Dados de localização

Pesquisar artigo

Você só pode processar dados de localização (informações da rede ou serviço sobre a localização de um telefone ou outro dispositivo) com a autoridade da rede, serviço ou provedor de serviços de valor agregado e somente se:

Em mais detalhes…

Os dados de localização são definidos como:

“quaisquer dados tratados numa rede de comunicações eletrónicas ou por um serviço de comunicações eletrónicas que indiquem a posição geográfica do equipamento terminal de um utilizador de um serviço público de comunicações eletrónicas, incluindo dados relativos a—

(f) a latitude, longitude ou altitude do equipamento terminal; (g) a direção da viagem do usuário; ou (h) a hora em que as informações de localização foram registradas".

Em outras palavras, são informações coletadas por uma rede ou serviço sobre onde o telefone ou outro dispositivo do usuário está ou esteve localizado – por exemplo, rastreando a localização de um telefone celular a partir de dados coletados por estações base em uma rede de telefonia móvel.

Em nossa opinião, isso geralmente não inclui informações de localização baseadas em GPS de smartphones, tablets, navegadores por satélite ou outros dispositivos, pois esses dados são criados e coletados independentemente da rede ou provedor de serviços. Também não inclui informações de localização coletadas em nível puramente local (por exemplo, por equipamentos wi-fi instalados por empresas que oferecem wi-fi em suas instalações). No entanto, as organizações que usam esses dados ainda precisam cumprir a Lei de Proteção de Dados.

As regras sobre dados de localização estão no regulamento 14 e são muito rígidas. Você só pode processar dados de localização se for um provedor de comunicações públicas, um provedor de um serviço de valor agregado ou uma pessoa agindo sob a autoridade de tal provedor e somente se:

Este regulamento não se aplica se os dados forem dados de tráfego. Veja acima para mais informações sobre quando você pode usar dados de tráfego.

Existe uma isenção para chamadas de emergência 999 ou 112 (regulamento 16). Há também uma isenção para alertas de emergência quando uma autoridade pública relevante precisa avisar, aconselhar ou informar usuários ou assinantes sobre uma emergência em sua localidade (regulamento 16A).

O provedor de comunicações públicas relevante tem a responsabilidade final pelo cumprimento dessas regras. Se você for uma rede ou provedor de serviços e estiver passando dados de localização para um provedor de serviços de valor agregado terceirizado ou usando um processador de dados terceirizado para processar dados de localização em seu nome, você precisa tomar medidas para garantir que eles cumpram com PECR. Em particular, você deve ter um contrato por escrito com qualquer processador de dados estabelecendo o que o processador de dados pode fazer.

Isso é semelhante às obrigações do contrato GDPR do Reino Unido – mas lembre-se de que, para cumprir o PECR, o contrato precisa cobrir os dados de localização de usuários corporativos, bem como os dados pessoais de indivíduos. Consulte nosso Guia separado para o GDPR do Reino Unido para obter mais informações sobre obrigações contratuais gerais.

No entanto, qualquer outra pessoa que processe dados de localização sem a devida autoridade também estaria violando o PECR.

Um 'serviço de valor agregado' é definido como:

"qualquer serviço que exija o processamento de dados de tráfego ou dados de localização além do necessário para a transmissão de uma comunicação ou a cobrança dessa comunicação".

Isso pode incluir, por exemplo, um serviço de chamada que localiza o motorista de um veículo quebrado, um serviço 'encontre meu telefone' oferecido por uma operadora de telefonia móvel ou uma operadora de rede móvel usando a localização de seus clientes para segmentar conteúdo específico da localização .

Para ser válido, o consentimento deve ser dado livremente, específico e informado. Deve envolver alguma forma de ação positiva clara – por exemplo, marcar uma caixa, clicar em um link, enviar um e-mail ou assinar um serviço – e a pessoa deve entender completamente que está dando seu consentimento para usar seus dados de localização. Você não pode mostrar consentimento se apenas fornecer informações sobre o uso de dados de localização como parte de uma política de privacidade difícil de encontrar, difícil de entender ou raramente lida.