El reto para la protección de datos que supone el tratamiento de neurodatos
La Agencia Española de Protección de Datos (AEPD) y el Supervisor Europeo de Protección de Datos (EDPS) han publicado un informe conjunto en el que analizan los retos que supone el tratamiento de neurodatos para los derechos y libertades de las personas. El documento, que examina este fenómeno emergente, proporciona una descripción de los neurodatos y evalúa su impacto en la privacidad y la protección de datos personales, incluyendo casos prácticos. Los recientes avances en neurotecnología están permitiendo la aparición de un número creciente de dispositivos conectados que monitorizan la actividad cerebral para distintos propósitos. El cerebro desempeña un papel crucial en las capacidades cognitivas humanas, decisiones, emociones y comportamientos, entre otras funciones. El informe explica que las técnicas de imagen cerebral se desarrollaron originalmente en el contexto de la medicina clínica y la investigación neurocientífica, demostrando ser eficaces para diversos tratamientos. Sin embargo, en los últimos años, existe una tendencia hacia un uso relacionado con el marketing. Por ejemplo, para medir la reacción del cerebro humano ante anuncios o productos para estudiar, analizar y predecir el comportamiento de los consumidores. Las neurotecnologías también se han utilizado en dispositivos portátiles para una serie de actividades cotidianas, como la educación y el entretenimiento. Además, los implantes cerebrales ofrecen la posibilidad de influir y reescribir la actividad cerebral de las personas. Esta accesibilidad, junto con las capacidades de la Inteligencia Artificial para combinar datos de diversas fuentes, pueden interferir sustancialmente con los derechos y libertades fundamentales. Podría interesarle: Protección de datos personales: desafíos en un mundo digitalizado El informe analiza qué supone el tratamiento de neurodatos en distintos contextos y con ejemplos de casos de uso, como el entorno educativo o los videojuegos, así como las amenazas que suponen algunos de ellos. A continuación, especifica los requisitos y los principios de protección de datos que deben cumplirse para el tratamiento de esta tipología de datos personales que, con frecuencia, constituyen categorías especiales de datos (por ejemplo, datos biométricos o datos relativos a la salud). En principio, el tratamiento de categorías especiales de datos está prohibido, salvo excepciones en las que concurren unas circunstancias determinadas. El informe recoge que quienes se planteen tratar neurodatos deben tener siempre en cuenta el carácter intrusivo del tratamiento de dichos datos y valorar cuidadosamente si la finalidad que se persigue justifica plenamente este tratamiento de datos “extremadamente invasivo y sensible, que afecta al aspecto más íntimo de la vida” de las personas. Además, destaca como crucial llevar a cabo un análisis en profundidad de los neurodatos y evaluar el impacto de su tratamiento en los derechos fundamentales, incluida la necesidad de crear neuroderechos. La Carta de los Derechos Fundamentales de la Unión Europea reconoce expresamente el derecho fundamental a la integridad mental (artículo 3), como una de las expresiones del derecho fundamental a la dignidad humana (artículo 1), que es también el fundamento del derecho a la intimidad y a la protección de los datos personales (artículos 7 y 8 de la Carta). La Agencia ha establecido entre sus líneas estratégicas promover la regulación del tratamiento de los neurodatos y los correlativos neuroderechos, especialmente en el ámbito de los servicios dirigidos a menores. FUENTE: Noticia. »El reto para la protección de datos que supone el tratamiento de neurodatos» Elderecho.com. 27-06-2024. (https://elderecho.com/el-reto-para-la-proteccion-de-datos-que-supone-el-tratamiento-de-neurodatos).
