La Gobernanza de los Datos Personales
Empresas y personas ¿Quién controla?
El pasado 28 de enero se celebró el Día Europeo de la Protección de Datos, fecha que conmemora la firma del Convenio 108 adoptado por el Consejo de Europa en 1981. Este acuerdo internacional, jurídicamente vinculante en su ámbito de actuación, fue el primer instrumento adoptado con el fin de garantizar el adecuado tratamiento de la información de carácter personal de sus ciudadanos.
Muchos han sido los aspectos que cambiaron durante estas décadas en cuanto a la recopilación, el almacenamiento y el uso de los datos personales, especialmente los relativos a las empresas de servicios de identificación y autenticación destinados al acceso a productos y servicios. Incluso el reconocimiento biométrico ha sido incluido en estas regulaciones, en tanto que su uso ha dejado de ser esporádico y se ha incorporado progresivamente a la vida cotidiana, abriéndose un debate en torno a la efectividad de su uso y a la garantía del mantenimiento de la privacidad de las personas.
La responsabilidad de los usuarios en la protección de sus datos es esencial, y un aspecto a considerar es la creación y la gestión de contraseñas y para ello la adecuada selección de las plataformas que utilicen para su identificación. Este aspecto afecta tanto a las empresas como en particular a la gente corriente, en tanto que la gestión doméstica de los datos personales en apps y webs afecta a colectivos vulnerables, sean nativos digitales como no digitales.
La aparición de los gestores de contraseñas especializados ha sido una de las respuestas tecnológicas al reto de crear contraseñas adecuadas, aun cuando no son infalibles. Son numerosos los ejemplos de hackers que aprovechan las brechas de seguridad de los gestores a fin de secuestrar datos personales que facilitan el acceso a aplicaciones y servicios en la red. La oferta de las empresas generalistas que funcionan como proveedores de identidades, como Google, Facebook o Apple, aun cuando ofrecen un plus de comodidad eso no implica la falta de riesgos para asegurar la privacidad en los accesos de los usuarios.
Otra controversia procede del uso de imágenes sin el consentimiento de los involucrados, asumiendo que la ingente masa de información procedente de Internet y de las redes sociales sirve de base para la creación de software con diferentes fines. El reciente caso del Clearview AI la empresa que aportó al Gobierno ucraniano la herramienta de reconocimiento facial para reconocer a víctimas de los ataques rusos, es paradigmático, ya que su base de datos global incluye más de 20.000 millones de imágenes utilizadas sin conocimiento y autorización de los involucrados.
Los derechos digitales
La creciente digitalización de la sociedad demanda normativas y acuerdos éticos que garanticen los derechos de los ciudadanos en este ámbito. Los escenarios generados por el avance tecnológico han dado lugar a la emergencia de riesgos sociales que obligaron a adaptar los ordenamientos jurídicos vigentes a las nuevas circunstancias. Esta salvaguarda es especialmente necesaria ante los efectos aún no determinados de la aplicación de la Inteligencia Artificial en los distintos ámbitos de la realidad.
Con ese ánimo, España adoptó en 2021 la Carta de Derechos Digitales que aplican al espacio digital los derechos recogidos en la Declaración Universal de los Derechos Humanos aprobados por la ONU en 1948. El derecho a la vida, a la libertad y a la seguridad de la persona contemplado en el punto 3 de esta Carta de Derechos Digitales, considerando en los derechos humanos fundamentales el derecho digital. En este contexto, se entiende como derechos digitales aquellos vinculados a la privacidad y a la libertad de expresión y al acceso universal y el uso adecuado de Internet, de las redes de comunicación y de cualquier dispositivo electrónico, evitando la brecha digital entre personas y empresas.
Los riesgos inherentes al desarrollo de la sociedad tecnológica son globales y sus desafíos demandan la adopción de mecanismos que disminuyan los efectos no deseados inherentes a su uso. Mitigar estos efectos implica asumir una ética digital aplicada a los espacios reales y virtuales que prevenga la transgresión de derechos de los ciudadanos y de las organizaciones.
La Carta de Derechos Digitales en España, ¿qué es y para qué sirve?
La protección de los derechos individuales y colectivos de las personas, recogidos en la Constitución, y el reconocimiento de los derechos digitales se encuentran regulados por varias normativas, tales como el Real Decreto-ley 28/2020, de 22 de septiembre, de trabajo a distancia, y, especialmente, la Ley Orgánica 3/2018, de 5 de diciembre, de protección de datos personales y garantía de los derechos digitales, en particular, su Título X, que adapta el derecho interno español a la regulación europea según el Reglamento General de Protección de Datos aprobado el 24 de mayo de 2016.
