A pesar de su carácter transversal, la Data Act llama la atención no solo por sus nobles objetivos y las nuevas reglas del juego que impone, sino también por otros aspectos más secundarios, como puede ser un redactado excesivamente vago en algunos artículos clave que nos abocan inevitablemente a la confusión, pasándole delibera y anticipadamente la patata caliente al TJUE para que nos alumbre el camino de la interpretación, con conceptos clave ausentes de definición y conceptos jurídicos indeterminados, que a más de uno le estarán acentuando la migraña o la imaginación.

Además de las notorias erratas de traducción en las versiones oficiales en diferentes idiomas, cambiando sustancialmente el significado de algunos de sus preceptos, en función de la versión que uno lea.

Pero si hay algo que realmente clama al cielo, es lo descaradamente desapercibido que está pasando a pesar de su inminente aplicación, debido a la total consagración -casi mesiánica- que le estamos otorgando al Reglamento de Inteligencia Artificial, monopolizando el foco normativo y relegándolo al segundo plano, como ese invitado incómodo al que nadie quiere mirar, pero que tiene las llaves del edificio.

Con un enfoque intersectorial y un alcance extraterritorial, con una rabiosa interacción con el RGPD, este nuevo reglamento va a suponer un punto de inflexión.

La Data Act ya está aquí, y está aquí para quedarse.

¡Pero no todo puede ser tan negativo! La Data Act tiene realmente aspectos muy positivos, empezando por su principal objetivo, que es desmantelar el monopolio de datos, de modo que estos dejen de estar solamente en manos de los fabricantes y puedan ser accedidos, usados y monetizados por los usuarios, que, en definitiva, son los generadores de esos datos.

Con el fin de responder a las necesidades de la economía digital y eliminar obstáculos en un mercado interior de datos, el Reglamento establece un marco armonizado que especifica quién tiene derecho a utilizar los datos, en qué condiciones y sobre qué base.

Empecemos por el principio:

Generalmente, al adquirir un producto tradicional, el usuario recibe el producto, con sus componentes y accesorios. Sin embargo, en la era del Internet-Of-Things (IoT) disponemos de productos, tanto de uso industrial como de uso doméstico, que están conectados a internet y son capaces de generar datos nuevos por el simple uso del producto. Estos datos, se suman al producto, pero hasta la fecha, solo han sido accesibles, y, por ende, utilizados y explotados por el fabricante o el titular de los datos (que en la mayoría de los casos suele ser la misma entidad), sin que el usuario, que es quien los genera en primer lugar, pueda beneficiarse en manera alguna de estos. Y aquí es donde, en esencia, entra este Reglamento en juego, otorgando a las personas y empresas el derecho a acceder a los datos producidos mediante la utilización de objectos, máquinas y dispositivos inteligentes.

En este sentido, la definición de “dato” es total, pues lo abarca, por definición, practicamente todo: cualquier representación digital de actos, hechos o información, en formato sonoro, visual o audiovisual. Y sí, como has imaginado, también incluye datos de carácter personal.

-RGPD entró en el chat-.

Esos datos generados por el uso de un producto conectado representan tanto la digitalización de las acciones del usuario como de eventos. Es decir, abarcan tanto los datos registrados de manera intencionada, como los datos resultantes indirectamente de la intervención del usuario, así como los datos relativos a las interacciones del producto conectado. Es decir: datos personales, datos no personales, datos relativos al rendimiento, datos relativos al uso, al no-uso y datos relativos al entorno de los productos conectados y los servicios relacionados.

Por ejemplo, podríamos estar hablando tanto de los registros de actividad de una máquina industrial, como los datos generados automáticamente por sus sensores (p.ej. velocidad, temperatura, humedad, etc.), así como de los datos registrados por aplicaciones integradas, incluidas las aplicaciones que indican el estado del hardware y los fallos de funcionamiento.

Esto incluye también los datos generados por el producto conectado durante el periodo en el que el usuario no interviene, como cuando este decide no utilizarlo durante un periodo de tiempo determinado, dado que el estado de un aparato, por ejemplo, sus pilas o baterías, suele variar cuando este se encuentra en modo de espera o apagado.

En lo material:

El ámbito material de aplicación del Reglamento se centra en los datos brutos (datos primarios), es decir, en esos datos que se generan automáticamente en el producto conectado sin ninguna forma de tratamiento posterior, así como en los datos pre-tratados, que son aquellos datos que, previamente a su tratamiento y análisis, han sido objeto de un tratamiento destinado a hacerlos comprensibles y que puedan ser utilizados. Por ejemplo, con un sencillo cambio de formato que permita la lectura de esos datos.

Cabe destacar que esto no debe interpretarse en el sentido de imponer al fabricante o al titular de datos una obligación de realizar inversiones sustanciales en el limpiado y la transformación de los datos, pues como ha recientemente puntualizado la Comisión Europea, se espera que el usuario o tercero destinatario de los datos, tenga un nivel razonable de capacidad técnica para interpretar esos datos.

A todo esto, el legislador ha optado por incluir los metadatos correspondientes para facilitar esa interpretación y utilización de dichos datos.

En cambio, toda la información que se infiera o se derive (datos secundarios) de tales datos, como resultado de inversiones adicionales en la asignación de valores o conocimientos que aportan los datos, en particular, mediante algoritmos complejos, no están sujetos a la obligación del titular de datos de ponerla a disposición de un usuario o destinatario.

A modo de ejemplo:

Datos derivados: podrían ser informaciones obtenidas a partir de otros datos mediante cálculos: si tienes una lista de cifras de ventas, los ingresos totales serían datos derivados.

Datos inferidos: podrían ser informaciones deducidas a partir de datos existentes: predecir las preferencias de tu cliente basándose en su historial de compras.

El motivo principal de su exclusión es, por un lado, el hecho de que el Reglamento no pretenda desincentivar la inversión interna por parte del fabricante o del titular de los datos en tecnologías de datos, y por el otro, evitar conflictos de propiedad intelectual, ya que los datos protegidos por IP (p.ej. patentes, diseños, copyrights) quedan excluidos.

Por eso, todo gira en torno a los datos primarios, y no en el contenido como tal.

Por poner un ejemplo: si estás leyendo un e-book, escuchando música en Spotify o mirando Boston Legal (recomendadísima) en Netflix, podrás tener acceso como usuario a los datos que genere tu SmartTV donde indique que tal día como hoy, de 09:00h a 12:00h, la aplicación de Netflix estuvo activa, pero no al contenido de lo que leíste, escuchaste o viste, pues obviamente se trataría de contenido protegido por derechos de autor.

Secretos comerciales:

Entrando en materia de exclusiones, y dada la vasta definición de “dato” bajo el prisma la Data Act, que como veremos a continuación, implicará alguna que otra “friction by Design” con el RGPD, si hay un tema más caliente que Córdoba en agosto es el hecho de que los secretos comerciales no quedan excluidos de la obligación por parte del fabricante o titular de los datos de ponerlos a disposición del usuario o de un tercero de su elección.

Repito: los secretos comerciales no están excluidos. Ni frente al usuario ni frente a un tercero que esté actuando en su representación, siempre y cuando haya una condición que se cumpla: los secretos comerciales se preservarán y se revelarán cuando el titular de datos y el usuario hayan adoptado medidas técnicas y organizativas (las famosas “TOMs”) necesarias para preservar su confidencialidad, tales como cláusulas contractuales tipo, acuerdos de confidencialidad, protocolos de acceso estrictos, aplicación de códigos de conducta, etc.

Y es solo en caso de desacuerdo sobre las medidas a implementar, o cuando el usuario no las aplique debidamente, donde el titular, por regla general, podrá retener o suspender esa puesta a disposición de los datos identificados como secretos comerciales.

El Reglamento establece algunas excepciones de dudosa aplicabilidad en la práctica (p.ej. una demostración del riesgo concreto basada en elementos objetivos de la alta probabilidad de sufrir un perjuicio económico grave que implique una pérdida económica significativa como consecuencia directa de su revelación…) a esta regla, terminando todas ellas con la obligación de notificar a la autoridad competente de tu negativa a compartir tus secretos comerciales tras el requerimiento por parte de un usuario o de un tercero actuando en su nombre.

Este es un tema que promete generar mucho litigio, pues a parte de la legitima negativa por parte de empresas de tener que verse obligados a compartir semejante información sensible en términos de negocio con cualquier usuario o tercero que este capacitado para solicitarlo, no deja de ser en sí paradójico: si el titular de los datos tiene que firmar un contrato con terceros donde, entre otras cosas, se especifiquen los secretos comerciales y las medidas a adoptar para preservar su confidencialidad, en si se contradice la idea de secreto comercial, ya que un secreto comercial es, por definición, una información que no es generalmente conocida ni fácilmente accesible, incluso entre las personas que normalmente manejan ese tipo de información. Compartir listas exhaustivas de secretos comerciales con miles de destinatarios y usuarios, implica, a la larga, que esos datos se acaben volviendo generalmente conocidos, y por ende, pierdan su valor comercial.

A título personal, soy de la opinión de que parte de la respuesta la encontramos en el mismo Reglamento: todos los datos sujetos a las obligaciones impuestas por la Data Act emanan de una premisa clave: el diseño. Los datos que los fabricantes tienen la obligación legal de compartir a partir del 12 de Setiembre de 2025, son, por definición, los que ellos mismos han diseñado para que puedan ser extraídos de sus productos (ya sea mediante una conexión física o electrónica), y, por ende, compartidos.

Si un dato no ha sido diseñado para ser extraído del producto conectado, queda automáticamente fuera del alcance del Reglamento. Así que, quizás, sería una buena estrategia, dentro de la libertad de empresa de la que gozan los fabricantes, empezar a identificar los datasets críticos y plantearse la viabilidad, costes y las consecuencias de rediseñar ciertos aspectos…

Huelga decir que una gran cantidad de datos agregados, aunque por separado no constituyan un secreto comercial, pueden utilizarse para determinar cómo funciona un dispositivo o para descubrir secretos comerciales.

En lo territorial:

En cuanto al ámbito territorial, la Data Act tiene un régimen parecido al del RGPD, pues se aplica independientemente del lugar de establecimiento de los fabricantes, proveedores de servicios y titulares de datos. Los fabricantes y proveedores establecidos fuera de la UE deben cumplir con la normativa si su producto conectado o servicio relacionado se introduce y comercializa en el mercado de la UE y, en el caso de los titulares de datos, si ponen los datos a disposición de destinatarios de datos en la UE.

Aquí es vital matizar conceptos: “introducir en el mercado” hace referencia a la transferencia de propiedad, posesión u otro derecho de propiedad entre dos agentes que ocurre después la fase de fabricación. Como tal, un producto conectado solo se ‘introduce en el mercado’ una vez. Todas las operaciones posteriores se consideran como ‘puesta a disposición en el mercado’.

Por cierto, el concepto se refiere a cada producto individual, no a un tipo de producto.

Los usuarios están definidos como personas físicas o jurídicas que poseen un producto conectado o a la que se le han transferido contractualmente derechos temporales de uso (p.ej. leasing). Basta con que estén en la Unión para poder hacer uso de los derechos que les otorga el Reglamento.

En cuanto a los actores se refiere, y para hacer las cosas un poquito más complicadas, existe una especie de multiverso paralelo donde múltiples combinaciones entre ellos son posibles:

Un mismo producto conectado puede tener varios usuarios independientes y de procedencia dispar. Por ejemplo, una empresa (titular de datos) de alquiler de coches, que cada vez que alquila un coche (producto conectado) a una persona distinta (usuario), tiene que poder garantizar el tratamiento separado de los datos de cada usuario distinto, garantizando su confidencialidad y el acceso de estos por separado. También se puede dar el caso que quien alquila (usuario) el coche, no sea una persona física sino una jurídica (otra empresa), relegando a la ecuación la figura de persona física al conductor final del coche, que también puede tener interés en acceder a sus datos para poder subirlos a una app de un tercero (destinatario) que evalúe su manera de conducir y le de consejos para reducir el gasto de gasolina.

Por otro lado, un producto conectado puede tener más de un titular de datos, que necesitan interactuar entre sí. O también se puede dar una situación en la que tengamos un fabricante y un titular de datos que sean empresas diferentes. O diferentes usuarios. O un proveedor de servicios relacionados con el producto conectado que no sea ni el fabricante ni el titular. O incluso un fabricante que también es titular, pero decide contratar a otra entidad para que desempeñe la función de titular de los datos para la totalidad o parte de los productos conectados que fabrica.

Realmente las posibles constelaciones hibridas y variopintas que pueden y van a surgir con este marco regulatorio en una economía global como la nuestra, van a suponer un reto interesante a nivel contractual. Pero las historietas para no dormir las dejaremos para otro día.

“Friction by Design”

La Data Act, en un intento de virtuosismo literario con poca credibilidad práctica, afirma por activa y por pasiva ya en su primer articulado, que sus disposiciones no afectan ni al RGPD ni a la veterana Directiva ePrivacy (ePD), matizando caballerosamente que, en caso de conflicto, les cederá el paso, pues el Derecho aplicable en materia de protección de datos personales o de la intimidad deberá prevalecer. Ambas normativas disponen del mismo rango, pero están dotadas de una norma de conflicto a favor de la protección de datos. Esto implica que ambas normativas deben armonizarse en la medida de lo posible en su aplicación, y solo cuando surja una contradicción irreconciliable, no deberá aplicarse la disposición pertinente a la Data Act, parar garantizar la plena protección de los datos personales.

A tenor de lo anteriormente expuesto, la definición de ‘dato’ bajo la Data Act engloba los datos de carácter personal, quedando automática y paralelamente sujetos al régimen del RGPD. A mayor abundamiento, cuando los datos personales y los no personales de un conjunto de datos estén indisolublemente vínculos (datasets mixtos), también quedarán sujetos a la primacía del RGPD.

Esto lógicamente implica que todo tratamiento de datos personales en virtud de la Data Act deberá cumplir con el RGPD, empezando por el requisito de disponer de una base jurídica válida para el tratamiento con arreglo al Art.6 RGPD, y, cuando proceda, con una excepción del Art.9 RGPD e incluso del Art.5.3. ePD.

Sin embargo, la Data Act como tal, a diferencia de lo que hemos visto con otra normativa reciente europea, no constituye una base jurídica para el tratamiento como tal.

Es decir, el Reglamento impone a los titulares de datos la obligación de poner los datos personales a disposición de los usuarios o de los terceros elegidos por el usuario. Para eso, deberá proporcionarse el acceso a los datos personales que el titular de datos trate basándose siempre en alguna de las bases jurídicas del Art.6 RGPD.

No obstante, cuando el usuario no sea el interesado, el presente Reglamento no contiene ninguna base jurídica para que se proporcione acceso a los datos personales o estos se pongan a disposición de un tercero, y no concede ningún nuevo derecho al titular de datos a utilizar los datos personales generados por el uso de un producto conectado o de un servicio relacionado.

Llegados a este punto, la Data Act, cual atleta olímpico, hace una pirueta con doble tirabuzón:

• 1er tirabuzón: semi-invirtiendo la carga de la prueba al proponer que “podría redundar en interés del usuario facilitar el cumplimiento de los requisitos establecidos en el Art.6”. Es decir, en caso de sofocos buscando una base legitimadora, se le puede pedir al usuario que colabore un poco y nos traiga de casa un consentimiento firmado bajo el brazo o, al menos, una LIA ponderada como Dios manda.
• 2o tirabuzón: luego, por si fuera poco, introduce a modo de traca la palabra mágica “anonimización” como vía de escape. Huelga recordar que la anonimización (cada más cuestionable en términos absolutos, habida cuenta de la tecnología actual) constituye un tratamiento en sí, el cual también requiere de base legal.

En conclusión: la Data Act no constituye una base jurídica ni para la recogida o generación de datos personales por parte del titular de datos, ni para proporcionar el acceso a eso datos.

-RGPD salió del chat-.

Cierto es que, antes de determinar en qué base jurídica del RGPD podemos subsumir nuestra empresa, en un contexto de cesión de datos a terceros, deberíamos evaluar detenidamente si los datos de carácter personal afectados realmente lo son, en base a la doctrina Scania y demás jurisprudencia del TJUE.

En otro orden de cosas, también cabe destacar los siguientes extremos en cuanto a la interacción con el RGPD:

• Los datos personales solo pueden ser solicitados por un responsable del tratamiento o un interesado.
• El encargado de tratamiento no es ni usuario ni titular de datos.
• Cuando el titular de datos y el usuario sean corresponsables del tratamiento, deberán determinar de mutuo acuerdo sus responsabilidades respectivas en el cumplimiento de la Data Act.
• Por otro lado, cuando el usuario sea el interesado, el derecho de acceso y el de portabilidad con base al RGPD no se ve afectado por la Data Act. Cuando la parte solicitante (usuario) de los datos es también el interesado, la base jurídica del Art.6 RGPD no suele plantear problemas, pues bastaría, por ejemplo, con su consentimiento, el cual, posiblemente formaría parte implícita de la propia solicitud de acceso.
• Sin embargo, cuando el usuario no sea el interesado, sino una empresa (incluido un empresario individual), el usuario tendrá la consideración de responsable del tratamiento. Por consiguiente, dicho usuario, que como responsable desea solicitar los datos personales generados por el producto conectado, deberá tener también una base lícita del RGPD para el tratamiento, como puede ser el consentimiento del interesado, un interés legítimo o la ejecución de un contrato en el que el interesado sea parte.

Supongo que en un futuro será común que, en estos escenarios, las empresas que deseen utilizar datos personales pidan el consentimiento de los interesados, o bien recogiéndolos ellos mismos para luego adjuntarlos a la solicitud de acceso, o bien pidiéndoles directamente a los interesados que envíen ellos mismos sus consentimientos al titular de los datos.

En otro orden de cosas, en cuanto a la aplicación y ejecución de ambos reglamentos se refiere, la Data Act establece que cada Estado miembro designará a una (o varias) autoridad nacional competente para garantizar la aplicación y ejecución del Reglamento. Sin embargo, también establece, que las autoridades de control responsables de supervisar el RGPD, tendrán la responsabilidad de supervisar también la Data Act en todo lo que respecta a la protección de datos personales.

En caso de designar una autoridad de control para la Data Act que no sea la propia autoridad responsable del RGPD, quedará por ver como se garantiza una supervisión homogénea y coordinada, sin que termine siendo un lastre técnico y burocrático para el afectado que se atreva a hacer valer sus derechos.

Y todo esto… ¿para qué?

Como sucintamente nombrado al inicio del post, la idea final es que este nuevo marco regulatorio, aparte de conllevar una democratización de los datos al permitir un acceso más justo y equitativo, elimine los obstáculos del intercambio de datos, los silos, cuellos de botella, desde un punto de vista técnico y contractual, sin abuso de desequilibrios, produciéndose un auténtico incremento de la competitividad y la innovación, impulsando el desarrollo de nuevos modelos de negocios basados en la reutilización de esos datos para nuevos fines y de modo ilimitado, sin pérdida de calidad ni de cantidad.

Así las cosas, más allá de teorías y objetivos nobles, ahora tocará esperar a que la realidad se imponga y nos muestre si este paso pionero que hemos dado a nivel europeo ha sido un acierto, o por el contrario, hemos acabado exponiendo y regalando a nuestros competidores el “know-how” que nutre nuestro tejido industrial, ahogados en un laberinto de solicitudes y protocolos.

Sergi Ariño Mayans

Abogado

La entrada La Data Act ya está aquí… y el silencio es ensordecedor se publicó primero en Citizen8.

En Citizen, hemos hablado unas cuentas veces de IA: el 1º post grupal de pautas de uso para ChatGPT/Generativas,  el de Guillermo sobre “areneros”, el de Sara sobre la versión final del RIA, el de Jorge sobre oposición al entrenamiento de IA de META, o el de Carmen con el ejemplo algorítmico del sistema BOSCO. Con todo, no habíamos aterrizado el punto ya vigente de las finalidades prohibidas del RIA sobre uno de los “areneros” menos vigilados del momento: los micropagos en los videojuegos. Vivimos rodeados del ansia viva de un sector que cada vez tiene menos freno: jugadores que pasan de leer, desarrollos cada vez más caros, despidos masivos para mantener las primas y beneficios, o adopción sin pasar por legal (o pasando sin mirar mucho) de cualquier innovación que pite.

