Les autoritats europees de protecció de dades han aprovat el primer dictamen conjunt sobre l'internet de les coses, és a dir, sobre la possibilitat que tots els objectes de la nostra vida diària estiguin connectats a internet. El document, l'elaboració ha estat liderada per l'Agència Espanyola de Protecció de Dades juntament amb l'Autoritat francesa (CNIL), acull amb satisfacció les perspectives de beneficis econòmics i socials que pot suposar aquesta tecnologia, però també identifica i alerta dels riscos que aquests productes i serveis emergents poden plantejar per a la privacitat de les persones, definint un marc de responsabilitats.
El document està dirigit a fabricants de dispositius, desenvolupadors d'aplicacions i gestors de xarxes socials, d'una banda, i a usuaris que van a utilitzar aquests equips connectats, per un altre. Igualment, conté recomanacions d'utilitat en el desenvolupament d'estàndards tecnològics en l'àmbit de la internet de les coses. Per identificar els riscos que poden sorgir d'aquesta tecnologia si no es desenvolupa des d'un enfocament ètic i respectuós, el dictamen planteja tres escenaris: la coneguda com a tecnologia per dur posada (wearable computing), els dispositius capaços de registrar informació relacionada amb l'activitat física de les persones i la domòtica.
PATRONS DE COMPORTAMENT I PERFILS
La tecnologia per dur posada inclou rellotges o ulleres a les quals s'afegeixen sensors, càmeres o micròfons que registren i transfereixen dades al fabricant del dispositiu, i que poden permetre la instal·lació d'aplicacions de tercers. Quant als objectes que registren la informació sobre els hàbits i estil de vida dels seus usuaris, el dictamen se centra en aquells que recullen dades relacionades amb l'activitat física de la persona, especialment, relatius a la salut. En aquest sentit, l'estudi alerta que en principi, malgrat que els dispositius que pertanyen a aquesta categoria no recullin dades especialment protegides -un podòmetre, per exemple- poden acabar proporcionant a tercers informació inferida sobre la salut de l'individu. Finalment, el document analitza la internet de les coses aplicada a la domòtica, amb oficines i llars amb detectors, termòstats i sensors connectats els patrons d'ús poden revelar detalls de la forma de vida i els hàbits personals i familiars.
El dictamen subratlla que, tot i que els diferents objectes que conformen la internet de les coses recullen peces aïllades d'informació, les dades recollides de diferents fonts i analitzats d'una altra manera o en conjunció amb altres poden revelar aspectes específics d'hàbits, comportaments i preferències, configurant autèntics patrons de la vida de les persones. El dictamen adverteix que, de fet, si aquesta vigilància potencial arribés a produir-se, podria condicionar la forma en què les persones es comporten en la vida real.
Les autoritats alerten que l'usuari pot perdre el control sobre la difusió de les seves dades en funció de si la recollida i el tractament dels mateixos es realitza de manera transparent o no. A l'augment de la quantitat de dades generades cal sumar les possibilitats que existeixen per combinar-los i analitzar-los de forma creuada, obtenir noves dades sobre els originalment sol·licitats i utilitzar-los per a usos secundaris, afins o no al tractament inicial. Un exemple destacadoen el dictamen és la informació recollida per l'acceleròmetre i el giroscopi d'un telèfon intel·ligent, que podria ser utilitzada per a deduir informació amb un significat molt diferent a l'inicial, com els hàbits de conducció de l'individu.
Pel que fa a la seguretat, el document especifica que l'internet de les coses amplifica els riscos associats a una seguretat inadequada en el disseny dels sistemes, no només per les dades recollides i les inferències que es poden fer d'ells sinó per la tecnologia que utilitzen, que s'hauria de basar en sistemes segurs i dissenyats d'acord amb els riscos potencials.
DRETS DELS CIUTADANS
Les autoritats recorden en el dictamen que el marc jurídic aplicable a qualsevol sistema dirigit a usuaris europeus és la Directiva de Protecció de Dades 95/46 / CE, en combinació amb la Directiva 2002/58 / CE de Privacitat i Comunicacions Electròniques, i que els beneficis d'aquesta protecció no depenen que les organitzacions estiguin establertes en territori europeu.
Així, les entitats que participen en l'ecosistema de la internet de les coses s'han d'assegurar que la persona hagi donat el seu consentiment de manera efectiva després d'haver-li proporcionat informació clara i completa sobre, entre altres aspectes, quines dades es recullen, com es recopilen i amb quina finalitat es van a tractar, a més de com poden exercir els drets que els assisteixen. Aquestes dades personals han de ser recollits de manera lleial i lícita, pel que no han de ser recollits i tractats sense que la persona sigui conscient. Aquest requisit és especialment important en un sector en què els sensors són dissenyats per ser tan invisibles com sigui possible.
Les autoritats insisteixen que la informació personal només pot ser recollida per uns fins determinats, explícits i legítims. Aquest principi permet als usuaris conocercómo i amb quins fins s'estan utilitzant les seves dades i decidir en conseqüència.
A més, les dades recollides s'han de limitar als estrictament necessaris per a la finalitat definida prèviament. El dictamen puntualitza que "les dades que són innecessaris per a tal fi no han de ser recollits i emmagatzemats per si de cas o perquè podrien ser útils més endavant".
Finalment, les dades personals recollides i tractades en el marc de la internet de les coses no s'han de mantenir durant un període superior al necessari per als fins per als quals van ser recollides. El document del GT29 especifica que, per exemple, les dades facilitades per un usuari quan es subscriu a un servei s'han d'eliminar tan aviat com l'usuari posa fi a la seva subscripció. De la mateixa manera, la informació esborrada per l'usuari en el seu compte no ha de mantenir-se i, quan un usuari no utilitza un servei o aplicació, el perfil s'ha d'establir inactiu fins que passat un temps s'eliminin aquestes dades, proporcionant una informació clara en tots els casos.
GRUP DE TREBALL DE L'ARTÍCLE 29
El Grup d'Autoritats europees de protecció de dades -Grup de Treball de l'Article 29- és el grup consultiu compost per representants de les autoritats nacionals de protecció de dades dels Estats membres, el supervisor europeu de Protecció de Dades i la Comissió Europea.
Les seves funcions estan descrites a l'Article 30 de la Directiva 95/46 / EC i l'Article 15 de la Directiva 2002/58 / EC. El Grup de Treball de l'Article 29 està facultat per examinar qualsevol qüestió que estigui relacionada amb l'aplicació de les directives en matèria de protecció de dades per a contribuir a l'aplicació uniforme de les mateixes. Exerceix les seves funcions emetent recomanacions, dictàmens i documents de treball sobre totes aquelles qüestions rellevants que afecten la protecció de dades personals.
Diari Digital Diariojurídico