ES Diario Oficial de la Unión Europea C 463/10

Resumen ejecutivo del Dictamen del Supervisor Europeo de Protección de Datos sobre los Sistemas de Gestión de Información Personal

(El texto completo del presente dictamen está disponible en alemán, francés e inglés en el sitio web del SEPD www.edps.europa.eu)

(2016/C 463/10)

El presente Dictamen analiza el concepto de las tecnologías y ecosistemas orientados a permitir que las personas controlen el intercambio de sus datos personales («sistemas de gestión de información personal» o «PIMS», por abreviatura de las siglas en inglés).

Nuestra visión consiste en crear una nueva realidad en la que las personas gestionen y controlen su identidad en línea. Nuestro objetivo es transformar el actual sistema centrado en los proveedores en un sistema centrado en los seres humanos y en el que las personas estén protegidas contra el tratamiento ilícito de sus datos y contra técnicas intrusivas de seguimiento y elaboración de perfiles destinadas a eludir los principios básicos de la protección de datos.

Esta nueva realidad vendrá facilitada por el nuevo marco normativo de la UE y las posibilidades que ofrece el vigoroso respaldo conjunto de todas las autoridades competentes en materia de supervisión y regulación.

El recientemente adoptado Reglamento general de protección de datos (RGPD) refuerza y actualiza el marco normativo para que siga siendo efectivo en la era de los macrodatos y refuerce la confianza de los usuarios en línea y en el mercado único digital. Las nuevas normas, incluidas las relativas a una mayor transparencia y a unos derechos de acceso y portabilidad de los datos avanzados, habilitan a los usuarios para ejercer un mayor control sobre sus datos, además de contribuir a unos mercados más eficientes para los datos personales, que beneficien tanto a los consumidores como a las empresas.

Recientemente emitíamos un dictamen sobre el respeto efectivo de los derechos fundamentales en la era de los macrodatos. El dictamen destaca las actuales condiciones del mercado y las prácticas comerciales que crean obstáculos para el ejercicio efectivo de los derechos de las personas a la protección de sus datos personales y otros derechos fundamentales, y formula un llamamiento para aplicar de manera más concertada y coherente la legislación sobre competencia, protección del consumidor y protección de datos. Esperamos que esta aplicación más estricta cree condiciones de mercado propicias en la que prosperen servicios que respeten la privacidad. El enfoque del presente Dictamen pretende reforzar los derechos fundamentales en nuestro mundo digital y, al mismo tiempo, brindar nuevas oportunidades a las empresas para que desarrollen servicios basados en datos personales innovadores y cimentados en la confianza mutua. Los PIMS prometen ofrecer no solo una nueva arquitectura técnica y organizativa para la gestión de los datos, sino también marcos de confianza y, por ende, modelos alternativos de negocio para la recopilación y el tratamiento de datos personales en la era de los macrodatos, con un mayor respeto hacia la legislación europea en materia de protección de datos.

En el presente Dictamen describimos brevemente qué son los PIMS, qué problemas se intenta resolver y cómo hacerlo. A continuación, analizamos cómo pueden contribuir a proteger mejor los datos personales y los problemas con los que se enfrentan. Por último, identificamos maneras de aprovechar las oportunidades que brindan. Para que prosperen los nuevos modelos de negocio basados en la protección de datos es posible que resulte necesario aportar incentivos adicionales a los proveedores de servicios que los ofrecen. Habría que analizar, en particular, qué iniciativas políticas podrían incitar a los responsables del tratamiento a aceptar esta forma de provisión de datos. Además, una iniciativa de los servicios públicos para aceptar los PIMS como fuente de datos, en lugar de su recopilación directa, podría añadir masa crítica para la aceptación de los PIMS.

El entorno emergente de los PIMS, orientado a que los usuarios y consumidores recuperen el control sobre sus datos personales, es merecedor de examen, de apoyo y de nuevas investigaciones con el fin de contribuir a un uso sostenible y ético de los macrodatos y para aplicar de forma efectiva los principios del recién adoptado RGPD.