En la hegemonía actual de los juegos como servicio (“games as a services”), nos encontramos de bruces con el artículo 5.1, apartados a y b del RIA.

“(a) la comercialización, la puesta en servicio o el uso de un sistema de IA que utilice técnicas subliminales que escapen a la conciencia de una persona o técnicas deliberadamente manipuladoras o engañosas, con el objetivo o el efecto de distorsionar materialmente el comportamiento de una persona o de un grupo de personas, mermando de forma apreciable su capacidad de tomar una decisión con conocimiento de causa, haciéndoles tomar una decisión que de otro modo no habrían tomado, de forma que causen o sea razonablemente probable que causen a esa persona, a otra persona o a un grupo de personas un daño significativo;”

“(b) la comercialización, la puesta en servicio o el uso de un sistema de IA que explote cualquiera de las vulnerabilidades de una persona física o de un grupo específico de personas debido a su edad, discapacidad o una situación social o económica específica, con el objetivo, o el efecto, de distorsionar materialmente el comportamiento de esa persona o de una persona perteneciente a ese grupo de manera que cause o sea razonablemente probable que cause a esa persona o a otra un daño significativo;”

¿El literal de cada apartado recuerda a alguna cosa que se ve/sufre en los videojuegos más conocidos? ¿Recuerda muy mucho a gastar irreflexivamente cantidades importantes de dinero en loot boxes, sobres, bailes, skins y demás objetos digitales in-game  a “bajo precio”? Con estos recuerdos de Vietnam, vamos a jugar en este artículo. Vamos a intentar aterrizar el RIA sobre los micropagos, vía psicología aplicada.

Técnicas subliminales, manipuladoras, vulnerabilidades y efectos significativos

Partiendo de la presunción iuris tantum de que del otro lado de la pantalla esté alguien de la hermandad jurídica (necesaria para entender el latinismo usado), podemos prescindir de las definiciones de IA y de algoritmo que todos controlamos más o menos. Y así ahorramos palabras, que no se viene un artículo precisamente corto. Al final, es el tema de moda sobre el que todos estamos intentando retener conocimiento al estilo de aquel niño chino que “absorbe el libro”.

De lo que es mejor no prescindir para nada, es de definir los elementos clave de estos dos apartados del 5.1 del RIA. Al igual que el GT29 nos dio las directrices sobre decisiones automatizadas que aterrizan los conceptos de decisión, perfilado, efectos jurídicos o significativamente similares (tampoco en el RGPD había maticez que se pillaban bien); la Comisión Europea ha sacado el borrador de las directrices sobre finalidades prohibidas del RIA (efectos secundarios de su aplicabilidad desde el 2 de febrero).

• Técnicas subliminales: no se definen en el articulado del RIA, pero la Comisión Europea lo aterriza, vía lo dispuesto en el Considerando 29: “capaces de influir en el comportamiento de forma que la persona no sea consciente de dicha influencia, de cómo funciona o de sus efectos sobre la toma de decisiones o la formación de valores y opiniones de la persona. Básicamente, provocar una respuesta inconsciente en el cerebro para que hagamos, demos o digamos lo que quiera el que lo dispuso. Aquí sería el pasar por caja, pero el ejemplo más clásico es de las imágenes intercaladas en un vídeo para que lo captes de manera subconsciente.
• Técnicas deliberadamente manipuladoras o engañosas: tampoco se definen a nivel del RIA, pero podríamos decir que serían todas aquellas encaminadas a intentar confundirnos con tácticas no tan extremas como las subliminales. A efectos, los patrones oscuros, engañosos y adictivos que todos sufrimos. Donde juegan los GAFAM continuamente, y el tipo principal del que vamos a hablar luego. Bueno, hablaremos del subtipo interesante de “patrón adictivo”.
• Distorsión material del comportamiento y efectos significativos: muy en la línea de lo que ya se necesita justificar en las decisiones totalmente automatizadas. En este caso, el perjuicio ocasional de que realices un gasto no previsto/decidido por una técnica subliminal o manipuladora. Nos quedaría colgando el punto de la vulnerabilidad, pero tampoco es algo distinto a lo que ya se tenía que valorar por protección de datos (sobre lo que la ICO ha desarrollado más en guías enfocadas). Lo bueno para nuestro caso, es que la Comisión aprovecha para incluirlo en uno de los pocos ejemplos sobre videojuegos que da en este documento:

“Un juego utiliza IA para analizar el comportamiento y las preferencias individuales de los niños, a partir de las cuales crea recompensas personalizadas e impredecibles mediante programas de refuerzo adictivos y bucles dopaminérgicos para fomentar el juego excesivo y el uso compulsivo. El juego está diseñado para ser altamente adictivo, explotando las vulnerabilidades inherentes a los niños, incluida su limitada capacidad para comprender las consecuencias a largo plazo, su susceptibilidad a la presión, su falta de autocontrol y su inclinación hacia la gratificación instantánea.  

Las consecuencias de esta explotación posibilitada por la IA pueden ser graves y duraderas para los niños, incluyendo un comportamiento potencialmente aditivo, problemas de salud física debidos a la falta de ejercicio y sueño, deterioro de la vista, problemas de concentración y capacidades cognitivas reducidas, bajo rendimiento académico y dificultades sociales. Puede repercutir significativamente en el desarrollo y el bienestar del niño, con posibles consecuencias a largo plazo que pueden extenderse también a la edad adulta.”

Y nunca hay que olvidar el punto de que la finalidad prohibida venga sin que se busque en origen. La típica de que el sistema la líe por el data set de base aportado, o por los mil sesgos aprendidos porque patata. Aquel algoritmo de Amazon para contratar que discriminabas a las mujeres por el histórico de mayoría de hombres contratados para perfil técnico.

Teoría de la autodeterminación y juegos como servicio

¿Cómo se consiguen aterrizar en el mundo real del videojuego (o lo que sea) estas técnicas que distorsionan sin conocimiento/control pleno tus acciones? Como casi todo en este mundo: a través de la psicología aplicada.

En 2025 nos creemos que se inventan muchas cosas, pero la mayor parte de veces son vueltas de tuerca de conceptos o actuaciones más viejas que una Secuoya. La diferencia estriba en la palabrería marketiniana y en la fanfarria de lucecitas digitales. Toda la vida la publicidad ha intentado “pulsarnos las inquietudes y las pasiones”, pero el mundo digital es el que ha conseguido llevarlo al summum de la inmediatez y del consumismo acelerado. La omnipresencia bolsillesca del móvil no es inocua para nadie.

Un videojuego, como casi cualquier otro producto o servicio, necesita ser atractivo para el público objetivo. A todos nos suena la famosa teoría del juego que se aplica a las tragaperras para que nunca te vayas ni seas consciente del despilfarro, pero no tanto la “teoría de la autodeterminación”, aka cubrir las necesidades psicológicas básicas de todo ser humano:

• Autonomía: esa necesidad de libre albedrío y de que tú seas el dueño absoluto de tus acciones. En los videojuegos se fuerza con las mil misiones que sólo puedes hacer tú como el héroe inigualable que eres.
• Socialización: esa caprichosa necesidad de los animales gregarios de vivir en la manada que es la sociedad. El ser parte de algo más grande que tú mismo. En los videojuegos se fuerza con recompensas que sólo puedes conseguir con cooperación con otros jugadores. También con falsa cooperación (el dar vidas a amigos que “haces” de la lista que te doy para ello del Candy Crush), pero queda más claro con el 1º ejemplo de juego tipo Destiny o «mazmorras para varios jugadores».
• Dominio: esa necesidad de creer que siempre mejoras en lo que haces o en lo que te gusta hacer. Los videojuegos lo aterrizan con niveles, mejoras y “dificultad dinámica” (luego hablamos de ello).

Todo videojuego que se precie de serlo, busca el equilibro entre estas tres pautas. Por no enrollarnos más de lo necesario, tendríamos tres fases o hitos cronológicos de aplicación/mal uso de esta base psicológica para hacer dinero:

– Juegos como producto: aquella época maravillosa hasta el advenimiento de las plataformas y apps/launchers en la que el dinero venía de hacer y vender juegos + posibles expansiones de contenido. El marketing estaba en forma de anuncios que serían muy discutibles legalmente por el tono y por dirigirse a menores a saco, pero que nos respetaba sin “publicidad dirigida”.  Nos respetaban porque era “dirigida” a que te tomaras el tiempo y el esfuerzo en rellenarlo, revisarlo y enviarlo por correo (postal, claro). Un consentimiento libre de verdad.

– Juegos como servicio: con la estandarización de las bibliotecas de juegos unidas a un perfil/cuenta de usuario, llegó la posibilidad de hacer la publicidad dirigida, programática y cansina vía cookies y tecnologías equivalentes que seguimos sufriendo. Todo a lo que juegues, mires y compres se va a analizar y parametrizar para proponerte comprar cositas que saben que te interesan más de lo que quieres reconocer. No se cumple con todo lo que se debería en lo legal, pero no es nada nuevo que no pase en los mil servicios, app y lo que sea. Ojalá se hubieran quedado aquí.

– Juegos como servicio en el último círculo del infierno: una de las peores cosas que han demostrado juegos como Fornite o Candy Crush, es que se puede estirar el chicle de un juego sacando contenido cosmético o potenciadores in aeternum. Los famosos “free to play”, “freemium”, “Pay to Win”, “Pay to Progress” o “Pay to Fast”.

¿Ejemplos? Casi todo lo multijugador de gran presupuesto a lo que juegan los mayores y los menores (puedan por edad recomendada o no): Fornite, Candy Crush, Clash Royale, Call of Duty Warzone, Geshin Impact, World of Tanks, World of Warships, League of Legends, Counter Strike, Apex Legends, Marvel Snap, Valorant, FIFA Ultimate Team o Roblox.

Micropagos y loot boxes

¿Qué contenidos o potenciadores se ofrecen para reducir nuestra cartera? Podemos hacer dos tipos de microtransacciones (por no utilizar el mismo concepto de micropago para todo): micropagos y loot boxes.

– Micropagos: se suelen entender como un concepto único, pero si nos ponemos algo pejigueros tiene subtipos:

• Objetos cosméticos: aquellos que únicamente alteran la estética del personaje, apariencia del arma, interfaz de juego, narración de voz, animaciones de victoria, bailes y todo lo que no suponga una ventaja frente a jugadores. Lo más conocidos son los emotes de Fornite y las skins.
• Potenciadores: aquellos que sí otorgan ventajas en el juego, ya sean en la propia partida o para agilizar el progreso en el mismo. Candy Crush juega fuerte a este tipo de micropago.
• Conversiones a dinero del juego: aunque no parezca un micropago como tal, lo es en el sentido de actuar como casa de cambio de moneda con a interés fijo. Moneda real en moneda del juego que no puede volverse a convertir en dinero de curso legal. Y con el punto de que los precios se ajustan para obligarte a pasar a convertir varias veces: justito te falta un poco para lo que quieres, pero acabas con un excedente de moneda de juego que inconscientemente ya estás pensando en qué más gastarlo.
• Downloable Content o DLC: los más viejos del libro. Contenido jugable del propio juego: mayor extensión, duración o profundidad que los anteriores. Se pervierte mucho este tipo en la actualidad, pero debería ser la típica expansión del modo historia o un contenido majo con fondo de bastantes personas jugables nuevos.
• Pago con anuncios: el que no se considera como tal por no saca dinero de manera directa del jugador, pero que lo es por “obligarte” a ver el vídeo para obtener la recompensar. El micropago que honra la legendaria cita de: “Si no pagas por el producto, entonces tú eres el producto”.

– Cajas de botín o “Loot Boxes”

El tipo de microtransacción que se hizo tan conocido y odiado no hace tanto tiempo. Nuestro extinto Ministerio de Consumo lo intentó regular de una manera tan atroz que se quedó durmiendo el sueño de los justos como anteproyecto en 2022. En Europa empezaron a pintar bastos cuando las autoridades de países como Bélgica y Holanda las consideraron juego regulado que debía cumplir con esta normativa tan restrictiva y específico. Poca broma con la obligación de autorización administrativa previa, registro de jugadores a los que prohibir el acceso, o registro de familiares de empleados para evitar amaños……

Hubo debate jurídico sobre si cumplía los tres elementos del concepto de “juego” de la ley pero ahí se quedó. Se decía que no encajaba porque aquí no se arriesgaba cantidades de dinero por siempre tocar algo, pero lo cierto es que mucho de lo que toca carece de valor real para el jugador. El punto más puñetero era de la trasmisibilidad entre participantes que encaja muy bien en el póker, pero aquí haría una buena parte de loot boxes se quedarán fuera.

Las particularidades de este tipo de microtransacciones: aleatoriedad algorítmica o “probabilidad, segregación de objetos por calidad e incentivos sonoros y visuales. Siendo independiente de si permiten o no el intercambio de lo obtenido entre cuentas de varios jugadores.

Este tipo concreto de microtransacciones se popularizó más de lo debido por los cientos de influencers de alto copete grabándose abriendo cajas, sobres y +. De manera patrocinada, sin que ellos perdieran ni un chavo y con alguna sospecha de manipulación algorítmica para que parezca que toca más de lo toca. Al fin y al cabo, la gente que ve este tipo de contenido son potenciales compradores a captar.

Aunque ya están de capa caída, en el proyecto de «Ley Orgánica para la protección de las personas menores de edad en los entornos digitales» (ya en tramitación parlamentaria) tenemos rescatado el concepto. El legislador nunca supo bien qué hacer, pero mantiene el intento miope de Garzón de no darse cuenta que todos los micropagos juegan a lo mismo. ¿Tiene sentido penalizar a un Clash Royale y dejar vivo sin mácula a un Candy Crush? ¿Conseguimos mayor protección para el menor si todos se pasan al modelo micropago manipulador no aleatorio para esquivar el grano de arena regulado? ¿No es bajarse los pantalones hasta los tobillos añadir la coletilla siguiente? : “En su caso, reglamentariamente podrán determinarse los supuestos excepcionales en los que podrá flexibilizarse dicha prohibición, siempre garantizando el principio de protección a la infancia que inspira esta Ley.”. Artículo 5 del proyecto.

Patrones adictivos

¿Qué tipo de acciones concretas basadas en esa psicología aplicada existen para lograr la manipulación subliminal?  Patrones oscuros del subtipo de adictivos.  

A casi todo el mundo le suena el concepto de patrón oscuro, “dark pattern”, “deceptive pattern” o “patrón engañoso”. Sea por la definición y enfoque original de Harry Brignull, o por las variaciones que se han ido haciendo.

El EDPB en sus directrices sobre targeting en redes sociales (mareando más de lo que debería por no mantener los denominativos originales más estandarizados). O los más clásicos: preguntas trampa, sneak into the basket, roach motel, privacy zuckering (ese Zuckerberg, sí), confirmshaming, bait and switch, nudge techniques o continuidad forzada (Mil ejemplos en la página del bueno de Harry Brignull).

Estos patrones que consiguen aterrizar esa psicología aplicada que comentaba al principio para que acabes haciendo/dando/comprando lo que quieren sin que seas consciente de que no ha sido tu decisión real, son el genérico. Para lo que no interesa aquí y ahora, tenemos el subtipo de patrón adictivo que hace más hincapié en el punto de gasto irreflexivo.

Tenemos la suerte de que la AEPD se atreviera a hacerse un informe sobre los mismos (Patrones adictivos en el tratamiento de datos personales Implicaciones para la protección de datos). Y todavía más afortunados por el hecho de que han aterrizado con bastante tino los más conocidos en el mundo de los videojuegos.  Nos quedamos con 6 + 1 ejemplo más novelado de “continuidad forzada del tipo de temporizador”:

“Imaginemos un videojuego de fantasía. El jugador quiere forjar una espada legendaria y el juego le permite crearla, pero esta tarea tardará 4 horas en completarse. El jugador no puede acelerar el proceso; sólo esperar.

Durante estas 4 horas, el jugador se mantiene conectado al juego. Puede que se esté ejecutando en segundo plano, pero es probable que el jugador realice comprobaciones periódicas del progreso del proceso. El jugador necesitará 1 día para actualizar el castillo. Para entrenar tropas, 2 días. Y así sucesivamente para otros recursos valiosos.

Esto es eficaz porque garantiza la retención. Una vez que finalice el temporizador, los jugadores interactuarán con el juego para reclamar los resultados (la espada, el nuevo castillo, etc.). En algunos casos, este patrón permite la monetización. Por ejemplo, el jugador puede omitir el tiempo de espera usando la moneda del juego (gemas, monedas). En este caso, el patrón fomenta el compromiso.

Si los temporizadores son demasiado largos, demasiado frecuentes o están relacionados con recursos que los jugadores perciben como de “bajo valor”, estos pueden sentirse frustrados o perder el interés. Los diseñadores de juegos deben lograr un equilibrio entre la anticipación y la molestia.

Perfilan a los jugadores según sus hábitos (duración de la sesión de juego, momento de juego, frecuencia de juego, preferencias de juego, historial de gastos, etc.) para optimizar todas estas características.”

Podríamos poner mil ejemplos ilustrativos con los bailecitos/emotes de Fornite, las muy discutibles skins de Warzone de convertir armas en ¿unicornios, motos, destructores imperiales de Hacendado, barcos piratas y +? (juzguen ustedes mismos vía enlace de ejemplo), pero vamos con Candy Crush. El juego que conocen niños y mayores para conseguir una facturación desmesurada vía microcosas (propiedad de la empresa que compró Microsoft por algún susto en competencia no hace tanto: Activison-Blizzard-King).

Aplicando todo lo comentado a la “drogaína” con forma de caramelo:

• Uso de incentivos visuales y sonoros, similares a los de las máquinas recreativas y tragaperras (clara influencia de la teoría del juego) para generar esa sensación comentada de cubrir la necesidad psicológica de dominio/mejora por haber realizar un nivel entero con un único movimiento que es más cosa del juego que tuya por pericia (si no contamos lo de destacarte la mejor jugada que puedes hacer). Por ejemplo, las explosiones en pantalla de colores o los mensajes narrados o “voz en off” por movimientos del jugador “destacados”: “sweet”, “delicious” o “tasty”.
• Introducción progresiva de potenciadores comprables con moneda del juego que otorgan ventajas al jugador en partida, de manera que cada vez que se avanza sea más difícil conseguirlos sin tener que convertir dinero real en moneda del juego.
• Recompensas por todo: en el sentido de los patrones de la captura anterior de jugar con cita, dotación, grinding (se suele decir más “grindeo”, “farming” o “chino farming”), recompensa periódica o pull to refresh: por darte moneda del juego si vuelves pasado un tiempo, varias recompensas diarias, mil tareas gratuitas para que sigas en el juego, tareas gratuitas que para cobrarlas necesita gastar dinero. Este punto de recompensas por todo también hace combo con el anterior, de manera que las recompensas van siendo menores (o te renten menos) conforme vas avanzando.
• Uso de sistemas de dificultad dinámica: el punto más fino y peligroso de todos. El algoritmo modifica la dificultad de cada nivel según si te vas frustrar tanto que no te vas a ir, o si con ese punto de frustración vas a verte “obligado” a comprar algún potenciador para superarlo. Nunca reconocerán hacerlo en carne propia, pero la vida se abre camino con un mínimo de representantes públicos que sepan ir al hueso. Como ya hay perfilado del jugador, la golosina la tiene al alcance para más cosas

Punto 104 del apartado 4 del documento “Immersive and addictive technologies” elaborado por el Parlamento Británico tras las comparecencias de especialistas en la materia y representantes de la industria: “Moreover, despite concerns around gaming disorder, some parts of the games industry use data collected about players to modify their experience and keep them playing for longer. Alex Dale told us that King does not use player data to change the experience for individual users—a practice known as ‘dynamic difficulty adjustment’—however, other companies do. For example, Electronic Arts has patented systems that mean “the difficulty level of the video game may be automatically adjusted” to “keep a user engaged for a longer period of time.”

