Mecanismos de disociación de los datos personales y el "Internet de las cosas"

La disociación de los datos personales está adquiriendo un papel fundamental para las empresas cuyos modelos de negocio están basados en el llamado “Internet de las cosas” o las tecnologías “Big Data”.

Fenómenos como el “Big Data” o el “E-Health”, están suponiendo para las empresas inmersas en dichas formas de negocio todo un reto en cuanto al cumplimiento de la normativa de protección de datos de carácter personal se refiere. El núcleo central que comparten estas tecnologías o modelos de negocio es que conllevan el tratamiento de los datos personales de los clientes o usuarios más allá de las finalidades para los cuales los mismos se recabaron. Así, las empresas, en su calidad de responsables de los datos, podrán llevar a cabo dichos tratamientos mediante, al menos, dos vías: (i) la obtención de un consentimiento previo que implicará el cumplimiento ex ante; o (ii) la utilización de mecanismos de disociación que hagan que los titulares de los datos no sean identificables en modo alguno.

Debemos tener en cuenta que uno de los principales elementos para mejorar la protección de la privacidad en el marco del “open data” (basada tanto en la estadística como el análisis de los datos), que carece de una normativa suficientemente desarrollada, es establecer unos sistemas de disociación adecuadamente diseñados, permitiendo una correcta gestión de los datos almacenados.

Por otro lado, resulta preciso destacar el gran desarrollo de los “wearables”, lo que implica que todos los elementos que los consumidores utilicen (por ejemplo, relojes o ropa) almacenen datos de carácter personal que se utilicen para adaptar esos dispositivos a sus gustos o preferencias o incluso para analizar futuras tendencias de mercado para ciertos grupos de población.

En lo que respecta al “E-Health”, que consiste en la introducción de sistemas de tecnologías de la información y las comunicaciones en la prestación de servicios sanitarios, se debe tener en cuenta que los datos de salud, al ser datos que están especialmente protegidos, podrían causar una injerencia mayor en la privacidad de los pacientes si no son tratados adecuadamente. Aunque no en este contexto tecnológico actual, la Agencia Española de Protección de Datos ya ha tenido oportunidad de manifestar en diversas ocasiones su posicionamiento en relación con la disociación de datos en el marco de, por ejemplo, los ensayos clínicos.

Para conseguir que un dato personal se convierta en un dato disociado resulta preciso que la identidad del sujeto quede completamente e irreversiblemente desligada de los datos obtenidos tras un procedimiento de disociación. A nivel comunitario, el Grupo de Trabajo del Artículo 29 ha indicado que una vez realizado el proceso, debe ser “irreversible” la identificación de la persona, no pudiendo re-asociar los datos con un sujeto. Este concepto resulta de difícil aplicación práctica, teniendo en consideración que, en la mayoría de los casos, las empresas tecnológicas cuentan con algoritmos suficientes que permiten revertir el proceso. Por este motivo, cuanto mayor sea el conjunto de datos disociados que sea objeto de tratamiento, más difícil será que el procedimiento sea reversible.

El precitado Grupo de Trabajo, en su Dictamen 5/2014, sobre técnicas de anonimización, propone atender a tres criterios que ayudarán a saber el grado de robustez de la técnica aplicada, esto es, la singularización, la vinculabilidad y la inferencia. Asimismo, destaca que la pseudonimización (sustitución de un atributo por otro en un registro) puede considerarse como una medida de seguridad útil, pero no como una técnica de anonimización, ya que puede permitir fácilmente la identificación del sujeto. En el Dictamen se hace hincapié en que lo óptimo sería combinar varias técnicas de anonimización para obtener un resultado mucho más robusto y sólido.

Con carácter previo a la publicación del referido Dictamen 5/2014, el Information Comissioner’s Office de Reino Unido, ya publicó un código de buenas prácticas en el que, con ejemplos prácticos, explicaba como debían ejecutarse dichos procedimientos de anonimización.

En cualquier caso, posicionamientos como los del Grupo de Trabajo del Artículo 29 no eliminarían la necesidad de que los procedimientos de disociación deban ser analizados caso por caso desde una perspectiva legal, más aun teniendo en cuenta que la normativa puede no ser capaz de alcanzar los avances tecnológicos en este campo.