I. LOS PIMS: ¿COMPARTIR DATOS, COMPARTIR BENEFICIOS?

1. Las condiciones actuales para el tratamiento de datos personales a menudo no son equitativas para las personas cuyos datos son objeto de tratamiento. Las condiciones legales y las herramientas técnicas dificultan a las personas el ejercicio de sus derechos y permiten a los responsables del tratamiento limitar su responsabilidad. Los agentes de datos, redes de publicidad, proveedores de redes sociales y otros actores corporativos cuentan con expedientes cada vez más completos sobre las personas que participan en la sociedad digital de hoy en cía, y las personas están perdiendo el control sobre las huellas digitales que dejan a su paso. Las personas son seleccionadas, perfiladas y evaluadas por actores que escapan a su control o incluso a su conocimiento, pueden sentirse indefensas, y por ello necesitan estar en condiciones de recuperar el control sobre su identidad. Incluso cuando se les proporciona algún tipo formal de «aviso» y la oportunidad para «aceptar» determinados términos y condiciones, las personas a menudo se encuentran dentro de un sistema diseñado para maximizar la monetización de los datos personales, lo cual deja a los interesados sin opción o capacidad real de control.

2. La Comunicación de la Comisión Europea sobre los macrodatos (1) establece un plan de acción destinado a la protección tanto de los datos personales como de los consumidores. Este plan recomienda el uso de «espacios de datos personales» como lugares seguros y protegidos centrados en los usuarios para almacenar datos personales y posiblemente permitir el acceso de terceros a dichos datos. Coincidimos en que es necesario promover herramientas digitales y modelos de negocio innovadores basados en la potestad de las personas. Estas pueden permitirles beneficiarse de este intercambio de datos, es decir, participar en el uso y la distribución de su información personal.

3. En nuestro Dictamen «Hacer frente a los desafíos que se plantean en relación con los macrodatos» (2) exponíamos que debemos complementar la obligación legal del consentimiento efectivo con un control real en la práctica sobre la información personal. Señalábamos que «en lugar de una carga administrativa, la concesión de derechos de acceso puede convertirse en una característica del servicio que se presta a los clientes», y que las organizaciones que se basan en la explotación de «macrodatos» deben «estar dispuestas a compartir la riqueza creada por el tratamiento de datos personales con las personas cuyos datos son objeto de dicho tratamiento». En ese contexto indicábamos que «los almacenamientos de datos personales podrían contribuir a responder a algunas de las objeciones que plantea la pérdida de control sobre los datos personales por parte de los interesados». El recientemente adoptado Reglamento general de protección de datos (RGPD) (3) ha reforzado la obligación legal del consentimiento (4) e introduce principios eficaces y modernos de protección de datos desde el diseño y por defecto (5), así como un nuevo derecho a la portabilidad de los datos (6). Para que este nuevo marco deprotección de datos cumpla su promesa necesitamos dotarnos de herramientas prácticas que permitan a las personas ejercer sus derechos de manera cómoda y manejable.

4. El presente Dictamen explora las nuevas tecnologías y ecosistemas orientados a permitir a los interesados controlar la recopilación y el intercambio de sus datos personales. Denominaremos a este concepto «sistema de gestión de información personal» («PIMS», por sus siglas en inglés) (7). El concepto de PIMS ofrece un nuevo enfoque, en el cual los interesados son los titulares de su propia información personal. Puede crear un cambio de paradigma en la gestión y tratamiento de los datos personales que lleva aparejadas consecuencias sociales y económicas. En cambio, el actual entorno de servicios en línea se caracteriza por contar con un reducido número de proveedores de servicios que dominan el mercado al monetizar//comercializar los datos de los usuarios a cambio de servicios «gratuitos». A menudo va acompañado de un desequilibrio de poder, en el que al cliente solo le queda «tomarlo o dejarlo», y de una asimetría de información entre los proveedores del servicio y los usuarios, con muy poca o ninguna transparencia para los interesados sobre cuál es el destino de sus datos personales.

5. La idea básica del concepto de PIMS es transformar el actual sistema centrado en los proveedores en un sistema centrado en los usuarios de manera que estos puedan gestionar y controlar su identidad en Internet (8). En principio, los interesados deben estar en condiciones de decidir si desean compartir su información personal y con quién, para qué fines, durante cuánto tiempo y hacer un seguimiento de los mismos y retirarlos de circulación si así lo desean. Vale la pena estudiar el modo en que los PIMS podrían ayudar a responder a algunas de las objeciones que plantea la pérdida de control sobre los datos personales por parte de los interesados, que es una de las principales objeciones en contra de los macrodatos (9).

