Vamos a pasar porque ya queda muy poco tiempo.
A la siguiente, a la siguiente intervención.
No queríamos dejar pasar esta mesa y este Congreso
sin dar una pincelada
de un tema que es muy importante y es el tema de
la protección de los datos.
Todo lo que estamos haciendo, toda la digitalización,
tiene que tener también, y lo hemos visto a lo largo de
este Congreso.
Tiene que tener también una.
Un tema muy relevante, que son los derechos que también
asisten a los ciudadanos y también las obligaciones que
hay por parte también de las instituciones, no?
Entonces este tema nos lo va a contar un poco más.
Joaquín Pérez Catalán es el director de la División de Relaciones
Internacionales de la Agencia Española de Protección de Datos.
Por favor, Joaquín.
Bueno, buenas tardes a todos.
Buenas tardes, Feli.
Y lo primero es dar las gracias a decir
por invitarme y a estar aquí con todos ustedes.
Y estoy feliz personalmente por
por haber trasladado esa invitación personal a
la agencia.
He estado muy agradecida a la decirte que
justo hace un rato tenía una teleconferencia
preparando un encuentro
que vamos a hacer de la
recibe la americana de autoridades de Protección de Datos.
Gracias también a decir al soporte de la mujer
y que lo vamos a hacer en la sede que tiene la en Santa
Cruz de la Sierra, en Bolivia, Perú.
Bueno, tenemos muchos años de colaboración con Conacyt en lo que es
la ayuda a esta región americana, que fue una red que creó hace 20 años
la iniciativa de la Agencia y de la cual
ejercemos la Secretaría Permanente, pero de la que forman parte más de 13
autoridades de países iberoamericanos,
de países en los que existen normativas de protección
de datos y países en los que también se están
elaborando actualmente normativas de protección de datos.
De hecho, en Bolivia hay incluso un anteproyecto también
para que en un futuro cercano también haga una ley de protección de datos
también.
Bueno, dicho esto, voy a pasar a lo que es
el contenido de la presentación.
No me preparo ningún PowerPoint porque en tan poco tiempo
no da, no me da mucho, no me da tiempo para redundancia
a contarles a ustedes lo que es todo normativa de protección de datos.
Que bueno, básicamente lo que es una introducción,
pues pone llevar cerca de tres o de tres horas no?
Entonces, pero sí que voy a dar unas pinceladas,
a tenor de lo que se ha contado
de los ponentes anteriores, a los que he escuchado con sumo gusto
y teniendo en cuenta el marco en el que nos movemos, el título
de la mesa de hoy es las oportunidades que ofrecen las TIC
en los distintos sectores, no
las tecnologías de la información y las comunicaciones.
Y todo lo que al final, básicamente en la mayoría de los proyectos
se manejan datos y en muchos de esos datos
son datos de carácter personal o asociados a personas.
Mucha gente a veces discute y esto es una persona,
pues mira si eso identifica a una persona y la define
y permite identificarlo, pues si es un dato de carácter personal.
Al final mucha de la información que se manejan
en todo este tipo de proyectos son datos de carácter personal.
Eso no significa que no se pueda hacer.
Yo oigo muchísimas veces gente que viene a nosotros a la agencia
de visita, se convierte en es que me han dicho que yo
no puedo hacer esto por protección de datos.
Perdón, hasta a mí me lo han dicho.
Mi vida privada, a veces de una vez o alquilar un piso.
Pregunté cuánto pagaba ese piso de luz que me podían dar algún
dato de factura
para hacerme una idea y mejor no, eso no se lo puedo dar por protección
de datos.
Entonces, el dato de quién expiró?
Cuánto viene pagando un piso como este de del uso de calefacción?
Si siempre.
No quiero que me diga quién vivió aquí antes, pero no siempre se utiliza
la excusa de la protección de datos para para no dar información
y a veces para negar hacer sistemas también.
No me han dicho que este sistema no puedo hacerlo
porque por protección de datos no es eso.
Lo primero que quiero decir es la protección de datos.
No está aquí para poner problemas ni para decirle que a mí no me pueden.
Tener un poquito bajo.
Si puedes hablar como si.
Ayer bajo a ver como lo puedo hacer, es que
momento.
Pero bueno.
También te comento que tenemos poco tiempo
para dejar paso a las preguntas.
Vale, voy, voy a ir, voy a ir más rápido.
Entonces se me oye mejor ahora si se me acerca el ordenador.
Bueno,
lo primero, primero que voy a comentar es esta una edad muy importante.
Si alguien les
dice en la protección de datos no me deja hacer eso, desconfía.
Pero fundamentalmente lo que viene a decir la protección de datos es ojo,
como quiera hacer usted las cosas, plantea ese como que hacen las cosas
que de protección de datos cuando no dicen puedo hacer esto,
quiero hacer este proyecto de compartir datos o este proyecto TIC
o este proyecto de Internet de las cosas.
