El gran banco de la información
Comentas en una red social, opinas en un blog, te registras en una página de compra-venta de muebles usados…
Todo (o casi) va a parar a un inmenso, infinito e intangible banco de información.
La era global lo hace posible. Es el gran hermano de internet.
Simplemente, porque habitamos un mundo hiperconectado.
Cualquier acción deja ‘huella’, y ese rastro es aprovechado por personas (físicas o jurídicas) a las que por diversos motivos les interesa esa información.
Gigantes como Facebook, Apple, Amazon y tantos otros lo saben muy bien…
¿Hasta dónde puede llegar a meterse este ‘Gran Hermano’ en nuestras vidas?
Cuando estamos en casa, echamos las cortinas para que no nos vean.
Y sin embargo hacemos esa realidad pública a través de redes sociales.
Parece evidente que gran parte de nuestros ‘datos’ en Internet están a la venta…
Las leyes cada vez son más restrictivas en cuanto a la protección de datos, pero a su vez, son más difíciles de cumplir.
Una ley difícil de cumplir se incumplirá sistemáticamente.
Por ello recomendamos que la gente sea consciente de que se está haciendo negocio con los datos que se generan.
Pensamos que somos suficientemente insignificantes como para que nadie esté interesado en nosotros… pero los ataques al respecto los realizan máquinas, no personas, y por tanto van dirigidos a millones de personas, y también a nosotros.
¿Cómo afecta el RGPD a la ciencia de los datos?
Como vemos, Big Data y RGPD van unidos de la mano.
Mientras que el primero se centra en recopilar, tratar y gestionar la información, el segundo nace con el objetivo de proteger los datos personales que el primero maneja.
Al poner los derechos del individuo en el centro de todas las cosas, deberían cambiar tanto los procesos empresariales y flujos de trabajo bien arraigados, como los hábitos y mentalidades asociados.
El RGPD impacta en la ciencia de datos en varias áreas diferentes:
- En primer lugar, existen límites impuestos a la manera en que las empresas perfilan a los clientes y procesan los datos personales.
- Dependiendo de cómo lo defina, esa es una gran parte del trabajo que debe realizar un científico de datos.
- En el RGPD se determina que el perfil es cualquier tipo de procesamiento automático de datos personales que analiza o predice ciertos aspectos del comportamiento, la situación socioeconómica, los movimientos, las preferencias, la salud, etcétera, de un individuo.
Los puntos críticos del RGPD
Aunque en términos generales, el RGPD no es una norma difícil de cumplir, siempre y cuando se tenga una cierta experiencia en el cumplimiento de las normas de privacidad, introduce algunas cuestiones nuevas que pueden ser complicadas.
Seudonimización / disociación
El seudonimizar o disociar a través de funciones hash, significa desarrollos «ad hoc» que no siempre son sencillos y que requieren una inversión que las empresas, muchas veces, no están dispuestas a asumir.
No olvidemos que el RGPD no obliga a esta medida, sino que la expone como una recomendación a través de la fórmula
“se aplicarán medidas técnicas y organizativas para que tengan una buena relación con el riesgo, que en su caso corresponda, entre otros…».
Análisis de riesgos
Nuestro país no está acostumbrado a la realización de análisis de riesgos, salvo en contadas excepciones.
De ahí que la responsabilidad activa, en relación con el riesgo, es un concepto muy fácil de entender, pero difícil de ejecutar.
Brechas de seguridad
Las brechas de seguridad en nuestra organización hay que comunicarlas a la AEPD.
Está siendo realmente complicado comunicarse en 72 horas con la autoridad de control, por motivos fundamentales.
Hay multitud de ocasiones donde se sabe que algo ha ocurrido, pero no se sabe a ciencia cierta el qué, y requiere una investigación.
Consentimiento / información
Si bien, el cambio a consentimiento expreso, ha supuesto un cambio de mentalidad importante, no supone una gran dificultad.
La gran dificultad está en los entornos digitales y en el mundo de las cookies u otros sistemas que nos permiten la trazabilidad del comportamiento del usuario, debido a que no siempre es fácil saber si se ha accedido a su información, porque ni siquiera los titulares de las webs (los editores) lo saben.