Las nuevas tecnologías transforman el panorama de la regulación de datos personales colombiana
En octubre del 2023, se cumplen 11 años de expedición de la Ley 1581 del 2012, eje central del régimen de protección de datos personales en Colombia. Sin embargo, después de más de 10 años de aplicación y tras haber sido fundamental en la generación de conciencia sobre la protección de datos, vale la pena preguntarse si las herramientas y los mecanismos previstos en la normativa colombiana han empezado a quedarse desactualizados y perdido efectividad para la protección de nuestra información personal, particularmente, teniendo en cuenta el desarrollo de nuevas tecnologías cuyo funcionamiento se basa precisamente en el uso de datos. ¿Cómo han afectado las nuevas tecnologías la protección de nuestros datos? Los neurodatos son la información recogida directamente del sistema neurológico de una persona (cerebro y sistema nervioso), con el objetivo de hacer inferencias sobre el individuo. En los últimos años, se han venido desarrollado dispositivos y procedimientos de consumo, empresariales y sanitarios, tanto invasivos como no invasivos, que registran y procesan neurodatos con fines de recopilación de información, control de dispositivos y modulación de la actividad neuronal. Estas neurotecnologías son una realidad en el sector de la salud desde hace algunos años. Sin embargo, en la actualidad, se están desarrollando rápidamente para uso en los sectores del bienestar personal, el deporte, el mercadeo y la publicidad, incluso para monitorear a las personas en su lugar de trabajo. Particularmente, el Information Commissioner’s Office del Reino Unido predice que el uso de la neurotecnología se masificará en la próxima década. Riesgos a los datos personales, en aumento Este tipo de tecnologías, junto con las nuevas plataformas de inteligencia artificial y el desarrollo de nuevos productos inteligentes, entre otras, ha impactado de forma significativa la velocidad con la que se recolectan y tratan datos personales. A su vez, el surgimiento de nuevos actores cuyos procesos se apoyan en tecnologías disruptivas que típicamente involucran intercambio de información a nivel global y la evolución de las herramientas que manejan y consumen grandes cantidades de datos mediante la aplicación de algoritmos complejos aumentan el riesgo de que nuestros datos personales sean tratados para usos no autorizados e, inclusive, accedidos por agentes externos para fines ilegales. Como ejemplo, el pasado 20 de marzo, la empresa OpenAI sufrió el primer incidente de seguridad en su famosa aplicación ChatGPT. Según OpenAI, aproximadamente, el 1,2 % de los suscriptores de ChatGPT Plus que estaban activos en ese momento (alrededor de 1,2 millones de usuarios) habría visto sus datos expuestos. Durante ese tiempo, algunos usuarios pudieron ver nombres, apellidos, direcciones de correo electrónico, direcciones de pago y cierta información de la tarjeta de crédito de otros usuarios. A raíz de lo anterior, y debido a la preocupación por la privacidad en estas aplicaciones, tanto empresas del sector privado como autoridades de protección de datos en ciertos países han adoptado medidas sobre el uso de estas herramientas. JPMorgan Chase, por ejemplo, restringió el uso de ChatGPT por parte de sus empleados. Por su parte, la Comisión Federal de Comercio abrió una investigación en contra de OpenAI para determinar si la empresa infringió normas de protección de los consumidores al poner en peligro la privacidad de sus datos, mientras que la autoridad de datos en Italia decidió bloquear temporalmente el uso de la aplicación en todo el país. Proyecto de ley En el caso colombiano, el pasado 22 de agosto, se radicó el proyecto de ley estatutaria “por la cual se dictan disposiciones para el Régimen General de Protección de Datos Personales”, que busca desarrollar y ampliar el alcance del derecho fundamental al habeas data, reconociendo y protegiendo el derecho fundamental a la privacidad mediante el establecimiento de nuevas obligaciones para asegurar que los datos personales sean tratados adecuadamente, acorde con la era digital. En primer lugar, el proyecto de ley que actualmente cursa en la Comisión Primera Constitucional Permanente de la Cámara de Representantes tiene como objetivo establecer reglas claras sobre escenarios que hoy no están previstos en las normas vigentes. Por