Regulando las Smart Grids: Las "Mejores Técnicas Disponibles" en privacidad y seguridad • SMARTGRIDSINFO

Comunicación presentada al IV Congreso Smart Grids:

Autora

Inmaculada Revuelta Pérez, Profesora Titular de Derecho Administrativo, Universidad de Valencia, IP Grupo Legambiental

Resumen

El desarrollo de las Smart Grids y la implantación de los contadores inteligentes está muy condicionado por la protección de la privacidad y la seguridad de los usuarios. La regulación española no ha ofrecido todavía soluciones jurídicas adecuadas a estas cuestiones, pero existen importantes desarrollos en este sentido en el Derecho de la Unión Europea, que ha introducido nuevos principios, técnicas y estándares, como las “mejores técnicas disponibles”. La aprobación del Reglamento General de Protección de Datos de 2016, al asumir el principio de “protección desde el diseño” y remitirse en cuanto a las medidas aplicables al “estado de la técnica”, supondrá, como ha ocurrido en el ámbito del control de la contaminación industrial, que los estándares técnicos exigibles en este campo se van a determinar a nivel europeo, garantizándose un nivel mínimo común de protección en todos los Estados, con independencia de los sistemas de medición que se utilicen en los Estados.

Introducción

Los datos personales y la privacidad gozan de una elevada protección en la Unión Europea. Están reconocidos como derechos fundamentales de las personas (arts. 7 y 8 CDFUE y 16 TFUE) y la normativa europea en la materia (en particular, la Directiva 95/46) y el Tribunal de Justicia de la Unión Europea, han consagrado a lo largo de más de dos décadas un conjunto de principios generales, derechos y obligaciones para los responsables del tratamiento (entre otros muchos, minimización de datos, “derecho al olvido”, etc.).

La aprobación, en 2016, del Reglamento General de Protección de datos (RGPD)[1], ha supuesto un claro avance pues a partir de mayo de 2018 no solo se aplicará directamente la norma europea en los Estados miembros, sin necesidad de actos de incorporación, sino que se han introducido nuevos principios (“protección desde el diseño”; y, la “protección por defecto”); derechos; y, obligaciones para los responsables del tratamiento, como la realización de análisis de impacto que demuestren el cumplimiento de la normativa (art. 35); o, la aplicación de las mejores técnicas para garantizar la privacidad y la seguridad (art. 25).

Estas exigencias legales son plenamente aplicables a los operadores del sector de los sistemas de medición inteligente y de las Smart Grids pues estos avances tecnológicos permitirán acceder y procesar masivamente datos personales de los consumidores de energía. Nuestro país ha sido uno de los más avanzados en su despliegue en el sector eléctrico, pues ya en 2007 el Gobierno estableció el 31 de diciembre de 2018 como fecha máxima para la sustitución de todos los contadores analógicos aunque todavía no se ha desarrollado una regulación que aborde debidamente todas las cuestiones que plantea esta recogida de información personal desde la perspectiva de la privacidad y seguridad (entre otros, elaboración de perfiles de los usuarios basados en sus actividades domésticas o acceso de terceros a datos almacenados).

La propia Comisión Nacional de los Mercados y la Competencia, organismo regulador del mercado energético, ya puso de manifiesto esta deficiencia regulatoria en 2014[2], al igual que respecto de otras funcionalidades de los contadores digitales, como el acceso del consumidor a sus datos de consumo. La normativa aprobada en 2015 ha avanzado en algunas cuestiones, pero sigue sin darse una respuesta apropiada a esta importante cuestión, acorde con los planteamientos actuales del Derecho de la Unión [3].