De Algoritmos y el RGPD

Del RGPD

Nunca se empieza por los principios del artículo 5, pero es el núcleo de todo. Al igual que todos los caminos conducen a Roma, todos los artículos del RGPD conducen a los grandes principios rectores. Y con el cajón de sastre que es el artículo 25 de privacidad por diseño y por defecto, volviendo a recogerlos para matizar el punto de aplicación de medidas técnicas, organizativas que los garanticen.

El principio de transparencia va al rosco de la información cero que dan, pero ¿cumpliría con el principio de lealtad?. No siempre es fácil aterrizar a elementos concretos estos principios que todos utilizamos dando por sabido lo que significan, pero vamos a tirar del bolso mágico del EDPB (Directrices 4/2019 de privacy by design y default). El de lealtad es el principio específico que determina que un dato personal no debe ser tratado de manera “injustificadamente perjudicial, ilícitamente discriminatoria, inesperada o engañosa para el interesado”. Siniestro total, pero vamos a hacer el parte del perito con varios de los elementos que el EDPB determina para que exista lealtad:

• Expectativas razonables: 10 de 10. Típico tratamiento invisible del que sólo tienes idea si lo investigas o te encuentras con un artículo de este tipo ;).
• Sin discriminación: 100 de 10. Sin comentarios.
• Sin abusos: 1.000 de 10. Nadie está intentando hacer palanca en las necesidades o vulnerabilidades de los interesados.
• Sin engaños: 10.000 de 10. ¿uso de lenguaje o diseño engañoso o manipulador?. Nunca de los jamases del País de Nunca Jamás.
• Ética y verdad: 100.000 de 10. Existe la verdad y la “verdad” + la ética del código de los piratas de Libertalia.
• Intervención humana: poca, pero la línea genérica de derecho a la intervención humana siempre está en las políticas. Se meten todos los derechos, con independencia de que apliquen o no a los tratamientos informados.
• Lealtad en el funcionamiento de los algoritmos: ∞ de 10. Si el tratamiento es tan leal que ni te lo van a decir, pues es complicado que cuente con detalle sobre cómo funciona y qué hace para no discriminarte o perjudicarte. No ayuda que la única razón del ser del asunto sea perjudicarte la cartera.

De Algoritmos

Con todo lo dicho, creo que a nadie se le escapa que este tipo de acciones estarían un poco complicadas de justificar de base. Habemus un tratamiento totalmente automatizado con efectos significativamente similares a los jurídicos. ¿Por qué? Por lo de siempre de cumplir los requisitos del 22 del RGPD:

• Existencia de una decisión sobre el jugador: el hecho de que el algoritmo, previo perfilado del jugador sobre qué compra, qué no, cómo juega y otros elementos relevantes, va a determinar qué patrones adictivos mostrar o cómo mostrarlos para maximizar que el jugador acabe picando. El dar una recompensa especial si detecta un período largo de inactividad (puede que con notificaciones vía dispositivo que sea), el no apretar en dificultar en un nivel para no provocar frustración de la mala para ellos, el subirla para ver si pica el jugador…….
• Realizada por medios totalmente automatizados y sin intervención humana: con el punto del algoritmo ya llevamos puesto el que sea automatizado, pero también el que no haya intervención humana. En un tratamiento a escala completamente global y del nivel de intensidad en los videojuegos de gran público, pues va todo en automático y con decisión aplicada en tiempo real.
• Que provoca efectos significativamente similares a los jurídicos: el punto mucho más líquido que el claro de efecto jurídico, pero que aquí lo tenemos por el hecho de que va a producir una distorsión real y significativa en el comportamiento económico del jugador. Consumo irreflexivo en el momento.

Podríamos comentar la jodida situación de sólo tener el consentimiento explicito para levantar la prohibición del 22, la PIA que en necesidad y proporcionalidad tampoco te va a salir muy allá, los derechos concretos del 22, o el punto de Schufa y sus predicciones algorítmicas y el efecto real de la misma si la respeta/es dimanante para el responsable; pero es más interesante dejar caer el tema de la información.

Hablando de un algoritmo de caja negra como la copa de un pino (lo de operar de manera opaca y no comprensible para el usuario no hace bien), es buena oportunidad para recordar la complejidad de la información del 22. No es nada nuevo que no digan las famosas directrices de decisiones automatizadas del GT29 (una de las asumidas por el EDPB), pero vamos con novedades del TJUE en forma de resolución del TJUE del 2025: C-203/22 (CK contra Dun & Bradstreet Austria GmbH y Magistrat der Stadt Wien). Sí, la ahora de moda/referencia en el tema. Y justo una en la que las cuestiones prejudiciales que le hacen hablan de algoritmos de caja negra:

La resolución tiene la importancia de que es a nivel del TJUE, pero lo más novedoso que no saliera ya en las directrices del GT29 son dos perlitas del Abogado General. Dos concretas sobre que el 15.1.h es un derecho real a que te expliques + vete mandando todo a la autoridad de control o tribunal competente, y luego ya se verá el límite de secreto empresarial y derechos de terceros que existe:

• “Por ello, como ha señalado el Abogado General en el punto 67 de sus conclusiones, procede considerar que el artículo 15, apartado 1, letra h), del RGPD ofrece al interesado un genuino derecho a una explicación sobre el funcionamiento del mecanismo aplicado en la adopción de una decisión automatizada de la que ha sido objeto y sobre el resultado al que ha llevado dicha decisión.”

Me parecen más inspirados los puntos 64 y 2ª parte del 71 del Abogado General sobre la necesidad de dar contexto inteligible y real de lo técnico para que pueda ejercerse el derecho con el conocimiento de lo que pasa que exige: “El conocimiento de este contexto por parte del interesado debe permitirle comprender el resultado al que se ha llegado mediante la decisión automatizada, al conocer los elementos esenciales del método y de los criterios utilizados. En resumen, el proceso, de carácter técnico, que ha conducido a esta decisión debe hacerse inteligible. Solo de este modo podrá el interesado ejercer los derechos que le confiere el RGPD, incluido el derecho a expresar su punto de vista sobre una decisión automatizada y a impugnarla. (…..). “En segundo lugar, esta información debe ser suficientemente completa y estar suficientemente contextualizada para permitir al interesado verificar su exactitud y si existen una coherencia y una relación de causalidad objetivamente verificables entre, por una parte, el método y los criterios utilizados y, por otra, el resultado al que ha llegado la decisión automatizada.”

• “Como ha señalado el Abogado General en el punto 94 de sus conclusiones, esta jurisprudencia es plenamente extrapolable al supuesto en el que la información que debe facilitarse al interesado en virtud del derecho de acceso garantizado por el artículo 15, apartado 1, letra h), del RGPD pueda dar lugar a una vulneración de los derechos y libertades de otros, en particular por contener datos personales de terceros protegidos por el RGPD o bien un secreto comercial, en el sentido del artículo 2, punto 1, de la Directiva 2016/943. En este supuesto también, la referida información debe comunicarse a la autoridad de control o al órgano jurisdiccional competente, a los que corresponde ponderar los derechos e intereses en cuestión para determinar el alcance del derecho de acceso del interesado a los datos personales que le conciernen.”

El resto lo podemos ejemplificar mejor con lo que dice el GT29:

• A fin de que esta información sea significativa y comprensible, deben ofrecerse ejemplos reales y tangibles del tipo de efectos posibles.

• En lugar de ofrecer una compleja explicación matemática sobre cómo funcionan los algoritmos o el aprendizaje automático, el responsable del tratamiento debe considerar la utilización de formas claras y exhaustivas de ofrecer información al interesado, por ejemplo: las categorías de datos que se han utilizado o se utilizarán en la elaboración de perfiles o el proceso de toma de decisiones; por qué estas categorías se consideran pertinentes; • cómo se elaboran los perfiles utilizados en el proceso de decisiones automatizadas, incluidas las estadísticas utilizadas en el análisis; por qué este perfil es pertinente para el proceso de decisiones automatizadas; y cómo se utiliza para una decisión relativa al interesado.

¿Algo más de la Comisión in love with AI.?

Lo divertido para el caso está al inicio del artículo. Hubiera sido muy raro dejarlo en un apartado final cuando son definiciones básicas del tema a tratar.

Aún con todo, sí se puede hacer un gran finale. La Comisión Europea se fumó alguna sustancia nociva por uno de los ejemplos sobre videojuegos que incluyen . Es cierto que se va a ello, pero ni a medio plazo me creo que comercialmente vayamos a tener nada en el mercado de este estilo. Hay prototipos y ejemplos de gente que hace pinitos con sensores de encefalograma para disparar o moverse con la “mente”, pero la batalla a corto-medio plazo va a ser el eye tracking de los casos de realidad virtual, aumentada o mixta.

Fuera de carta, tendríamos el derecho a explicación de decisiones tomadas individualmente del artículo 86 RIA, y la futura resolución del TJUE ante la 1ª cuestión prejudicial que nos viene sobre interpretación decisión automatizada sobre RIA.

Y hasta aquí llegamos. Podría incluir unas conclusiones para cerrar el artículo, pero casi es final abierto hasta que pase algo. Hemos hecho un recorrido para intentar poner en papel este tema que está ahí, pero el final ya nos lo darán escrito cuando empiecen a venir las investigaciones de autoridades, las denuncias, los cambios en los modelos para evitarlo y las sanciones.

Bueno, sí existe una conclusión importante que podemos dejar apuntada ahora: no jueguen a Candy Crush ni a ninguno de sus primos que utilizan la psicología aplicada para generar una tragaperras con forma de videojuegos. Parecen videojuegos, pero en el fondo son drogaína pura de Walter White.

La entrada ¿Qué tienen que ver las finalidades prohibidas del RIA con los micropagos? se publicó primero en Citizen8.

Propuesto por la Comisión en mayo de 2022, representa el último hito del paquete legislativo que prometía traer consigo la Estrategia Europea de Datos (Reglamento de Datos y Reglamento de Gobernanza de Datos). Además, supone el lanzamiento oficial del que será ya el primero de los nueve espacios europeos de datos en sectores estratégicos y ámbitos de interés público.

Por si la frenética actividad legislativa y regulatoria europea hubiera podido pillar a alguien con el pie cambiado (algo que, para nada acontece en los últimos tiempos) os contamos a continuación cuáles son las cinco claves del REEDS y cómo y porqué puede revolucionar el sector de la asistencia sanitaria y la salud digital en toda la Unión Europea. Para que el pie cambiado no se convierta en traspiés.

Objetivos y estructura

El Reglamento tiene por objeto establecer un conjunto de reglas, normas e infraestructuras que, bajo un marco de gobernanza común para todos los intervinientes, facilite y promueva el uso primario y el uso secundario de los datos de salud electrónicos. Se compone de un total de 105 artículos, acompañado por sus nada desdeñables 115 considerandos y estructurado en tres ejes u objetivos esenciales:

1. Usos primarios: Mejorar el acceso por parte de las personas físicas a sus datos de salud electrónicos y el control de dichos datos en el contexto de la asistencia sanitaria (Cap. II, arts. 3 a 24).
2. Historias Clínicas Electrónicas (HCE): Establecer un marco jurídico y técnico uniformes en lo que respecta al desarrollo, comercialización y uso de sistemas de HCE y aplicaciones de bienestar (Cap. III, arts. 25 a 49).
3. Usos secundarios: Impulsar la reutilización de los datos de salud electrónicos para otros fines y usos que beneficien a la sociedad, tales como la investigación, la formulación de políticas, la preparación y respuesta ante amenazas para la salud o la medicina personalizada (Cap. IV, arts. 50 a 81). 

Como cabe apreciar, se trata de un instrumento sumamente complejo, ya no solo por la diversidad en el objeto perseguido, sino por las interacciones con otra multiplicidad de normas con las que deberá, sin duda, convivir. Por ejemplo, con el Reglamento General de Protección de Datos (ya se examinaba en otra parte algunas potenciales fricciones), el Reglamento de Gobernanza de Datos, el Reglamento de Inteligencia Artificial o el Reglamento sobre productos sanitarios para diagnósticos in vitro. Y del Reglamento de Inteligencia Artificial, tenemos otras cositas publicadas por Citizen: ¿Un arenero para jugar con la Inteligencia Artificial en España? y Opportunities and perils of the leaked AI text.

Vayan preparando, pues, los termos de café

Ámbito de aplicación

Desde el punto de vista material, el REEDS se aplica a los datos electrónicos de salud, lo que conlleva dos consecuencias. En primer lugar, quedan comprendidos tanto los datos personales como los no personales. En segundo lugar, se construye una nueva categoría amplísima («dato de salud electrónico») que no solo abarca los datos relativos a la salud y los datos genéticos según el RGPD que se traten en formato electrónico, sino que captura prácticamente cualquier tipología de datos relacionados con la salud incluyendo incluso los datos sobre factores determinantes de la salud (conductuales, medioambientales, factores sociales o educacionales, etc.).

En lo que respecta a los sujetos obligados, las previsiones del Reglamento afectan, de un modo u otro, a la práctica totalidad de los actores del sector sanitario, asistencial e investigador que, bajo la rúbrica de «tenedores de datos de salud», deberán facilitar y poner a disposición de los «usuarios de datos» sus datos de salud electrónicos. Obligación que se extiende, por lo general, a cualquier persona física o jurídica, pública, privada o entidades sin ánimo de lucro que presten servicios, desarrollen productos o servicios o realicen investigaciones en el sector sanitario o asistencial. Por ejemplo, prestadores de asistencia sanitaria públicos y privados; investigadores, centros, grupos y universidades; fabricantes, proveedores y comercializadores de sistemas de HCE y aplicaciones y dispositivos de bienestar; compañías farmacéuticas y de salud digital; registros, repositorios y biobancos. Quedan excluidos, en cambio, ciertas personas físicas (ej. investigadores individuales), las microempresas y los órganos jurisdiccionales.

Finalmente, desde el punto de vista temporal, el Reglamento entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea y será plenamente aplicable a los dos años. Es decir, el Reglamento será aplicable a partir del 26 de marzo de 2027. No obstante, debido a la complejidad (y la diversidad) de sus disposiciones y obligaciones, se prevé un período de adaptación escalonado.

Usos primarios

Los usos primarios de los datos de salud electrónicos son aquellos relacionados con la prestación de la asistencia sanitaria (evaluación, conservación o restablecimiento del estado de salud de la persona) incluyendo la receta, dispensación y provisión de medicamentos y productos sanitarios; así como los servicios sociales, administrativos y de reembolso.

El Capítulo II se abre con una enumeración exhaustiva de los derechos de las personas físicas en relación con los usos primarios, a saber:

• Derecho de acceso a las categorías mínimas de datos de salud electrónicos personales y a la obtención de una copia gratuita.
• Derecho a introducir información en su propia Historia Clínica Electrónica.
• Derecho a la portabilidad de los datos de salud electrónicos personales.
• Derecho a limitar el acceso de profesionales sanitarios y prestadores de asistencia sanitaria a la totalidad o parte de los datos de salud electrónicos personales.
• Derecho a la rectificación de los datos de salud electrónicos.
• Derecho a obtener información (quiénes, cuándo y a qué) sobre los accesos que se hayan producido a sus datos de salud electrónicos personales.
• Derecho de opt-out en relación con los usos primarios (autoexclusión de las infraestructuras y servicios de acceso electrónicos del Reglamento).

A los efectos de garantizar el acceso a los datos para usos primarios y el ejercicio efectivo de tales derechos en el conjunto de la Unión, el REEDS establece un conjunto de infraestructuras, actores y reglas comunes. Así, dispone, entre otras, la creación de un formato europeo de intercambio de historias clínicas electrónicas, la implementación de mecanismos de identificación y autenticación interoperables, el nombramiento de una o varias autoridades de salud digital en cada Estado miembro y la institución de una infraestructura y unos servicios transfronterizos (MiSalud@UE).

Historias Clínicas Electrónicas y aplicaciones de bienestar

El Capítulo III del Reglamento introduce todo un conjunto de requisitos y reglas uniformes en lo que respecta al desarrollo, la comercialización y el uso de Sistemas de HCE y aplicaciones de bienestar, incluyendo:

• Normas sobre la introducción en el mercado y puesta en servicio.
• Obligaciones de los fabricantes de Sistemas de HCE.
• Obligaciones de los importadores de Sistemas de HCE.
• Obligaciones de los distribuidores de Sistemas de HCE.
• Requisitos y especificaciones comunes para una declaración y marcado europeos de conformidad.
• Etiquetado de interoperabilidad de las aplicaciones de bienestar (wellbeing). 
• Disposiciones sobre la vigilancia del mercado y el establecimiento de un registro europeo para los sistemas de HCE y las aplicaciones de bienestar. 

Usos secundarios

Los usos secundarios de los datos de salud electrónicos son aquellos expresamente permitidos por el propio Reglamento y que son distintos de los fines iniciales para los que se recogieron o produjeron (es decir, del conjunto de fines relacionados con la prestación de la asistencia sanitaria incardinados en el uso primario). El Reglamento enumera un listado de usos secundarios permitidos (art. 53) y de usos secundarios prohibidos (art. 54).

Las personas y entidades comprendidas dentro del concepto de Tenedores de Datos de Salud quedan legalmente obligadas por el REEDS (se crea una obligación legal en el sentido del art. 6.1, letra c del RGPD) a poner a disposición ciertas categorías de datos de salud electrónicos (listadas por el art. 51) para su acceso y uso secundario por parte de los usuarios de datos que lo soliciten. Con ello, a fin de regular y gobernar esta obligación de puesta a disposición, los procedimientos de autorización y la infraestructura para el tratamiento y la concesión del acceso, el Reglamento dispone:

• La designación de uno o varios «organismos de acceso a datos de salud» por cada Estado miembro que serán responsables, entre otras funciones, de conceder el acceso a los datos de salud electrónicos para usos secundarios mediante la expedición de «permisos de datos».
• Un procedimiento administrativo (estándar / simplificado) para el acceso a datos incluyendo, entre otras, plazos de tramitación, un contenido mínimo para las solicitudes de acceso, modelos estandarizados, etc.
• Un régimen jurídico uniforme para los «permisos de datos», decisiones administrativas por las que un organismo de acceso autoriza el uso secundario y especifica las condiciones en las que se llevará a cabo, así como las garantías y salvaguardas aplicables.
• La creación de un «catálogo de conjuntos de datos» normalizado y accesible al público que contenga una descripción de los conjuntos de datos disponibles y sus características.
• La institución de una infraestructura transfronteriza para los usos secundarios (HealthData@EU) con puntos de contacto nacionales y con la posible integración como participantes autorizados de instituciones europeas, EDICs (European Digital Infrastructure Consortiums) e incluso de organismos o entes de terceros países u organizaciones internacionales.

Finalmente, al igual que ocurre con los usos primarios, se introduce un derecho de opt-out que permite a las personas físicas excluir, en cualquier momento y sin necesidad de motivación alguna, el tratamiento de sus datos de salud electrónicos personales para usos secundarios (sometido a ciertas excepciones y limitaciones).

Conclusiones

En definitiva, el Reglamento (UE) 2025/327, de 11 de febrero de 2025, relativo al Espacio Europeo de Datos de Salud  es un instrumento complejo, pero disruptivo para el sector de la salud, que anticipa transformaciones de calado en la práctica totalidad de las esferas y de los operadores jurídicos sanitarios, asistenciales, de investigación o de salud digital.

Primero, por reforzar los derechos de los pacientes y las facultades de autodeterminación informativa de las personas físicas; en lo que es un nuevo intento de situar el respeto a los valores fundacionales europeos en el núcleo del debate sobre los beneficios de la digitalización de la salud y la economía digital.

Segundo, por las obligaciones de puesta a disposición de datos para usos secundarios, el establecimiento de unos mecanismos de acceso uniformes y la creación de nuevos organismos y autoridades nacionales y transfronterizas. Ello con el afán de desplegar todo el potencial de la reutilización de los datos de salud electrónicos para el interés general bajo unas reglas de gobernanza justas que permitan salvaguardar un elevado nivel de protección de los derechos y libertades.

Por último, porque un eventual éxito del Reglamento demandará esfuerzos decisivos por parte de los Estados miembros y resto de los sujetos obligados, no solo en términos de cumplimiento normativo; también, en forma de inversiones en capacidades técnicas, operativas e infraestructura.

Mikel Recuero
Doctor en Derecho.
Abogado especializado en Protección de Datos y Derecho Digital.

