Privacidad de datos IoT y cumplimiento del RGPD

Un transformador de corriente instalado en el suministro de un inquilino mide amperios. Que esa medición sea un dato personal depende de los registros que la rodean, no del sensor. Si un inventario de subcontadores indica que un ZEM-65 mide el suministro del piso 2B y un contrato de arrendamiento identifica a quien vive allí, cada lectura de ese contador es un dato personal relativo a esa persona.

Esta guía trata el RGPD de la UE. Las instalaciones del Reino Unido se rigen por el UK GDPR y la Data Protection Act 2018. Las disposiciones citadas tienen equivalentes directos en el texto británico, pero compruebe su redacción en el Reino Unido allí donde la Data (Use and Access) Act 2025 lo haya modificado.

Cuándo son personales los datos energéticos

El artículo 4(1) define los datos personales como información sobre una persona física identificada o identificable. Una persona es identificable si puede individualizarse directa o indirectamente, incluso mediante un número de identificación. El considerando 26 lo limita a los medios que «razonablemente puedan ser utilizados» por usted o por otra persona.

Aplique esta prueba a cada canal: ¿puede algún registro que conserve usted o un tercero con quien comparta los datos vincular ese canal con una persona viva? Son registros habituales un contrato de arrendamiento, un inventario de subcontadores, un sistema de reserva de mesas o salas, un registro de recursos humanos y un número de cuenta. Si la respuesta es sí, los datos del canal son personales. Siguen siéndolo si sustituye los nombres por códigos y conserva la lista de correspondencia: los datos seudonimizados siguen siendo datos personales (considerando 26).

Son frecuentes tres casos:

• Una vivienda, un local de un trabajador autónomo o una oficina con un único ocupante. Los datos del canal son personales. El Grupo de Trabajo del Artículo 29 llegó a esta conclusión sobre los contadores inteligentes en su Dictamen 12/2011, porque el identificador del contador está vinculado al titular de la cuenta.
• Un inquilino que es una sociedad mercantil. Los datos relativos a una persona jurídica no son datos personales (considerando 14). El suministro de la planta de una empresa con 400 empleados no identifica a ningún empleado.
• Un subcircuito que abastece el puesto de trabajo de una persona, como los enchufes de una mesa, la calefacción de un despacho individual o una bancada de laboratorio asignada a una sola persona. Son datos del empleado, incluso dentro del arrendamiento de una empresa.

Intervalo de muestreo y lo que revela

El intervalo de muestreo no determina si los datos son personales. Determina cuánto revelan sobre una persona y, por tanto, cambia la ponderación de intereses, la evaluación de impacto relativa a la protección de datos (EIPD) y el argumento de minimización.

Los totales diarios de una vivienda muestran si alguien estaba en casa. Los datos de media hora muestran cuándo se levantó, salió y regresó. Con una muestra por segundo o más, ciertos electrodomésticos aparecen como escalones de potencia: una tetera de 2 a 3 kW, una ducha eléctrica de 8 a 10 kW o el encendido periódico de la resistencia de un horno. Este es el fundamento de la monitorización no intrusiva de cargas (NILM), que infiere el uso de aparatos a partir de una sola medición del suministro.

El Dictamen 12/2011 recomienda dos reglas de diseño. Transmita lecturas solo con la frecuencia que necesita el sistema o el servicio acordado. Mantenga los datos en la red doméstica salvo que deban salir. En un sistema de monitorización energética, el equivalente es configurar el intervalo de transmisión según la finalidad y conservar los datos detallados en la instalación.

Ejemplo: edificio de oficinas con varios inquilinos

Un propietario monitoriza un edificio de cuatro plantas. Cada planta tiene un cuadro de distribución con un ZEM-65 en la acometida. Las plantas 1 a 3 están alquiladas a sociedades mercantiles. La planta 4 se divide en seis oficinas con servicios, cada una en su propio subcircuito monitorizado; tres están alquiladas a autónomos. El objetivo es detectar desperdicio de carga base y refacturar la electricidad a los inquilinos.

Las acometidas de las plantas 1 a 3 transportan datos de empresas y no son datos personales. Los seis subcircuitos de la planta 4 sí generan datos personales para los tres autónomos y para cualquier despacho con un solo ocupante cuya identidad conozca el propietario.