ejemplo, los neurodatos y los tratamientos realizados por neurotecnologías estarían sujetos a parámetros específicos de conducta que buscan garantizar la seguridad y la privacidad de los titulares, teniendo en cuenta los riesgos inherentes. Así mismo, la iniciativa establece obligaciones de suministrar información clara y transparente sobre procedimientos que involucren perfilamiento. Estos tratamientos generan riesgos significativos para los individuos, quienes típicamente no son conscientes de sus implicaciones. Seguridad de la privacidad Finalmente, entre otras disposiciones, el proyecto busca presentar una solución al problema de la seguridad de la privacidad en el contexto actual, “donde la información personal circula indiscriminadamente en sistemas informáticos interconectados cuya característica principal es su ubicuidad”. Podría intersarle: SIC pública guía oficial de protección de datos personales De este modo, la regulación establece numerosas disposiciones encaminadas a garantizar la seguridad de los datos, entre ellas: la protección de datos desde el diseño y por defecto; la obligación de realizar evaluaciones de impacto ante situaciones que puedan generar un riesgo a la privacidad; la figura del oficial de cumplimiento (que ahora es obligatorio para ciertas organizaciones); el procedimiento de consulta previa en el que la autoridad prestará un servicio de asesoría frente a tratamientos que supongan un alto riesgo para los derechos y garantías de los titulares, y la figura de los códigos de conducta, los cuales serán parámetros claros establecidos por la Superintendencia de Industria y Comercio para la correcta aplicación de la ley. Estos últimos teniendo en cuenta las características específicas de los distintos sectores de tratamiento y las necesidades concretas de las micro, las pequeñas y las medianas empresas. FUENTE: Castilla, Nathalia. »Las nuevas tecnologías transforman el panorama de la regulación de datos personales colombiana» Ambitojuridico.com. 27/09/2023. (https://www.ambitojuridico.com/noticias/informe/las-nuevas-tecnologias-transforman-el-panorama-de-la-regulacion-de-datos).
Neurodatos y neurotecnología, ¿Cómo afecta a la privacidad y Protección de Datos?
Nuestra sociedad cada vez se encuentra más avanzada, sobre todo en lo que a nivel tecnológico se refiere, lo cual conlleva la existencia de Inteligencias Artificiales (IA) como el internet de los cuerpos , encontrándose dentro de este los datos cerebrales o neurodatos, que según la propia Agencia Española de Protección de Datos (AEPD) podrían llegar a identificar a los individuos, inferir estados emocionales, pensamientos o sentimientos, y revelar otras categorías especiales de datos. Aunque pueda parecer que estamos hablando de un futuro, ya existen en el mercado interfaces cerebro-computador o también conocidos como Brain Computer Interface (BCI), se trata de dispositivos que son capaces de llevar a cabo una interacción directa entre cerebro y ordenador. Lo indicado lo realizan recogiendo y midiendo tanto las señales como la actividad del cerebro, para lo cual es indispensable contar con el software adecuado de captura y procesamiento, siendo esta neurotecnología incluso capaz de extraer características de interés relacionadas con las intenciones y estado mental del usuario, pudiendo llegar incluso a ejecutar acciones en consecuencia. Contenido relacionado: La ciencia de datos, una aliada de la ciberseguridad Si bien es cierto que las primeras aplicaciones creadas a este respecto, BCI, fueron creadas para pacientes con diferentes problemas neurológicos, actualmente existen una serie de aplicaciones neuro tecnológicas en el mercado con diversos fines no clínicos (Por ejemplo: Nextmind, Neurosky, etcétera). No obstante, el mayor campo de actuación de esta tecnología (a nivel no clínico) se está centrando en el desarrollo de videojuegos, siendo el público en mayor parte de ellos menores de edad, con el tratamiento de datos especialmente protegidos que esto conlleva. ¿Entonces ha de cumplir la IA y los neurodatos, con la normativa en materia de protección de datos? El sector de la protección de datos es uno de los más afectados por el desarrollo y despliegue de estas tecnologías, principalmente porque la IA utiliza los datos de carácter personales durante todo su proceso, tanto de desarrollo como de uso. Siendo la normativa en materia de