¿Qué es una auditoría RGPD?

La auditoría RGPD evalúa el tratamiento de datos de carácter personal que gestiona la organización, quiénes son los responsables de su tratamiento y para qué finalidad se recogen los datos.

La realización de la auditoría facilita la adaptación de la organización al RGPD, ya que gracias a ella se conoce en profundidad el carácter de los datos que se gestionan y su adecuado tratamiento y las medidas de seguridad que se deben de implementar.

Las empresas y organizaciones son ahora las que deben diseñar y evaluar las medidas necesarias para garantizar el cumplimiento teniendo en cuenta la actual normativa, según el principio de “accountability” (o de responsabilidad proactiva) lo que se traduce en la asunción directa de responsabilidad por parte de las organizaciones en el cumplimiento de las disposiciones normativas en materia de protección de datos y en su capacidad para demostrar dicho cumplimiento.

¿Para qué se realiza una auditoría RGPD?

Con la auditoría se puede comprobar el nivel de seguridad de la organización para adecuar el nivel de seguridad para los datos personales que gestiona.

Toda la información recogida en la auditoría se entrega en un informe, que es el documento que indica las medidas de seguridad a adoptar para cumplir con la normativa.  También recoge los puntos débiles de la organización y las mejoras que se deben implementar.

El informe también recoge cómo preparar a los trabajadores en materia de protección de datos o la necesidad de designar un delegado de protección de datos.

En resumen, los objetivos de la auditoría de Protección de Datos son: 

1. Verificar las medidas de seguridad.
2. Constatar posibles deficiencias en el tratamiento de datos personales y establecer acciones correctoras.
3. Indicar recomendaciones de mejora sobre las propias medidas de seguridad, en un proceso de mejora continua y actitud proactiva.
4. Estudiar en detalle flujos de datos personaleso procedimientos internos en los que la RGPD tiene un especial impacto, para ajustarlos a la normativa.
5. Concienciar y preparar al personal sobre el correcto tratamiento de datos personales, asegurando de esta forma la protección y los derechos de los afectados.

El RGPD, aunque no regula expresamente las auditorías en Protección de Datos, se refiere a ellas en varios de sus artículos, entre otros, en el art. 24.1 en el que se establece la obligación del responsable de revisar las medidas técnicas y organizativas implantadas a fin de poder demostrar que el tratamiento es conforme con el RGPD o en el art. 32.1 d) en el que se establece la necesidad de realizar un proceso de verificación y evaluación regular de la eficacia de las medidas técnicas y organizativas implantadas con la finalidad de garantizar la seguridad del tratamiento.

¿Es obligatorio realizar una auditoría RGPD?

La realización de una auditoría RGPD en sí no es obligatoria. No obstante, para analizar qué nivel de seguridad presenta nuestra organización y si el mismo es o no suficiente, es necesario realizar una auditoría exhaustiva.

Teniendo en cuenta todo lo mencionado, resulta esencial disponer de evidencias que acrediten el cumplimiento que, generalmente, requerirán documentar de forma adecuada todas las medidas implementadas con la finalidad de poder demostrarlo, lo que conlleva la realización de controles periódicos y auditorías.

En España, actualmente, existe la obligación de que las empresas con un nivel medio de seguridad realicen una auditoría, al menos cada dos años.

Sanciones

Las sanciones podrán producirse cuando se detecte alguna fuga de datos de carácter personal, entre otros motivos, y la falta de medidas de seguridad, directamente vinculado al incumplimiento de la normativa RGPD.

Puedes asesorarte con nosotros sobre la correcta protección de tus datos

Contacta con Data Protect Plus, para toda información sobre protección de datos, en el teléfono 965 038 463 o en nuestra web

La AEPD ha multado con 30.000 euros a un hotel por utilizar la foto del pasaporte de un cliente para elaborar una ficha digital con sus datos personales sin su permiso. Según la resolución, el objetivo de este documento era verificar la identidad del huésped si perdía la tarjeta de acceso a la habitación o si quería utilizar algún servicio del hotel.

La Agencia Española de Protección de Datos (AEPD) ha impuesto una sanción de más de 2 millones de euros a CaixaBank, como sucesora de Bankia, por una actuación llevada a cabo por la entidad ahora absorbida que vinculó la exención del cobro de comisiones de determinados productos a que los clientes diesen su consentimiento para recibir publicidad por cualquier canal habilitado y que sus datos personales pudiesen ser cedidos a otras empresas del grupo.