La entrada Las 5 claves del nuevo Reglamento sobre el Espacio Europeo de Datos de Salud se publicó primero en Citizen8.

Si obviamos el gran tema de la IA (dos artículos en Citizen: Sara sobre el texto de Reglamento de IA y Guillermo sobre los sandboxes de IA), el follón de los menores con el “pornorama” (otro por un servidor) o los neuroderechos (creo que un poco antes de más se empieza a cacarear); nos viene a la cabeza Sam Altman como gran foco de riesgo.

Nos viene a la mente por ChatGPT y sus líos con la autoridad italiana, pero ahora habemus nueva cosa: el Palantir u orbe de Mordor que nos recopila el iris a cambio de criptomoneda propia.  Voy avisando que no es un artículo corto ni cumple el mantra canónico del SEO en extensión máxima, pero algo de tela sí había que desplegar sobre la mesa. Amerita el siguiente índice interactivo para ir saltando al apartado que se quiera, o volver a la parte que se dejó para leerlo de varias veces.

En el siguiente punto toca minuto y resultado del Palantir, pero desde el principio ya era una de las grandes minas del Potosí por:

• Que ellos mismos declaren que no quieren tu iris si eres residente de los estados de Illinois, Texas, Oregon, Maryland o Washington; o de las ciudades de Portland y Baltimore. Cómo no fiarse si hay estados y ciudades de Estados Unidos que tienen normativa que prohíben “innovación innovadora” con datos biométricos del tipo que sea. Aunque puede que lo más innovador es que en la versión española y en inglés US se diga que Maryland y Oregon son ciudades y no estados (salvo que se refiera al as improbables y pequeñas Oregon y Maryland City). También tiene su aquel que se mencionen las ciudades de Baltimore o Portand de manera concreta, cuando forma parte de Oregon y Maryland aka la norma afecta a las ciudades del estado se llamen Portland, Columbia o Rapture.
• Que el iris es un dato personal único que nos identifica de una manera que nunca podremos cambiar (salvo que películas como Minority Report lleguen en breve con el cambio fácil y sencillo de globos oculares), que se pierde el control real una vez dado, y que puede provocar efectos muy perjudiciales de manera que ni la propia Worldcoin puede prever. Qué casualidad que ahora que se habla de neuroderechos, reconocimiento automatizado de emociones para mil cosas, visores de realidad aumentada/virtual, eye tracking, pagos y los escaneos con iris para cada vez más cosas; empezemos a ver este tipo de tratamientos;
• Que la propia Worldcoin sí es consciente del órdago grande que hace. Y por eso se empeña en la sobrecompensación de poner muchas veces privacidad, darte criptocosas para que creas que es un buen negocio/que no son villanos como Meta de gratis total, o mensajes tipo “la economía mundial pertenece a todo el mundo”. Para ejemplo, un fragmento de un doc perdido por ahí de explicación que nos deja perlitas que hacen recordar otros conflictos tipo Vietnam. “Excusatio non petita, accusatio manifesta

¿Qué nos vamos encontrado al desbloquear el móvil este tipo de cosas?. Claro, pero también nos encontramos con sanciones día a día: los gimnasios, Mercadona por su idea de bombero del reconocimiento facial para gente con órdenes de alejamiento de sus supermercados (y menos mal que sólo era un proyecto piloto), la licitación de Renfe para reconocimiento de etnia, sexo o vestimenta que retiró por el revuelo, la advertencia de la AEPD a la La Liga por reconocimiento facial en estadios, alguna de lo anterior que va cayendo o todo lo que Sam sabe de los líos de ChatGPT.

¿Qué es una herramienta de inclusión y solución para la gente sin identidad a efectos legales o para servicios financieros? Pues mejor que no, pero es lo mismo que te dirían los siguientes que acabaron “apercibidos” o avisados: Hungría con los refugiados que acabó en paralización por el EDPS, la del Ministerio del Interior italiano, la de los sistemas “Marvel” y “Protector” de Trento, las mil de ClearView con autoridades policiales o la general que recuerdan el EDPB y EDPS sobre la relajación que habría que tener que movidas “innovadoras” en las directrices sobre reconocimiento facial para fines policiales:

¿Cómo va el tema? Minuto y resultado

Una de las ventajas (o inconvenientes, según se mire) de publicar algo más tarde la noticias, es que el contenido no se queda desactualiza en todo lo que va saliendo al minuto. Por contra, toca recapitular. ¿Cuál son los highlights del tema hasta ahora?

• Al principio, teníamos a la CNIL, la APDCAT, la AVPD, el ICO, la de Hong Kong o a nuestra AEPD con aprox 4 denuncias;
• El 6 de marzo, la AEPD pasa a primera fila al ordenar paralizar el tratamiento de Worldcoin durante un plazo máximo de 3 meses (ojo, que no tiene por qué llegar al límite o puede suponer una prórroga) y la petición de información en el típico plazo de 72 horas, es decir, nada de recopilar más datos personales y bloquear sin posibilidad de toquetear lo que ya está recabado. 400.000 iris o así de nada por España;
• Casi por esa fecha, Worldcoin contesta a través de su DPO diciendo que la AEPD les ha ignorado durante meses, que no ha seguido el procedimiento correcto, que colabora con la autoridad de Baviera como entidad de control principal por la sede europea de la empresa, y que la AEPD está difundiendo información inexacta y errónea de lo que hacen. Worldcoin se irá emperrando poco a poco en hacer la “ignoración” a la AEPD por la “arañación” recibida
• La autoridad de Baviera sigue investigando todavía e incorporando cosas que la AEPD estaba investigando para a dar traslado al EDPB para coordinar a nivel europeo. Como Worldcoin anda enfadada con la AEPD por la “arañación” recibida, irán deslizando que Baviera es la única a la que harán caso en sus propuestas/”ignoración” a la AEPD;
• El 11 de marzo, la Audiencia Nacional le dice a Worldcoin que qué me estás contando de cautelares de suspender la medida de la AEPD por perjuicio irreparable. La AEPD lo hace en el marco de su competencia, y ya si gana Worldcoin se le indemnizará como corresponda;
• El 22 de marzo, se publica el contenido del acuerdo de adopción de la medida provisional de paralización de la AEPD. Justificada por la gran escala, naturaleza de los datos y alto riego + expresa referencia a muchas cosas de las recibidas en las múltiples denuncias existentes: no facilitar copia del documento de información y consentimiento prestado, no permitir retirada del consentimiento, cositas feas para dificultar el ejercicio del derecho de supresión;
• El 26 de abril la autoridad portuguesa (CNPD) se suma a la AEPD con una suspensión del tratamiento en el país luso. Aprox 300.000 personas afectadas, una decena de denuncias y por un plazo de 90 días/3 meses. ¿Intentarán la misma jugada de ir a los tribunales para que suspenda la medida cautelar, o con lo que nuestro ya aprendieron que nop?. Y enlace al comunicado de prensa, por aquello de ser más fácil de leer que el propio acuerdo; y
• El 2 abril introdujeron cambios en las versiones de la política y del formulario del consentimiento publicadas (aplicables desde el 5 de abril). Una prueba sólida de que nada había que cambiar. ¿Putada? Podría ser, pero nos da oportunidad de ver cómo estaba en el momento en que saltó la liebre y que creo que es el comentario que debería ser el principal, y si han mejorado algo o no con un cuadrito final por cada apartado comentado.
• El 19 de diciembre (actualización desde el futuro), la autoridad de Baviera se suma a la AEPD en su cautelar, es decir, ordenando la eliminación «iridiscente». No se podía saber que iba a pasar.

¿Qué es el Palantir u “Orbe”?

En corto, un dispositivo justo con esa formita y una cámara que permitir recopilar el iris + otros elementos faciales para finalidades que ya veremos en otro apartado, pero que tampoco es que sean claras en el sentido que se les exige por normativa en esta buena tierra del himno de la alegría (y Noruega, Islandia y Liechtenstein, ya sabéis).

Suena muy feo cuando lo escuchas por primera vez, pero la cosa no mejora cuando te das cuenta que los cacharros están por todo el mundo en centros comerciales trincando datos especialmente protegidos. ¿Por todo el mundo de verdad? Pues sí, ya que las cosas sólo llegan a la España provincial cuando pasan un tiempo de pijoterío por Madrid y Barcelona, o porque hay un interés muy fuerte porque nos llegue a todos de manera simultánea.

¿Cuál es el modus operandi de este Palantir? Descargarse la aplicación llamado WorldApp aka monedero en el que te van a dar las monedas de plata de valor variable (hasta aquí, porque ni papa de criptomonedas. Aunque ya podrían dar unas Bitcoin, Ethereum o “ElmoCoin” más conocidas), y luego pasar por el orbe para que te capte el iris y crear tu identificador (World ID).

¿Y qué hace el orbe? Pues varias cosas que mejor lo explica Worldcoin. Aunque en doc de explicación biométrica y no en la política o formulario de consentimiento:

“La primera tarea del Orb es determinar si alguien es una persona viva real que no está intentando defraudar la verificación. Para ello utiliza diversos sensores de cámara y modelos de aprendizaje automático que analizan los rasgos faciales y del iris. Una vez determinado esto, la Orb toma una serie de fotografías del iris de la persona y utiliza varios modelos de aprendizaje automático y otras técnicas de visión por ordenador para crear un código del iris, que es una representación numérica de las características más importantes del patrón del iris de una persona.”

¿Se dice qué hace técnicamente el Ojo de Sauron? Pues poca cosa, y sin que se entienda bien. En el whitepaper se dice: “El Orb utiliza sensores multiespectrales para verificar la humanidad y la unicidad de la persona para emitir un World ID verificado por el Orb, y todas las imágenes se eliminan rápidamente en el dispositivo por defecto (en ausencia de consentimiento explícito para la Custodia de Datos).”

Sí se dice en unas FAQS perdidas (para no perder la buena costumbre de trocear la información y que nunca la veas toda), que no te dejará ciego ni te dañará la vista. Ya sólo faltaba, pero para que veamos que cumplen con ISO específica. El chiste está en que enlaza la nada y el humo para liar: la propia ISO en versión free, pero no el certificado de cumplimiento otorgado por entidad certificadora para ver si realmente lo cumplen y si está en vigor. ¿Hay ISOs específicas de sistemas que traten datos biométricos?. Sip, pero ya para otro momento si eso: ISO/IEC 19794-6:2011,

Si como lector has pensado en el medidor PKE de los Cazafantasmas que detectaba radicación ectoplasmática, pues tienes buen gusto en películas + suena a eso. La manía de no traducir al usuario lo que significa técnicamente + poner el palabro para dar la sensación de ser Apple.

Lo datero

Siguiendo el orden del RGPD, vamos a ir viendo si va cumpliendo el tema o no. Obviamente, información en papel o a pie de pista no habrá al no acercarme ni con un palo, pero el comentario se basará en lo visto en su política de privacidad actualizada y el formulario de obtención del consentimiento que también publican. Y dentro de este marco limitado, pues tampoco voy a entrar a comentar todo lo que podría para no irnos a una especie de ensayo, tesina sin mucho formato o similares.

Una de las peores cosas que tiene Worldcoin, es seguir la regla de la infoxicación de las grandes tecnológicas: mucho texto, muchos textos enlazados entre sí, información no tan similar en varias modalidades, preguntas frecuentes o “FAQS” perdidas para que no llegues fácilmente a ver todo el bosque, y otros documentos adicionales que dicen cosas interesantes (o preocupantes).

¿Quién es el responsable?

En una copia de guión a lo ChatGPT, tenemos otra fundación querida. Aunque con un plot twist caribeño del “Gran Caimán”. ¿Qué historia no acaba siendo + divertida cuando empieza desde un paraíso fiscal de esos clásicos y asentados que sigue siendo una orgullosa colonia británica?

Worldcoin Foundation, Suite 3119, 9 Forum Lane, Camana Bay, PO Box 144, George Town, Gran Caimán KY1-9006, Islas Caimán.

Es llamativo que al jugar con caimanes desde la sede que declaran, no informen de la existencia del obligado representante en la UE como entidad no establecida en la UE + 3. Aquí podría empezar una derivada sobre si al no haber declarado representante sería la Agencia Española de Protección de Datos (AEPD) la que se lo quedara, pero gracias al revuelo se llegar a que sí tienen establecimiento por Baviera. Si no hubiera sido por el lío, sólo tendríamos la referencia descontextualizada de declarar como autoridad a la de Baviera porque patata.

Yendo al tema puro de la responsabilidad, Worldcoin, sólo se está declarando responsable de lo que llaman los datos del orbe y de los “datos del protocolo”: “los datos personales recopilados y tratados a través de su uso del protocolo de Worldcoin o los tokens de Worldcoin.”. Con este límite empieza sobrevolar la sombra de la corresponsabilidad con los “operadores Orb” aka empresas locales que ponen el stand y están allí.

Si no se bichea el ya mencionado whitepaper o el “quieres convertirte en operador de Worldcoin” se podría pensar lo anterior, pero lo cierto es que tiende más a un encargado del tratamiento al uso + rollo franquicia o empresa contratada. ¿Por qué tan cuasiseguro?. Por las conclusiones de ese doc de sé operador:

• La determinación de medios y fines viene por Worldcoin totalmente;
• Hay que pasar un proceso de selección; y
• Los medios te los suministran y te obligan a cumplir código de conducta. No haría falta acudir al matiz del EDPB de los medios principales y los medios técnicos para llevarlos a cabo.

Recordando el revuelo vía AEPD, hablamos de Worldcoin, pero esa petición de información y misil de paralización profesional fuera para “Tools for Humanity Corporation”.  En la información figura como cesionaria, pero es el ¿representante? o ¿el responsable real?.

¿Lo han mejorado ahora?. Sip. Desde el culebrón ahora se dice clarito quién es el responsable y que hay un establecimiento permanente en la UE que llama a no tener que meter a represente alguno.

Datos personales obtenidos

Vamos con uno de los puntos más importantes de todos. ¿Qué recaba el Palantir?. A pesar de que van diciendo por varios sitios que lo de recabar datos personales no es que quieran como tal para nada. La información que nos dan lo divide en varias categorías. Para que sea más fácil de leer, vamos por dobles como la pareja de agentes de patrulla: lo que dicen ellos vs lo que me parece en cada caso.

Imágenes de los iris y los ojos:

• Lo suyo: “estas imágenes se recopilan en el espectro visible y el infrarrojo cercano. Tal y como se describe en el apartado 2.3 siguiente, el algoritmo no es perfecto y puede cometer errores, como determinar por error que ya se ha registrado en un Orb.”
• Comentario: Lo del iris ya nos lo imaginamos, pero ¿qué más del ojo quiere decir todo eso? La llamada al 2.3 (el fragmento de abajo) del formulario del consentimiento no aclara nada, salvo dejar más claro que el principio de exactitud les importa tres narices y habemus falsos positivos + que aquí no hay supervisión humana y derechos a no ser objeto decisión automatizada ni por equivocación. Ya se funde el 22 del RGPD, y estamos casi al principio de la info.

“Nuestro software utiliza probabilidades para determinar si se ha registrado anteriormente en un Orb. No es perfecto. Como resultado, puede concluir erróneamente que ya se ha registrado en un Orb (y ha solicitado su parte de WLD gratis). En este momento, no contamos con un método para que los usuarios notifiquen la sospecha de errores o refuten lo que determina el algoritmo. Al aceptar el presente Formulario de consentimiento de datos biométricos, consiente a esta toma de decisiones automatizada.”

Imágenes faciales.

• Lo suyo: “estas imágenes también se recopilan en el espectro visible y el infrarrojo cercano. También recogemos imágenes de profundidad (3D). Las imágenes se utilizan para confirmar que usted es un ser humano, y por lo tanto ayudan a detectar y prevenir el fraude, y a entrenar el algoritmo de prevención del fraude (conjuntamente estas imágenes faciales y las imágenes del iris se denominan “Datos de imagen”).”

• El comentario: el problema de base, es que, si hacemos caso a los principios de minimización, de limitación de la finalidad, de necesidad y del infrecuente sentido común, llegamos al punto de que este tratamiento es excesivo por el mero hecho de que una comprobación visual del pollo que está allí al lado del Palantir ya serviría a ello sin recopilar dato alguno. Para que no salte la liebre, se enmascara con el tema de entrenamiento de sistema de prevención del fraude, pero vaya usted a saber por lo dicho + que tendríamos un tratamiento distinto y adicional no necesario sometido a otro consentimiento explícito adicional. Y luego que ya que nos digan realmente qué se va a entrenar, o si ese algoritmo solo se va a usar para ello.

Derivados de los datos anteriores.

• Lo suyo: “utilizamos algoritmos complejos de última generación y nuestras propias redes neuronales artificiales para crear representaciones numéricas (“Derivados”) de las imágenes anteriores para permitir comparaciones informáticas e interacciones entre ellas. Estos Derivados son cadenas de números (p. ej., “10111011100…”) que implican las características más importantes de las imágenes. No es posible invertir completamente los Derivados a la imagen original. Y lo que es más importante, utilizamos nuestra versión personalizada del algoritmo de Daugman para calcular dicha cadena de números a partir de la imagen del iris (“Código del iris”). Este Código del iris se utiliza para garantizar que los usuarios solo puedan registrarse una vez.”
• El comentario: de una manera muy rara, declara el resultante de la captación del iris, es decir un código alfanumérico que genera el Palantir de los datos de iris que capta. El punto de que usa una versión modificada de un algoritmo famoso, pues a nivel del usuario es irrelevante y no le aportar mayor garantía, salvo que sea del ramo y lo controle. Y lo de que el código del iris se usa para evitar el fraude de volver a registrarse, pues casa poco el punto de que lo se quiere captar sea el iris + que hay medios menos invasivos para evitarlo.

Los datos de la propia app y el “Servicio PDH”:

• Lo suyo: “como usuario, no tiene la obligación de facilitar ningún dato para acceder a la Aplicación. Sin embargo, es posible que tenga que facilitarnos ciertos datos para poder utilizar una función dentro de los Servicios.”

“Servicio PDH: El Servicio de verificación de prueba de humanidad (“Servicio PDH”) permite a otros desarrolladores aprovechar el protocolo de la World ID para verificar que sus usuarios son humanos individuales. El Servicio PDH puede permitir a los desarrolladores utilizar otras señales como verificaciones de números de teléfono en lugar de, o además de, el World ID. En caso de verificación del número de teléfono, utilizamos Twilio para recopilar, enmascarar y verificar el número de teléfono de conformidad con su declaración de privacidad. Tras recibir la confirmación de singularidad de Twilio, informamos a los desarrolladores que se ha verificado el número de teléfono. Solo transmitimos su número de teléfono con el fin de recibir el código de verificación, no almacenamos números de teléfono ni hashes de los números de teléfono. Solo facilitamos a los desarrolladores un hash irreversible de su número de teléfono que les permite validar que el número de teléfono es real y único. Tenga en cuenta que esta sección solo cubre los datos que recopilamos, utilizamos y compartimos. No explica lo que hacen los desarrolladores con los datos que les facilitamos (o cualquier otra información que puedan recopilar sobre usted por separado). Estos datos constituyen Datos del Protocolo.”

• El comentario: obviando el punto de la no obligación de dar datos o el “puede” (lo de descargar una app por narices y no dar datos por necesidad es el nuevo “son los padres”) vamos con el servicio PDH, es decir, ¿el trincarnos el número de teléfono que va ir asociado al identificador que genera el dichoso Palantir? , ¿que lo procese Twilio y se comparta con “desarrolladores” sin que se informe de cómo + patada a su política y seguro que fines propios? ¿para hacer cosas de las que no se informe porque se cede y ya películas el siguiente?

Huele a mareo cuasi ininteligibles de los datos “anonimizados” van a acabar en cualquier sitio de la cadena comercial, a lo adtech y publicidad programática + corresponsabilidad Voldemort que no debe ser nombrada. A vista de la información, es imposible saber qué bigotes van a hacer.

Datos biométricos de categoría especial o no

• Lo suyo: “los datos que recopilamos (descritos anteriormente) pueden considerarse o no datos biométricos dependiendo de las leyes aplicables en su lugar de residencia. Sin embargo, los tratamos como datos biométricos y los gestionamos con un mayor grado de seguridad y cuidado.”