6. Este enfoque pretende reforzar los derechos fundamentales de nuestro mundo digital y, al mismo tiempo, brindar nuevas oportunidades a las empresas para que desarrollen servicios basados en datos personales innovadores y cimentados en la confianza mutua. Los PIMS prometen ofrecer una nueva arquitectura técnica y una organización para la gestión de datos capaz de generar marcos de confianza. Confían en permitir la creación de modelos de negocio alternativos para la recopilación y tratamiento de datos personales en la era de los macrodatos, de una manera más respetuosa con la legislación europea en materia de protección de datos.

7. En el presente Dictamen describimos brevemente qué son los PIMS, los problemas que pretenden resolver y el modo de hacerlo (10). Analizamos cómo pueden contribuir a proteger mejor los datos personales y los retos a los que se enfrentan. Por último, identificamos maneras de aprovechar las oportunidades que brindan.

IV. CONCLUSIONES Y PASOS QUE DEBEN SEGUIRSE

4.1. Hacia la plena aplicación del RGPD – Oportunidades

54. Como ya hemos señalado, el legislador de la UE adoptó recientemente un paquete de reformas en materia de protección de datos que refuerza y moderniza el marco normativo para que siga siendo eficaz en la era de los macrodatos.

55. El nuevo RGPD, que incluye normas relativas a una mayor transparencia y sólidos derechos de acceso y portabilidad de datos, debe ayudar a los interesados a ejercer un mayor control sobre sus datos, además de contribuir a que los mercados de datos personales sean más eficientes en beneficio de los consumidores y las empresas por igual.

56. Los códigos de conducta y los planes de certificación contemplados en el RGPD son instrumentos privilegiados para conferir una visibilidad y un papel concretos a las tecnologías y productos que —como los PIMS— pueden servir para aplicar de forma más efectiva la legislación sobre protección de datos en la práctica.

57. No obstante, los PIMS se enfrentan a la dificultad general de penetrar un mercado dominado por los servicios en línea basados en modelos de negocio y arquitecturas técnicas en los que los usuarios no tienen control sobre sus datos, como se explica en el apartado 3.9. Para pasar a una situación en la que los interesados tengan la posibilidad efectiva de brindar acceso a un proveedor de servicios a determinados datos de su PIMS, en lugar de facilitarle datos directamente, será necesario ofrecer incentivos adicionales a los proveedores de servicios. La Comisión podría utilizar las iniciativas que ha anunciado en relación con los flujos y la titularidad de los datos (11) a fin de analizar qué otras iniciativas políticas podrían incitar a los responsables del tratamiento para que acepten esta manera de presentar datos. Por otra parte, una iniciativa de los servicios de administración electrónica para aceptar los PIMS como fuente de datos, en lugar de la recopilación directa, podría añadir masa crítica para la aceptación de estos sistemas.

58. Este análisis podría complementarse mediante medidas destinadas a sentar las bases técnicas, sociales y económicas, incluidas labores de normalización, incentivos económicos y promoción de la investigación y los proyectos piloto.

59. La Unión Europea y las administraciones públicas de los Estados miembros, y los proyectos cofinanciados por estas, son los primeros lugares en los que debería ponerse a prueba, fomentarse y, de ser posible, llevarse a cabo este cambio de perspectiva.

4.2. Apoyar los PIMS y sus tecnologías subyacentes para lograr una efectiva protección de datos

60. Una buena normativa, aunque crucial, no es suficiente en sí misma. Como indicamos en nuestro Dictamen «Hacer frente a los desafíos que se plantean en relación con los macrodatos» (12), las empresas y otras organizaciones que invierten considerables esfuerzos en encontrar formas innovadoras de utilización de los datos personales deberían emplear esa misma capacidad innovadora a la hora de aplicar los principios de protección de datos.