protección de datos actualmente en vigor: Se entiende por parte de la autoridad de control (AEPD) que, si es de aplicación dicha normativa, pues a parte de como ya hemos adelantado tratar datos de menores de edad, siendo estos datos especialmente protegidos (Art. 9 RGPD), también la información del cerebro es única y personal y permite la identificación personal a través de su anatomía cerebral (de manera semejante a una huella dactilar). Por lo tanto, para su tratamiento sería necesario levantar la prohibición que establece el artículo 9 del RGPD con alguna de las excepciones que dicho artículo contempla (por ejemplo, el consentimiento explícito). Los datos cerebrales o neurodatos podrían utilizarse además para inferir estados emocionales y cognitivos, procesos asociados con la personalidad, pensamientos o sentimientos. Incluso podrían revelar significativamente más información que la que es necesaria para la finalidad para la se supone se ha recogido. Lea también: Principales predicciones de ciberseguridad para 2023-2024, según Gartner Por lo indicado podemos comprobar que se realiza un tratamiento de datos de carácter personal, lo que hace que se haya de cumplir con la normativa en materia de protección de datos anteriormente referenciada (RGPD y LOPDGDD) y con los principios primordiales de dicha normativa: Principio de licitud y transparencia Como ya hemos adelantado para todo tratamiento se ha de contar con bases jurídicas en las que basar el tratamiento, si bien es cierto que en el caso concreto de las IA el uso del consentimiento puede resultar complicado teniendo en cuenta que el mismo debe ser específico, granular y libre. Por otro lado, el cumplimiento del principio de transparencia exige que la información relativa al tratamiento sea fácilmente accesible y sencilla de comprender, lo cual puede resultar complicado para los responsables del tratamiento que empleen sistemas de IA, teniendo en cuenta la dificultad a la hora de entender y explicar dicha tecnología. Principio de limitación de la finalidad El desarrollo y uso de sistemas de IA requiere el acceso a información, pero el problema viene cuando esta ha sido recabada con otros fines, esta reutilización de la información puede facilitar el análisis de los datos para los responsables de la tecnología, pero estaría contraviniendo el principio indicado. Principio de minimización de datos Tal y como ya hemos analizado, el uso de sistemas basados en IA requiere hacer uso de mucha información, lo cual podría llegar a dificultar la posibilidad de establecer desde el inicio que información será necesaria para que se pueda garantizar el cumplimiento del principio. Principio de exactitud En este sentido, resultaría necesario garantizar la fiabilidad de los datos personales tratados, así como su posible actualización. Este principio se trata de un gran reto para los sistemas de IA. Principio de responsabilidad proactiva El responsable del tratamiento ha de cumplir con los principios establecidos en la normativa y además debe contar con la capacidad de demostrar dicho cumplimiento. Podría darse cumplimiento a este principio documentando y recogiendo la información suficiente para acreditar todo lo realizado por parte del responsable (por ejemplo: Registro de Actividades del Tratamiento, procedimientos internos, etcétera). Lo invitamos a leer: Paradigmas tecnológicos sobre protección de datos personales Además, se considera de relevancia el hecho de que los datos genéticos, considerados como una categoría especial de datos de carácter personal en el artículo 9 RGPD, comparten características y cualidades con los datos cerebrales o neurodatos. Tal y como indica la AEPD “el cerebro será un identificador tan único como una huella dactilar o un genoma”. Ambos exponen aspectos únicos y personales, que en la mayoría de los casos no son observables o conocidos por el propio individuo, lo cual puede ser un arma de doble filo, pues por un lado puede ayudar en la predicción de enfermedades o de patrones de comportamiento, pero a su vez si se utiliza con finalidades que no traen consigo la buena fe pueden ser muy peligrosas para el individuo. Por lo que siempre hemos de tener en cuenta que la neurotecnología tiene el potencial de afectar no solo nuestra privacidad, sino también los derechos fundamentales ligados a ella como la libertad de pensamiento, la libertad de expresión, la