• El comentario: ¿Se lo podemos considerar como responsabilidad proactiva, o más bien no? o ¿siempre sería dato biométrico, o deberían haber especificado si hablaba de dato de categoría especial? Por la definición del artículo 4.14 del RGPD siempre hablaríamos de datos de categoría especial por existir tratamiento técnico, pero el punto es si es de categoría especial con la prohibición inicial de tratamiento a levantar o no. Este punto te lo deja un poco botando el artículo 9.1 sobre si la finalidad es la identificación unívoca, pero, como prácticamente con todo, la confirmación te la dan las autoridades de protección de datos en sus documentos. El ICO en reciente guía sobre biometría:

¿Esto significan que el orbe podría ser un tratamiento biométrico que no fuera de categoría especial?. No, ni de coña. De la misma manera que ya no cuela aquello de que la verificación biométrica no es de categoría especial.

Seguro que como lector interesado en temas dateros, habrás visto las noticias sobre los científicos chinos que parece que han ideado un sistema para reconstruir la huella por los sonidos que produce el dedo en la pantalla. No hay nada 100% seguro, pero no queda tan claro que no sea algo a nivel más de prototipo que ya veremos. Si exige que andes toqueteando la pantalla no parece que pueda sacar el desbloqueo de huella normal, ¿cuánto hay que estar toqueteando la pantalla?, ¿si se cambia de dedo pasa algo? ¿se habla de un tercio de acierto, pero qué pasa con los falsos positivos? ¿el protector de pantalla o crista templado no supone un problema gordo al alterar el sonido resultante?.

¿Lo han mejorado ahora?. Pues no tanto. Le han metido un tijeretazo importante a lo del servicio PDH que ya no dice cosas chulas de Twilio.

¿Finalidades?, ¿finalidades?. ¡Yo no veo tantas finalidades!

A estas alturas, pues toda pinta a un ClearView de la vida que entrenará un modelo, generará base de datos y lo usará para “cosas”. La información, como en casi todo lo que pulula por internet, es cumplidora a nivel de foto general, pero con mil lagunas si te paras a mirar.

La regla de oro de la información es que el EDPB nos destila en las famosas pautas de sus directrices de transparencia:

¿La información de Worldcoin aguantará estas pautas? Vamos a verlo con sus grandes éxitos de los dos textos informativos de base:

• “Ofrecer y mantener nuestros productos y servicios en virtud de las Condiciones del usuario”: buen uso de la generalidad que atenta con la claridad, la semántica y la comprensión;
• “Para permitirle publicar información en una cadena de bloques para demostrar su singularidad”: buen uso de cryptopalabros que no dicen nada para el que no sepa lo que significan. Y no es requisito saberlo para dar tus datos;
• “Para mejorar y desarrollar nuestros productos y servicios, incluso para depurar y reparar errores en nuestros Servicios”: Lo mismo que la 1º;
• “Para llevar a cabo investigaciones científicas de datos”: otra generalidad, pero olvidando que el EDPB ya matizó que investigación científica lo es en aceptación más estricta (y varias veces): “proyecto de investigación establecido con arreglo a las correspondientes normas metodológicas y éticas relacionadas con el sector, de conformidad con las buenas prácticas”;
• “Analizar el uso que usted hace de nuestros Servicios para prestarle una mejor asistencia”: nos encajaría en el listado de clásicos en materia de cookies cuando no se dice nada sobre qué hacen las analíticas;
• “Para cumplir con la legislación aplicable, como la legislación contra el blanqueo de capitales y las sanciones”: ¿y la referencias a la normativa concreta que hay que incluir?
• “Cálculo de Códigos del iris y comparación de su Código del iris con otros Códigos del iris”: el funcionamiento del chisme no es una finalidad de tratamiento en sí misma;
• “Detectar si un usuario es un ser humano vivo, lo que incluye comprobar si la temperatura del rostro detectada coincide con un intervalo de temperaturas corporales humanas normal”: cojonudo, ahora aparece otra funcionalidad que permite captar datos de salud. Y mira que es fácil ver si anda vivo el que se viene hasta el orbe o es un zombie. Y mira que en época del Covid ya se vio lo que fallaban los sistemas de medición de temperatura/falso positivos o negativos;
• “Detectar si un registro muestra un iris humano natural, sin alteraciones ni obstrucciones, lo que incluye comprobar si el rostro cambia durante el registro”: ¿En qué casos puede pasar eso? ¿La personita puesta allí no está precisamente para vigilar que todo se haga bien y no intenten escanear el iris de una foto de Pepe Viyuela? ¿Están pensando en que alguien vaya con un ojo de cristal a lo Piratas del Caribe?, ¿alguien se les ha dormido durante el proceso? ¿están pensando en un rebelde miope que se vuelva a poner las gafas a medio palantirazo?, ¿puede detectar casos de cataratas o afecciones oculares para decir que nanay? ¿y el que lleve lentillas puede, o es un coste oculto al tener que tirarlas?;
• “Etiquetar los datos recopilados” y “probar los algoritmos con los resultados etiquetados por humanos”: nop es una finalidad, sino lo que hay que hacer entre bambalinas técnicamente; o
• “Formar y evaluar al personal que trabaja en estos sistemas”: ¿en serio? Es más, una obligación del RGPD de esas ineludibles y tal.

¿Lo han mejorado ahora? Han mejorado la referencia legal, aunque sin incluir referencia a la ley o norma concreta. Y la primera finalidad que no se entendía ni papa, también. Si dicen mejor que habrá entrenamiento del algoritmo con imágenes reales para que aprenda a distinguirlas, pero volvemos a lo mismo. ¿No se puede conseguir eso con un número muy limitado y no a lo loco por el mundo?

Del consentimiento y bases de legitimación

Aunque existen varios tratamientos enlazados de muchas cosas con distintas bases, la gracia es centrarse en la principal y más controvertida: el consentimiento explícito o reforzado necesario para tratar el dato biométrico del Iris, dividido en tres niveles de consentimiento a “elegir” por el interesado.

Aunque antes de darle cera, sí se merece dejar apuntado el punto del interés legítimo. Siempre se piensa que la descripción de las finalidades y el propio interés legítimo es lo mismo, pero el EDPB siempre recuerda que nop + que deber ser real, actual y no vago o especulativo:

Y ahora, apliquemos todo esto a lo que nos dice Worldcoin en algunos ejemplos de su política:

• “Los intereses perseguidos son ofrecer una experiencia estable y segura de nuestro software y hardware.” Más de la nada humidificada con relevancia en protección de datos;
• “La base jurídica de este tratamiento son los intereses legítimos de ofrecer una mejor experiencia de usuario, mayor asistencia y funciones más útiles en los Servicios.” Muchos más de la nada humidificada con relevancia en protección de datos;
• “Los intereses perseguidos son ofrecer una mejor experiencia de nuestro software y hardware.” Me cansé de ponerlo; o
• “La base jurídica para almacenar el Código del iris y compararlo pasivamente es nuestro interés legítimo, a saber, nuestro interés en defendernos de usuarios fraudulentos que intentan registrarse ilegalmente más de una vez.” El único que sí está redactada siguiendo la pauta, pero habría que verlo a nivel de LIA.

Volviendo a los tres tipos de consentimiento que plantean, vamos uno a uno, aunque amerita empezar por los requisitos principales que siempre han de cumplir para serlo, de conformidad al artículo 7 del RGPD:

• Manifestación libre de voluntad: que realmente se tenga una capacidad de elección, de control y que no existan perjuicios o consecuencias negativas si lo otorga;
• Específico e informado: que no sea una habilitación general y se dé para fines concretos y bien clarito;
• Inequívoco o clara acción afirmativa: que no quede lugar a dudas de que se ha otorgado un consentimiento. Los tacitus, ¡afuera!;
• Demostrable: que quede prueba de que se ha otorgado;
• Revocable: que se puede revocar en el momento que el interesado quiera de una manera tan fácil como fue darlo; e
• Explícito: como es un consentimiento de datos de categoría especial, pues toca reforzarlo específicamente: firma, doble check, en doble fase o lo que se ocurra que pueda cumplir.

El punto de que sea demostrable se da por supuesto al interesarle a Worldcoin, el de revocabilidad no se puede comprobar sólo viendo la info, y el punto de ser explícito o si clara acción afirmativa, tampoco, por no haber pasado por el cauce de dar datos y ponerme ante el cacharro.

¿Y el resto los cumplirían? Vamos a verlo, pero espóiler: nop.

1º Consentimiento aka no biométrico: apertura de la cuenta, pero sin criptdinerin y funcionalidades limitadas. Es decir, un consentimiento que no sería libre por el intento de manipulación de no darte el critpodinerin si vas por aquí, la ambigüedad de menos funcionalidades sin decir cuáles o de disponer de una chachi-identidad única y ¿portátil?. Tampoco sería informado por el punto que ya arrastra de que las finalidades sometidas a consentimiento no están clarificadas.

El punto de que te hable de consentimiento para la “declaración de privacidad” se lo regalamos por manía típica de gran empresa de decir que la información de privacidad se acepta.

2º Consentimiento aka consentimiento biométrico poco: consiente el tratamiento de datos biométricos, pero con perjuicios a modo de no te doy funcionales completas sin decirte cuales, te digo que surgirán molestias sin aclararlo y que tendrás que volver al cacharro cada vez que actualice el algoritmo. Lo mismo que el anterior, pero con el perjuicio añadido de que te obligue a pasar más veces por el Palantir.

3º Consentimiento aka el biométrico real bueno: el que realmente quieren que des para poder tratar los datos biométricos, pero también para poder transferirlo. De hecho, los otros dos parecen puestos para que esta tercera opción buena ni te dé miedo ni te cueste pulsarla por no tener contraprestaciones o “molestias” aparentes. Uso de psicología aplicada de la ansiedad que nos generan las múltiples opciones y el elegir lo que menos nos beneficie, para llevar la manita hacía el que se quiere que se marque.

 Lo mismo de los dos anteriores, con el añadido de que se pretende que dos consentimientos explícitos pasen por uno lentejas. El intento de justificar que, sin dar información real y control sobre dónde van a acabar los datos, es el interesado el que les autoriza a todo.

Se vislumbra la maldad añadida de que te mencionan Estados Unidos y equipos en la UE para quitar hierro al hecho de que te piden un consentimiento adicional para transferencias. Claro, ahora Estados Unidos ha vuelto a ser país seguro, pero dos problemas: o lo necesitan porque se lo van a ceder a empresas que no están adheridas al Data Privacy Framework Program y ni SCCs, o eso va a ir a terceros países de los peligrosos. Sea directamente, o como transferencia sucesiva desde Estados Unidos.

Y el bonus clips de este tipo de consentimiento y del anterior, de encajar aquí el consentimiento explicito para el tratamiento de decisión totalmente automatizada que implica el algoritmo. Cucamente te lo informa el formulario por ahí perdido, pero el cómputo sería: el 2º consentimiento debería desdoblase en 2, pero el tercer jugosón en tres: tratamiento de categoría especial, transferencia internacional y decisión totalmente automatizada del 22. Y el divertido punto final de decirle al interesado que se necesitan los tres sin excepción para poder palantinear el Iris.

¿Lo han mejorado ahora?. Han quitado las cositas preocupantes de los efectos perjudiciales, pero, por otra parte, sigue la perlita de cuando actualicemos te puede tocar volver a pasar por Palantir.  Meten con calzador lo del cifrado de extremo a extremo y obligarse a mejorar la información de qué hacen con la información en los primeros casos.

De patrones oscuros e información

La transparencia no es hacer fotitos del Palantir sin carcasa y enseñarte sus distintos competentes. Eso es más para creas que son muy transparentes y te fijes menos en la mala transparencia/información de protección de datos que dan. Podríamos ponernos a discutir la definición de patrón oscuro aka “Dark Pattern” o recurrir a la canónica del creado del concepto (Harry Brignull), pero a mí me gusta una propia:

“El uso de técnicas de puñetero y onmipresente neuromarketing (magia negra) para que acabes haciendo/dando/comprando lo que quieren, pero sin que seas consciente de que tu decisión no ha sido genuina, sopesada o tuya.”

También nos valdría una conocida de David Icke (antes de que se hiciera negacionista de cosas): “La mayor forma de control es cuando piensas que eres libre, cuando estás, fundamentalmente manipulado y dirigido.”

Como buena información que intenta marear y que su objetivo es dar la sensación formal al no entendido de que se cumple, se hace uso de bastantes expresiones ambiguas y condiciones clásicos: “puede”, “de vez en cuando”, “es posible”. No tanto como la política inventada con expresiones de varios casos reales que un servidor hizo/achacó a Umbrella Corporation, pero van bien cargados.

Podríamos hacer la comparativa de los originales de Brignull y de los que el EDPB se sacó de la chistera en sus directrices al respecto en redes sociales, pero siendo un artículo datero sólo nos interesan las últimas. Además de que sería un lío importante intentar hacer las equivalencias de algo que no casa tanto.

• Incitación continua o “Continuous prompting”: en forma no de que te estén todo el rato taladrando para que des el consentimiento, pero sí en el punto de que te digan en los dos tipos de consentimiento que no quieren que marques que te tendrás que dar otro paseo por el orbe: “Sin embargo, es posible que tenga que volver a visitar un Orb para que su IrisCode pueda verificarse de nuevo cuando actualicemos nuestros algoritmos.”

• Laberinto de privacidad o “privacy maze”: en forma de que la información se divide en un formulario y una política de privacidad que hay que ir cotejando y comparando para llegar a tener la información “completa” de los tratamientos. Y la guinda del laberinto, que no son cortitos ninguno de los dos documentos;

• Dirección emocional o “Emotional Steering”: todo el rato nos van soltando perlas sobre lo mucho que les preocupa la privacidad y que todo esto es muy positivo. Lo que toda la vida se ha llamado sobrecompensación, o, en brocardo latino legal: “Excusatio non petita, accusatio manifesta”, otra vez:

Por ejemplo: “Worldcoin gira en torno a World ID, una red de identidad global que preserva la privacidad.”; “La privacidad está en el ADN de nuestra empresa”; “Por otra parte, observamos los principios del Reglamento General de Protección de Datos de la UE (“RGPD”) en cuestiones de privacidad”; “No se requiere pasaporte ni documentos oficiales. Ni siquiera queremos saber su nombre.”; “Sin embargo, los tratamos como datos biométricos y los gestionamos con un mayor grado de seguridad y cuidado”; “Hemos diseñado nuestros productos y servicios teniendo en cuenta su privacidad,”; “debemos abordar el problema de las cuentas duplicadas y falsas en línea (como los bots), a la vez que protegemos su privacidad y la seguridad de sus datos.”; o “No utilizamos los Datos de imagen para saber quién es usted (identificación). “

• Mira por allí o “Look over there”: en forma de colar dentro de la redacción genérica de conservación para el cumplimiento de obligaciones legales que no se dice más, cuelan la de prevención del fraude para quede con ese disfraz: “Si lo exige la ley, seguiremos conservando sus datos personales según sea necesario para cumplir con nuestras obligaciones legales y reglamentarias, incluyendo la supervisión, detección y prevención del fraude, así como las obligaciones fiscales, contables y de información financiera.”

• Falta de jerarquía o “Lacking hierarchy”: en el sentido de no aclara la jerarquía de los documentos en caso de duda. Con la redacción que dan parece que sí, pero a la hora de la verdad la política contiene también información sobre los posibles tratamientos biométricos.

“La Declaración de privacidad cubre los datos recopilados a través de nuestro sitio web, la aplicación y otros servicios, mientras que el presente Formulario de consentimiento para datos biométricos describe cómo tratamos sus datos biométricos recopilados a través de nuestro dispositivo Orb. Estos documentos operan de manera conjunta y ambos son importantes para comprender cómo se ve afectada su privacidad por la participación en el proyecto Worldcoin”

• Información contradictoria o “Conflicting information”: se nos va diciendo que el interés no es identificar en ningún momento, pero se genera un ID como tal y les queda asociado con el número de teléfono dado (fue lo primer que saltó en prensa). Se juega a lo mismo que las cookies hicieron de no ser un identificador por no recabar el DNI o nombre, cuando lo son en sentido estricto y todavía más por ser el iris un elemento único de cada uno:

“No se requiere pasaporte ni documentos oficiales. Ni siquiera queremos saber su nombre.”, “Confirma que usted es un “humano único” sin exigirle que proporcione ninguna documentación de identidad u otra información sobre quién es.”

Que, si te voy diciendo una cantidad interesante de datos con tratamientos que se podrían evitar o con medios menos invasivos, para luego mencionar que: “Ofrecemos una prueba de singularidad y de ser un ser humano (Prueba de condición de persona) que requiere la menor cantidad de datos posible.”

Que, si no compartimos nada con nadie que no sea del proyecto Worldcoin, cuando luego hay patante de corso no explicada de “colaboradores” y +: “No compartimos las imágenes ni sus Derivados con nadie que no trabaje en el proyecto Worldcoin”.

El hecho de darte cosas muy concretas y hasta con ejemplos para luego ser impreciso en apartados mucho más nucleares y que tocan lo importante para que el usuario pueda decidir de manera consciente: “Tenga en cuenta que esta lista contiene ejemplos, pero puede no incluir todos los posibles riesgos para usted.”

El hecho de decirte que tienes los derechos que te reconoce el RGPD, para luego decirte que no podrás ejercer el relativo a impugnar la decisión del algoritmo, el de supresión o la propia limitación del plazo de conservación de la información:

“En este momento, no contamos con un método para que los usuarios notifiquen la sospecha de errores o refuten lo que determina el algoritmo”; o “Si decide registrarse en un Orb, crearemos un código de iris único (tal y como se define a continuación) que ya no podrá ser borrado (si lo borrásemos, la prueba de singularidad dejaría de funcionar)”.

“Tenga en cuenta lo siguiente: las cadenas de bloques son redes descentralizadas de terceros que no controlamos ni operamos. Debido a la naturaleza pública e inmutable de la tecnología de cadena de bloques, no podemos modificar, borrar o controlar la comunicación de los datos que se almacenan en cadenas de bloques.”

Que, si se especifica que contiene información sobre cómo se utilizan las cookies cuando está en la política separada sobre eso, o que se anuncie “En qué se diferencia esta Declaración de privacidad para niños y adolescentes” para significar no una información concreta para ellos, sino nada más que el intento de exoneración que veremos en el apartado de menores. Aunque también veremos que algo han tenido que cambiar.

Que, sí “realizamos una evaluación exhaustiva previa sobre las leyes de privacidad locales antes del lanzamiento y hacemos todo lo posible por cumplir la normativa local, aunque Worldcoin sea un proyecto mundial”; cuando ya van dos países de la UE que te lo han paralizado.

• Acción engañosa o “Misleading Action”: el intento de disuadir cualquier reclamación diciendo que la competente es la de Baviera. Una cosa es que la autoridad principal a la que se le van a comunicar sea ésta por tema coordinación y ventanilla única, y otra muy distinta que no se informe al interesado de que podrá acudir a la de su país. No vaya a ser que el tratamiento lo estén realizando es España sobre españoles y que el EDPB no lo haya dicho: “el interesado tiene derecho a presentar una reclamación ante una autoridad de control, en particular en el Estado miembro donde tenga su residencia habitual, trabaje o de la supuesta infracción del RGPD.”

• Información ambigua o “Ambiguous wording or information”: todas las expresiones genéricas de finalidades que no se entienden un pijo ya mencionadas, o los condicionales que no aclarar si se hará o no. Un clásico: “Se ofrece la funcionalidad completa, pero con posibilidad de que surja alguna molestia”, “Esto probablemente le ayudará a evitar inconvenientes porque, si tenemos sus Datos de imagen.”

¿Lo han cambiado a mejor? Pues sí, pero ha perdido mucha garra sin algunas expresiones maximalistas de defensa de la privacidad como ideal caballeresco. Oye, las tenemos inmortalizadas en este artículo y diría que incluye alguna del tipo emocional: “Estamos profundamente comprometidos con la protección de su privacidad y la seguridad de sus datos.”, o “la privacidad y la seguridad de los datos son fundamentales para ganarnos su confianza.”

