ES Diario Oficial de la Unión Europea C 233/8

Resumen del Dictamen del SEPD sobre la manipulación en línea y los datos personales

[El texto completo del presente Dictamen está disponible en alemán, francés e inglés en el sitio web del SEPD, www.edps.europa.eu]

(2018/C 233/06)

La digitalización de la sociedad y la economía tiene efectos variados en la participación cívica en la toma de decisiones y en los obstáculos para la participación del público en los procesos democráticos.

La inteligencia de datos (big data) y los sistemas de inteligencia artificial han permitido recoger, combinar, analizar y conservar por tiempo indefinido ingentes volúmenes de datos. Durante los dos últimos decenios, el modelo de negocio dominante que ha emergido en la mayoría de los servicios prestados a través de internet se basa en el seguimiento de las personas en línea y en la recogida de datos sobre su carácter, salud, relaciones e ideas y opiniones, con miras a generar ingresos por publicidad digital. Estos mercados digitales se han concentrado en un reducido número de empresas que actúan de hecho como guardianes de internet y obtienen mayores valores de capitalización del mercado ajustados a la inflación que ninguna otra empresa en la historia.

Este ecosistema digital ha conectado a personas de todo el mundo, con más del 50 % de la población conectada a internet, si bien de forma muy desigual en términos geográficos, de riqueza y sexo. El optimismo inicial acerca del potencial de las herramientas de internet y las redes sociales para la participación cívica ha dado paso a la inquietud por que se pueda estar manipulando a las personas, primero por medio de la constante recopilación de información acerca de ellas, a menudo de carácter íntimo, y después a través del control sobre la información que consultan en línea según la categoría en la que se les inscribe. La indignación viral por muchos servicios implementados por algoritmos es un factor clave del valor, con productos y aplicaciones que se diseñan para lograr la máxima atención y adicción. La conectividad, al menos en el modelo actual, ha provocado división.

El debate consiguiente ha girado en torno a la información engañosa, falsa o grosera («contenido») que se distribuye a los ciudadanos con la intención de influir en el discurso político y en las elecciones, un fenómeno que se ha dado en llamar «noticias falsas» (fake news) o «desinformación en línea». La búsqueda de soluciones se ha centrado en la adopción de medidas de transparencia, de modo que se revela la fuente de información pero se pasa por alto la responsabilidad de los actores del ecosistema que se benefician de las conductas nocivas. Entre tanto, la concentración del mercado y la creciente dominación de las plataformas presentan una nueva amenaza para el pluralismo en los medios. Para el SEPD, esta crisis de confianza en el ecosistema digital ilustra la interdependencia de la intimidad y la libertad de expresión. La disminución del espacio íntimo de los ciudadanos, a consecuencia de la inevitable vigilancia por parte de las empresas y los gobiernos, tiene un efecto alarmante sobre la capacidad y voluntad de las personas de expresarse y establecer relaciones con libertad, también en la esfera cívica, tan esencial para la salud de la democracia. Por tanto, este Dictamen trata del modo en que se utilizan los datos personales para microsegmentar (micro-targeting) personas y grupos con el fin de ofrecerles contenidos específicos, de los valores y derechos fundamentales que están en juego, y de las leyes pertinentes para mitigar las amenazas.

El SEPD aboga desde hace años por una mayor colaboración entre las autoridades competentes en materia de protección de datos y otros reguladores, con el fin de proteger los intereses de los ciudadanos en la sociedad digital, que es el motivo por el que en 2017 creamos la Cámara de Compensación Digital. Ante la preocupación por que las campañas políticas puedan estar explotando el espacio digital para sortear las leyes vigentes (1), creemos que es el momento de ampliar esta colaboración a los reguladores electorales y audiovisuales.