En la Unión Europea, en efecto, se han producido desarrollos normativos de calado sobre la privacidad y seguridad en las Smart Grids y los contadores inteligentes, en forma de Recomendaciones de la Comisión, que contienen nuevos principios, técnicas y estándares aplicables, como el principio de “protección de datos desde el diseño”; o, las “mejores técnicas disponibles” (MTD). En lo que sigue se analizan estos desarrollos del Derecho de la Unión Europea (contenido y alcance), prestándose especial atención por su novedad en este campo de las Smart Grids a la regla MTD (origen, concepto y configuración).

Aproximación a la regulación europea: las evaluaciones de impacto sobre la privacidad, las funcionalidades mínimas de los contadores inteligentes y la remisión a las MTD

Desde hace casi una década, el legislador energético de la Unión Europea viene promoviendo el desarrollo de las redes inteligentes y la implantación de sistemas de medición inteligente pero no ha impuesto a los Estados plazos concretos y ha dejado esta decisión en sus manos, previo análisis coste-beneficio (Directivas 2009/72 y 2009/73). De la misma manera, la garantía de la tutela de la privacidad y seguridad se ha encomendado a los Estados (Directiva 2012/27). La Comisión Europea, dado el relevante papel que están llamados a jugar los sistemas de medición inteligente y las Smart grids en el nuevo mercado energético común, viene desarrollando, de manera informal, una importante labor regulatoria en esta materia y sentando las bases de la más que previsible armonización futura del sector.

En 2009, esta Institución creaba el “Grupo especial sobre redes inteligentes”, una plataforma de expertos de las partes interesadas (industria, Estados, etc.) con la finalidad de disponer de asesoramiento técnico de calidad para poder desarrollar las políticas y normas de la Unión en este ámbito [4]. Además, encargó a los organismos europeos de normalización la elaboración de normas técnicas sobre cuestiones tecnológicas y de comunicación (protocolos de intercambio de información).

Resultado de ello fue la aprobación de la Comunicación “redes inteligentes: de la innovación a la implantación (2011) [5], que identificaba los principales retos del despliegue de los sistemas de contador inteligente (en particular, la seguridad y la protección de los datos personales) y ofrecía orientaciones a los Estados sobre los preparativos. Este documento ya planteaba la aplicación del principio de “protección de la privacidad desde el diseño”, ahora recogido en el RDPG de 2016. Tan sólo un año después la Comisión aprobaba la importante Recomendación 2012/148, sobre contadores inteligentes [6], con la finalidad de asistir a los Estados en el despliegue en la electricidad y el gas. En ella se determinó la metodología del análisis coste beneficio que debían llevar a cabo previamente los Estados, así como las reglas y criterios aplicables en protección de datos y seguridad. En este sentido, se acogieron los principios de “protección desde el diseño” y “protección por defecto” y se introdujeron las herramientas para garantizar su aplicación, esto es, la evaluación del impacto sobre la protección de datos; y, la determinación de las soluciones técnicas exigibles, esto es, las “mejores técnicas disponibles” en Smart Grids.

Un elemento de gran relevancia práctica de la Recomendación es el establecimiento de los (diez) requisitos funcionales mínimos que deben cumplir todos los sistemas de contador inteligente de la electricidad instalados en la Unión Europea (punto 42). Las funcionalidades se sistematizan en función de los siguientes factores: a) el cliente; b) los aspectos comerciales del suministro de energía; c) la seguridad y la privacidad; y, d) la generación distribuida. Así, por ejemplo, dese la perspectiva del cliente, los contadores deben proporcionar lecturas directamente al cliente y a cualquier tercero designado por este; y, actualizarlas; y, en cuanto a la seguridad y la protección de datos, estos dispositivos tienen que proporcionar comunicaciones de datos seguras; y, prevenir y detectar fraudes.