Han tenido que plegar velas y ahora reconocen que si te pones bruto con la supresión del código del iris, pues hasta lo respetan.

Tema menores y comprobación de edad

Este es un tema importante y de rabiosa actualidad. Está de moda, pero es siempre vital por ser los menores un colectivo especialmente vulnerable. El tema teórico de qué dice el RGPD o de los sistemas de comprobación de edad (incluyendo la propuesta de la AEPD), se puede consultar es este otro artículo específico anterior (la patata datera de la comprobación de edad). Repetir lo mismo, pues es ser pesao de más.

Sí cabe empezar con el matiz que se asocia de que a partir de los 14 años que marca nuestra LOPODgdd (dentro de la horquilla 13-16 del RGPD), ya no tenemos un menor, sino un pequeño adulto. Nada más lejos de la realidad, porque el RGPD no distorsiona la máxima de la edad legal de los 18 años, sino que sólo incide en si el tratamiento que se base en el consentimiento se puede dar por el propio menor, o requiere de complemento del consentimiento del padre o tutor legal + matices de limitaciones en tratamiento especialmente invasivos sobre menores tengan la edad que tenga.

De la misma manera, el matiz de creer que un sistema de comprobación solo es necesario en los casos en los que haya que comprobar si el consentimiento del padre o tutor es válido. El RGPD incide ahí todavía sobre el consentimiento, pero el no tener un sistema de comprobación de edad real te meter en una posible sanción ¿Cómo evitar tratar datos de menores de los que tienes legitimación o garantías para ello, sin ningún medio de control?

En resumen, aunque fuera mayor de 14 se debería seguir teniendo en cuenta y aplicando las garantías y advertencias en decisiones totalmente automatizadas, datos de categoría especial y cualquier temita. Eso que haría que la evaluación de impacto saliera menos, y que a los menores no les pueda hacer ni la mitad que a los mayores.

La gracia del Palantir es que sus términos apuntan a que se debe tener 18 años para participar en la maravilla, que la mayor parte de las personitas que ha dado su iris en España son adolescentes y que el intento de patada de responsabilidad al padre/tutor es bien burda:

• “Si cree que su hijo menor de 18 años ha accedido a los Servicios sin su permiso, puede solicitar la eliminación de sus datos poniéndose en contacto con nosotros a través de nuestro Portal de Solicitudes.”
• “Si nos enteramos de que hemos recopilado datos de un menor de 18 años, eliminaremos dichos datos lo antes posible.”
• “(…… ) y no recopilamos conscientemente datos de personas menores de 18 años 18”. “(……) No comercializamos productos o servicios a niños”.

No me parece un error que no haya referencia a comprobar el consentimiento del padre o tutor, porque creo que el intento siempre fue ir al hueco del medio: el adolescente a partir de 14 que ya no necesita a papi o al tutor.

Pero como hemos dicho antes, no les evitaría un sistema de comprobación de edad. Lo chistoso es siendo un tratamiento que supone la recopilación in situ con cacharro, esta comprobación no tiene que tecnificarse ni ir más allá de lo visual: el pollo autorizado mirando que no eres menor/pidiendo DNI para cotejo visual sin registro en ningún sitio. ¿Hablan de esto en la información? Parece que dicen que dan instrucciones a los operadores/pollos allí, pero luego lo rematan con la inútil auto confirmación, y un tratamiento automatizado IA de detección de edad que se ve que no funciona + buena suerte con no sea excesivo, necesario y lo menos invasivo con todo lo dicho.

¿Lo han mejorado? Sólo incluyendo referencia a “hemos tomado medidas comercialmente razonables para limitar el uso de los Servicios a los mayores de 18 años”. En una casualidad no casual ahora dicen que pondrán a un pollo a comprobar in situ. O sea, lo propuesto antes y que se le hubiera ocurrido a cualquiera que intentara hacerlo bien.

De conocimiento cero y la conservación

Worldcoin nos dice que su sistema supone una prueba de la personalidad que preserva la privacidad, mediante “pruebas de conocimiento cero”. El tema del conocimiento cero o “zero-knowledge proof” son palabras mayores. Muchas autoridades han hablado de ello, pero diría que la más instructiva y clara es la británica en su web. Hasta con ejemplo y dibujín:

Claro, viendo que no es que recaben pocos datos ni normalitos y que sí se asocia con el número de teléfono del interesado, pues parece osado decirlo. Y que tampoco se da mucha información al respecto.

Sobre la conservación, pues poco más que decir que se pasan por el arco las pautas de delimitar plazos concretos o reglas que no den vergüencita informativa: “Conservaremos los Datos de imagen hasta que el desarrollo y la mejora del algoritmo haya concluido o según lo exijan la legislación o las normativas”

 Se habla de un posible de 10 años para los datos de imagen que es una locura, pero también que puede que nunca llegue a tal. ¿Quién sabe? Ya es preocupante que algo que se debe informar claro no lo esté, pero no tenemos más carne para valorar si procederían ciertos plazos o no. Aunque lo de los plazos no es materia tasada

Haciendo un poco de pitoniso y viendo el percal, no veo descabellado que la AEPD acabe ejerciendo la competencia que establece el artículo 32.5 de la LOPDgdd: ordenar la supresión automática sin bloqueo de lo “iridiscente” por el gran riesgo para los derechos de los afectados, que sean datos de categoría especial y el número elevado de afectados.

Y, por si Worldcoin intentara ir por el tema de que no esto no es posible porque el vulneraría el RGPD si no lo pide el interesado (ya va por ahí ahora mismo), pues el TJUE le ha venido a aguar la fiesta con el matiz de que la autoridad puede ordenarlo sin necesidad de solicitud previa del interesado C‑46/23.

De cesiones y encargados de tratamiento

Con la mera información no podría entrarse a valorar si es cierto lo que se declara, o si realmente todo está limitado a encargados de tratamiento puros y nada que no lo sea, pero si hay unas cuántas cosas curiosas:

• El mantra tan estadounidense de “no vendemos tus datos”. Les viene muy bien por el mensaje tranquilizador que supone, pero no significa nada fuera de Estados Unidos;
• Que se compartirá de manera segura sin más aclaración, que se garantizará que se gestiona de “forma coherente con nuestro compromiso de privacidad” (pues mejor, no); o que
• Que se prohibirá que otras empresas los usen para fines propios. Si todo fuera un encargado de tratamiento puro con contrato del artículo 28, seguro. El tema es que ese “Tool for Humanity” que parece ser algo más que el mero proveedor, pues no estaría sujeto nada de esto.

Y luego todos los “creamos” para justificar cesiones por la carita aduciendo cumplimiento legal (como si no estuviera claro los casos en los que se debe ceder información por esta vía), los siempre “concretos” intereses comerciales o no decir si las cesiones intragrupo van por interés legítimo dentro de la mera labor administrativa o si va más allá. Lo de la propiedad común es un concepto que intenta quitar relevancia al tema, pero desde lo datero son entidades separadas que ya se verían si son responsables, corresponsables o encargados.

El consentimiento puesto sin contexto, puede que sea la reminiscencia de la parte de consentimiento para transferencias comentada que ya meten en el consentimiento tipo 3/bueno.

¿Ha mejorado algo? Nop, salvo que se apuntala mejor a Tools for Humanity con el matiz de que “Worldcoin no requiere acceso a ninguno de sus datos aparte de los Datos del Protocolo”. Los de las Herramientas para la humanidad siguen siendo un misterio.

En el anterior de conservación, han matizado que la eliminación de los datos que el interesado pida suprimir, se hará en un mes máximo.

De transferencias internacionales

No podía faltar algo de chispa en un punto tan importante como si los datos vuelan fuera de la UE + Liechtenstein, Noruega e Islandia. Se hace mucha mención a que los datos de los europeos estarán almacenados en Alemania, Polonia y Estados Unidos + que nada a las Caimán, es decir, una situación que no debería levanta suspicacias ni intentos raros. ¿Verdad?

Ni una referencia a cláusulas contractuales tipo (SCCs), no vaya a ser que fuera el contrato adecuado para ello y que ya contará con previsiones concretas que obligan al importador y ante accesos de autoridades a los datos. Está bien aquello de lo intentaré impugnar, pero ¿y el importador lo va a intentar como especifican las SCCS?, y si se existe obligación de aportar la información, ¿de qué sirve ese cifrado avanzado que se menciona? El artículo 32 exige el cifrado como medida de seguridad mínima, pero aquí no se menciona con esa intención más general.

Cuando toca informar de los riesgos porque la transferencia se va al cajón de sin garantías aka el consentimiento explícito aquel escondido en el tercer tipo de consentimiento biométrico, pues mejor decir “inferior” y no “no coherente”. Y que no vale con aquello de meros ejemplos de riesgos.

Existir decisión de adecuación sobre Estados Unidos, existe. Otra cosa es que interese dejarlo así para apuntalar el relato anterior + que aquellas entidades importadoras no cumplen con la particularidad de esta decisión de adecuación: estar adheridos al Data Privacy Framework Program (DPF). Alguno podrá decir que la fecha de actualización de la política es de junio de 2023, es decir, un mes antes de la aprobación de la misma. Cierto, pero no es excusa para no actualizar la política/revisarlo todo + ¿cuál es la excusa del formulario de consentimiento datado en octubre de 2023, pero con el mismo “error”?

¿Ha mejorado? Pues algo. Ahora se mete una adenda concreta para el EEE y UK con la referencia a benditas SCCs, aunque dejándolo en el aire y hasta que no habrá transferencias porque ¿sólo se informa a los de UE que se transferirán los datos a la UE?. Y qué pasa con los famosos Tools for Humanity que son y en otro punto se dice que: “A continuación, se enumeran los posibles riesgos que pueden surgir si transferimos sus datos (en caso de que los datos se consideren datos personales) a los Estados Unidos y la Unión Europea”.

Es gracioso ver cómo añaden un cuadro de destinatarios relevante con Tools por el mundo, pero lo encajan en el anexo para residentes en Corea de Sur, se añade un cuadro resumen sobre base de legitimación que no está mal y se agradece, y se quita aquello de que no hay decisión de adecuación en Estados Unidos. Alguien se acordó del tema.

PIA

El artículo ya se ha hecho muy largo, pero cabe rematarlo con breve mención a lo más complejo y limitado del todo. Toca evaluación de impacto como un camión. Es algo que se dejaba un poco en tierra de nadie, pero que en la actualización se ha matizado

Vista la liada, ya podrían haber incorporado aunque fuera las conclusiones de la misma bien, y no dar un enlace que dirige un texto que mezcla cosas interesante con rollo, y que dirigir a otros textos relevantes– No estás obligado a publicarla, pero casi mejor si se hubiera hecho una mini versión pública.

Conclusión

Poco más que añadir a lo dicho. A lo lejos se ve raro, de cerca se ve peor y en frente asusta como un Palantir en el que ves a Sauron. Muy preocupante para el que escribe este texto que 5 años y pico después de la aplicación efectiva nos venga al corazón de la UE un intento tan grosero y tan peligroso a lo bruto. Y que después del daño empiecen a cambiarlo para ajustarlo más al mínimo que tendrían que haber tenido en un inicio, y todo ello para que les sirva de atenuante en el muy posible guantazo.

Que el lector que haya llegado hasta el final, tenga cuidado ahí fuera con todo el positivismo y poco espíritu crítico de grandes nombres sobre este u otros temas polémicos de derecho vs innovación. Lo importante, y más en derecho, no es quién lo diga, sino lo que se diga basado en prueba documental y argumento desarrollado:). Y que el derecho está ahí para protegernos y nunca es un tope, claro.

Por último, lo más importante de todo el artículo: el memo de Pippin ya nos enseñó lo que pasa por ir tocando palantiri (plural de Palatir) que te encuentres por ahí.

Darío López Rincón  – Entusiasta de los palantiri

La entrada El Palantir de Worldcoin: el orbe a examen RGPDiano se publicó primero en Citizen8.

La Opinión 4/2024 va dirigida al corazón de la autoridad irlandesa

Como sabemos las principales plataformas BigTech (salvo Amazon) han ubicado sus “establecimientos principales” en Irlanda.

Casualmente.

O no tan casualmente: a la fiscalidad del verde paraíso se une la bochornosa parálisis de su autoridad de control en materia de protección de datos.

La autoridad irlandesa se mueve menos que los ojos de Espinete, y ha sido sistemáticamente cuestionada y corregida por sus homólogas europeas y por el EDPB a raíz de sus complacientes resoluciones contra las plataformas extracomunitarias más conocidas.

¿Por qué es importante el concepto de “establecimiento principal” en la UE?

Recordemos en qué consiste lo de la ventanilla única o “One stop shop”: la autoridad competente en el estado miembro donde se haya ubicado el “establecimiento principal” del responsable extracomunitario se erige en autoridad “lideresa”, asumiendo la gestión del expediente sancionador, acumulando todas las denuncias homogéneas contra él, coordinando a las demás en la tramitación, dictando la resolución, y ¡ay! peor aún: ejecutándola y defendiéndola ante su jurisdicción nacional, en caso de recurso.

Esos belicosos galos

La CNIL ya había sacudido a Google, Microsoft y Apple por incumplimientos limítrofes con la protección de datos (normalmente, uso de cookies) alegando que por razón de la materia objetiva no aplicaba el mecanismo de la ventanilla única…

Francia fue, pues, la pionera en adelantar a Irlanda por la derecha.

Ahora, ha requerido una Opinión formal del EDPB sobre la propia noción de “establecimiento principal” a efectos de la aplicación de dicho mecanismo.

La respuesta (enlace al doc) les sorprenderá.

La Opinión 4/2024 del EDPB

El EDPB en su Opinión clarifica que el “establecimiento principal” en la Unión para serlo de verdad, debe cumplir cumulativamente dos requisitos:

• Que exista capacidad efectiva para tomar decisiones sobre finalidad y medios de los tratamientos de datos relevantes de la organización representada.
• Que tenga la capacidad para implementar o ejecutar efectivamente tales decisiones.

Consecuencias prácticas inmediatas para el “One Stop Shop”:

1. Si el “establecimiento principal” formalmente designado por la organización extracomunitaria no cumple estos dos requisitos y existe otro “establecimiento” en otro estado miembro, se debe verificar si ese otro es el “establecimiento principal”. Pero sobre todo:
2. Si ningún “establecimiento” en territorio comunitario cumple estos dos requisitos, no existe “establecimiento principal”. No aplica, por tanto, el procedimiento de ventanilla única. Y entonces todas las autoridades de control comunitarias son competentes para conocer de las denuncias contra la organización extracomunitaria, conforme a las reglas generales.

Más cositas:

• La responsabilidad de acreditar la efectiva existencia de su establecimiento principal en la UE recae en la organización extracomunitaria responsable de tratamiento.
• Las autoridades de control tienen la potestad y responsabilidad de verificar la exactitud de lo acreditado en este sentido.
• Las autoridades deben consensuar el grado de detalle de la valoración sobre este particular, dependiendo del caso.
• Cuando una autoridad determine que el alegado establecimiento principal no cumple estos requisitos, lo compartirá con el resto para alcanzar un “early agreement” (art 60 RGPD) sobre el caso. Este sería la primera ventana de oportunidad para encargar las palomitas.
• De no alcanzarse consenso se elevará la cuestión al pleno del EDPB (art 63 RGPD). (Segunda ventana palomitera).

Esta batalla (si tu “establecimiento principal” es un hueco decorado ocupado por directivos de segunda que pasan exactamente 181 días al año en él, o unos headquarters con chicha real), se lleva luchando décadas en el ámbito fiscal y hay criterios judiciales perfectamente consolidados.

Está por ver si el TJUE admitirá su extrapolación pura en el contexto del RGPD. A buen seguro la BigTech luchará esta batalla.

Pero, hasta entonces, parece inevitable que asistamos a la apertura de expedientes sancionadores “nacionalistas” por parte de las autoridades más belicosas contra los sospechosos habituales.

Porque desde luego esa es la intención. 

¡No se vayan todavÍA, aún hay más!

Esta interpretación restrictiva del concepto de “establecimiento permanente” impacta de lleno en la interpretación del art. 3 RGPD… ¿Recuerdan? El que regula la eficacia extraterritorial del Reglamento.

Recordemos que el art. 3 RGPD (En la interpretación del EDPB en sus Directrices 3/2018 relativas al ámbito territorial del RGPD (artículo 3) Versión 2.1 de 12 de noviembre de 2019) establece dos criterios de interpretación del ámbito territorial, que se refieren, no a las organizaciones sino a tratamientos concretos de las mismas. De este modo, una organización extracomunitaria puede ver cómo el Reglamento aplica sólo a algunos de sus tratamientos, y a otros no.

El art 3 del RGPD prevé su aplicación a los tratamientos de una organización (como responsable o como encargada) en función de dos criterios:

• Criterio del establecimiento
• Criterio de la selección de destinatarios

Lógicamente, la aplicación sistemática del concepto de establecimiento permanente con el nuevo dibujo propuesto por el EDPB, recorta las alas del primero de esos criterios, con efectos tan insospechados como significativos en ámbitos tan de moda como el de la IA.

“Pero esa es otra historia que será contada en otra ocasión”.

Jorge García Herrero

Abogado y Delegado de protección de datos

La entrada Opinión 4/2024 del EDPB: Café irlandés para todos se publicó primero en Citizen8.

Como la privacidad y la protección de datos no son inmunes a las modas, durante los próximos meses desde Citizen8 realizaremos algunas publicaciones en torno al inminente Reglamento europeo sobre Inteligencia Artificial, también conocido como Artificial Intelligence Act (‘AIA’ en adelante).

Esta propuesta de Reglamento, que puso en marcha la Comisión Europea en abril de 2021, se encuentra actualmente en la fase final de su tramitación dentro del procedimiento ordinario legislativo de la UE. En concreto, en la fase de negociación conocida como los trílogos, en la que España está jugando un papel protagonista dado que ocupa actualmente la Presidencia del Consejo de la UE.

En este contexto, y para no especular sobre el contenido de un texto cuya redacción final está por conocer, hemos decidido comenzar el análisis de la regulación de la IA por una norma que ya ha entrado en vigor en España y que está relacionada, precisamente, con esa propuesta de Reglamento AIA: el Real Decreto 817/2023, de 8 de noviembre, que establece un entorno controlado de pruebas para el ensayo del cumplimiento de la propuesta de Reglamento del Parlamento Europeo y del Consejo por el que se establecen normas armonizadas en materia de inteligencia artificial.

España quiere jugar con la IA y se ha ido al parque por su cuenta

No es ningún secreto que el Gobierno de España se ha marcado como hito que el AIA sea aprobado durante su mandato en la Presidencia del Consejo de la UE. Anotarse este tanto tiene un especial valor para la Secretaría de Estado de Digitalización e Inteligencia Artificial (‘SEDIA’) de Carme Artigas.

No obstante, los trílogos parecen estar complicándose un poco, especialmente en torno a la regulación de los modelos fundacionales (a.k.a. ChatGPT y análogos). España trata de poner paz, pero lo cierto es que la consecución de este hito no parece asegurado -el mandato de la Presidencia caduca el 31 de diciembre de 2023-.

Ansiosa por salir a jugar, España se ha mostrado decidida a impulsar en paralelo -o liderar si se prefiere- una agenda regulatoria de la IA desde sus competencias y alineada con los avances de la UE en la materia. Su ansia no ha estado exenta de polémicas como, por ejemplo, la surgida a raíz de la externalización del diseño de la futura Agencia Española de Supervisión de la Inteligencia Artificial (AESIA), que tendrá su sede en A Coruña.

En cualquier caso, esta iniciativa marca España ha incluido la creación de un entorno controlado de pruebas para la IA a través del mencionado RD 817/2023, de 8 de noviembre.

A nivel jurídico, no deja de ser curioso que este Real Decreto vea la luz antes de la aprobación definitiva del Reglamento europeo que pretende desarrollar y, de hecho, tome como referencia de dicho texto la posición del Consejo de la Unión Europea del 25 de noviembre de 2022 -según la exposición de motivos de este Real Decreto-. Esta paradoja se ha resuelto declarando que este entorno controlado de pruebas es, en realidad, una prueba en sí misma. Por eso, en su Disposición final segunda declara que tendrá vigencia hasta que sea aplicable en España el AIA y su título habla de un ‘ensayo del cumplimiento’ de la propuesta de Reglamento.