Esto puedo hacerlo.
Fundamentalmente nuestra respuesta va a ser depende,
depende.
Si no, no es un sí ni un no, en primero es depende y depende de
que depende de cómo lo vaya a hacer usted, depende de qué tecnologías use,
depende de qué riesgos vaya a tener eso para la persona.
Si los riesgos son bajos
y usted tiene una base legal para hacerlo, usted podrá hacerlo.
Y usted informa a la gente y cumple los requisitos que establece la ley.
Podrá hacerlo
si usted lo quiere hacer con lo primero
que se le ha venido a la cabeza o la forma más barata posible.
A lo mejor eso no puede hacerlo, no vale, no puede hacerlo
porque incide en agentes y los datos no pueden darse así, alegremente.
Para darles una pequeña idea
de lo que estoy hablando, voy a contarles, por ejemplo,
un proyecto que se llevó a cabo en un país, pues nada sospechoso.
Como es un país nórdico, Finlandia, Finlandia tiene esto.
Estoy hablando de un caso que pasó en el 2019.
No, Finlandia es un país muy preocupado con la deuda pública,
no tiene prácticamente deuda pública con una población cada vez más mayor,
donde tiene unos servicios sociales impresionantes, envidiables.
Cualquier país del mundo le gustaría tener los servicios sociales
que tiene Finlandia ahí.
Sabes que aunque tus hijos te abandonen, cuando eres mayor,
la Seguridad Social se va a hacer cargo de ti, de la de dónde?
De donde todo lo que necesites y no te va a faltar nada.
Claro, eso tiene un coste.
Y como dije antes, la sociedad, una sociedad muy preocupada
por la deuda pública, no tiene prácticamente deuda pública.
Y quieren seguir sin tener, no quieren seguir, ya no quieren tenerlo.
No, no se le ocurre a un gobierno en el 2019, nada más
y nada menos que decir Bueno, vamos a ver cómo financiamos esto.
Cada vez somos la población mayor con lo recurso.
Entonces dijeron bueno, pues tenemos las historias clínicas
de la gente que vive en el equivalente a su ministerio de Sanidad,
y tenemos también muchas de esas historias clínicas.
Contienen datos genéticos porque es una sanidad muy avanzada
y tiene en cuenta
la genética de la gente a la hora de los tratamientos médicos.
Y entonces también tenemos la base de datos de
Hacienda con los impuestos que paga la gente.
Y tal y como no queremos tener deuda pública, no incurrir,
porque vamos a hacer un proyecto para que cada uno
a partir de ahora va pagando impuestos en función de la esperanza de vida
que tiene personalizada en base a su análisis genético y de salud.
Y no tenían que pedir datos de nada. Los datos ya los tenía,
ya estaban en la base de datos
sanitaria que estaba en la base de datos
Hacienda, ya tenían la información, sólo era juntar
y eso sí es una información que estaba para un fin
utilizarla para otro fin distinto y calcular.
A ver, señor Joaquín, usted que tiene tantos años
y tiene todo el mapa
genético y tiene tales dolencias en su historia clínica,
pues básicamente
usted va a vivir tantos años sin necesidad de asistencia social,
pero de aquí a nada
va a generar un cáncer de los de qué tipo va a estar asistencia?
Van a entrar una serie de de ayudas sociales
que va a ser tanto dinero porque va a vivir usted más o menos tantos años,
eso va a tener un coste de tanto
y por lo tanto usted sólo va a empezar a pagar ya
subiéndole los impuestos cada año en tal cantidad,
mientras que a otra persona pues tiene otro perfil distinto,
otra historia distinta y va a pagar otros impuestos.
Es decir, están anticipando un impuesto que va a pagar uno
a futuro.
Y con los datos que ya tienen cada uno puede preguntar
si esto se puede hacer y no pasa nada.
Desde el punto de vista de protección de datos,
pues aquí hay que decir que no, y
es un proyecto
muy, muy interesante del punto de vista tecnológico.
Pero evidentemente, por qué?
Pues porque es información
que estaba para una cosa y se pretende utilizar para otra.
Ahí claramente un desvío de finalidad.
Hay un análisis de perfilador.
Bueno, a la gente no se le ha pedido permiso,
no se le ha informado, es decir, es una vulneración total
de los derechos del punto de vista de protección de datos, no?
Luego hay ocasiones en las que los proyectos TIC
hay que mirarlo con mucho cuidado
porque incide en los derechos y libertades de la gente, no?
Y luego encima no se sabe que impuestos paga cada uno
porque es una sociedad justa, aparente.
Luego se puede saber el tipo de vida.
Vamos,
ese es
el estudio que te hace el gobierno,
apenas como va a incidir en lo que tú pagas.