Según recoge la AEPD en su resolución de expediente sancionador esto supone una vulneración de la normativa de protección de datos respecto de la recopilación del consentimiento de los clientes de Bankia. La investigación se inició a raíz de una primera reclamación que tuvo entrada en la Agencia en febrero de 2019. Un cliente de la cuenta ‘ON’ de Bankia comunicó a la AEPD que la entidad le exigía que aceptase todos los consentimientos de tratamientos de datos personales que aparecían ya premarcados o aceptados y que, si elegía que no se cediesen sus datos a terceras empresas, el banco le cobraba una tasa de 5 euros al mes para mantener su cuenta.

La Subdirección General de Inspección de Datos reclamó información a Bankia sobre la política de privacidad y publicidad de las cuentas y tarjetas ‘ON’, ‘ON Nómina’ y ‘Un & Dos’, de la que se desprendía que Bankia eximía del pago de comisiones de administración y mantenimiento de la cuenta y tarjetas asociadas si los clientes mantenían un “perfil digital”.

Para ostentar este “perfil digital”, los clientes debían, entre otras condiciones, haber facilitado a Bankia su número de teléfono móvil y correo electrónico y haber autorizado al banco al tratamiento de sus datos personales para el envío de comunicaciones comerciales por cualquier canal habilitado y a la cesión de sus datos personales a empresas de su grupo para el análisis de su perfil a efectos comerciales.

Esto motivó que los clientes de Bankia que no habían aceptado el envío de comunicaciones comerciales por cualquier canal o hubiesen rechazado ceder sus datos personales a empresas del grupo tuviesen que pagar comisiones por ello, al considerar la entidad que no cumplían con el “perfil digital” precisamente por esta negativa. Además del primer reclamante, hasta seis usuarios más se dirigieron a la Agencia Española de Protección de Datos para denunciar este cobro de comisiones.

Bankia argumentó ante la AEPD que los clientes no estaban obligados a aceptar ningún consentimiento sobre el tratamiento de datos personales en el proceso de contratación de la cuenta ‘ON’, pero en el caso de que lo hicieran y cumpliesen con el resto de condiciones del “perfil digital” se les podía eximir del pago de comisiones de ciertos productos. “El proceso de gestión de consentimientos por parte de los clientes, que permite no solo prestarlos libremente y a través de cualquiera de los canales de la entidad, sino también modificarlos en cualquier momento y tantas veces como el cliente quiera de manera ágil y sencilla, garantiza que dicho consentimiento se preste libremente”, defendió Bankia.

El banco eliminó las condiciones de aceptar la recepción de publicidad y la cesión de sus datos a terceros el 15 de diciembre de 2019 y añadió una relativa a tener aceptado y activado el servicio de mensajería ‘push’ a través de la app Bankia. Las nuevas condiciones se empezaron a aplicar a los clientes preexistentes dos meses después.

No puede considerarse que el consentimiento se otorga libremente

La Agencia de Protección de datos recuerda que el artículo 4.11 del Reglamento General de Protección de Datos (RGPD) define el consentimiento del interesado para el tratamiento de sus datos personales como “toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen“.

A su juicio, al vincular la exención de comisiones bancarias a la prestación del consentimiento para el envío de comunicaciones comerciales y la cesión de datos personales a las entidades del grupo Bankia, “no puede considerarse que el consentimiento se otorga libremente, en tanto que, si no se aceptan tales tratamientos o se revoca posteriormente el consentimiento así obtenido, se producen consecuencias negativas para el interesado que está sujeto, en tal caso, al abono de las comisiones fijadas por la entidad bancaria“.

CaixaBank, sucesora de Bankia, alegó que las comisiones no constituyen un gravamen, sino la contraprestación de los servicios prestados por el banco, configurándose como un elemento que debe incorporarse al contrato de cuenta corriente cuya finalidad es la remuneración de los servicios prestados, un razonamiento que la AEPD no comparte.

“Esta Agencia considera que, efectivamente, las comisiones pueden formar parte del contrato de cuenta corriente remunerando los servicios que se presten por la entidad bancaria, pero entiende que la vinculación de la exención de su cobro a la prestación del consentimiento para otros tratamientos de datos personales diferentes a los propios del contrato determina que el consentimiento no se preste en condiciones de libertad“, ha dictaminado.