El diseño resultante es:

1. Registrar todos los canales en el historial local de la Gateway, con el intervalo necesario para analizar la carga base.
2. Crear en Edge un dispositivo calculado que sume los seis subcircuitos de la planta 4. Habilitar la exportación del total y deshabilitarla en los seis canales individuales.
3. Exportar los cuatro totales por planta a la plataforma energética del propietario mediante MQTTS.
4. Calcular una vez al mes la refacturación de cada autónomo a partir del historial local, como cifra de kWh por periodo de facturación. Es el dato contractual que necesita el arrendamiento. Fijar la retención local por encima del periodo de facturación, por ejemplo en 45 días. Con el valor predeterminado de 30 días, el primer día de un mes de 31 días ya habría caducado al preparar la refacturación.

Hay un modo de filtración que debe comprobarse: un total puede revelar un valor individual. Si exporta el total de la planta 4 y también cinco de los seis subcircuitos, cualquiera puede restarlos para obtener el sexto. Lo mismo ocurre si una planta solo tiene un despacho ocupado. Revise el conjunto de exportaciones, no cada canal por separado.

Responsable y encargado del tratamiento

El responsable decide los fines y medios del tratamiento (artículo 4(7)). El encargado trata los datos por cuenta del responsable (artículo 4(8)). En el ejemplo anterior, el propietario es el responsable.

• Un instalador o administrador de fincas que pone en servicio la Gateway y gestiona el sistema por cuenta del propietario es un encargado.
• Una plataforma energética alojada que recibe los datos exportados es un encargado. Necesita un acuerdo de tratamiento de datos conforme al artículo 28.
• Una empresa de servicios energéticos o un agregador que utiliza los datos para sus propios fines, por ejemplo para sus propias operaciones en mercados de flexibilidad, es responsable de ese uso. Necesita su propia base jurídica.
• Edge funciona en la Gateway dentro de la red de la instalación. Si no se configura un destino de exportación o una copia de seguridad, las mediciones no salen y ningún proveedor las trata. Un proveedor, incluido EpiSensor, que obtiene acceso remoto de asistencia a la Gateway o aloja un servicio receptor es encargado para esa actividad. Incluya ese acceso en el acuerdo con el encargado.

Base jurídica

Para la submedición comercial, la base habitual es el interés legítimo, artículo 6(1)(f). Documente una evaluación de intereses legítimos en tres partes: finalidad (por ejemplo, recuperar costes y reducir la carga base), necesidad (por qué se requieren estos datos a este intervalo y por qué no basta el total de la planta) y ponderación frente a las expectativas razonables de la persona. Las autoridades públicas no pueden invocar el interés legítimo para tratamientos realizados en el ejercicio de sus funciones (párrafo final del artículo 6(1)); utilizan la misión de interés público del artículo 6(1)(e).

La ejecución de un contrato, artículo 6(1)(b), cubre la cifra de refacturación exigida por el arrendamiento. No cubre datos más detallados de lo necesario para el contrato. El Dictamen 12/2011 señala lo mismo para la facturación: una factura trimestral no hace necesarias lecturas continuas.

El consentimiento suele ser inadecuado. Debe prestarse libremente y la persona puede retirarlo en cualquier momento (artículo 7(3)). Si se retira, debe cesar el tratamiento de ese canal. El considerando 43 y las Directrices 05/2020 del Comité Europeo de Protección de Datos indican que raramente es válido cuando hay un desequilibrio claro de poder, como entre empleador y empleado. Un inquilino obligado a aceptar una cláusula de monitorización para conseguir el arrendamiento está en una situación parecida.

La obligación legal, artículo 6(1)(c), no es una base general para la submedición. El artículo 11 de la Directiva de eficiencia energética (UE) 2023/1791 exige un sistema de gestión energética a las empresas con un consumo anual medio superior a 85 TJ, y una auditoría energética por encima de 10 TJ. Esa obligación se refiere al consumo energético de la empresa. No exige datos sobre ocupantes individuales y, por tanto, no justifica ese tratamiento.

Monitorización de empleados y EIPD

Los sensores que cubren puestos de trabajo, despachos individuales o equipos asignados monitorizan a empleados. El artículo 88 permite a los Estados miembros establecer normas más específicas para datos laborales y varios países reconocen la intervención de los comités de empresa antes de introducir medidas técnicas de vigilancia. Compruebe la legislación nacional antes de poner en servicio ese tipo de canal.

