«Big data: consentir o no consentir, ésa es la cuestión», artículo de Elena Gil González, abogada de ECIJA, para The Law Clinic
La explosión de datos que vive nuestra sociedad actual ha propiciado que se acuñe el término big data, cuyo desarrollo merece que nos paremos a reflexionar sobre sus consecuencias y el posible reflejo en las normas. En términos sencillos, el big data es el conjunto de tecnologías que permiten analizar, a gran velocidad y a través del uso de algoritmos, cantidades masivas de datos provenientes de fuentes dispares, con el objetivo de crear valor.
No son pocos los sectores que se han percatado de sus posibles beneficios. Un ejemplo es el uso del big data y el machine learning para estudiar patrones de consumo energético y poder detectar fraudes de usuarios cuyos contadores están manipulados. La otra cara de la moneda de la convivencia con dispositivos móviles y sensores integrados en todo tipo de objetos cotidianos es la posible pérdida de privacidad.
Hasta el momento, el principal mecanismo que permite que las empresas traten nuestros datos es el consentimiento de los usuarios. Por ello, desde hace años, la forma de ejercer el consentimiento ha sido a través de las políticas de privacidad online ofrecidas a los usuarios como términos unilaterales y (cuasi) contractuales, que se han convertido en la piedra angular de la protección de la privacidad online, a pesar de la aplastante evidencia de que la mayoría de las personas ni siquiera lee los términos o no los comprende.
Consideremos algunos momentos en los que se generan y almacenan datos de forma cotidiana: abrirse un perfil en una red social, comprar a través de internet, descargarse una aplicación móvil o viajar. Todas estas actividades crean datos brutos cuyo tratamiento posterior justifica que el individuo otorgue su consentimiento. Este problema se vuelve más acuciante con la llegada del big data, debido a que nuestro día a día está ahora inundado de dispositivos que recaban datos personales.
¿Es el lenguaje sencillo la solución?
Algunos actores abogan por la utilización de un lenguaje sencillo, políticas fáciles de comprender y casillas o ventanillas fáciles de identificar en las que los usuarios pueden indicar su consentimiento. No obstante, un lenguaje sencillo no puede proveer de toda la información necesaria para que los usuarios tomen una decisión suficientemente informada.
Además, la cadena de emisores y receptores de datos es potencialmente infinita y oscura. Así, el consentimiento se parece cada vez más a un cheque en blanco.
En esta situación, la pregunta que surge es si la obligación del responsable del tratamiento de informar sobre la recogida de los datos se circunscribe a la información que explícitamente recoge (datos primarios), o si debe adoptarse un criterio más amplio y entender que este deber de información también alcanza a aquella información que la empresa pudiera obtener tras el tratamiento (datos secundarios).
Esta segunda aproximación tendría muchas dificultades prácticas, en tanto que, por su propia naturaleza, el valor del big data reside precisamente en lo inesperado de los resultados que revela. Así, ¿cómo explica el responsable del tratamiento que resulta imposible saber con antelación qué información revelará el tratamiento de los datos recabados? Son muchos los juristas que consideran que el consentimiento prestado bajo estas circunstancias no es el consentimiento informado que la norma exige.
Una vuelta de rosca al consentimiento
Tal vez el modelo de consentimiento informado ya no deba ser la piedra angular del tratamiento de datos. En estos términos se han expresado numerosos autores, entre los que destacaré la siguiente cita de Ira Rubinstein:
«Mi argumento es simple aunque radical: el consentimiento informado está roto, sin posibilidad de que una norma lo repare, y el único modo de fortalecerlo es cambiando los mercados relevantes de información».
Cualquier sistema en el que la base principal para el tratamiento de datos sea el consentimiento, emplaza la responsabilidad en el individuo. Es por ello que existe una corriente de opinión que sostiene que el requisito del consentimiento debería reservarse para usos relevantes, de forma que los individuos presten una atención mayor cuando el consentimiento les es requerido, y de este modo sea un mecanismo más efectivo. Así por ejemplo, reservando el consentimiento a situaciones en las que sea necesario que el individuo renuncie a derechos o tratamientos que de otro modo serían esperables, la forma del consentimiento tomaría un valor real. Esta misma premisa también es apoyada por el Foro Económico Mundial[1] y por autores como Solon Baroccas y Helen Nissenbaum[2].
Otra corriente actual camina hacia los sistemas de empoderamiento de los individuos y la creación de nuevos modelos de negocio. Se trata de la creación de plataformas de gestión de datos personales en las que los usuarios obtienen un control real sobre su información, y otorgan permisos para el tratamiento de sus datos en función de cada contexto o finalidades (por ejemplo, consentir a determinados tratamientos para el ámbito sanitario, financiero, etc.).
En este escenario, los medios que permitan asegurar la identidad de los usuarios y los sistemas de autenticación son indispensables, así como estrictas medidas de seguridad. Aquí las tecnologías blockchain pueden aportar importantes avances. Consisten básicamente en sistemas que permiten operar a través de infraestructuras seguras basadas en la distribución del trabajo en nodos y en la criptografía y, una de sus principales utilidades es, precisamente la gestión de identidades. Se trata de un modelo todavía incipiente que deberá pasar por un proceso de madurez antes de generalizarse, pero que bien merece ser tenida en cuenta.
Sea cual sea el futuro del consentimiento y nuestras normas de protección de datos, el debate está servido.
[1] FORO ECONÓMICO MUNDIAL y THE BOSTON CONSULTING GROUP. «Rethinking Personal Data: Strengthening Trust» (2012). Proyecto «Rethinking Personal Data».
[2] Solon BAROCCAS y Helen NISSEBAUM. «Privacy, big data and the public good. Chapter 2: Big data’s End Run Around Anonimity And Consent». Cambrigde University Press (2014).