Identidad digital y su protección

La normativa vigente en materia de protección de datos no ofrece actualmente suficientes herramientas de protección para los ciudadanos, sobre todo, en caso de creación de perfiles o ‘profiling’.

Conviene que la regulación garantice los derechos de los ciudadanos, pero abogaría, también, por una pedagogía social sobre qué significa tener una identidad digital y cómo protegerla.

"Stop worrying about privacy, start caring about identity". Así se titula el artículo que publicó Lawrence I.

Lerner http://revolutionaryinnovator.com/, en el magazine "The wired" (http://www.wired.com/2013/07/stop-worrying-about-privacy-and-start-caring-about-identity/) en julio de 2013. 

La tesis del autor, a la vista del caso Snowden, es que, en la era digital, la privacidad o intimidad de las personas se ve sacrificada, supuestamente, en interés de su seguridad; por ello, y ante lo inevitable de la existencia de una identidad digital más o menos desarrollada (¿quién no ha comprado en Amazon o no tiene una cuenta "gmail" o "hotmail", o no hace seguimiento de su cuenta bancaria "online" o no pide una cita con el médico de cabecera a través de la web del centro de atención primaria o para pasar la ITV, aunque no "exista" en "facebook" o no utilice "whatsApp"?), el ciudadano debe empezar a ser consciente de dicha identidad y de la huella digital imborrable que va dejando al interactuar en la red, razón por la que debe (i) valorar los datos que entrega; (ii) aprender a manejar debidamente su "privacy" o intimidad en el mundo "online", discriminando la información que se facilita a distintas entidades o creando distintas identidades digitales y (iii) saber cuándo consiente al tratamiento de los datos que cede y para qué fines. Para contextualizar la relevancia de su tesis, el autor afirma que "big data and data privacy will be key themes for the 2016 U.S. Presidential election".

Atractivo artículo que colisiona frontalmente con un significativo comentario que me hizo un representante de una importante empresa del sector de las TIC en el Mobile World Congress, celebrado el pasado mes de febrero en Barcelona: "es una pena que exista la normativa en materia de protección de datos". Imagino que en su entusiasmo por informarme sobre las capacidades que la tecnología desarrollada por su compañía ofrecía al mundo "smart" y, en concreto, al desarrollo de las "smart cities", no valoró suficientemente el alcance de su manifestación.

Todos sabemos que la consolidación de los proyectos "smart city" pasa, inexorablemente, por la existencia de proyectos atractivos que, planteados desde el sector público, atraigan al sector privado por ofrecer un modelo de negocio atractivo y financiable por el mercado. La colaboración entre el sector público y el sector privado es, pues, inevitable, como todos sabemos. Y no hay vuelta atrás: las ciudades están avocadas a incorporar las TIC en la prestación de los servicios públicos locales. Sin embargo, en este nuevo ecosistema de relaciones, no sólo tienen protagonismo la Administración y las empresas del sector privado (incluyendo el sector financiero). Los ciudadanos se erigen en protagonistas principales del desarrollo de los proyectos "smart city". Ellos deben ser el centro en la toma de decisiones y en la normativa que regule los distintos ámbitos que puedan verse afectados por la implementación de tales proyectos, como por ejemplo, en lo relativo a protección de datos de carácter personal, pues afecta a un Derecho fundamental de las personas.

El consenso en el sector es unánime, tal y como se pudo comprobar en el Smart City Congress del año pasado: deben establecerse los mecanismos necesarios para hacer partícipe al ciudadano de los proyectos "smart" que un municipio quiera desarrollar, pues el ciudadano es el mejor conocedor de las necesidades de su ciudad ("bottom up approach"). Su participación, sin embargo, no se limita a los estadios iniciales de los proyectos, a efectos de conocer necesidades de interés general, sino que muchas aplicaciones para una prestación más eficiente de servicios a nivel local se nutren de la información que los ciudadanos, de forma consciente o inconsciente, facilitamos y distribuimos al mundo "online" a través de nuestros dispositivos inteligentes (principalmente, tabletas y "smart phones") o que, por razón del cumplimiento de obligaciones legales, entregamos a la propia Administración, que termina convirtiendo dicha información en "open data". El ciudadano debe saber que es posible reutilizar esta información hasta el punto de poder extraer de la misma comportamientos, hábitos y perfiles que, supuestamente, están desvinculados de los individuos que la facilitan, pero que, si no se garantiza el cumplimiento de la normativa en materia de tratamiento de datos a la hora de obtener dicha información –principalmente, en punto a la obtención del consentimiento-, se pone en riesgo el Derecho fundamental a la protección de datos de carácter personal garantizado por el artículo 18.4 de la Constitución Española.

