¿Caen las etiquetas NFC bajo las normas de protección de datos?
Una etiqueta virgen con una dirección no son datos personales y no crea ninguna obligación. Lo que sí la crea es el sistema al que alimenta: un registro de quién tocó qué y cuándo, o un identificador que se pueda enlazar con una persona. Las normas siguen al registro, no al objeto que lo disparó.
El objeto rara vez es el problema
Una etiqueta con una dirección, unas credenciales de red o un texto sobre un producto no son datos personales y no se convierten en ellos por estar en una etiqueta.
Una etiqueta puede llevar datos personales, por supuesto, y entonces son datos personales en un objeto que puede leer cualquiera que lo maneje, cosa que es un asunto en sí mismo.
Que un despliegue concreto caiga bajo un marco concreto, qué marco se aplica y cuáles son los umbrales dependen enteramente de la jurisdicción y de la naturaleza del tratamiento. La autoridad es la legislación nacional y tu propio asesoramiento, no esta página.
Lo que sí se puede decir en general es dónde está el riesgo, y no está en la etiqueta.
El registro normalmente sí
Un identificador que se pueda conectar con una persona se trata por lo general como dato personal, incluso cuando el identificador en sí parece un número sin significado.
Así que el identificador de una credencial junto a un nombre, una dirección por etiqueta junto a una sesión, o un registro de toques junto a una cuenta son todos registros sobre personas.
El identificador de una etiqueta es exactamente esa clase de valor. Por su cuenta nombra un objeto; unido a cualquier cosa sobre una persona, nombra a la persona.
Los despliegues se equivocan aquí razonando sobre la etiqueta en vez de sobre la unión, y la unión es donde aparece la obligación.
Los casos que pillan a la gente
La asistencia y el acceso, donde un registro de quién estuvo dónde y cuándo se crea como efecto secundario de que el sistema funcione siquiera.
Las direcciones por etiqueta en un despliegue público, que producen datos de ubicación sobre quienes visitan sin que nadie decidiera recoger ubicación.
Los sistemas dirigidos a la plantilla, donde la relación de fuerzas cambia lo que cuenta como consentimiento y donde las obligaciones suelen ser mayores.
Y la conservación, que es el fallo que nadie nota: un sistema que lo guarda todo porque nunca se especificó qué se borra.
Qué hacer al respecto
Decide qué necesita registrar el despliegue antes de construirlo, y registra eso en vez de todo lo que la tecnología ponga a tu alcance.
Anota cuánto tiempo se guarda cada registro y qué lo borra, porque una norma de conservación que existe solo como intención no existe.
Trata internamente los datos por etiqueta como datos de ubicación, que es el encuadre que produce decisiones sensatas sin necesitar una opinión legal para cada una.
Y pide asesoramiento para cualquier cosa que implique a la plantilla, al control de acceso o a un despliegue público a escala, porque son los casos en los que la respuesta es propia de cada jurisdicción y el coste de equivocarse es real.
Preguntas frecuentes
¿El identificador de una etiqueta son datos personales?
Por su cuenta identifica un objeto. Unido a cualquier cosa sobre una persona identifica a la persona, y esa unión es donde aparecen las obligaciones.
¿Crea obligaciones una etiqueta en un cartel?
La etiqueta no. El destino sí, porque ahí es donde se registra una visita.
¿Qué marco se me aplica a mí?
Depende de la jurisdicción y de lo que trates. La autoridad es la legislación nacional y tu propio asesoramiento, no una guía general.
¿Cuál es el error más frecuente?
La conservación. Los sistemas lo guardan todo porque nunca se especificó qué se borra, y ese es el fallo que nadie nota.