¿Cómo que un arenero para jugar con la IA?

Las traducciones en la UE son cosa seria, ya se sabe. Los “regulatory sandboxes” son espacios o entornos controlados de pruebas. No deja de ser una pena el no haberlos bautizado como ‘areneros’. Si pudimos con la ‘responsabilidad proactiva’ del RGPD o con el ‘vigilante humano’ que propone el mismo AIA, podían haber hecho aquí un sacrificio por la literalidad, y por los jajas.

El fundamento básico de los espacios controlados de pruebas es la de proporcionar un entorno seguro y delimitado en el que puedan testarse soluciones y/o herramientas de innovación durante un tiempo determinado, pudiendo dar cuenta de los resultados obtenidos durante esas pruebas, tanto para demostrar en su caso el cumplimiento normativo y la seguridad de las soluciones testadas, como para obtener datos que permitan mejorar esas mismas soluciones y otras futuras.

Esta figura tiene su origen en el ámbito financiero y, de hecho, no es nueva en nuestro ordenamiento jurídico. La Ley 7/2020, de 13 de noviembre, para la transformación digital del sistema financiero, ya puso en marcha un entorno controlado de pruebas para proyectos tecnológicos de innovación en el sistema financiero, o más recientemente en la Ley 28/2022, de 21 de diciembre, de fomento del ecosistema de las empresas emergentes, o para el fomento de la investigación y la innovación en el sector eléctrico en el Real Decreto 568/2022, de 11 de julio.

Las cositas básicas de los areneros promovidos por el AIA

A falta de conocer la redacción final del AIA en lo relativo a los areneros, hay ciertos aspectos fundamentales de los mismos que podemos destacar de estas figuras incluidas como medidas en favor de la innovación en esta propuesta de Reglamento.

• Se trata de entornos controlados y creados por una autoridad pública para facilitar el desarrollo, la prueba y la validación de sistemas de IA innovadores durante un período limitado, antes de su introducción en el mercado y con arreglo a un plan específico sujeto a supervisión reglamentaria.
• Los proveedores de sistemas de IA podrán acceder con carácter voluntario a los areneros y, al mismo tiempo, en condiciones igualitarias entre dichos proveedores -a efectos de admisibilidad, procedimientos de participación y derechos y obligaciones- favoreciendo su libre competitividad.
• Obligación de mitigar y, en su caso, suspender los procesos de prueba de los sistemas de IA en caso de detección de un riesgo significativo para la salud, la seguridad y los derechos fundamentales. Los proveedores serán responsables de cualquier perjuicio infligido a terceros como resultado de la experimentación realizada en el espacio controlado de pruebas de acuerdo con la legislación aplicable al caso en materia de responsabilidad.
• Posibilidad de crear areneros por los Estados Miembro y también por el SEPD o la propia Comisión. Está por ver si finalmente se incluye la obligación de establecer, al menos, un arenero por Estado Miembro. En cualquier caso, parece que será posible establecer areneros a distintos niveles (tanto por ámbito territorial, regionales o incluso involucrando a más de un Estado, como por la temática del propio arenero, pongamos un arenero de salud en el que la AEMPS supervise el testeo de productos sanitarios con IA).

Queda por ver qué incentivos incorpora la participación en estos espacios, en particular si se incluyen incentivos normativos como el propuesto por el Parlamento Europeo en su versión de 14 de junio de 2023: establecer una presunción de cumplimiento normativo del AIA respecto de aquellos requisitos específicos que hayan sido testados de forma satisfactoria dentro del arenero y de acuerdo con los informes de salida elaborados por la autoridad creadora del mismo.

El arenero muy español y mucho español supervisado por la SEDIA

Recordemos que el RD 817/2023, de 8 de noviembre, establece provisionalmente una prueba del futuro entorno de pruebas que se creará a partir del mandato definitivo establecido en el AIA. En cualquier caso, estas son las condiciones bajo las que se pondrá en funcionamiento este arenero provisional para jugar con la IA en España.

1. ¿Para qué? El arenero se establece para ensayar el cumplimiento de ciertos requisitos de los sistemas de IA (como, por ejemplo, de transparencia, de supervisión humana o de precisión, solidez y ciberseguridad) y el RD 817/2023 es de aplicación tanto para AAPP y entidades del sector público institucional, como para las entidades privadas que puedan participar en el mismo.
2. ¿Quién puede jugar? Pueden participar proveedores -desarrolladores que pretendan comercializar un sistema de IA- y también usuarios -personas jurídicas privadas o administraciones que vayan a usar el sistema bajo su autoridad-, que sean residentes en España o que tengan un establecimiento permanente en España.
3. ¿Con qué sistemas se puede jugar? Tanto con sistemas de IA de alto riesgo, como IA de propósito general o modelos fundacionales. La IA debe haber alcanzado un nivel de desarrollo suficientemente avanzado como para poder comercializarse o ponerse en servicio dentro del marco temporal del entorno controlado de pruebas o a su finalización.
4. ¿Cómo se puede jugar? El RD 817/2023 establece que, en el marco de las convocatorias publicadas por la SEDIA, proveedores y usuarios podrán realizar las solicitudes para participar en el arenero convocado al efecto, que deberán acompañarse de una detallada memoria técnica y que serán evaluadas y resueltas conforme a los criterios que establece la propia norma.
5. ¿Cuáles son las reglas del juego? Al inicio, los participantes junto con la SEDIA acordarán qué requisitos deberán ser abordados en un plan de implementación. A partir de aquí los participantes llevarán a cabo las actuaciones que le permitan el cumplimiento de los requisitos según lo acordado en el plan. Para ello la SEDIA podrá aportar guías técnicas de ayuda y asesoría personalizada y los participantes contarán con mecanismos de diálogo e intercambio de información entre ellos y con la SEDIA. Una vez realizadas dichas actuaciones, el proveedor IA participante deberá realizar la declaración de cumplimiento a través de un proceso de autoevaluación. Si el órgano competente considera que no cumple los requisitos, podrá establecer un plazo adicional de tres meses.
6. ¿Cómo termina el juego? Hay tres posibilidades. Primera, con el cumplimiento del objetivo del arenero determinado por la SEDIA, es decir, comprobada la correcta y completa autoevaluación de cumplimiento de requisitos. En este caso, los participantes estarán obligados a implementar un sistema de seguimiento posterior a la comercialización y, eventualmente, comunicar cualquier incidente grave en los sistemas del que tuvieren conocimiento. Segunda, por la retirada voluntaria de los participantes. Y, por último, de forma anticipada por resolución motivada y por alguna de las causas establecidas como incumplimiento del régimen jurídico previsto, del deber de facilitar información o incidentes graves o riesgos no previstos, entre otros.

El tratamiento de datos personales en los areneros

Para finalizar, en Citizen8 nos preocupa, por supuesto, qué pasa con los datos de carácter personal en estos espacios.

Desde el AIA hay dos cuestiones fundamentales que orbitan en torno a la protección de datos.

En primer lugar, el rol del SEPD como autoridad competente para la creación de areneros. La propia institución acoge con buenos este rol en su Opinion 44/2023 del pasado 23 de octubre, y celebra que en la versión del Parlamento se incluyese la colaboración del propio SEPD y de las autoridades de control de los Estados en la supervisión del tratamiento de datos de carácter personal en dichos espacios.

En segundo lugar, el desarrollo de bases de legitimación del RGPD para el tratamiento de datos personales en los areneros. De esta forma, declara el AIA que es posible el tratamiento datos personales legalmente recopilados con otros fines para la prueba de sistemas de IA en los areneros, cuando se desarrollen en aras del interés público en alguno de los ámbitos que incluye la propuesta (seguridad y salud públicas o la protección y mejora de la calidad del medio ambiente, entre otros que están siendo discutidos). Establece, además, medidas técnicas y organizativas para la realización de estos tratamientos como que solo se realice si no es posible la utilización de datos anonimizados, sintéticos u otro tipo de datos no personales, la prohibición de que esos datos se transfieran a terceros o su eliminación una vez se concluya su uso en el arenero.

En lo que se refiere a nuestro arenero “de prueba”, se declara la obligación de velar por el cumplimiento de la normativa de protección de datos por parte de los proveedores y los usuarios participantes. Asimismo, se requiere de una declaración responsable que acredite el cumplimiento normativo para la solicitud de participación en el juego, e incluye una lista de documentación que se podrá requerir (registro de actividades de tratamiento, medidas de seguridad, EIPD, o procedimientos para la gestión de brechas de seguridad, entre otros).

Finalmente, dado que el AIA no está en vigor y, por tanto, tampoco el desarrollo de las bases de legitimación del tratamiento en base al interés público que contiene su propuesta, está por ver cómo se justificará el tratamiento de datos personales para cada ensayo en este nuestro arenero.

La entrada ¿Un arenero para jugar con la Inteligencia Artificial en España? se publicó primero en Citizen8.

Como todo lo que se publica en Citizen8, esto va a ir desde la perspectiva de la ignota, mística e inabarcable protección de datos. No en vano, es uno de los principales puntos a tener en cuenta en el tema.

En este post vamos a contar un poco el panorama, si dice algo el RGPD del tema y, finalmente, sí hay algún sistema en vigor o previsto que solucione el tema como toca.

1) El panorama o ¿pornorama?

Tanto la pornografía como la comprobación de edad han sido dos temas tabú tradicionales en internet, pero han tenido que llegar los de la generación alfa (el nombre técnico-místico de los nacidos entre el 2010 y 2020) para combinarlas ambas en una suerte de problema sistémico que ha llevado al legislador de muchos países a correr, ahora sí, para regular la obligación de imponer barreras de entrada sólidas.

Lo que otras generaciones previas empezaban a conocer en la adolescencia de variopintas maneras, ahora lo comienzan a toquetear mucho antes, con el riesgo de no entender y asimilar lo que ven como algo normal. Rematado con la guinda de un acceso gratuito (pago con datos, pero nos entendernos), y sin cortapisas por edad más allá del famoso “pulsa aquí”, “pon tu fecha de nacimiento” o “nos vale como prueba plena la mentira que pulsas de que eres mayor de edad”.

Como una imagen vale más que mil palabras para entender este contexto, os dejamos el vídeo cortito de promoción de una campaña concreta del Parlamento Europeo/sesión de trabajo, que el día 9 de octubre hizo una conferencia con la participación de la AEPD: “Generación XXX: por un control efectivo del acceso de los menores a la pornografía”.

En esta línea, el Parlamento Europeo presentó, en este mismo octubre, su estrategia para mover la enorme maquinaría europea en este tema, destacando que pide una norma europea sobre verificación en línea para 2024 (no se aclara si Directiva o Reglamento, pero de ilusión también se vive). Por aquí nos quedamos con párrafos que mencionan el RGPD y esa norma que pide crear + un código de conducta a nivel de la UE:

A nivel europeo, sí tenemos algo en vigor que puede llegar a obligar a alguno de los de este «pornorama» a tener un sistema de verificación de edad que funcione: La Directiva de Servicios Digitales o «DSA». Puede hacerlo porque la Comisión Europea, a fecha de 20 de diciembre de 2023, ha tenido a bien ampliar su listado original de plataformas online de muy gran tamaño («VLOPs») con tres primeras espadas del tema, es decir, de los obligados principales de la norma a las medidas más cualificadas y que incluyen la verificación. Oh sorpresa, no incluye ninguna megacorpo de los videojuegos.

Finalmente, hay otra derivada/catalizador de la que no se tiene muy claro si el legislador o las autoridades son conscientes: los videojuegos. Tienen mil y un beneficios de corte psicológico y mejora de aptitudes que puede ser útiles para la vida (lo dicen los expertos y se recopila en este post propio, pero que es claramente spam legítimo), pero que en combinación con la pornografía puede hacer que el menor esté siempre en un entorno peligroso para el desarrollo de su personalidad y madurez.

Da la casualidad que muchas de las grandes páginas, así como los creadores de contenido de las mismas que puedan llegar a vivir de ello y monetizarlo en forma de canales al estilo de YouTube, promueven la existencia de vídeos explícitos sobre los personajes (sobre todo femeninos) y juegos más populares de cada momento. A tal nivel, que es hecho conocido que las grandes fluctuaciones de usuarios en este tipo de sitios se deben a sí ha habido algún lanzamiento de un videojuego de gran público o no.

Y es conocido, porque estas grandes webs sacan pecho del tema enseñando sus estadísticas, aunque con la ausencia deliberada de los datos agregados de los usuarios menores que anda pululando por allí. ¿Ejemplos de juegos con mucho menor pululando? Mil, pero por poner ejemplo de tres populares y sus “métricas”: Minecraft, el último Zelda o las mil temporadas de Fornite.

2) ¿Qué dice el RGPD sobre el tema?

El querido RGPD no regula específicamente la comprobación de edad, sino que incide en la necesidad de poder comprobar de manera adecuada el consentimiento que los padres o tutores legales den en casos de menores de edad (14, en nuestro caso) en el artículo 8.2.

Esta limitación concreta puede hacer creer que solo sería necesario tener un sistema de este tipo si el tratamiento se base en el consentimiento, pero nunca hay que olvidar los Considerandos en los que se dejaron perlitas aplicables, y que muchas veces son lo concreto que el articulado del RGPD no pudo ser. En lo que nos interesa, y que tienen buena parte de los elementos que habrá que considerar:

• Considerando 38: Los niños, por el hecho de serlo, tienen que tener una protección especial en su tratamiento. Básicamente, porque no pueden comprender los riesgos, consecuencias, garantías o derechos de la misma manera que los adultos (está por ver que los adultos los entendamos y dejemos de comprar cosas como las Ray-Ban Stories Meta). Y zas por el perfilado con fines comerciales, personalidad o sobre cosas peores.
• Considerando 58: también tienen derecho a entender la información que se dé del tratamiento de datos, por lo anterior y por aquello de que son los titulares del derecho fundamental a la protección de datos. ¿Alguien ha visto información del 13 o 14 adaptada para menores de edad? Nosotros tampoco, aunque más valdría que se miraran las tablas que el ICO da como pauta por franjas de edad en guía sobre “Age appropriate design”.
• Considerandos 71 y 75: las advertencias previas al bonito artículo 22 sobre cualquier perfilado o decisión que tome un algoritmo o similar sin intervención humana y con efectos jurídicos o igualmente divertidos. P.ej. rendimiento en el trabajo, la situación económica, la salud, las preferencias, intereses personales, fiabilidad, comportamiento, o movimientos (de esto último sabe Telepizza por la sanción que se comió con pepperoni al geolocalizar de más a sus empleados de reparto).

Además de que nos queda claro que el perfilado comercial a lo loco tan habitual (y sancionado sobre menores y no menores), el RGPD nos deja la idea apuntada de que la comprobación de edad es un elemento obligado, básicamente, porque de no saber que es un menor no se van a tener en cuenta todos estos elementos y se rifará una sanción.

Estos elementos comentados en los Considerandos, se pueden traducir en los tres grandes, que en una evaluación de interés legítimo y/o evaluación de impacto hay que tener en cuenta. Evaluación de impacto siempre tocaría, pero hasta que nos llegue la normativa con su posible obligación legal de implantación, la mejor base para legitimar este tipo de tratamiento será el interés legítimo y su evaluación obligatoria a juego (si nos metemos a comentar todo eso, este post se va casi más a ser un estudio o ensayo coñazo)

• Interés superior del menor: ese principio que lo sobrevuela todo, y, que implica que al menor sólo se le pueda hacer un 1/3 de lo que sea que se esté pensando hacer. Y con especial celo tenemos a la AEPD sobre todo el contenido inadecuado y el canal prioritario.
• Expectativa razonable: el hecho de que la persona se espere y tenga clarinete, sin necesidad de aclaración ninguna, que algo se va a realizar. Puede ser bastante inatacable que los menores se imaginen que algún sistema para no acceder a eso que saben que es para mayores exista, pero el problema es que eso no alcanzaría al meterle un sistema de reconocimiento facial o similares. Este tema de la expectativa está clarinete en la resolución sancionadora al BBVA por parte de la AEPD (anulada anda, pero esto es igual de valioso).
• Proporcionalidad y necesidad: las típicas de poder demostrar que establecer un sistema de este tipo es impepinable, y que se han tenido en cuenta los especiales derechos del menor con límites concretos y garantías. El problema viene cuando empezamos con los medios infalibles de reconocimiento facial y nos olvidamos, que al igual que en el caso de la anonimización, no existe el riesgo cero y certeza absoluta, sino que lo relevante es poder probar el haber realizado esfuerzos razonables.

¿Queréis un ejemplo de empresita conocida por todo el mundo, especialmente por la generación alfa? Pues TikTok acude al rescate con 345 millones. La famosa Generación TikTok no son ellos, pero también son bastante nativos en el tema.

3) ¿Hay alguna propuesta o sistema ya disponible?

El tema está candente y seguro que habéis escuchado que los franceses están en ello, gracias a que va a juego con su proyecto de ley sobre regulación en materia de acceso a webs pornográficas,  o la reciente revelación de qué sistema es que la AEPD va a intentar proponer. También es importante tener en cuenta que hay países que han dado un paso atrás, debido a los riesgos de privacidad, seguridad y que los sistemas comerciales actuales no tienen el rodaje suficiente como para ser efectivos y adecuados.

En este último grupo de países que se han bajado de esta ola está Australia. En agosto de este mismo 2023, su gobierno consideró que no era el momento por esos tres elementos comentados, y entró a sustituirlo por una hoja de ruta de diversas alternativas:

• Códigos con los actores relevantes, que siempre gustan y se venden bien;
• Campañas concretas de educación: «Safety by Design» y «Tech Trends». Como las que se hacen todos los países; y
• Meter algún matiz en la Ley de Seguridad en Línea.

Entre los medios que existan ya, o que se proponen, se pueden destacar 2+1. Un sistema que aprobó una autoridad alemana de una empresa privada, el famoso de Francia y la idea de la AEPD/FNMT con colaboración de la CNMC.

La de Alemania

No es un sistema propuesto por una autoridad o entidad alemana, pero sí que se aprobó por el organismo regulador de protección de menores en línea (KJM). El sistema, creado y comercializado por Yoti, consiste en el uso de un sistema de reconocimiento facial que promete tener los siguientes límites según su documento explicativo:

• Solo se analiza la geometría de la cara para que el algoritmo coteje aquellos rasgos típicos de cada edad y pueda arrojar como conclusión si es mayor de edad o no, pero sin intentar la identificación; y que
• Todo esto no va a suponer generar una base de datos específica ni cruce de datos de otras fuentes distintas.

Si como lector te estás preguntando si todo suena demasiado bien, te alegrará saber (a nosotros también), que dos autoridades tienes dudas:

• La Comisión Federal de Comercio Estadounidense (FTC), porque ha solicitado que se incluyan este tipo de medios como posibles en el listado que la famosa ley de protección del menor (COPPA) incluye en su articulado. En esas, que la FTC les ha pedido aclaraciones concretas.
• El ICO, que, aunque le pareció interesante la solución, dejó alguna perla de que sería necesario aclarar esa afirmación de que no implica un tratamiento de datos de categoría especial/biométrico (recordemos que categoría especial lo es porque lo tratas de primeras, o porque lo puedes inferir de lo que tratas) en su informe sobre el sistema. «……………As above, for the purposes of our analysis we have operated on the assumption that the tool will be processing biometric data, but a detailed assessment of this question falls outside the scope of this Sandbox Project», «It should be noted that biometric data will nonetheless be special category data in many cases. For accountability purposes, Yoti should document their rationale for the conclusion that Article 9 doesn’t apply in the specific context set out above, alongside a risk-based analysis and evidence for this decision in its DPIA………….».

Aunque luego se mete uno en ese documento explicativo del sistema otra vez más, y le asaltan más dudas.  ¿El color de piel realmente es necesario, o es que las arrugas y cambios por edad ahora se ceban según el tono?