61. La aportación de la tecnología al modelo de los PIMS es fundamental. Los PIMS pueden servir para poner a prueba la protección de datos mediante enfoques de diseño y las tecnologías que los sustentan. Algunos temas de estudio que requieren un apoyo e inversión adecuados son: la gestión de identidades interoperable y compatible con la privacidad, los mecanismos de autorización, la interoperabilidad de datos, la seguridad de los datos y los mecanismos para el cumplimiento automático de «contratos» establecidos entre los interesados y otras partes. Todo ello se apoya en la criptografía y la codificación, y viene impulsado por la abundante oferta de capacidad de proceso. En esta fase inicial, es necesario el apoyo decisivo de los responsables de la formulación de políticas, como la Comisión, a la investigación fundamental y aplicada en el ámbito de estas tecnologías, a fin de no perder las oportunidades que se brindan en la actualidad.

62. A fin de fomentar la investigación y el desarrollo y la introducción en el mercado de los PIMS, recomendamos que la Comisión planifique las posibles sinergias con otros ámbitos de la estrategia para el Mercado Único Digital, como la computación en la nube y el Internet de las cosas. De este modo se podrían llevar a cabo proyectos piloto para desarrollar y poner a prueba la interacción de los servicios en la nube y el Internet de las cosas con los PIMS.

4.3. Cómo acelerará el SEPD este debate

63. El SEPD pretende contribuir a promover los esfuerzos privados y públicos en la dirección antes descrita. Seguiremos facilitando los debates, incluso mediante la organización de eventos y talleres, por ejemplo, con miras a identificar, fomentar y promover buenas prácticas destinadas a incrementar la transparencia y el control de los usuarios, y explorar las oportunidades que brindan los PIMS. También seguiremos facilitando la labor de la Red de Ingeniería de la Privacidad en Internet (IPEN, por sus siglas en inglés), en su calidad de plataforma de conocimientos interdisciplinarios para técnicos y expertos en privacidad. En este contexto, seguiremos ofreciendo una plataforma para que los desarrolladores y promotores de PIMS se beneficien de intercambios con especialistas en otras tecnologías y en protección de datos.

Hecho en Marrakech, el 20 de octubre de 2016. Giovanni BUTTARELLI Supervisor Europeo de Protección de Datos

(1) Comunicación de la Comisión: Hacia una economía de los datos próspera, COM(2014)442 https://ec.europa.eu/digital-single-market/en/news/communication-data-driven-economy.

(2) Dictamen 7/2015 del SEPD. https://secure.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/Documents/Consultation/Opinions/2015/15-11-19_Big_Data_EN.pdf. Véase, más concretamente, la sección 3.

(3) Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) (DO L 119 de 4.5.2016, p. 1).

(4) Véanse, entre otras cosas, el artículo 6, apartado 1, letra a), los artículos 7 y 8, y los considerandos 42 y 43, del RGPD.

(5) Artículo 25 del RGPD.

(6) Artículo 20 del RGPD.

(7) Entre los conceptos afines se encuentran «almacenes de datos personales», «espacios de datos personales» o «depósitos de datos personales». En el presente Dictamen utilizaremos el término «PIMS», ya que parece describir mejor el concepto de una forma general y fácilmente comprensible. Por el modo en que se utiliza en el presente Dictamen, la abreviatura «PIMS» puede ser singular o plural, es decir sistema o sistemas de gestión de información personal.

(8) Véase el considerando 7 del RGPD: «Las personas físicas deben tener el control de sus propios datos personales». Véase igualmente, por ejemplo, Doc Searls, The Intention Economy: When Customers Take Charge (Boston: Harvard Business Review Press, 2012).

(9) Véase, por ejemplo, Ira S. Rubinstein, Big Data: The End of Privacy or a New Beginning? International Data Privacy Law, 2013, Vol. 3, n.o 2.

(10) Véase, por ejemplo, el informe sobre los almacenes de datos personales elaborado por la Universidad de Cambridge para la Comisión Europea: https://ec.europa.eu/digital-single-market/en/news/study-personal-data-stores-conducted-cambridge-university-judge-business-school.

(11) Comunicación: Digitalización de la industria europea. Aprovechar todas las ventajas de un mercado único digital http://europa.eu/rapid/press-release_MEMO-16-1409_en.htm (en inglés).

(12) Dictamen 7/2015 del SEPD, citado anteriormente.