1. POR QUÉ PUBLICAMOS ESTE DICTAMEN

i. Intenso debate público actual

Actualmente se está produciendo un intenso debate público sobre los efectos que tiene el inmenso y complejo ecosistema de información digital existente, no solo para la economía de mercado sino también para la economía política, es decir, cómo interactúa el entorno político con la economía. Las principales plataformas ocupan el centro de este ecosistema, lo que les permite obtener ganancias desproporcionadas gracias al crecimiento de la publicidad digital y aumentar su poder relativo según va evolucionando. Para segmentar, dirigir y personalizar los mensajes que se envían a los ciudadanos hacen falta datos personales, pero la mayoría de los anunciantes desconocen cómo se toman este tipo de decisiones y la mayoría de los ciudadanos desconocen cómo se utilizan dichos datos. El sistema recompensa el contenido sensacionalista y viral y, en general, no hace distinciones entre anunciantes, ya sean comerciales o políticos. Las revelaciones sobre cómo se ha propagado deliberadamente la desinformación («noticias falsas») a través de este sistema han provocado el temor de que la integridad de las democracias pueda estar amenazada. Los propios sistemas de inteligencia artificial —cuyo mercado también se caracteriza por la concentración— se alimentan con datos y —si no se controlan— incrementarán el distanciamiento y la falta de rendición de cuentas de los órganos de decisión en este entorno.

ii. La relevancia de la normativa de protección de datos y las campañas políticas

Los derechos fundamentales a la intimidad y a la protección de datos son claramente un factor crucial para corregir esta situación, por lo que este asunto pasa a ser una prioridad estratégica para todas las autoridades de protección de datos independientes. En su Resolución sobre el Uso de Datos Personales para la Comunicación Política, los reguladores de la protección de datos articularon sus principales inquietudes en relación con la protección de datos a escala mundial con motivo del creciente tratamiento de datos personales por actores no comerciales. Se refería en concreto al tratamiento de «datos sensibles relacionados con convicciones o actividades políticas o morales reales o supuestas, o con actividades de votación» y a «la realización invasiva de perfiles de varias personas que actualmente están clasificadas (en ocasiones de forma imprecisa o basándose en un contacto superficial) como simpatizantes, partidarios, adherentes o miembros de un partido» (2). Esta Resolución internacional llamaba a hacer cumplir con mayor rigor las normas de protección de datos sobre minimización de los datos, legitimidad del tratamiento, consentimiento, transparencia, derechos de los interesados, limitación de la finalidad y seguridad de los datos. Ahora puede ser el momento de reiterar este llamamiento.

La legislación de la UE sobre protección de datos y confidencialidad de las comunicaciones electrónicas se aplica a la obtención de datos, la elaboración de perfiles y la microsegmentación y, si se aplica correctamente, debería ayudar a minimizar los daños causados por los intentos de manipular a personas y grupos. El Reglamento general de protección de datos (RGPD) es aplicable a los partidos políticos que tratan los datos de los votantes en la Unión Europea. El RGPD establece que los datos personales que revelan opiniones políticas constituyen categorías especiales de datos. El tratamiento de este tipo de datos está en general prohibido, salvo que pueda aplicarse alguna de las exenciones previstas. En el contexto de las campañas políticas, las dos exenciones siguientes resultan especialmente pertinentes y merecen citarse íntegramente:

«d) el tratamiento es efectuado, en el ámbito de sus actividades legítimas y con las debidas garantías, por una fundación, una asociación o cualquier otro organismo sin ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindical, siempre que el tratamiento se refiera exclusivamente a los miembros actuales o antiguos de tales organismos o a personas que mantengan contactos regulares con ellos en relación con sus fines y siempre que los datos personales no se comuniquen fuera de ellos sin el consentimiento de los interesados;

e) el tratamiento se refiere a datos personales que el interesado ha hecho manifiestamente públicos; […]

g) el tratamiento es necesario por razones de un interés público esencial, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado.»

El considerando 56 aclara el artículo 9, apartado 2, letra g): «Si, en el marco de actividades electorales, el funcionamiento del sistema democrático exige en un Estado miembro que los partidos políticos recopilen datos personales sobre las opiniones políticas de las personas, puede autorizarse el tratamiento de estos datos por razones de interés público, siempre que se ofrezcan garantías adecuadas».

Varias autoridades de protección de datos han elaborado normas o directrices sobre tratamiento de datos con fines políticos:

— En marzo de 2014, la autoridad italiana de protección de datos adoptó un reglamento sobre el tratamiento de datos personales por los partidos políticos. En dicho reglamento se ponía de relieve la prohibición general de utilizar datos personales hechos públicos en internet —por ejemplo en redes sociales o foros— con fines de comunicación política, si estos datos hubieran sido recogidos con otros fines (3).

— En noviembre de 2016, la autoridad francesa de protección de datos (CNIL, por sus siglas en francés) adoptó directrices complementarias a sus recomendaciones de 2012 sobre comunicación política, en las que se especificaban normas aplicables al tratamiento de datos personales en redes sociales. En particular, la CNIL subrayó que la agregación de datos personales de los votantes a fin de elaborar perfiles sobre ellos y segmentarlos en las redes sociales solo puede ser lícito si el tratamiento de los datos parte de la base del consentimiento (4).