Esperemos que el reglamento e-privacidad arroje luz en el respeto, y establezca las responsabilidades en los sistemas como los DMPs / DSPs, donde hay multitud de actores que tratan la información para sus propias finalidades.
Elaboración de perfiles
En la teoría, si se elabora un perfil, una organización debe:
- notificarlo a la persona involucrada
- enumerar las posibles consecuencias
- dar la oportunidad de optar por no participar.
Esto se aplica a los eventos en los que existe un objetivo comercial legítimo para el perfil (que no infringe los derechos de un individuo), como cuando un procesador de tarjeta de crédito puede usar datos personales para determinar el límite de crédito de una persona.
Cuando se está llevando a cabo la creación de perfiles, las empresas deben evitar que los factores discriminatorios (como la raza, la política o las creencias religiosas) tengan un efecto en las personas.
El sesgo puede ser un gran problema en muchos algoritmos de aprendizaje automático.
Anonimización de datos
La anonimización de los datos sensibles es un punto clave.
Hay que enfrentarse a varios problemas:
- de volumen (el consentimiento de todos los clientes)
- tecnológicos (procesar y ordenar todo de forma correcta)
- de negocio (evaluar quién y cómo se explotan los datos)
Separar el grano de la paja
Dado que RGPD protege y afecta a los datos personales, ¿qué pasa con aquellos que no lo son?
Los conjuntos de Big Data a menudo incluyen datos personales y, en muchos casos, no es posible separar los que lo son, de los que no lo son.
Dada la precisión y confiabilidad de cualquier conjunto de datos particular que puede no ser exacto, sino direccionalmente representativo, el punto de partida de esta disciplina es contrario a un principio fundamental del RGPD: que la exactitud de los datos personales de un sujeto, en posesión de una organización, debe mantenerse y protegerse.
Además, el artículo 22 de la GDPR prohíbe el procesamiento automático, incluida la elaboración de perfiles, cuando dicho procesamiento tenga un efecto legal en un interesado o, de manera similar, afecte significativamente al interesado.
Riesgos para la privacidad
Algunos de los riesgos de privacidad particularmente pronunciados en el contexto de los perfiles de Big Data incluyen:
- Procesamiento de datos personales fuera del propósito para el cual fue recolectado
- Uso de información incorrecta y / o desactualizada
- Discriminación o parcialidad contra ciertos individuos o grupos como resultado de la aplicación de ciertos algoritmos de generación de perfiles
- Procesamiento de datos personales en exceso de lo que se necesita para procesarlo
Debido a que el procesamiento automático conlleva riesgos tan altos para la privacidad, el RGPD, en principio, lo prohíbe, excepto cuando se realiza en base al consentimiento (explícito); o es necesario celebrar o llevar a cabo un contrato, siempre que los interesados puedan impugnar una decisión automática, y obtener la conformidad de las personas implicadas.
¿Consentimiento explícito?
Dado que las organizaciones ya han acumulado grandes cantidades de datos, y el RGPD no se aplica solo a conjuntos de datos creados en el futuro, sino también a aquellos que ya existen, ¿cómo se puede obtener el consentimiento explícito requerido para usos específicos de un conjunto de datos que ya existe, y que ya está en uso?
Para ello, es imperativo que las empresas revisen su uso actual de perfiles y procesos, y las prácticas de procesamiento automatizado.
En cualquier caso, lo que hay que conseguir para que las empresas sean más respetuosas, es que el ciudadano sea consciente del tratamiento diario que se realiza de sus datos, cuando navega en internet de forma masiva.
Hasta que eso no se consiga, los ciudadanos ni siquiera son conscientes de que sus derechos están siendo arrollados.
Claramente, existen algunos desafíos específicos para conciliar los principios de protección de datos establecidos en RGPD con las características del análisis de Big Data.
Sin embargo, estos no son insuperables, ni incongruentes con los objetivos del nuevo reglamento, como descubrirán las grandes empresas.