La de Francia

Para finalizar este post, acabamos con la más avanzada de todas por ir a juego con la ley que está en proceso de aprobación en Francia. Al igual que en España, es la autoridad francesa de protección de datos (CNIL) la que le ha dado impulso desde su “Laboratorio de Innovación Digital (LINC)”

En vez de ser un certificado de atributos como plantea la AEPD, será un mecanismo basado en un tercero de confianza al que el usuario le pedirá que valide que es mayor de edad en el acceso a la web pornográfica. ¿Cómo funciona? De una manera sencilla, pero que la CNIL nos cuenta mucho mejor de lo que podríamos redactar nosotros. Y en formato de infografía.

Para más información, la CNIL tiene una página dedicada en su web.

La de Españita

La AEPD fue dejando miguitas en forma de noticia en su web sobre reuniones con otros organismos públicos para abordar este tema, pero el bombazo se ha soltado en ese evento del Parlamento Europeo que comentamos al principio del post: la AEPD, en colaboración con la FNMT, están buscándole las vueltas a establecer un certificado electrónico que contenga exclusivamente el atributo de ser mayor de edad.

No sabíamos mucho más hasta el día 14 de diciembre de este 2023 que lo presentaron dentro del marco de la celebración de los 30 años de la AEPD.

Amalgamando lo presentando a la vez: nota de prensa, decálogo de principios (la clave de bóveda), nota técnica de las propuestas (el más vistoso), las declaraciones del evento y el documento de preguntas frecuentes (el más jugoso), se podría destacar lo siguiente. Y también algunas dudas que se desvelarán cuando esté en rodaje.

• Lo mollar unificado: el usuario tiene que obtener de un proveedor de identidad certificado el atributo de edad o fecha de nacimiento validada (por ejemplo, como QR), e introducirlo en la aplicación de verificación de edad que actúa como intermediario que se conectará el navegador o app del contenido marcado como para adultos que se pretenda acceder. El intercambio limitado al atributo de edad (meter el elemento de zero knowledge proof) y en todo ello desde el dispositivo del usuario.
• El punto de partida parece ser el del usuario que navega por internet, pero ¿qué pasa en los casos de perfiles de usuario? Por ejemplo, en los que todo es un perfil de usuario y vas a saber por narices que es menor y todo el contenido tiene que ir en consonancia a ello (controles parentales, acceso capado a tienda, chat y +), o varios usuarios menores y no menores que accedan desde el mismo dispositivo concreto. ¿Google (Android) o (IOs) seguro que no pueden llegar a identificar al usuario con todo lo que saben, lo que trincan del dispositivo y su magia negra habitual?
• Los principios estipulados en el decálogo son el checklist comparativo que la AEPD pondrá frente a sistemas de verificación de edad que valore.
• ¿Parece infalible? Pues no, pero ahí está la gracia de los esfuerzos razonables y el respeto al interés del menor. El infalible encalla es costas peligrosas, pero luego a contárselo a la AEPD (hola, Yoti y tu ¡Privacy-Protective! Facial Age Estimation” comentado en el punto de Alemania).
• ¿En cada acceso toca pasar el control? Pues cada cual, porque la AEPD no se ha metido en ese tema de detalle técnico. Sin un poco de usabilidad real el usuario corre hacia el otro lado.
• Pinta muy bien, pero habrá que ver en acción. Por comparativa con la prometedora de la CNIL, esa aplicación intermedia de verificación añade un paso que al usuario le tira para atrás, y a nivel de solución única mundial de la plataforma parece de implantación más fácil.
• La AEPD tiene mandato del EDPB para trabajar a nivel europeo en un grupo sobre los criterios presentados. ¿se viene a futuro estas pautas con el sello EDPB? ¿el mismo sistema para todos los países? ¿Cambios que luego impactarán en lo que vemos ahora? ¿La CNIL lo mirará de reojo por lo propio en lo que estaban por allí? Pues algo que nos contaran cuando los planteen en el “Grupo Berlín” de la Global Privacy Assembly
• La CNMC va a utilizar los criterios de la AEPD para valorar la idoneidad de los sistemas de verificación de edad y consulta pública (se entiende que plataformas de compartición, buscadores y en línea de gran tamaño que tanto lío trae por DSA y Ley de Comunicación Audiovisual.
• LA FNMT promete app de verificación de edad.

Octubre (actualizado en diciembre) 2023

La entrada La patata datera caliente de la comprobación de edad se publicó primero en Citizen8.

La cantidad de horas que pasamos al día en internet ya supera en ocasiones a la cantidad de horas que dormimos. Navegamos por internet en nuestro tiempo de ocio, en el trabajo, cuando estamos con gente y cuando estamos a solas. Navegamos por internet desde nuestro móvil, nuestro ordenador, y ahora también desde nuestros relojes o televisores.

Sin embargo, la mayoría de las páginas que visitamos durante estas horas son gratuitas. Redes sociales, buscadores, infinidad de blogs y periódicos, páginas informativas o de know-how, vídeos, música… En un mundo en el que cada vez se fomenta más el consumo y existen menos cosas gratis… ¿Por qué no pagamos por aquello a lo que le dedicamos tantísima atención? ¿Qué sacan las plataformas de ofrecernos esos servicios “gratis”? Es más: ¿cómo puede ser que, usándolo tanto, sepamos tan poco de internet y lo que hay detrás?

TLDR: Si no te apetece leer hoy, tienes un vídeo y un resumen al final del artículo.

La adtech y la publicidad personalizada

La publicidad ha existido siempre. Bueno, no siempre, pero casi siempre desde que la mayoría podemos recordar. Solo hay que pensar en esos antiguos anuncios de Coca-Cola, por ejemplo. Hoy en día, ya entendemos la publicidad como parte del ecosistema capitalista y de consumo (y de otros ecosistemas, seguramente, pero este es el nuestro). La publicidad empezó en carteles en las paredes, vallas en las carreteras y páginas en los periódicos. Después, saltó a la televisión, en anuncios cada vez más originales y que competían por llamar la atención.

Hoy, la publicidad ya está en todas partes. Y donde más la consumimos es en internet. Si buscas en Google, los primeros resultados serán “promocionados”. En Instagram y Twitter, verás tweets, stories y posts publicitarios según hagas scroll. En el artículo que te han pasado por el grupo de Whatsapp también habrá publicidad. Y, sin embargo, si yo entro en ese mismo artículo, no veré los mismos anuncios que estás viendo tú. O que verá tu madre cuando lo lea. ¿Por qué?

Os damos la bienvenida al mundo de la publicidad personalizada; es decir, a publicidad seleccionada para ti en base a unos criterios definidos con base en la información que alguien tiene sobre ti.

Y hay toda una industria enorme detrás de la publicidad personalizada; la industria que sostiene el modelo actual de internet: la adtech (advertising technology, o tecnología publicitaria), con sus gigantes tecnológicos, con sus editores y su miríada de intermediarios. Intentaremos aclararlo más adelante, pero como el propio internet sobre el que se asienta, es un simbionte que puede cambiar en cualquier momento.

La mayoría de la gente que navega por internet (o sea, casi toda en nuestro contexto) lo hace sin saber de la existencia de esta industria y de sus consecuencias. Si has llegado hasta aquí y te interesa, debajo te contamos un poquito más de qué es esta industria y cómo funciona. Si no… imaginamos que ya no estarás leyendo.

El iceberg de la adtech

Empecemos con algo más visual. El iceberg que ves debajo ilustra de forma simplificada de qué van el famoso modelo de internet y la adtech:

Ahora sí, vamos con la explicación seria:

El cuento de Hansel y Gretel: de migas y cookies

Cuando navegas por internet, vas dejando miguitas de pan. Sí, como hacían Hansel y Gretel en el cuento, pero un rastro que ofrece más información de tu viaje: tu “huella digital” Esas migas de pan trazan el camino que has recorrido. Sin embargo, aunque los dos hermanos lo hacían conscientemente, para no perderse; tú… no.

En este modelo de internet, el que existe hoy en día, cada miga de pan que dejas sirve para algo: para seguirte, conocerte, entenderte y monitorizarte. Y existen una serie de actores que las recogen precisamente para estos propósitos. Pero esas migas o rastro que vamos dejando sobre todo lo que hacemos a través de internet, ¿cómo las recogen aquellos que nos quieren perfilar para fusilarnos a publicidad personalizada?

Las cookies

¿Se te viene a la mente alguna otra cosa que también nos encontramos cada día en internet, además de la publicidad, una y otra vez, en cada página web que visitamos? ¡Efectivamente, los ***** avisos de cookies!

Vale, pero… ¿qué tiene todo esto de la adtech y la publicidad que ver con las dichosas cookies?

Mucho.

Las cookies son unos pequeños archivos que las webs envían a tu ordenador, móvil o lo que sea con acceso a internet y un navegador cuando las visitas. Estos archivos sirven para recopilar información sobre ti y enviársela a la web. Parte de esta información es necesaria. Por ejemplo, la web necesita recordar qué idioma has elegido o qué tienes en el carrito de la compra. Si no, cada vez que hicieses click en otra parte de la web, todo eso desaparecería (y adiós a tu carrito de Zara en rebajas).

Sin embargo, hay muchos otros tipos de cookies que recopilan diferentes tipos de información. Y, sí, también lo habrás adivinado: no solo les interesa saber en qué idioma quieres ver la web. Estas otras son las cookies que aceptas cuando haces click en “aceptar” sin pensar.

Si te está entrando cargo de conciencia porque recuerdas alguna vez (o veces) que hiciste click instintivamente cuando querías leerlo; no te preocupes, ha sido culpa de la brujería de los patrones oscuros o “dark patterns”. Los patrones oscuros consisten en cosas como botones difuminados con el fondo, ausencia de botón o botones en verde para aprobado/bien y rojo para suspenso/malo, diseñados para que tu cabeza ni se lo piense. Y, aunque estén bastante relacionados con las cookies y esta industria, mejor los dejamos para otro momento.

Pues bien: estas cookies lo que hacen es recopilar toda clase de información sobre ti y lo que haces (y después la unen con la que ya poseen). Esto incluye desde qué ordenador navegas, qué otros dispositivos usas, tu localización, qué otras páginas visitas y qué haces en ellas, desde qué páginas has entrado en la web, con quién te comunicas, qué música escuchas o qué ves, qué aplicaciones usas, qué compras… Básicamente, todo lo que haces online: volvemos a tu “huella digital”.

De hecho, muchas páginas web no usan solamente cookies propias, sino también cookies de terceros; es decir, cookies de Google, o de Facebook, o de otras empresas, que también recopilan esta información.

También, si te fijas en el ejemplo de banner de arriba, encontramos otro elemento más que sumar a esta ya compleja ecuación: “tecnologías similares”. Aquí se engloban todas aquellas tecnologías, como el famoso tracking pixel, que te puede seguir allá por dónde vayas, o el omnipresente java, que actúan como cookies, pero no lo son (aunque, a efectos prácticos y legales, sí se podría decir que lo son). Si quieres saber un poco más sobre esto, te dejamos este enlace.

Por supuesto, y en cuanto a lo que nos ocupa, aquí solo nos interesan las cookies de publicidad comportamental o personalizada (más conocidas, como casi todo, por su nombre en inglés: “behavioural/personalized advertising cookies”), y no otras cookies más benévolas como aquellas que ayudan a mostrar publicidad no personalizada o, como decíamos antes, a conservar las cosas en tu carrito. (Para saber más, te dejamos directamente con la AEPD).

Seguimiento, perfilamiento y segmentación

Pues bien: todas estas empresas y ecosistema generan un perfil detallado e individualizado de cada persona. En este caso, de ti. En ese perfil, al que te asocian con un ID, se incluye absolutamente toda la información que se ha ido recopilando sobre ti. Es, posiblemente, más información de la que tú mismo tengas sobre ti. Esto puede consistir en: dispositivos utilizados, sus localizaciones (es decir, tu ubicación geográfica de prácticamente los últimos 15 años), tus contactos, todo tu historial de navegación, qué has comprado, qué has leído, qué páginas web has visitado, qué te interesa, qué películas y series ves, qué música escuchas, tus hobbies, dónde vives, dónde viven tus padres, en qué trabajas, qué has estudiado… y un largo etcétera.

Todos estos datos no los recopila una sola empresa, sino cientos de ellas, que comparten tus datos unas con otras para elaborar este perfil. Por supuesto, posteriormente, este perfil sirve para etiquetarte. Es decir, segmentarte y discriminarte (tanto en el sentido positivo como en el sentido negativo de la palabra).

En un ejemplo típico de navegación durante una tarde de trabajo y consultas, puedes ver la cantidad de empresas que me han seguido y recopilado mis datos:

Los círculos blancos representan las cookies instaladas en mi ordenador por la propia web visitada. Los triángulos son cookies de terceras webs, que instalan sus cookies a partir de las primeras. Y eso que yo nunca acepto dichas cookies…

La lista de socios de IAB (uno de estos intermediarios que se dedican a la publicidad personalizada) comprende, o ha comprendido, más de 450 socios. Debajo puedes ver qué te indica, por ejemplo, La Razón, sobre las cookies que utiliza. Fíjate en la cantidad de cosas que hacen (no es una lista completa) y, más abajo, en las empresas con las que comparten tus datos. No las he contado, pero son muchísimas (no las he contado porque, como veis en la barrita de scroll al lado de la lista de socios, tendría que ir muuuuy para abajo para contarlas todas).

Si quieres hacer el ejercicio, entra en https://www.larazon.es/ y, cuando aparezca el banner, dale a “configurar”. Ahí podrás ver los propósitos y, más abajo, podrás hacer click también para ver la lista de socios. (Si ya hubieras aceptado o configurado las cookies, puedes entrar en modo incógnito para poder ver el banner de nuevo).

Subasta en tiempo real

Si creías que no podía ser peor y que el negocio no podía ser más oscuro y complicado, espera a saber qué sucede detrás del telón. Cada vez que entras en una página web que te muestra publicidad personalizada, tiene lugar una subasta en la que el mejor postor será el que te enseñe su anuncio. Sí, sí, en ese segundo que tarda en cargar la web, cientos de empresas pujan por ese anuncio mientras comparan todos tus datos (los que hay en tu perfil individualizado) con lo que ellas buscan para elegir lo que más les convenga. Es decir, por cada anuncio que se te muestra en cada página web que visitas, cientos de empresas pasan toda tu vida digital por sus filtros.

Esto se conoce como subasta en tiempo real o “real time bidding” (RTB). Suena divertido, ¿verdad? También suena tremendamente proporcional y transparente (cartel de ironía).

Las consecuencias de todo esto

Antes, que alguien te siguiera por la calle era un motivo para ponerse nervioso. Ahora, solo queremos que los demás nos sigan en redes sociales. Quizá debido a esto y al desconocimiento de lo que realmente sucede, parece que el término “seguir” se ha diluido hasta pasar a no significar nada.

Sin embargo, solo hace falta pensarlo un poco y ponerse en situación para darse cuenta de que lo que sucede en el patio trasero de internet debería asustarnos.

¿No nos asustaríamos si el carnicero nos siguiera a todas partes y fuese apuntando en una libreta a dónde vamos, con quién hablamos, qué comemos y qué compramos? ¿Dónde trabajamos y dónde vivimos?

La Asociación Danesa de Consumidores lo ilustra magníficamente con este vídeo:

(Escoge los subtítulos en español o inglés en el vídeo)

Pero no se trata solamente de la recogida de datos, sino de la escala de recogida y perfilado que las nuevas tecnologías hacen posible. Ya no es tu panadero siguiéndote, que tendría un acceso muy limitado a datos sobre tu vida, aun pudiendo seguirte sin que lo denunciaras. Ni siquiera es un detective privado, con más medios. Es todo un sistema montado por las más grandes tecnológicas, que tienen casi el tamaño de países (o sin el casi), y que operan en un contexto virtual en el que hoy en día pasamos gran parte de nuestra vida.

Tampoco se trata ya siquiera de que sepan ya más de nuestra vida que nuestras madres y abuelas (a pesar de que no deja de ser aberrante y peligroso). Las nuevas tecnologías permiten un tratamiento posterior de tus datos que entraña muchísimos más peligros.

Muchos de los datos recopilados sobre ti también sirven para inferir otros datos. Por ejemplo, como se ha ilustrado más arriba, la raza puede ser utilizada para discriminar. Sin embargo, la raza puede no haber sido recopilada directamente como tal, sino inferida de otros datos: dónde vives, dónde estudias, qué idioma hablas, a dónde vas, o qué cultura consumes.

Un estudio muy interesante de The Markup muestra las miles de etiquetas con las que nos segmentan y clasifican. De tus datos pueden inferir, por ejemplo, que estás embarazada, o que tienes SIDA, o problemas de salud mental. Esto ha derivado en situaciones en las que se ha mostrado a mujeres que han perdidos a sus hijos durante su embarazo anuncios de carritos o de leche para bebé. Es fácil imaginarse el daño emocional que algo así puede producir. Y aunque pueda ser un (lamentable) error, también se han hecho cosas parecidas de forma intencional. Por ejemplo, clínicas antiabortistas han pagado para que se mostrasen anuncios de dichas clínicas antiabortistas a mujeres que buscan información de clínicas dónde abortar. ¿No es perverso?

La granularidad es tal que ya se ha comprobado que es posible conseguir que Facebook muestre un anuncio a una persona concreta, en base a sus atributos. ¿Te imaginas a un maltratador utilizando esto para saltarse la prohibición de comunicación con su víctima, al no disponer de otros medios de comunicación? Todo esto suena a Black Mirror, pero es muy real. Por ejemplo, hace ya años que unos periodistas demostraron que Facebook permitía discriminar por raza, discapacidad, u otros atributos, a la hora de mostrar anuncios personalizados de vivienda. En teoría, Facebook ya no permite hacer eso. En teoría.

Estas empresas se justifican en que la publicidad personalizada es la base de este el modelo de internet y en que, sin ella, internet, tal y como lo conocemos hoy, no existiría.

Sin embargo, cuando Apple permitió a sus usuarios elegir si querían o no ser objecto de este seguimiento, la mayoría dijeron que no. Una clara muestra de que, teniendo elección, la gente valora su privacidad y no quiere ser monitorizada. Y, por culpa de este movimiento de Apple, Facebook perdió 10B de dólares (10 billones americanos no son 10 billones europeos, pero siguen siendo muchos ceros) al no poder recopilar datos de estas personas. ¿Pero no decían que esto era gratis?

Se prevé que los beneficios de la adtech alcancen el trillón de dólares en 2030 (o sea, un billón europeo… creo. Como para no perderse con tantos ceros). Un trillón de dólares a cambio de nuestra privacidad. A cambio de nuestra autonomía y nuestra capacidad para decidir. ¿Desde cuándo se pueden comprar los derechos humanos, aún a ese precio?

Si bien es cierto que el modelo actual de internet no está formado solamente por la industria publicitaria, sí que sabemos que todo el modelo está diseñado para lo mismo: para que pensemos menos y actuemos más. Y actuemos más rápido y más impulsivamente, para que así estas empresas nos puedan dirigir más fácilmente. Dirigir nuestros pensamientos y nuestras acciones. Pensaremos menos, y pensaremos como ellos quieren. Consumiremos más, y consumiremos como ellos quieren. Para que puedan llegar a ese trillón de dólares.

Black Mirror comenzó a emitirse en 2011. 12 años después, nuestro mundo se parece más al de la serie que al de hace 20 años. ¿Queremos seguir en esa dirección?

Si no has visto la serie, quizá sea mucho pedir que te veas 27 capítulos y una película después de haberte leído todo este artículo para entender un poco más a dónde nos dirigimos (atención: dramatización). Sin embargo, 4 minutos de vídeo de la Organización Europea de Consumidores (BEUC) cumplen su cometido:

(De nuevo, puedes escoger los subtítulos en español o inglés en el vídeo)

TLDR; Hay miles de empresas que se dedican a recopilar absolutamente todos tus datos y qué haces en internet (y cuando digo todos, son todos) para poder mostrarte publicidad personalizada según tu perfil y embolsarse miles de millones de euros. También utilizan estos datos y todos los medios disponibles a su alcance para segmentarte, discriminarte y manipularte para que hagas lo que ellas quieren y pases más tiempo de internet, y así poder embolsarse todavía más dinero.

DISCLAIMER: Muchos conceptos y procesos han sido simplificados para facilitar su entendimiento. Este artículo no pretende ser académico sino divulgativo.

La entrada En Internet, el producto no solo eres tú se publicó primero en Citizen8.