Por todo ello, la directora de la Agencia Española de Protección de Datos, Mar España Martí, ha resuelto imponer a CaixaBank una multa de 2 millones de euros por una infracción del RGPD, en relación con la obtención del consentimiento para fines distintos a los propios del contrato condicionando su obtención a la exención de comisiones bancarias y una sanción de 100.000 euros en relación con la obtención del consentimiento a través de casillas premarcadas.

Contra la resolución, CaixaBank puede interponer recurso de reposición ante la directora de la Agencia Española de Protección de Datos en el plazo de un mes o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional.

Fuente: ElDiario.es

Llega el inicio de curso en los centros educativos y surgen las dudas respecto a la privacidad de los datos de menores.

Lo primero a tener en cuenta es el consentimiento expreso de todos los alumnos para poder tratar sus datos.

Los centros educativos deben contar con un formulario solicitando el consentimiento para el tratamiento porque hay datos sensibles y se debe informar claramente de:

• La existencia de un fichero o tratamiento de datos personales.
• La finalidad para la que se recaban los datos y su licitud, por ejemplo, para el ejercicio de la función educativa o para difundir y dar a conocer las actividades del centro.
• La obligatoriedad o no de facilitar los datos y las consecuencias de la negativa a facilitarlos.
• Los destinatarios de los datos.
• Los derechos de los interesados y dónde ejercitarlos.
• La identidad del responsable del tratamiento: la Administración educativa o el centro.

A las familias hay otras cuestiones que les preocupa como es la publicación de imágenes de los alumnos durante sus actividades; esta cuestión es muy delicada y hay que tener en cuenta lo siguiente:

• Si se realiza con fines educativos no sería necesario recabar el consentimiento.
• Si el motivo es para la difusión del centro con publicación en la web sería necesario:

1. Contar con el consentimiento del afectado.
2. Si el afectado es menor de 14 años habrá que solicitar el consentimiento a los padres o tutores. La imagen de una persona ha de ser considerada como dato de carácter personal y su tratamiento sometido a la ley de Protección de Datos, por lo que, con carácter general, no será posible su utilización o cesión si el interesado no ha dado su consentimiento para ello.
3. Hay que informar con anterioridad de la finalidad de la grabación
4. Hay que informar del nivel de accesibilidad de las imágenes

Esperamos que, con este artículo, hayamos contribuido a responder a las dudas iniciales del curso.

Las reclamaciones presentadas ante la Agencia Española de Protección de Datos (AEPD) durante 2018 se incrementaron un 32,8% hasta alcanzar las 14.146. En cuanto a la temática de las mismas, corresponden a inserción indebida en ficheros de morosidad, videovigilancia , servicios de Internet, reclamación de deudas, Administración Pública, sanidad , publicidad , comercios, transporte y hostelería, entidades financieras y publicidad a través de e-mail o teléfono móvil.

Respecto a los plazos de resolución, la mitad de las reclamaciones admitidas en la Agencia se resuelven en una media de 100 días, sin tener que esperar los más de 200 días de media del modelo anterior.  Además hay que tener en cuenta que el traslado de la reclamación al responsable o DPD no conlleva necesariamente que no se vayan a realizar actuaciones inspectoras a posteriori, ya que la Agencia tiene potestad para investigar los mecanismos establecidos por la empresa.

En 2018 se han dictado 907 resoluciones sancionadoras (434 con sanción económica, 96 con resolución de infracción a Administraciones Públicas y 377 apercibimientos). En lo referente a la temática de los procedimientos sancionadores, destacan, por este orden: Contratación fraudulenta, inserción indebida en ficheros de morosidad, videovigilancia, spam (LSSI), publicidad (excepto spam), servicios de Internet, reclamación de deudas, telecomunicaciones, Administración Pública y sanidad.

En el caso de las dos principales (morosidad y contratación fraudulenta), representan, respectivamente, 3.770.803 euros (29%) y 4.979.200 euros (38%) sobre el total del volumen de sanciones (12.824.454 euros). Con respecto al año anterior, crecen las reclamaciones por contratación fraudulenta y descienden levemente las de morosidad.

Las consultas más usuales a la AEPD son las relativas a la obligatoriedad de nombrar un DPD (Delegado de Protección de Datos), cuestiones sobre videovigilancia o la utilización de la huella y datos biométricos como medidas de control de acceso y horario del trabajo.

