LegalToday

Por y para profesionales del Derecho

Portal jurídico de Aranzadi, por y para profesionales del Derecho

28/03/2024. 19:02:53

LegalToday

Por y para profesionales del Derecho

BLOG PRODAT

Neurodatos y neurotecnología, ¿cómo afecta a la privacidad y protección de datos?

Abogada TIC, especialista en materia de protección de datos, nuevas tecnologías y Compliance.

Nuestra sociedad cada vez se encuentra más avanzada, sobre todo en lo que a nivel tecnológico se refiere, lo cual conlleva la existencia de Inteligencias Artificiales (IA) como el internet de los cuerpos, encontrándose dentro de este los datos cerebrales o neurodatos, que según la propia Agencia Española de Protección de Datos (AEPD) podrían llegar a identificar a los individuos, inferir estados emocionales, pensamientos o sentimientos, y revelar otras categorías especiales de datos.

Aunque pueda parecer que estamos hablando de un futuro lejano, actualmente ya existen en el mercado interfaces cerebro-computador o también conocidos como Brain Computer Interface (BCI), se trata de dispositivos que son capaces de llevar a cabo una interacción directa entre cerebro y ordenador. Lo indicado lo realizan recogiendo y midiendo tanto las señales como la actividad del cerebro, para lo cual es indispensable contar con el software adecuado de captura y procesamiento, siendo esta neurotecnología incluso capaz de extraer características de interés relacionadas con las intenciones y estado mental del usuario, pudiendo llegar incluso a ejecutar acciones en consecuencia.

Si bien es cierto que las primeras aplicaciones creadas a este respecto, BCI, fueron realizadas específicamente para pacientes con diferentes problemas neurológicos,en la actualidad existen una serie de aplicaciones neuro tecnológicas en el mercado con diversos fines no clínicos (Por ejemplo: Nextmind, Neurosky, etcétera). Cabe destacar que el mayor campo de actuación de esta tecnología (a nivel no clínico) se está centrando en el desarrollo de videojuegos, siendo el público en mayor parte menores de edad, con el tratamiento de datos de carácter personal de un colectivo vulnerable que esto conlleva.

¿Entonces ha de cumplir la IA con la normativa en materia de protección de datos?

El sector de la protección de datos es uno de los más afectados por el desarrollo y despliegue de estas tecnologías, principalmente porque la IA utiliza los datos de carácter personales durante todo su proceso, tanto de desarrollo como de uso.

Siendo la normativa en materia de protección de datos actualmente en vigor:

Se entiende por parte de la autoridad de control (AEPD) que, si es de aplicación dicha normativa, pues a parte de como ya hemos adelantado tratar datos de menores de edad, también se ha de tener en cuenta que la información del cerebro es única y personal, permitiendo la identificación personal a través de la anatomía cerebral (de manera semejante a una huella dactilar, por lo que se trataría de un dato especialmente protegido). Por lo tanto, para su tratamiento sería necesario levantar la prohibición que establece el artículo 9 del RGPD con alguna de las excepciones que dicho artículo contempla (por ejemplo, el consentimiento explícito).

Los datos cerebrales o neurodatos podrían utilizarse además para inferir estados emocionales y cognitivos, procesos asociados con la personalidad, pensamientos o sentimientos. Incluso podrían revelar significativamente más información que la que es necesaria para la finalidad para la se supone se ha recogido.

En este punto es importante referenciar la definición de dato de carácter personal del RGPD:

 “Toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”

Analizando dicha definición y conociendo quelos identificadores neuronales permiten recoger información que puede tener distinta naturaleza en el tratamiento: biometría para identificación, datos de salud, datos muy personales (emociones y pensamientos), información de perfilado, decisiones automatizadas u otros tipos de categorías especiales de datos. Asimismo, tal y como indica la AEPD en sus artículos relacionados con la materia; “Informes científicos muestran que muchas características del cerebro humano dependen de factores genéticos, biológicos no genéticos, y ambientales, que posibilitan la identificación mediante la anatomía cerebral (huella cerebral) por lo que podrían actuar en sí mismos como mecanismos de identificación y autenticación biométrica”.

Por lo indicado podemos comprobar que se realiza un tratamiento de datos de carácter personal, lo que hace que se haya de cumplir con la normativa en materia de protección de datos anteriormente referenciada (RGPD y LOPDGDD) y con los principios primordiales de dicha normativa:

  • Principio de licitud y transparencia: como ya hemos adelantado para todo tratamiento se ha de contar con bases jurídicas en las que basar el tratamiento, si bien es cierto que en el caso concreto de las IA el uso del consentimiento puede resultar complicado teniendo en cuenta que el mismo debe ser específico, granular y libre.