A fin de adaptar el marco jurídico existente a los vertiginosos cambios de la realidad digital y virtual, y de adoptar una ética digital que evite la vulneración y la puesta en riesgo de los derechos humanos, España aprobó la Carta de Derechos Digitales el 14 de julio de 2021. La Carta da respuesta a uno de los mandatos de la Agenda España Digital 2025, presentada en 2020 en el marco de la Estrategia Nacional de Inteligencia Artificial y del Plan de Recuperación, Transformación y Resiliencia, aprobado por la Comisión Europea el 16 de junio de 2021.
La Carta es un texto de referencia que aspira a situarse en la vanguardia internacional en la protección de derechos de la ciudadanía. De carácter descriptivo, prospectivo y asertivo, la Carta carece de carácter normativo y queda sujeta a las disposiciones vigentes en el ordenamiento jurídico español, por lo tanto, no crea nuevos derechos fundamentales, sino que adapta al entorno digital derechos existentes y reconocidos.
Los objetivos de la Carta son tres: ser una guía para futuras propuestas legislativas, constituirse como marco de referencia para la acción de todos los poderes públicos, y servir de inspiración para el desarrollo de políticas públicas más justas que protejan a la ciudadanía. Asimismo, la Carta define diez derechos digitales: acceso universal e igualitario, libertad de expresión, información y comunicación, privacidad y protección de datos, derecho al anonimato, derecho al olvido, protección del menor y propiedad intelectual. Algunos considerandos tienen carácter pionero, como el derecho a la no discriminación algorítmica y el derecho a solicitar intervención humana. La Carta incluye un apartado de garantías y eficacias.
La Declaración Europea sobre los Derechos y Principios Digitales
En respuesta a las dinámicas derivadas de la transición tecnológica, el 26 de enero de 2022 la Comisión Europea presentó el proyecto de Declaración Europea sobre los Derechos y Principios Digitales para la Década Digital con el que pretende crear un marco de referencia común en la UE. Se espera su aprobación por el Parlamento y el Consejo en el verano de 2023.
El texto tiene carácter declarativo y su principal objetivo es “promover una vía europea para la transición digital que sitúe a las personas en el centro”. Su objetivo redunda en la aplicación de los valores de la transformación digital y en los derechos fundamentales de la ciudadanía en el mundo digital y virtual. En este contexto, la contribución de la Carta de Derechos Digitales española ha sido inspiradora.
La importancia de proteger los datos personales
La protección de los datos personales es un elemento clave en el actual contexto tecnológico y es responsabilidad de todos evitar su mal uso y cumplir la normativa sobre su protección. Varios son los mecanismos que aseguran este cometido, entre los que destacan:
– Responsabilidad proactiva: las organizaciones deben tanto cumplir con la normativa como tomar la iniciativa y demostrar que lo hacen, empleando auditorías o certificaciones de sus procesos.
– Delegado de Protección de Datos: figura relevante dentro de las organizaciones dedicado a orientar su compañía asegurando el cumplimiento de la normativa. Además de tener conocimientos de privacidad, riesgos, controles y estar al día en materia de protección de datos, el delegado ejerce de nexo de contacto con la Agencia de Protección de Datos, los titulares de datos personales y las asociaciones de profesionales en la materia.
– Principio de transparencia: implica que los titulares de datos personales deben ser informados de manera clara, concisa, precisa y entendible sobre sus derechos y el tratamiento esperado de sus datos.
– Respetar y aplicar los derechos de los afectados: necesario especificar y respetar los derechos de los titulares de datos personales. No obstante, en caso de que sean vulnerados, estos últimos han de informar a los titulares, a la Agencia de Protección de Datos, y ejecutar un plan de acción que mitigue el riesgo producido.
– No enviar comunicaciones sin el consentimiento del interesado.
– Medidas organizativas y técnicas necesarias para evitar brechas de seguridad: la normativa incluye entre sus medidas la obligatoriedad de mejorar la capacidad de prevenir y minimizar los riesgos derivados del tratamiento de la información.
– Respetar los derechos digitales de los trabajadores: se refiere a la no obligación de los trabajadores a utilizar dispositivos electrónicos con motivos profesionales fuera de su horario laboral.
Aplicar estas medidas en el entorno empresarial será cada vez más relevante, considerando los efectos esperados en las organizaciones y entornos de los nuevos avances tecnológicos, especialmente los relacionados con el desarrollo de la Inteligencia Artificial, los sistemas de identificación biométrica y la gestión federada de identidades.
Manuel Ballester Responsable del Comité de Expertos en Gobierno de Información y Tecnología del Service Management Institute SMI®