En cualquier caso, y analizando estos datos se desprende el hecho de que tras la vorágine inicial provocada por la aplicación del reglamento y sus muchas novedades; y el celo de las empresas en dar cumplimiento ante el temor de sanciones, parece que ha habido cierta relajación en los últimos meses, lo cual podría ser el motivo de este aumento de las denuncias.

Fuente: Economist&Jurist

La normativa de protección de datos RGPD-LOPDGDD ha hecho que muchos bares tengan dudas sobre cómo deben proceder. ¿Deben hacer algún cambio para cumplir con el RGPD? ¿Es suficiente si cumplían la antigua Ley Orgánica de Protección de Datos? Si tienes un bar te recomendamos que leas el siguiente artículo para despejar tus dudas.

Para saber si tu bar tiene que cumplir el RGPD o no tienes que hacerte una pregunta: ¿tratas datos de personas físicas? Si la respuesta es que sí, entonces tendrás que cumplir con lo que indica el Reglamento General de Protección de Datos y la nueva Ley Orgánica de Protección de Datos.

En el caso de los bares NO es necesario contratar un delegado de protección de datos (DPD), aunque sí cumplir con el Reglamento General de Protección de Datos (GDPR).

¿Cómo puedo saber si mi bar trata datos personales?

Si no te dedicas a este tema puede ser complicado saber si tu bar se encuentra tratando datos personales o no. Pero no te preocupes, ya que a continuación te vamos a dar pistas que te van a ayudar a saber si te afecta o no el RGPD.

– Si tienes empleados: si dispones de empleados estarás tratando sus datos personales y, por tanto, tendrás que cumplir el RGPD. No sólo se tratan tantos de los camareros para la confección de las nóminas, sino también para contactar con ellos cuando hay una emergencia (su teléfono), para hacer los cuadres de horarios, etc. Si tienes camareros, trabajadores de limpieza, cocineros, etc. tendrás que cumplir el RGPD.

– Si tienes cámaras de seguridad: las cámaras de seguridad captan imágenes personales tanto de los clientes como de tus empleados. Por esta razón, independientemente de otra normativa que también les puede afectar, tu bar tendrá que adaptarse al Reglamento General de Protección de Datos.

– Si tienes información de contacto personal de tus proveedores. En este caso (suele suceder, sobre todo, en el caso de los comerciales, que te dan información de contacto personal) tendrás que adaptarte también al RGPD. Antiguamente la información relacionada con el trabajo no se regía por la Ley de Protección de Datos, pero el nuevo reglamento europeo hace esta distinción de manera tácita.

– Si tienes información de contacto de tus clientes. Si tu bar tiene, por ejemplo, un grupo de whatsapp (donde tienes los números de teléfono de tus clientes, que es información personal), o bien correos electrónicos, deberás adecuar tu negocio al nuevo reglamento.

– Si tienes una página web donde recabas datos de tus clientes. En este caso, que suele ser habitual en bares que han desarrollado una web donde ponen sus menús, servicios, fotos, etc. (¿no tienes web? Contacta con nosotros, tenemos algo que te puede interesar), necesitaremos también cumplir con la normativa de protección de datos.

Mi bar tiene un grupo de Whatsapp, ¿tengo que hacer algo?

Como hemos comentado, el haber creado un grupo de Whatsapp para tu bar recopila los teléfonos de los clientes. Esta información forma parte de los datos personales protegidos por el reglamento. Si no cumplimos con el mismo nos arriesgaremos a sufrir una sanción por parte de la Agencia Española de Protección de Datos.

¿Cuánto me pueden multar si mi bar no cumple el RGPD? ¿Qué sanciones hay para bares?

El Reglamento General de Protección de Datos reconoce varios tipos de sanciones en función de qué parte del reglamento se incumpla. Estas pueden llegar a alcanzar los 20 millones de euros en los casos más graves, aunque no se han dado caso todavía de multas tan elevadas para bares.

En cualquier caso cumplir con el RGPD es sencillo a priori en el caso de los bares, y desde luego, la reducción del riesgo de sanción que puedes sufrir merece la pena.

¿Tengo que hacer algo si mi bar ya cumplía la anterior Ley Orgánica de Protección de Datos?

En el caso de que tu bar ya haya invertido para cumplir la anterior normativa de Protección de Datos es posible que tengas que hacer pocos cambios. Aún así, teniendo en cuenta que la norma es sensiblemente diferente, hay que revisar lo que existe para actualizarlo. De esta manera reduciremos la posibilidad de que suframos una sanción.