El artículo 35 exige una EIPD cuando el tratamiento probablemente entrañe un alto riesgo. Las directrices WP 248 enumeran nueve criterios e indican que un tratamiento que cumpla dos de ellos normalmente requiere una EIPD. La monitorización energética al nivel de ocupantes suele cumplir tres: vigilancia sistemática, interesados vulnerables (se cita a los empleados por el desequilibrio de poder) y combinación de conjuntos de datos (datos del contador vinculados a contratos de arrendamiento o registros de personal). Haga la EIPD antes de instalar. Es mucho más barato quitar un subcircuito del diseño que de un sistema ya operativo.

Minimización de datos en la Gateway

El artículo 25 exige protección de datos desde el diseño y por defecto. Su apartado 2 aplica la configuración «por defecto» a cuatro aspectos: cantidad de datos recogidos, alcance del tratamiento, plazo de conservación y accesibilidad. Las Directrices 4/2019 del Comité Europeo de Protección de Datos explican cómo aplicar cada uno. En una Gateway EpiSensor, estos son ajustes de Edge, no meras declaraciones de política.

• Intervalo de transmisión. Configure cada dispositivo según su finalidad. Para analizar la carga base en la acometida de una planta bastan intervalos de 1 a 5 minutos. No recoja datos a 1 s del circuito de un ocupante salvo que la finalidad lo requiera.
• Historial local. En Settings > Data, elija las mediciones que Edge registra. Una medición no registrada no podrá exponerse más adelante.
• Selección para exportar. La exportación se decide por separado para cada sensor. Edge filtra las mediciones cuya exportación está deshabilitada antes de enviarlas a un destino externo.
• Agregación local. Los dispositivos calculados suman canales en la Gateway. Exporte el total y mantenga las entradas localmente.
• Identificadores. La exportación JSON nativa de Edge identifica cada punto mediante el ID de la Gateway, el número de serie del dispositivo y el ID de exportación. No contiene el nombre del inquilino salvo que se introduzca en el nombre del dispositivo o el ID de exportación. Excluya los nombres de ambos y conserve la correspondencia entre número de serie, canal y unidad en un registro de acceso controlado.
• Acceso. Asigne a cada persona una cuenta Edge nominal con el rol mínimo; por ejemplo, Viewer para un equipo de instalaciones que consulta los paneles.
• Transporte. Envíe los datos exportados por MQTTS o HTTPS con validación de certificados. Consulte la guía de MQTT sobre TLS para la identidad del bróker y el acceso a temas.

Conservación y supresión

El artículo 5(1)(e) exige conservar los datos identificables no más tiempo del necesario para la finalidad. Derive el plazo de esa finalidad y deje constancia de la razón. Por ejemplo, conserve las cifras mensuales de refacturación el tiempo exigido por el arrendamiento para resolver discrepancias de facturación. Conserve los datos por intervalos destinados a medición y verificación durante los periodos de línea base e informe del plan de M&V. No escoja una cifra redonda para justificarla después.

Edge conserva el historial local durante 30 días por defecto. Un administrador puede cambiar el plazo mediante el comando de configuración; el cambio surte efecto después de reiniciar Edge por completo. Si reduce el plazo, Edge elimina el historial más antiguo. No podrá recuperarlo.

Hay tres copias fuera de ese plazo de conservación, y cada una suele dar problemas:

• Cola de reintentos. Si un destino no está disponible, Edge encola los datos de exportación para reenviarlos. Los datos pendientes no tienen límite de antigüedad. Tras una interrupción larga, la cola puede contener datos más antiguos que el plazo del historial local. Vigile la cola y restablezca el destino.
• Copias de seguridad. Una copia automática con el alcance «All Edge data» incluye una instantánea del historial de telemetría. Se envía al almacenamiento compatible con S3 que usted configure, con su propia retención. Compruebe dónde está el contenedor y cuánto tiempo conserva los objetos.
• Plataformas posteriores. La plataforma receptora tiene su propia retención. Fíjela en el acuerdo con el encargado.