— En abril de 2017, la Oficina del Comisionado de Información del Reino Unido (ICO, por sus siglas en inglés) publicó una actualización de su guía para la realización de campañas políticas, que incluía también directrices sobre el análisis de datos en este contexto. La ICO explicó que cuando una organización política encarga a una empresa independiente que realice un análisis, esa empresa se convierte en la encargada del tratamiento, mientras que la organización es la responsable. Para que el tratamiento sea lícito han de respetarse determinadas disposiciones de la ley de protección de datos que regula la relación entre responsable y encargado (5).

Las directrices de las autoridades nacionales de protección de datos pueden ofrecer una interpretación autorizada adicional de las disposiciones legales sobre protección de datos e intimidad, que dé cuenta de las diferencias en la organización de los sistemas políticos nacionales (6).

iii. Finalidad del presente Dictamen del SEPD

El SEPD quiere ayudar a la UE a predicar con el ejemplo en el diálogo mundial sobre protección de datos y privacidad en la era digital identificando soluciones políticas interdisciplinares a los retos que plantean los macrodatos y desarrollando una dimensión ética del tratamiento de los datos personales (7). Hemos demandado que se trate a los interesados «como personas, no solo como consumidores o usuarios» y hemos señalado los problemas éticos que se derivan de la elaboración de perfiles predictivos y de la personalización determinada por algoritmos (8). Hemos demandado un desarrollo responsable y sostenible de la sociedad digital basado en que los interesados tengan control sobre los datos personales que les conciernen, en la ingeniería consciente de la intimidad y la rendición de cuentas y en la coherencia en la aplicación de la ley (9). En su informe de enero de 2018, el Grupo Consultivo sobre Ética del SEPD señaló que «la microsegmentación de la petición del voto electoral cambia las normas del discurso público, reduciendo el espacio para el debate y el intercambio de ideas», que «requiere urgentemente un debate democrático sobre el uso y explotación de los datos para la organización de campañas y la toma de decisiones políticas» (10).

El problema del uso de la información y los datos personales para manipular a los ciudadanos y la política va mucho más allá, sin duda, del derecho a la protección de datos. Un entorno en línea personalizado y microsegmentado crea «burbujas de filtro» que hacen que los ciudadanos estén expuestos a información que es «más de lo mismo» y encuentren menos opiniones, lo cual lleva a una mayor polarización política e ideológica (11). Aumenta la omnipresencia y la persuasión de historias falsas y conspiraciones (12). Los estudios apuntan a que la manipulación de los canales de noticias o de los resultados de las búsquedas de los ciudadanos podrían influir en su decisión de voto (13).

El SEPD quiere contribuir a garantizar que el tratamiento de datos personales, en las palabras del RGPD, sirva a la humanidad, y no al contrario (14). No es cuestión de poner trabas al avance tecnológico, sino más bien de orientarlo conforme a nuestros valores. El respeto de los derechos fundamentales, incluido el derecho a la protección de datos, es crucial para garantizar que las elecciones sean justas, especialmente dada la proximidad de las elecciones al Parlamento Europeo de 2019 (15). Este Dictamen es el último de una serie de trabajos generales del SEPD sobre la cuestión de cómo debe aplicarse la protección de datos para hacer frente a los asuntos de interés público más apremiantes. Se basa en el último trabajo del SEPD sobre los macrodatos y la ética digital y la necesidad de coordinar la regulación de una competitividad leal en los mercados (16). El Dictamen resume en primer lugar el proceso que se sigue en el uso de los datos personales para alimentar y determinar el ciclo prevalente del seguimiento digital, la microsegmentación y la manipulación. A continuación se toman en consideración los papeles que desempeñan los diversos actores en el ecosistema de la información digital. Se analizan los derechos fundamentales en juego, los principios de protección de datos aplicables y otras obligaciones jurídicas pertinentes. Concluye con la recomendación de que el problema de la manipulación en línea no va a hacer sino empeorar, que ningún planteamiento de regulación será suficiente por sí solo y que, por tanto, los reguladores necesitan colaborar con urgencia, no solo para hacer frente a abusos localizados, sino también a las distorsiones estructurales causadas por la excesiva concentración de los mercados.