Fuente: reduce.es

El Instituto Municipal de Consumo de Madrid interpuso reclamación ante la Agencia Española de Protección de Datos, contra Cerrajeros Open Door (CERRAJEROSMADRID-OD.COM).

La reclamación se fundamentaba en la recogida de datos por parte de la empresa denunciada sin esta cumplir debidamente con el deber de información, según menciona el art.13 del RGPD.

La AEPD ha resuelto que la denunciada incurrió en una infracción del artículo 13 del RGPD en relación con los artículos 5 y 6 de dicho texto legal, tipificada en el artículo 83.5 del RGPD, una sanción de apercibimiento.

Además, ha requerido que en un plazo de un mes a partir de la notificación acredite la adopción de medidas para actualizar su “Política de Privacidad” a la normativa vigente en materia de protección de datos personales, y que garanticen en concreto lo siguiente: “la adopción de las medidas necesarias para actualizar su “Política de Privacidad” a la normativa vigente en materia de protección de datos personales, -Reglamento (UE) 2016/679 (RGPD)-, adecuando la información ofrecida a las exigencias contempladas en el artículo 13 del RGPD, debiendo facilitar a los usuarios, con carácter previo a la recogida de los datos personales de los mismos, toda la información exigida en el citado precepto, para lo cual deberá tener en cuenta lo dispuesto en el artículo 6 del RGPD en relación con la licitud del tratamiento, así como lo indicado en el artículo 5 del RGPD en lo relativo a la finalidad del tratamiento y plazo de conservación de los datos.”

AEPD PS/00352/2019: https://www.aepd.es/es/documento/ps-00352-2019.pdf

Fuente: AEPD, Edora

Aviso a navegantes. La Agencia Española de Protección de Datos (AEPD) ha impuesto a Vueling una sanción de 30.000 euros por instalar cookies en los equipos de los usuarios de su página web sin su consentimiento. La multa, no obstante, se ha visto posteriormente reducida a 18.000 euros después de que la compañía reconociera su responsabilidad y procediera al pago voluntario de la cuantía. Según consta en la resolución, la aerolínea no permitía que se denegara su instalación si no se hacía a través de las opciones del navegador; asimismo, tampoco daba la opción de retirar el consentimiento anteriormente prestado.

La multa es relevante porque la falta de opciones para configurar la política de cookies es uno de los defectos de los que aún adolecen muchas webs en materia de privacidad. Una conducta que infringe el artículo 22.2 de la Ley de Servicios de la Sociedad de la Información (LSSI) de “los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos”. Una infracción que la misma norma califica como leve.

Según la resolución de la AEPD, en la página web inspeccionada se apreciaban dos capas de información sobre las cookies. En la primera, el aviso de las mismas informaba de que estas se utilizaban “para recordar tus preferencias, elaborar estadísticas de uso y ofrecerte publicidad basada en tus hábitos de navegación. Si continúas navegando, consideramos que aceptas su uso. Puedes obtener más información al respecto consultando nuestra Política de Cookies“, con un enlace a la misma e incorporando la opción “Aceptar y continuar navegando”.

En la segunda capa (dentro de la política de cookies) se informa sobre qué son las cookies y cuáles se usaban. También se comunicaba que la empresa podía utilizar “por sí misma o a través de terceras webs: beacons, Pixel tags y Local storage, para realizar evaluaciones y cálculos estadísticos sobre datos anónimos, así como para garantizar la continuidad del servicio o para realizar mejoras en sus sitios web”. Además indicaba que “dicha información no será utilizada para ninguna otra finalidad” así como que, “puede utilizar cookies de análisis de terceros”.

Consentimiento implícito

Es decir, como explica la resolución, “si se accede a la segunda capa, el consentimiento a que se cedan datos a terceros a través de cookies es implícito, ya que en ningún momento da la opción de poder oponerse a la instalación de estas en el dispositivo o de cualquier otra cookies”. Por el contrario de remite a la configuración de los navegadores para eliminarlas o bloquearlas, “no ofreciendo la posibilidad de denegar el consentimiento para el uso de cookies o de retirar el prestado, si no es a través de las opciones del navegador”. Una aceptación tácita que el organismo considera que contraviene la LSSI y la nueva normativa de privacidad.