Por otro lado, el cumplimiento del principio de transparencia exige que la información relativa al tratamiento sea fácilmente accesible y sencilla de comprender, lo cual puede resultar complicado para los responsables del tratamiento que empleen sistemas de IA, teniendo en cuenta la dificultad a la hora de entender y explicar dicha tecnología.

  • Principio de limitación de la finalidad: el desarrollo y uso de sistemas de IA requiere el acceso a información, pero el problema viene cuando esta ha sido recabada con otros fines, esta reutilización de la información puede facilitar el análisis de los datos para los responsables de la tecnología, pero estaría contraviniendo el principio indicado.
  • Principio de minimización de datos: tal y como ya hemos analizado, el uso de sistemas basados en IA requiere hacer uso de mucha información, lo cual podría llegar a dificultar la posibilidad de establecer desde el inicio que información será necesaria para que se pueda garantizar el cumplimiento del principio.
  • Principio de exactitud: En este sentido, resultaría necesario garantizar la fiabilidad de los datos personales tratados, así como su posible actualización. Este principio se trata de un gran reto para los sistemas de IA.
  • Principio de responsabilidad proactiva: el responsable del tratamiento ha de cumplir con los principios establecidos en la normativa y además debe contar con la capacidad de demostrar dicho cumplimiento. Podría darse cumplimiento a este principio documentando y recogiendo la información suficiente para acreditar todo lo realizado por parte del responsable (por ejemplo: Registro de Actividades del Tratamiento, procedimientos internos, etcétera).

Además, se considera de relevancia el hecho de que los datos genéticos, considerados como una categoría especial de datos de carácter personal en el artículo 9 RGPD, comparten características y cualidades con los datos cerebrales o neurodatos. Tal y como indica la AEPD “el cerebro será un identificador tan único como una huella dactilar o un genoma”. Ambos exponen aspectos únicos y personales, que en la mayoría de los casos no son observables o conocidos por el propio individuo, lo cual puede ser un arma de doble filo, pues por un lado puede ayudar en la predicción de enfermedades o de patrones de comportamiento, pero a su vez si se utiliza con finalidades que no traen consigo la buena fe pueden ser muy peligrosas para el individuo.

Por lo que siempre hemos de tener en cuenta que la neurotecnología tiene el potencial de afectar no solo nuestra privacidad, sino también los derechos fundamentales ligados a ella como la libertad de pensamiento, la libertad de expresión, la integridad corporal, personalidad, la dignidad de las personas, la no discriminación y la equidad y la justicia.

A nivel normativo, en Europa en el año 2021, la Comisión Europea presentó el borrador del Reglamento sobre Inteligencia Artificial con el objetivo de establecer una serie de reglas para su desarrollo y uso, el cual todavía no se encuentra en vigor, mientras que en España no se cuenta con una regulación especifica al respecto de las neuro tecnologías, actualmente contamos con una Carta de Derechos Digitales, la cual no tiene carácter normativo, sino que propone «un marco de referencia para la acción de todos los poderes públicos», en este documento se encuentran reflejados diferentes derechos para el ciudadano relacionados con la IA, con la no discriminación algorítmica o el derecho de la persona a solicitar una supervisión o intervención humana, por ejemplo. Se trata de un gran paso para nuestro país pues quizás esto pueda servir de guía para futuros proyectos legislativos como los que ya tienen otros países, los cuales ayudarían junto con la normativa en materia de protección de datos a minimizar los riesgos y desafíos asociados al uso de sistemas de IA.

Valora este contenido.

Puntuación:

Sé el primero en puntuar este contenido.

Blog

Logo PRODAT

Te recomiendo

Correo electrónico: info@prodat.es
Web: www.prodat.es

PRODAT es una organización especializada en servicios de Consultoría, Auditoría y Outsourcing en el ámbito de la Ley Orgánica de protección de datos de carácter personal (LOPD), Reglamento 2016/679 general de protección de datos de la Unión Europea, ISO 27001, Ley de servicios de la sociedad de la información y del comercio electrónico y Compliance.

PRODAT opera en todo el territorio nacional a través de una red de 20 oficinas y en la actualidad cuenta con más de 40 consultores que utilizan las mismas metodologías y herramientas informáticas.

Fundada en 1997, en la actualidad es una organización firmemente asentada en el mercado.