Impacto del Big Data en la Protección de Datos

Este elemento es una profundización de los cursos y guías de Lawi. Ofrece hechos, comentarios y análisis sobre este tema.

Impacto del Big Data y la Inteligencia Artificial en la Protección de Datos

Este elemento es una profundización de los cursos y guías de Lawi. Ofrece hechos, comentarios y análisis sobre este tema.

En los últimos años, han surgido numerosas aplicaciones de ‘análisis de Big Data’ que generan inferencias potencialmente preocupantes sobre individuos y grupos. Las principales plataformas de Internet están detrás de muchos de los ejemplos más destacados: Facebook puede inferir atributos protegidos como orientación sexual, raza, así como opiniones políticas e intentos de suicidio inminentes, mientras que terceros han utilizado datos de Facebook para decidir sobre la elegibilidad para Préstamos e inferimos posturas políticas sobre el aborto. La susceptibilidad a la depresión también puede inferirse a través de los datos de uso de Facebook y Twitter. Google ha intentado predecir los brotes de gripe, así como Otras enfermedades y sus resultados. Microsoft también puede predecir la enfermedad de Parkinson y la enfermedad de Alzheimer a partir de las interacciones en los motores de búsqueda. Otras aplicaciones invasivas recientes incluyen la predicción de embarazo por parte de Target, la evaluación de la satisfacción de los usuarios basada en el rastreo del mouse y el sistema de puntuación de crédito social de largo alcance de China.

Las inferencias en forma de suposiciones o predicciones sobre el comportamiento futuro son a menudo invasivas a la privacidad, a veces contraintuitivas y, en cualquier caso, no pueden verificarse en el momento de la toma de decisiones. Si bien a menudo somos incapaces de predecir, entender o refutar estas inferencias, sin embargo, tienen un impacto en nuestras vidas privadas, identidad, reputación y autodeterminación.

Estos hechos sugieren que los mayores riesgos del análisis de Big Data no se derivan únicamente de cómo se usan los datos de entrada (nombre, edad, dirección de correo electrónico). Más bien, son las inferencias que se extraen sobre nosotros de los datos recopilados, lo que determina cómo nosotros, como sujetos de datos, estamos siendo vistos y evaluados por terceros, lo que representa el mayor riesgo. De ello se deduce que las protecciones diseñadas para proporcionar supervisión y control sobre cómo se recopilan y procesan los datos no son suficientes; más bien, los individuos requieren una protección significativa no solo contra las entradas, sino también sobre las salidas del procesamiento de datos.

Lamentablemente, la legislación y la jurisprudencia europeas en materia de protección de datos fracasan en este sentido.

En mayo de 2018 entró en vigor el Reglamento general de protección de datos (GDPR), destinado a actualizar las normas de protección de datos en toda la UE. Si bien es loable en muchos frentes, el nuevo marco y la jurisprudencia del Tribunal de Justicia de las Comunidades Europeas parecen ofrecer poca protección contra los riesgos novedosos de los análisis inferenciales.Entre las Líneas En comparación con otros tipos de datos personales, las inferencias son efectivamente datos personales de “clase económica”. Irónicamente, las inferencias reciben la menor protección de todos los tipos de datos abordados en la ley de protección de datos y en la jurisprudencia relevante, y sin embargo, ahora representan los mayores riesgos en términos de privacidad y discriminación.

Existe un modelo de tres pasos del Grupo de Trabajo del Artículo 29 y la jurisprudencia del Tribunal de Justicia Europeo. Si las inferencias se clasifican como datos personales dentro del alcance del GDPR, deben aplicarse derechos de protección de datos individuales. El Grupo de Trabajo del Artículo 29 considera inferencias verificables y no verificables como datos personales (por ejemplo, resultados de un análisis médico), pero deja abierto si el razonamiento y los procesos que llevaron a la inferencia se clasifican de manera similar. Mientras tanto, el Tribunal de Justicia de las Comunidades Europeas sigue encontrando su voz en este tema, ya que los casos recientes han resultado inconsistentes.

Desafortunadamente, incluso si las inferencias se consideran datos personales, los derechos de los interesados ​​a saber (Art. 13-15), rectifican (Art 16), borran (Art 17), objetan (Art 21), o el puerto (Art. 20) está significativamente reducido, lo que a menudo requiere un mayor equilibrio con los intereses del controlador (por ejemplo, secretos comerciales, propiedad intelectual) de lo que sería el caso. De manera similar, el GDPR brinda protección insuficiente contra inferencias sensibles (Art. 9) o remedios para desafiar inferencias o decisiones importantes basadas en ellas (Art 22 (3)).

En jurisprudencia permanente, el Tribunal de Justicia de las Comunidades Europeas (Caso C-28/08 P Comisión / Bavarian Lager, C-141/12 YS y otros, C-403/16 Nowak) y el Abogado General (YS. Y otros, Nowak) han restringió sistemáticamente el alcance de la ley de protección de datos para evaluar la legitimidad de los datos personales de entrada que se procesan, y para rectificarlos, bloquearlos o borrarlos. Críticamente, el Tribunal de Justicia también ha dejado en claro que la ley de protección de datos no pretende garantizar la exactitud de las decisiones y los procesos de toma de decisiones que involucran datos personales, o hacer que estos procesos sean completamente transparentes. Más bien, los individuos deben consultar las leyes sectoriales y los órganos de gobierno aplicables a su caso específico para buscar un posible recurso.