Por todo ello, la AEPD determina que la aerolínea “no facilita un sistema de gestión o panel de configuración de cookies que permita al usuario eliminarlas de forma granular”. Para facilitar esta selección, resalta el organismo, el panel podría habilitar un mecanismo o botón para rechazar todas las cookies, otro para habilitar todas las cookies o hacerlo de forma granular para poder administrar preferencias. A este respecto se considera que la información ofrecida sobre las herramientas proporcionadas por varios navegadores para configurar las cookies sería complementaria a la anterior, pero insuficiente para el fin pretendido de permitir configurar las preferencias en forma granular o selectiva.

Fuente: El País

La entrada en vigor el nuevo Reglamento General de Protección de Datos (RGPD) está transformando la forma en la que las pequeñas y medianas empresas manejan los datos de sus clientes, proveedores y empleados. Especialmente en sectores con información más sensible. Profundizamos ahora en un concepto difuso y que trata de salvaguardar las mejores actuaciones posibles sobre la información que los usuarios facilitan a las corporaciones. Pero, a su vez, genera ciertas complicaciones a las compañías.

El principio de responsabilidad proactiva

El principio de responsabilidad proactiva es un concepto vinculado a la figura del responsable del tratamiento de datos personales, a través del cual se establece que son aquellos quienes, además de aplicar las medidas para cumplir la normativa, deben preocuparse por garantizar y demostrar que, en efecto, las aplican y cumplen.

De este modo, la implicación de estos responsables deberá estar patente, como parte del cumplimiento del reglamento.Según recoge la página web de la Agencia Española de Protección de Datos, debe ser explícito este interés por aplicar las medidas que se prevén en el Reglamento. Hasta el punto de que es exigible, por este principio, demostr

ar ante las autoridades que, efectivamente, hay una actitud proactiva y diligente para proteger los datos.

¿Y qué significa esto?

En otras palabras, implica que si se quiere evitar sanciones económicas hay que cumplir con este principio, ya que no bastará con limitarse a cumplir la normativa.Es necesario demostrar que se están adoptando acciones para prevenir cualquier riesgo. La propia página de la Agencia esgrime una serie de pasos que podrían servir como ejemplos de que se está procediendo de forma diligente.

Entre ellas, establecer un adecuado registro de actividades en el tratamiento de los datos que se recaban en la organización empresarial. También medidas para proteger la información por defecto, así como un análisis de riesgos que pueden derivar en pérdidas de datos o una mala utilización de los mismos por cualquiera de las personas de la empresa que acceden a ellos. Y, por supuesto, frente a cualquier agresión externa. Adoptando las medidas de seguridad oportunas, y notificando a las autoridades pertinentes cualquier ataque, fallo o vulneración de la seguridad establecida.

Las evaluaciones constantes y la adhesión de los responsables del tratamiento a códigos éticos de conducta, certificaciones o cualquier otro mecanismo para corroborar la capacidad adecuada para la gestión segura de la información también entrarán dentro de las medidas de responsabilidad proactiva que exige la normativa.

Por eso contar con un servicio de consultoría en protección de datos es la mejor manera de demostrar que se cumple con este principio de responsabilidad proactiva y con el resto de medidas que pide la ley.

Fuente: El País

“Muévete rápido y rompe cosas”

No contento con controlar casi todo lo que uno hace en Internet, ahora Facebook también quiere leer nuestra mente. El gigante de las redes sociales ha dado a conocer no hace mucho un avance en su plan para crear un dispositivo que lea las ondas cerebrales de la gente y le permita escribir con solo pensarlo. Y Elon Musk quiere ir aún más allá. Otra de las empresas del jefe de Tesla, Neuralink, está diseñando un implante cerebral para conectar la mente de la gente directamente a un ordenador.

Musk reconoce que se inspira en la ciencia ficción y que quiere asegurarse de que los humanos pueden “seguirle el ritmo” a la inteligencia artificial. Parece que se ha perdido la parte de la ciencia ficción que advierte de las repercusiones de la tecnología.

Estos sistemas para leer la mente podrían afectar nuestra privacidad, seguridad, identidad, igualdad y protección personal. ¿De verdad queremos que todo eso dependa de empresas con filosofías como la del antiguo mantra de Facebook “muévete rápido y rompe cosas”?