Luego eso se hace público, la gente va a poder derivar
prácticamente cuánto tiempo vas a vivir?
Mira, este va a vivir poco porque el Estado le
está haciendo pagar muchos impuestos con la edad que tiene
y eso también lo saben luego las empresas de seguro,
pues este va a vivir poco por noche, seguro.
O sea, fíjense ustedes
lo que eso supone para los derechos y libertades de la gente, no?
Y luego ojo, ojo también con los proyectos
que se van a hacer, que qué falló en ese proyecto?
Pues falló porque no se siguió lo que hay,
lo que dice la normativa de protección de datos,
que en proyectos de este tipo de que pueden tener un alto
riesgo de intromisión en la privacidad,
hay que hacer lo que las normativas dicen que es una evaluación de impacto
antes de poner en marcha estos proyectos, no?
Muchas veces lo que falla es que no se hace una evaluación de impacto.
El gobierno este que quiso sacar esto fue tan el compromiso
que casi hizo un órdago.
Hice estos vales o definitivos y dimitió.
Luego vino un gobierno posterior que sacó un proyecto similar,
pero después de haber hecho sus evaluaciones de impacto, después
de haber hecho esto, no podemos hacerlo.
Esto si, esto lo hacemos de otra manera.
Y al final hice un proyecto algo parecido de cara a cubrirse
las espaldas
para no tener déficit en el futuro, pero de otra manera muy distinta.
Teniendo en cuenta la protección.
La protección de datos no es un sí o un no,
es una manera que hay que tener
en cuenta a la hora de abordar cualquier proyecto de tecnología
que involucre datos de carácter personal.
Y hay que hacer esos análisis de riesgos, esas que van a hacer impacto.
Otra figura también que contempla la mayoría de leyes de protección
de datos de última generación, es que las organizaciones
de la organización de grandes
tienen que tener lo que se denomina la figura del delegado de protección.
Es una persona que está dentro de la organización,
que tiene que conocer la organización que conoce lo que dice la normativa
de protección de datos que va a hacer estos análisis de riesgos.
Esta reconoce que el impacto al que tiene que asesorar
a la organización
desde las fases tempranas es lo que en la normativa de protección de datos
se llama implantar controles
de protección de datos desde la fase de diseño y por defecto.
Es decir, que cuando uno está diseñando los sistemas
que van a tratar grandes volúmenes de datos de gente,
hay que meter ahí los controles, hay que meter ahí la salvaguardas
para que esos tratamientos no afecte negativamente a los ciudadanos.
Y eso hay que meterlo en las fases
tempranas, no cuando el sistema está ahí.
No podemos hacer un sistema y luego llamar al experto en esto.
Y ahora qué hacemos?
Porque eso sería igual que si contratamos una casa, un arquitecto,
y cuando está hecha la casa le decimos
ahora le voy a decir dónde quiero los enchufes y los grifos.
Y entonces cada enchufe y cada grifo te va a costar un dineral,
porque la casa ya está hecha, porque lo has hecho a destiempo,
donde quieres los enchufes, los grifos, los puntos de luz,
tienes que hacerlo con el arquitecto en la fase de diseño,
cuando estás diseñando tu casa, porque ahí es cuando cuesta barato.
Pues exactamente.
Este problema también ocurre muchas veces en los sistemas
que diseñan los sistemas al margen de la protección de datos.
Y luego, claro, hay que ver que la protección de datos es carísima.
No es que lo ha hecho usted a destiempo,
hágalo usted en los diseños, pero cuando está con los planos
ahí tiene que meter los controles.
Y cómo va a hacer las cosas
para que eso sea compatible y alineado con la protección de datos?
Estas figuras son fundamentales análisis de riesgos,
evaluaciones de impacto,
contar con la figura del delegado de Protección de datos e involucrarlos.
El no proyecto desde el principio no era malas.
Al final, desde el principio,
es fundamental para que estos proyectos salgan adelante
y de forma adecuada con la protección de
la normativa.
Otorga un derecho otorgar obligaciones entre las obligaciones
para los responsables que hacen tratamientos están estas
hacer un estudio de grabación, impacto,
contar con un delegado de proyecto que sepa involucrarlos
y luego hay que atender a los derechos de los ciudadanos.
Los ciudadanos tenemos una serie de derechos.
Podemos tenemos el derecho a dirigirnos a un responsable
y pedirle que datos tiene nuestro derecho de acceso.
Cambiar esos datos y son incorrectos, derecho, rectificación
o ponernos a un determinado tratamiento de esto.
Le permito que lo haga con mis datos, pero esto no se lo permito.
Esto no lo hago usted porque no quiero, no es usted.
Repítelo y no lo hago.
No siga teniendo en su base de datos para unas cosas,
pero para estas cosas no quiero que usted utilice mi trato.