El siguiente hito regulatorio fue la aprobación por la Comisión de un modelo de evaluación de impacto sobre protección de datos en redes inteligentes y sistemas de contador inteligente (Recomendación de 2014) [7] con la finalidad de facilitar el empleo de esta herramienta y en general la toma de decisiones por las entidades del sector de las redes inteligentes. Por último, deben mencionarse los avances en la elaboración de un documento de referencia sobre las MTD en las Smart Grids (BREF). A finales de 2016, la Comisión Europea ha publicado la versión final de la evaluación de las técnicas que ha llevado a cabo el Grupo de Expertos designado, que recoge y evalúa las mejores técnicas disponibles para cumplir los requisitos funcionales mínimos de los contadores inteligentes establecidos en el punto 42 de la Recomendación de 2012 [8]. El documento indica, esto es importante, que las técnicas identificadas cumplen las exigencias del RGPD de 2016 y constituirá la base del documento definitivo.

Las «Mejores Técnicas Disponibles» en las Smart Grids

Antecedentes

Un antecedente remoto de la regla MTD en nuestro país se encuentra en la “cláusula de progreso” que contenían en el siglo XIX los contratos públicos de prestación de servicios públicos municipales (en concreto, el alumbrado), con la finalidad de garantizar que el prestador del servicio introducía durante su ejecución las nuevas tecnologías que iban apareciendo.

El precedente directo en la aplicación del estándar MTD a las redes inteligentes se encuentra, como indican las propias Recomendaciones de la Comisión, en el Derecho ambiental de la Unión Europea; en particular, en el control de la contaminación industrial; ámbito jurídico de gran complejidad técnica, como ocurre con la tutela de los datos personales. A mediados de la década de los noventa, la Directiva 96/61, de Prevención y control integrados de la contaminación (IPPC), determinó las obligaciones ambientales de los titulares de las instalaciones industriales afectadas mediante una remisión al “estado la técnica”, concretada en la regla “Mejores Técnicas Disponibles”. La gran novedad es que se ofreció una definición legal de las MTD aplicable en toda la Unión Europea y se establecieron las bases para concretarlas en los sectores industriales afectados, a través de “Intercambios de información” entre los agentes implicados (industria, autoridades estatales y Comisión Europea).

El sistema ha sido un éxito pues desde entonces se están elaborando periódicamente, por consenso y bajo control de la Comisión Europea[9], “Documentos de Referencia sobre Mejores Técnicas Disponibles” (BREFs) en cada sector industrial, que recogen un listado de las técnicas de protección ambiental más eficaces y económicamente viables, que sirven a las autoridades estatales de referencia técnica fiable para imponer las condiciones de las autorizaciones (niveles de emisión de sustancias contaminantes) y a los operadores del sector para conocer cuáles son sus obligaciones.

La mejor prueba es la aprobación de un nuevo marco normativo (Directiva 2010/75, de emisiones industriales), en el que los BREFs constituyen la base de normas europeas vinculantes, aprobadas por la Comisión y publicadas en el Diario Oficial de la Unión Europea (“conclusiones sobre las MTD”), que determinan las exigencias técnicas en materia ambiental que deben cumplir todas las instalaciones de la Unión Europea [10].

Las “mejores técnicas disponibles” en medición inteligente

La introducción de la regla MTD en el ámbito de las Smart Grids se produjo con la Recomendación de la Comisión de 2012 sobre los contadores inteligentes, al igual que el principio de “protección de datos desde el diseño” que materializa. Los desarrollos de este acto fueron importantes pues, al igual que hizo la Directiva IPPC en el ámbito de la contaminación industrial, se definieron legalmente las MTD (apartado 3f) y sentaron las bases para su determinación en el plano europeo (ap. 17).

Las MTD se definen en la Recomendación de 2012 como la “fase más eficaz y avanzada en el desarrollo de las actividades y sus métodos de funcionamiento, que indica la idoneidad práctica de técnicas particulares para servir, en principio, de base para el respeto del marco de protección de datos de la UE. Están diseñadas para prevenir o atenuar los riesgos en materia de privacidad, datos personales y seguridad”. Se trata, en suma, de las técnicas más idóneas en materia de privacidad y seguridad y servirán para valorar el respeto de la legislación de protección de datos de la Unión Europea en el ámbito de las redes inteligentes.