Para una solicitud de supresión (artículo 17), el método práctico en una serie temporal es eliminar tanto el vínculo identificativo como los datos identificativos. Quite la entrada del canal en el registro de correspondencias. Borre o deje caducar su historial en cada almacén anterior. Los agregados calculados previamente, como un total por planta, pueden conservarse si no identifican a la persona sin las entradas eliminadas. Las excepciones del artículo 17(3), por ejemplo la conservación para una reclamación legal sobre una refacturación impugnada, pueden justificar mantener registros concretos.

Derechos de las personas interesadas

Responda a una solicitud en el plazo de un mes. Puede ampliarlo otros dos meses si las solicitudes son complejas o numerosas (artículo 12(3)). Los derechos aplicables dependen de la base jurídica:

• Acceso (artículo 15). Se aplica en todos los casos. Exporte el historial del canal y los registros de refacturación de la unidad de la persona.
• Portabilidad (artículo 20). Solo se aplica cuando la base es el consentimiento o el contrato y el tratamiento es automatizado. No se aplica al tratamiento basado en el interés legítimo.
• Oposición (artículo 21). Se aplica al tratamiento basado en el interés legítimo o en una misión de interés público. Debe cesar el tratamiento salvo que demuestre motivos legítimos imperiosos. En mercadotecnia directa, el derecho es absoluto.

Acuerdos con encargados y notificación de brechas

El artículo 28(3) enumera lo que debe contener un acuerdo con un encargado: objeto, duración, naturaleza y finalidad, tipos de datos y categorías de interesados, instrucciones documentadas, confidencialidad, medidas de seguridad, condiciones para subencargados, ayuda ante solicitudes de derechos y brechas, supresión o devolución al terminar y derechos de auditoría.

La notificación de una brecha tiene dos plazos distintos. El encargado debe notificarla al responsable sin dilación indebida desde que tenga conocimiento (artículo 33(2)). Acuerde una ventana concreta en el contrato, por ejemplo de 24 o 48 horas. El responsable debe notificarla a la autoridad de control dentro de las 72 horas desde que tenga conocimiento, salvo que sea improbable que entrañe un riesgo para las personas (artículo 33(1)).

Transferencias fuera del EEE

Hay transferencia cuando los datos personales llegan a un destinatario fuera del Espacio Económico Europeo (EEE). Esto incluye una plataforma en la nube, un contenedor de copias de seguridad y un equipo de asistencia remota. El RGPD permite transferencias basadas en una decisión de adecuación (artículo 45) o en garantías adecuadas (artículo 46).

Para destinatarios de EE. UU., la decisión de adecuación del Marco de Privacidad de Datos UE-EE. UU. (UE) 2023/1795 se aplica desde el 10 de julio de 2023, pero solo a organizaciones certificadas en ese marco. Para otros destinatarios, utilice las cláusulas contractuales tipo de 2021 junto con una evaluación del impacto de la transferencia. Las Recomendaciones 01/2020 del Comité Europeo de Protección de Datos describen medidas complementarias cuando esa evaluación identifica una carencia. El control más sencillo es arquitectónico: mantenga los datos detallados en la Gateway y exporte solo totales por planta. Esos totales dejan de ser datos personales únicamente si ninguna persona sigue siendo identificable por medios que razonablemente puedan utilizarse, incluidos otros canales exportados, plantas con un único ocupante y registros que permitan vincular datos. Revise el conjunto de exportaciones, como en el ejemplo anterior, antes de considerarlo anónimo.

Antes de la puesta en marcha

1. Enumere todos los canales que abastecen el circuito, despacho o unidad de una sola persona. Guarde la lista con el registro de correspondencias.
2. Documente la base jurídica y la evaluación de intereses legítimos de esos canales.
3. Haga una EIPD si el sistema cumple dos o más criterios WP 248.
4. Configure el intervalo de transmisión, el historial local y la selección de exportación de cada canal. Compruebe si la combinación de exportaciones permite reconstruir valores individuales mediante restas.
5. Documente la retención del historial local, la cola de reintentos, las copias de seguridad y cada plataforma posterior.
6. Firme acuerdos del artículo 28 con todos los encargados. Incluya el acceso remoto de asistencia.
7. Confirme dónde se encuentra cada destino y contenedor de copias, así como el mecanismo de transferencia de cada uno situado fuera del EEE.