7. CONCLUSIÓN

La manipulación en línea supone una amenaza para la sociedad porque las burbujas de filtro y las comunidades cerradas hacen que sea más difícil para las personas entenderse entre sí y compartir experiencias. El debilitamiento de este «pegamento social» puede socavar la democracia, así como varios derechos y libertades fundamentales. La manipulación en línea es también un síntoma de la opacidad y la falta de rendición de cuentas en el ecosistema digital. El problema es real y urgente, y seguramente empeorará a medida que se conecten más personas y cosas a internet y aumente la importancia de los sistemas de inteligencia artificial. En la raíz del problema está en parte el uso irresponsable, ilegal o inmoral de los datos personales. La transparencia es necesaria, pero no suficiente. La gestión de contenidos puede ser necesaria, pero no se puede permitir que comprometa derechos fundamentales. Por tanto, parte de la solución radica en hacer cumplir las normas ya existentes, en particular el RGPD, rigurosa y conjuntamente con otras normas aplicables a las elecciones y al pluralismo en los medios de comunicación.

Como contribución al debate, el SEPD convocará en la primavera de 2019 un seminario en el que los reguladores nacionales competentes en materia de protección de datos y legislación electoral y audiovisual podrán continuar explorando estas interacciones, analizar los retos a los que se enfrentan y estudiar las oportunidades de acción conjunta, teniendo también en cuenta las próximas elecciones al Parlamento Europeo.

En este Dictamen se argumenta que la tecnología y los comportamientos en el mercado están siendo perjudiciales a causa de desequilibrios y distorsiones estructurales. Hemos demandando que se ajusten los incentivos para innovar. Los gigantes y pioneros de la tecnología se han beneficiado hasta la fecha por operar en un entorno relativamente desregulado. Las industrias tradicionales y los conceptos básicos de jurisdicción territorial y soberanía, y también las normas sociales, incluida la democracia, se han visto afectados. Estos valores dependen de una pluralidad de voces y del equilibrio entre las partes. Ningún actor o sector puede abordar esta cuestión por sí solo. La protección de los datos es parte de la solución y tal vez una parte mayor de lo que cabía esperar. No es suficiente confiar en la buena voluntad de actores comerciales que, al final, no rinden cuentas. Necesitamos intervenir ahora para que los beneficios de la digitalización se repartan de manera más justa.

Hecho en Bruselas, 19 de marzo de 2018. Giovanni BUTTARELLI Supervisor Europeo de Protección de Datos

(1) Véase, por ejemplo, http://www.independent.co.uk/news/uk/politics/election-2017-facebook-ads-marginal-seats-tories-labour-outdated-election-spending-rules-a7733131.html [último acceso 10.4.2018].

(2) Resolución disponible aquí: https://icdppc.org/wp-content/uploads/2015/06/political_communication_resolution-spanish.pdf [último acceso 10.4.2018].

(3) http://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/3013267 «Provvedimento in materia di trattamento di dati presso i partiti politici e di esonero dall’informativa per fini di propaganda elettorale», publicado en el boletín oficial de la autoridad italiana de protección de datos, número 71, con fecha 26.3.2014 [doc. web n.o 3013267].

(4) https://www.cnil.fr/fr/communication-politique-quelles-sont-les-regles-pour-lutilisation-des-donnees-issues-des-reseaux «Communication politique: quelles sont les règles pour l’utilisation des données issues des réseaux sociaux?», publicado por la Commission Nationale de l’informatique et des libertés (Comisión Nacional de Informática y Libertades), 8.11.2016.

(5) https://ico.org.uk/media/for-organisations/documents/1589/promotion_of_a_political_party.pdf, Information Commissioner’s Office: «Guidance on political campaigning» (Guía para la realización de campañas políticas), [20170426].

(6) De acuerdo con el artículo 57, apartado 1, letra d) del RGPD, «incumbirá a cada autoridad de control, en su territorio […] promover la sensibilización de los responsables y encargados del tratamiento acerca de las obligaciones que les incumben» en virtud de dicho Reglamento.

(7) Véase «Leading by Example: The EDPS Strategy 2015-2019» (Predicar con el ejemplo: Estrategia del SEPD 2015-2019), marzo de 2015, p. 17. «El término “macrodatos”», en nuestra opinión, «se refiere a la práctica de combinar grandes volúmenes de información procedentes de fuentes diversas y analizarlos, mediante el uso frecuente de algoritmos autodidactas como método para fundamentar las decisiones. […] uno de los principales valores de los macrodatos para las empresas y los gobiernos deriva de la supervisión del comportamiento humano, a nivel colectivo e individual y reside en su potencial de predicción», Dictamen 4/2015 del SEPD, Hacia una nueva ética digital: Datos, dignidad y tecnología, 11.9.2015, p. 7.