No hay también derechos, por ejemplo,
a lo que son, a las decisiones automatizadas.
Se ha hablado de sistemas de inteligencia artificial.
Cada vez se utilizan más estos sistemas
están llegando incluso a ver proyectos piloto de sustituir jueces
por máquinas que elaboran sentencias.
Ahora mismo, en casos sencillos vale, pero esto va a ir adelante
y acabarán haciendo, no sé, sentencias de todo tipo
y será una máquina la que nos putea.
No, eso toma decisiones.
Tomas decisiones que nos afectan.
No? Entonces el, el, el, el.
La normativa del patronato lo que dice es que cuando existan
este tipo de sistemas que toman decisiones de forma automática
basados en inteligencia artificial, tenemos derecho, como ciudadano
a saberlo,
que nuestros datos se van a meter en esa caja negra que va a decidir
si nos dan una beca o no nos dan una beca,
si nos dan un trabajo o no nos dan un trabajo,
si nos dan una subvención o no una subvención, si nos contratan un.
Com, si nos hacen un contrato, si nos hacen un.
Que ignorar un crédito hipotecario o no nos dan un crédito hipotecario,
no, entonces
tenemos derecho a saber que eso es una máquina a la que lo despiden.
Y si es una máquina la que lo decide, tenemos derecho a poder
impugnar esa decisión y que esa decisión la revise un humano, no?
Y tenemos también derecho a saber que lógica
subyace en esa caja negra, no a que no ordene el algoritmo.
Su forma parte del secreto comercial,
de la organización o de la empresa, pero sí a que nos den una
una información mínima de. De.
Exactamente igual.
Cuando uno compra una Coca-Cola mira los componentes que ve ahí.
Ingredientes como azúcar en nosequé
colorantes está bueno, pues te da una serie de variables
que te permiten tipo
yo esto no lo quiero, no lo tomo, si no me da igual,
no te dan la receta, no te dan el algoritmo,
pero sí te da
una serie de variables fundamentales que forman parte de la composición.
Bueno, pues esto es lo que tienen que quedar también.
Y quien elabora este tipo de sistemas no es decirte
mira, aquí en esta caja negra, toma datos por ejemplo, como de tu,
tu, tu edad, tu, tu titulación universitaria,
si eres hombre o mujer, no se
de donde has nacido, que nivel de estudios
tienes, cuántos ingresos tiene que ser?
Aunque no me de el algoritmo
la receta de cómo opera entre ellos, pero sí qué tipo de variables hay ahí.
No tenemos derecho, por ejemplo, a este tipo de información.
No tenemos también derecho también a
a que cuando hay brechas de
seguridad en los sistemas nos informen si eso nos afecta a nosotros?
Si a una empresa a la que le hemos dado una tarjeta de crédito o pago
de servicios que nos dan, le roban en un ataque de hackeo
de ciberseguridad y le roban la información
y entre ellos nuestra tarjeta de crédito.
Tenemos derecho a que esa empresa nos comunique que que.
Que se ha hecho algo malévolo con nuestros datos
de la tarjeta de crédito, porque eso nos permite
pues poder llamar a nuestro banco y anular la tarjeta y no encontrarlo
luego con cargo que? Y esto de dónde viene?
Y yo no he comprado esto no?
Y volvernos locos
no si tenemos una serie de derecho que el responsable tiene que cumplir.
En básicamente y para concluir que
hay que atender los derechos y en cuanto a las obligaciones
de responsable, el Consejo Fundamental y en la ley
es que a la hora de abordar proyectos de tecnologías de la información
en los que se involucren
datos de carácter personal, sean del tipo que sea,
es muy importante que se haga un análisis de riesgo
si se prevén que puede haber
riesgos altos para la gente, hacer una evaluación de impacto,
que básicamente es ver en qué es, en qué medida se
puede perjudicar a la gente
y qué controles puedo yo poner ahí para que eso,
ese daño, sea mínimo, minimizar ese impacto que pueda tener.
Vale, y si es así,
también involucrar también a la figura del delegado de Protección
de Datos en el diseño e implementación de ese sistema.
Y bueno, yo creo que con esto
termino, porque salvo que me digas que tengo más tiempo.
Felipe
No, no, es que tenemos muy poco tiempo no?
Pues entonces termina siendo un placer y eso.
Es muy importante.
Joaquín Todo lo que nos has dicho, porque
es que ellos están implementando proyectos precisamente
entonces yo creo que han tomado buena nota de todo lo que nos dice
que precisamente la protección de datos
los hay que incorporar al diseño, que hay que hacer una evaluación
de impacto, hay que tener también todas esas
esa idea de la de la privacidad, el tema de la
del delegado de Protección de Datos, que también es importantísimo.
Y bueno, yo casi que lo que quiero ya es pasar a las preguntas porque.