Aunque suenan futuristas, las tecnologías necesarias para fabricar dispositivos que lean las ondas cerebrales no son tan diferentes de las herramientas corrientes para las Imágenes por Resonancia Magnética (IRM) y la Electroencefalografía (EEG) que utiliza la neurociencia en hospitales de todo el mundo. Ya se puede adquirir un equipo para controlar un dron con la mente, así que, en cierto modo, utilizar uno para escribir palabras, no es un paso tan grande. El avance probablemente estará en el uso del aprendizaje de las máquinas para rebuscar entre enormes cantidades de datos recabados por nuestro cerebro y encontrar patrones en la actividad neuronal que unan los pensamientos con palabras específicas.

Estos sistemas para leer la mente podrían afectar nuestra privacidad, seguridad, identidad, igualdad y protección personal

Es probable que se tarde mucho más en desarrollar un implante cerebral y es importante separar los verdaderos logros de Neuralink del bombo y la promoción en los medios. Pero Neuralink ha conseguido avances simultáneos en materiales para electrodos y en la cirugía asistida por robot necesaria para implantarlos, y ha empaquetado diligentemente la tecnología para que se pueda leer con un USB.

Puede que los planes de Facebook y Neuralink se desarrollen a partir de la práctica médica existente. Pero cuando las empresas recopilan pensamientos directamente de nuestros cerebros, los problemas éticos son muy diferentes.

Cualquier sistema que pueda recabar datos directamente de nuestros cerebros supone un claro riesgo para nuestra privacidad. La privacidad se basa en el consentimiento. Pero es muy difícil dar un consentimiento como es debido si alguien está pinchando directamente nuestros pensamientos. Las empresas de Silicon Valley (y los Gobiernos) ya reúnen subrepticiamente todos los datos que pueden sobre nosotros y los utilizan de formas que preferiríamos que no utilizasen. ¿Hasta qué punto podemos estar seguros de que nuestros pensamientos aleatorios y personales no serán captados y estudiados juntos con las instrucciones que queremos dar a la tecnología?

Discriminación y manipulación

Uno de los problemas éticos que tiene en la actualidad la recopilación de datos es la discriminación basada en atributos como el género o la raza que se pueden deducir de los datos. Crear una ventana al interior de la mente humana podría hacer más fácil determinar otros factores que podrían dar lugar a prejuicios, como la sexualidad o la ideología política, o incluso diferentes formas de pensar que podrían incluir cosas como el autismo.

Con un sistema que pincha directamente nuestro cerebro, no solo podrían robarnos nuestros pensamientos, sino que también es posible que además pudieran manipularlos. Ya se está desarrollando la estimulación cerebral para ayudar a tratar el Trastorno por Estrés Postraumático (TEPT) y reducir la violencia. Incluso hay afirmaciones sensacionalistas según las cuales se puede usar para transmitir conocimientos directamente como en la película Matrix.

Un paso previsible sería combinar las tecnologías “internas” y “externas” en una interfaz bidireccional cerebro-ordenador. Las posibilidades que tendrían los Gobiernos para volvernos más conformes, para que quienes nos contratan nos obliguen a trabajar más duro, o para que las empresas nos hagan querer más productos suyos subrayan hasta qué punto deberíamos tomarnos esta tecnología en serio.

Elon Musk ha declarado que el enorme préstamo necesario para financiar la cirugía de Neuralink se vería contrarrestado por las posibles ganancias para los “mejorados”. La sola idea de que la gente se vea presionada para asumir enormes deudas con el fin de hacerse la cirugía para mantener su empleo procede directamente de una distopía de ciencia ficción.

Por si fuera poco, existe la amenaza física más directa de tener sistemas que invadan físicamente nuestro cerebro. Aunque puede que algunas personas quieran modificar su cerebro con la interfaz de un ordenador (ya hay muchos biohackers experimentales), desarrollar esto a gran escala exigiría una experimentación masiva e intensa.

Dada la reputación que tiene Silicon Valley de romper cosas (y la tendencia a hacerlo) en lugar de pararse a pensar en ellas, estos sistemas necesitarán una regulación minuciosa y una revisión ética antes de que empiecen las pruebas. De lo contrario, se arriesga a crear cobayas humanos mutilados.

Pese a todo, podría haber enormes ventajas en continuar la investigación en esta área, especialmente en el caso de quienes sufren parálisis o discapacidad sensorial. Pero Silicon Valley no debería poder dictar la manera en que se desarrollan y se utilizan estas tecnologías. Si lo hace, puede que reconfigure radicalmente la forma en que nos identificamos como humanos.

Fuente: El País