(8) «Los perfiles utilizados para predecir la estigmatización de comportamientos de riesgo de las personas, reforzar los estereotipos existentes, la segregación y la exclusión social y cultural, en la que dicha «inteligencia colectiva» socava la elección individual y la igualdad de las oportunidades. Dichas «burbujas de filtro» o «cámaras de eco personales» podrían acabar asfixiando la creatividad, la innovación y las libertades de expresión y asociación, que han permitido el florecimiento de las tecnologías digitales», Dictamen 4/2015 del SEPD, p. 15 (referencias omitidas).

(9) Dictamen 7/2015 del SEPD, Hacer frente a los desafíos que se plantean en relación con los macrodatos, p. 9.

(10) Informe del Grupo Consultivo sobre Ética del SEPD, enero de 2018, p. 28.

(11) Véase, por ejemplo, The Economist, «How the World Was Trolled» (Cómo se troleó al mundo), 4-10 de noviembre de 2017, vol. 425, n.o 9065, pp. 21-24.

(12) Allcott H. y Gentzkow M., «Social Media and Fake News in the 2016 Election» (Las redes sociales y las noticias falsas en las elecciones de 2016), primavera de 2017. Stanford University, Journal of Economic Perspectives, Vol. 31, n.o 2, pp. 211-236. https://web.stanford.edu/~gentzkow/research/fakenews.pdf, p. 219.

(13) En uno de los experimentos, se informó a los usuarios de las redes sociales cómo habían dicho sus amigos que habían votado, lo cual dio lugar a un incremento estadísticamente significativo (0,14 % de la población con derecho a voto, unos 340 000 votantes) de la población que votó en las elecciones legislativas de 2010; Allcott H. y Gentzkow M., «Social Media and Fake News in the 2016 Election» (Las redes sociales y las noticias falsas en las elecciones de 2016), primavera de 2017, Stanford University, Journal of Economic Perspectives, Vol. 31, n.o 2, pp. 211-236, p. 219. En otro estudio, los investigadores afirmaron que las diferencias en los resultados de las búsquedas de Google podían modificar las preferencias de voto de los votantes indecisos en un 20 %; Zuiderveen Borgesius, F. & Trilling, D. & Möller, J. & Bodó, B. & de Vreese, C. & Helberger, N. (2016). «Should we worry about filter bubbles?» (¿Debemos preocuparnos por las burbujas de filtro?) Internet Policy Review, 5(1). DOI: 10.14763/2016.1.401, p. 9.

(14) Considerando 4 del Reglamento (UE) n.o 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, y por el que se deroga la Directiva 95/46/CE, en adelante, «RGPD».

(15) Como declaró el Tribunal Europeo de Derechos Humanos en el caso de Orlovskaya Iskra contra Rusia, «las elecciones libres y la libertad de expresión, especialmente la libertad de debate político, son los fundamentos de cualquier sistema democrático. Estos dos derechos están interrelacionados y se refuerzan mutuamente: por ejemplo, la libertad de expresión es una de las «condiciones» necesarias para «garantizar la libre expresión de la opinión de los ciudadanos en su elección de la legislatura». Por este motivo, resulta especialmente importante que puedan circular libremente opiniones e información de todo tipo en el período previo a unas elecciones. En el contexto de los debates electorales, que los candidatos puedan ejercer su libertad de expresión sin obstáculos es una cuestión de especial importancia» (referencias omitidas del texto), apartado 110. http://hudoc.echr.coe.int/eng?i=001-171525.

(16) 2014-Dictamen preliminar sobre intimidad y competitividad en la era de la obtención de datos masivos; 2015-Dictamen 4/2015, Hacia una nueva ética digital: Datos, dignidad y tecnología; 2015-Dictamen 7/2015, Hacer frente a los desafíos que se plantean en relación con los macrodatos: llamamiento a la transparencia, el control por parte de los usuarios, la protección de datos desde el diseño y la rendición de cuentas; 2016-Dictamen 8/2016, Dictamen del SEPD sobre el cumplimiento efectivo de la legislación en la economía de la sociedad digital.