Pero ¿quién y cómo se concretan las MTD? Según las Recomendaciones, debe hacerlo la Comisión, en colaboración con los Estados miembros, la industria y otras partes interesadas (ap. 17); y, al igual que ha ocurrido en el ámbito ambiental, se plasmarán en documentos técnicos de referencia sobre las MTD, denominados BREFS.

Conclusión

La incipiente regulación de la Unión Europea en materia de contadores inteligentes y Smart Grids, en forma de Recomendaciones de la Comisión, ha proporcionado los principios, criterios y técnicas aplicables a la privacidad y protección de datos en la Unión Europea, como la “protección de datos desde el diseño”; las evaluaciones de impacto; o, el estándar “Mejores técnicas disponibles”.

Estos desarrollos normativos de la Comisión constituyen “derecho blando” de la Unión Europea, pues no imponen obligaciones legales a sus destinatarios (Estados miembros) sino meras recomendaciones o pautas de actuación, aunque en la práctica son muy importantes para los operadores del sector y las autoridades de los Estados miembros, pues concretan las exigencias legales que impone el Derecho de la Unión Europea en materia de protección de datos personales. En este sentido; hay que tener en cuenta que el RGDP de 2016, que se aplicará directamente a partir de mayo de 2018, obliga a aplicar, teniendo en cuenta el estado de la técnica y los costes, las medidas técnicas apropiadas.

Referencias

Esteve Pardo, J. 1999, Técnica, Riesgo y Derecho, ed. Ariel.
Plaza Penadés, J,2016, La “piratería” en la Red. Una asignatura pendiente para el Gobierno de España, Revista Aranzadi de Derecho y Nuevas tecnologías, nº 40.
Revuelta Pérez, I., 2003, El control integrado de la contaminación en el Derecho español, Marcial Pons.
Revuelta Pérez, I, 2012, “La revalorización de las mejores técnicas disponibles en la Directiva de emisiones industriales: un estándar ambiental mínimo en la Unión”, Revista Aranzadi de Derecho Ambiental nº 23.
Artículo «Smart grids and meters«. Comisión Europea (20 de septiembre de 2017).

Notas al Final

ⁱ Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE. Véase, Plaza Penadés, J., 2017, Implementando el nuevo Reglamento General europeo de Protección de Datos, Revista Aranzadi de derecho y nuevas tecnologías, nº. 43, págs. 19-21.
ⁱⁱ Informe sobre el estado actual de adecuación a la normativa comunitaria del Plan de sustitución de contadores (2014)
ⁱⁱⁱ Resolución de 2 de junio de 2015, de la Secretaría de Estado de Energía, por la que se aprueban determinados procedimientos de operación para el tratamiento de los datos procedentes de los equipos de medida tipo 5 a efectos de facturación y de liquidación de la energía.
^iv «Smart grids and meters«.
v Comunicación de la Comisión al Parlamento Europeo, al Consejo, al Comité Económico y Social Europeo y al Comité de las Regiones, de 12 de abril de 2011, «Redes inteligentes: de la innovación a la implantación»
^vi Recomendación 2012/148/UE de la Comisión, de 9 de marzo de 2012, relativa a los preparativos para el despliegue de los sistemas de contador inteligente.
^vii Recomendación de la Comisión, de 10 de octubre de 2014, relativa al modelo de evaluación del impacto sobre la protección de datos para redes inteligentes y para sistemas de contador inteligente (DOUE nº L, 300, de 18.10.2014).
^viii Best Available Tecniques Reference Document for the cyber-security and privacy of the 10 minimum functional requirements of the Smart Metering Systems”, de 07/11/2016.
^ix Los BREFs en el control integrado de la contaminación se elaboran en el Instituto de Prospectiva Tecnológica (IPTS) de Sevilla.