medidas de seguridad adecuadas (la EIPD nos ayudará a determinar cuáles son las más indicadas en función de los riesgos detectados), como pueden ser el cifrado de datos y el control de acceso a los datos por terceros no autorizados.

Informar a los interesados

El principio de transparencia es clave en cualquier tratamiento de datos personales, por lo que los interesados deben ser informados de manera clara y accesible sobre el uso de seguimiento Wi-Fi. Para ello, las empresas pueden utilizar diferentes métodos para cumplir con este requisito, como suministrar la información por capas y a través de la instalación de carteles visibles en las zonas donde se realiza el seguimiento, o la publicación de información en sitios web o aplicaciones móviles.

Así mismo, es esencial que la información proporcionada explique de manera sencilla cómo se utilizan los datos recogidos mediante el WiFi tracking, cuáles son los derechos RGPD de los usuarios y cómo pueden ejercer esos derechos, como la posibilidad de oponerse al tratamiento de sus datos personales, y si se realizarán comunicaciones de datos a terceros, incluida la transferencia internacional de datos.

Además de estas obligaciones en materia de protección de datos, cabe señalar que dada la posibilidad de combinar el seguimiento Wi-Fi con el uso de inteligencia artificial para el análisis de los datos obtenidos, también será necesario cumplir con el Reglamento de Inteligencia Artificial de la UE, especialmente si el uso del WiFi tracking junto a algunas técnicas de IA puede considerarse una práctica de IA de alto riesgo.

Te ayudamos a cumplir la Ley de Protección de Datos

Escríbenos o contacta con nuestras oficinas

He leído y acepto la política de privacidad.