Conceptos como "big data", "open data", "smart data", "identity data", "people data", "profiling", "data mining", "social media data", "geo-location", "pesudonymous data", entre otros, están relacionados con la cesión datos personales a terceros, ya sea para el interés común ("open data", por ejemplo, que facilitan las Administraciones Públicas) como para el interés particular y lucrativo del sector privado. Es legítimo preguntarse si nuestros ciudadanos de a pie son conocedores de estos conceptos, si tienen certeza de las veces que han consentido con un "click" en su "smart phone" para que una aplicación utilice, por ejemplo, sus datos de geo-localización, de las finalidades del uso de tales datos y su posible reutilización. Es muy probable que no sean conscientes de ello. Incluso es posible que aquellos que nos consideramos más "techies", tampoco lo seamos del todo. ¿Quién se lee la letra pequeña y las reglas de privacidad al abrir una cuenta "gmail" o darse de alta en "facebook" o "google+" o tener una cuenta "itunes"? O más allá del puro entretenimiento, y sin ninguna voluntad de alarma, sino de simple ejercicio intelectual: ¿qué uso puede darse a los datos almacenados "online" que sobre nuestra salud custodian los centros sanitarios, tanto públicos como privados? ¿Para qué finalidades se pueden tratar? ¿Las hemos consentido todas? O, respecto de la llamada "open data" o "información abierta", ¿estamos seguros que un proceso de "data mining" no permitiría relacionar tal información con una persona concreta?

Al final, todo se reduce a cómo se obtienen, se analizan y se tratan los big data, ya sea por el sector privado o por el sector público, en el desarrollo de proyectos "smart city" o en el desarrollo de actividades comerciales o de otro tipo. La normativa vigente en materia de protección de datos no ofrece actualmente suficientes herramientas de protección para los ciudadanos, sobre todo, en caso de creación de perfiles o "profiling" (para evitar su invisibilidad y garantizar la protección de los datos personales que se facilitan a estos efectos) o para garantizar la transparencia en el uso de esta información. El concepto de "perfil de consumidor" o "perfil de cliente" no es único del sector privado. En el ámbito de las Administraciones Públicas, y para una mejor y más eficiente prestación de servicios de interés general de ámbito local, puede crearse el "perfil de ciudadano" o "perfil de consumidor" de servicios locales, a partir de datos que los propios ciudadanos podemos facilitar a las autoridades a través de nuestra relación con las mismas o a través de aplicaciones informáticas creadas a tales efectos. Es evidente el enfrentamiento que puede existir entre esta herramienta y el Derecho fundamental a la protección de datos de carácter personal, si no se establecen los límites pertinentes. Estas son algunas de las cuestiones más polémicas a las que se tiene que enfrentar la reforma de la normativa comunitaria en materia de protección de datos. Reforma, por otra parte, que no puede realizarse partiendo de las premisas que fundaron la legislación primitiva en un entorno en el que la identidad y la huella digitales no existían. La nueva regulación tiene revisar tales premisas y adaptarse al entorno digital, en el que se crean nuevas necesidades y hay que proteger nuevos bienes jurídicos. Así lo ha puesto de manifiesto el documento "La protección de datos de carácter personal en las ciudades inteligentes ("Smart cities")", elaborado en febrero de 2013 por la Autoritat Catalana de Protecció de Dades (http://www.apd.cat/media/2724.pdf).

Sin embargo, con independencia de que el legislador comunitario adopte medidas para garantizar la protección del Derecho fundamental a la protección de datos de carácter personal, si el ciudadano no es consciente de los riesgos reales y potenciales que asume al crear su identidad digital, de poco servirán las medidas que se adopten. Y cuando hablamos de "ciudadano" no nos estamos refiriendo únicamente a los jóvenes que han crecido con el desarrollo de las TIC y de la sociedad de la información, sino que también hablamos, por poner un ejemplo, de la tercera edad, colectivo avocado a tener una identidad digital, como señala Lerner. Conviene que la regulación garantice los derechos de los ciudadanos, pero abogaría, también, por una pedagogía social, sobre qué significa tener una identidad digital y cómo protegerla, a realizar por las autoridades, especialmente cuando la cesión de datos personales se realiza a favor de proyectos "smart city" para el beneficio general de todos los ciudadanos.