Basado en la experiencia de varios autores, mis opiniones y recomendaciones se expresarán a continuación (o en otros lugares de esta plataforma, respecto a las características y el futuro de esta cuestión):

Esto podría ser potencialmente problemático. Podría darse el caso de que en el sector público existan normas de toma de decisiones generalmente aplicables basadas en la legitimidad democrática, pero es menos probable que las normas comparables de aplicación general gobiernen al sector privado. A pesar de que la autonomía de decisión de las entidades privadas está sujeta a ciertas leyes (por ejemplo, las leyes contra la discriminación), las empresas tienen menos probabilidades que el sector público de contar con procedimientos o normas legalmente vinculantes que deben cumplir al tomar decisiones.

Una Conclusión

Por lo tanto, el acceso significativo a recursos contra inferencias problemáticas o decisiones basadas en ellas se limitará si una parte se siente injustamente tratada.

De manera más general, el ECJ considera que la ley de protección de datos es una herramienta para que los sujetos de datos evalúen si los datos (de entrada) que se procesan se obtuvieron legalmente y si el propósito del procesamiento es legal. Para garantizar esto, la ley de protección de datos otorga diversos derechos a las personas, por ejemplo, el derecho de acceso, rectificación y eliminación.

El GDPR, el borrador del reglamento de privacidad, la Directiva de contenido digital y los expertos en derecho atribuyen solo derechos limitados sobre las inferencias a los interesados. Al mismo tiempo, los nuevos marcos, como la Directiva de derechos de autor de la UE, así como las disposiciones del GDPR, impulsan la facilitación de la extracción de datos, el descubrimiento de conocimiento y el análisis de Big Data al limitar los derechos de los sujetos sobre sus datos. La nueva Directiva de secretos comerciales también representa una barrera para la rendición de cuentas, ya que los modelos, algoritmos e inferencias pueden encajar dentro de su competencia, permitiendo a las empresas limitar el acceso y los derechos sobre ellos sobre la base de que son comercialmente sensibles.

En el futuro, probablemente, el derecho de protección de datos debe centrarse más en cómo, por qué y con qué propósito se procesan los datos. Los estándares de aplicación general para el análisis inferencial socialmente aceptable requieren un desarrollo adicional. Tales estándares deben abordarse, por ejemplo, al inferir las opiniones políticas, la orientación sexual o la salud (mental) de fuentes no intuitivas, como el comportamiento de clics, es socialmente aceptable o excesivamente invasivo a la privacidad, y bajo qué circunstancias. De manera similar, se deben establecer estándares para establecer la confiabilidad de los métodos utilizados para obtener inferencias de alto riesgo, incluidos umbrales mínimos para realizar pruebas tanto antes como después del despliegue.

Para garantizar que las personas puedan ejercer de manera significativa sus derechos a la privacidad, identidad, reputación, auto presentación y autonomía en la era de Big Data, argumentamos que ahora se requiere un nuevo derecho de protección de datos, el “derecho a inferencias razonables”. Tal derecho puede ayudar a cerrar la brecha de responsabilidad actualmente planteada por “inferencias de alto riesgo”, es decir, inferencias que invaden la privacidad o dañan la reputación, y tienen poca verificabilidad en el sentido de ser predictivas o basadas en la opinión.

En los casos en que los algoritmos sacan ‘inferencias de alto riesgo’ sobre individuos, este derecho requeriría que el controlador de datos proporcione una justificación previa para establecer si una inferencia es razonable. Esta divulgación abordaría (1) por qué ciertos datos son una base relevante para sacar conclusiones; (2) por qué estas inferencias son relevantes para el propósito de procesamiento elegido o el tipo de decisión automatizada; y (3) si los datos y métodos utilizados para extraer las inferencias son precisos y estadísticamente confiables. La justificación ex ante se ve reforzada por un mecanismo ex post adicional que permite desafiar inferencias irrazonables.

Puntualización

Sin embargo, dicho derecho debe conciliarse con la jurisprudencia de la UE y contrarrestarse con la ley de propiedad intelectual y secretos comerciales, así como con la libertad de expresión (véase; y también libertad de creación de medios de comunicación, libertad de comunicación, libertad de información, libertad de cátedra y la Convención sobre el Derecho Internacional de Rectificación, adoptada en Nueva York el 31 de marzo de 1953) y el artículo 16 de la Carta de los Derechos Fundamentales de la UE.

Como era necesario crear un “derecho a ser olvidado” en un mundo de big data, quizas sea posteriormente necesario crear un “derecho de cómo ser visto” en un mundo de Big Data e inteligencia artificial. Esto puede ayudar a aprovechar todo el potencial de estas tecnologías, a la vez que proporcionará suficiente protección legal para los derechos e intereses fundamentales de las personas.

Autor: Williams

▷ Esperamos que haya sido de utilidad. Si conoce a alguien que pueda estar interesado en este tema, por favor comparta con él/ella este contenido. Es la mejor forma de ayudar al Proyecto Lawi.