Neurodatos: privacidad y protección de datos personales (II)
Las interfaces cerebro-computador permiten recoger la actividad generada por el cerebro. Esta actividad depende de factores internos y externos al individuo, que actúan sobre una determinada base genética. Estas tecnologías permiten la colección de neurodatos que, asociados a personas identificadas o identificables, son datos personales. Estas tecnologías podrían permitir el perfilado, la inferencia de nuevos datos personales, la modificación del comportamiento y podrían ser en sí mismos mecanismos de identificación y autenticación biométrica.
La neurotecnología y las interfaces cerebro-computador (BCI por sus siglas en inglés Brain-Computer Interface) permiten medir y registrar la actividad generada por el cerebro. Las ondas cerebrales, registradas por un BCI, una vez procesadas y decodificadas, se traducen en datos fisiológicos. Esta actividad depende de diversos factores internos del individuo (edad, sexo, estado psicoafectivo, patologías, etc.) y externos al mismo (ambientales, actividades, estímulos…), que actúan en función de una determinada base genética.
Estas tecnologías permiten la colección de datos neurológicos o neurodatos que, en cuanto asociados a personas identificadas o identificables, son datos personales. Con análisis avanzados y uso de Inteligencia Artificial podrían inferir y revelar información asociada a pensamientos, sentimientos o estados de salud, además de perfilar al individuo.
Informes científicos muestran que muchas características del cerebro humano dependen de factores genéticos, biológicos no genéticos, y ambientales, que posibilitan la identificación mediante la anatomía cerebral (huella cerebral) por lo que podrían actuar en sí mismos como mecanismos de identificación y autenticación biométrica.
En definitiva, la información cerebral es única y personal, puede revelar información que no es conocida por el propio individuo o está fuera de su control, puede usarse con fines predictivos, y abre nuevas posibilidades en las representaciones del individuo a través de los datos. Pueden recogerse en tiempo real aspectos relacionados con el comportamiento, la personalidad, los sentimientos y los pensamientos de la persona. Tienen potencial no sólo para diagnosticar, sino para predecir predisposiciones a enfermedades, y también para predecir comportamientos y características de la personalidad.
Los datos genéticos, que son considerados datos de categoría especial por el Reglamento General de Protección de Datos (RGPD), y los datos cerebrales o neurodatos comparten características y cualidades. El cerebro será un identificador tan único como una huella dactilar o un genoma. Ambos ofrecen la posibilidad de predecir o inferir otra información, y pueden desvelar indicios sobre el pasado y sobre su futuro. También ambos exponen aspectos únicos y personales, que no son observables o conocidos por el propio individuo.
La actividad eléctrica generada por el cerebro varía dependiendo de diversos factores que actúan sobre una determinada base genética. Los perfiles genéticos podrían reflejar las causas de enfermedades y trastornos neurológicos o psiquiátricos (en algunos casos hereditarios). Por ejemplo, en la mayoría de las personas el hemisferio izquierdo del cerebro suele ser el dominante en el área del lenguaje, de modo que las variantes genéticas que afectan al desarrollo del cerebro y su asimetría pueden afectar al rendimiento lingüístico de las personas.
Como el genoma, la información cerebral además es predictiva en el comportamiento de las personas, y está sujeta a interpretaciones subjetivas, lo que deja espacio para el sesgo, el error y la inexactitud, suponiendo una mayor implicación en la privacidad y en los riesgos asociados. Pero, a diferencia de la información genómica, la neurotecnología permite un camino en dos sentidos, no solo se puede recoger información en tiempo real, sino que a través del mismo interfaz se pueden generar estímulos neurológicos que alteren la actividad cerebral y modifiquen el comportamiento de la persona, tanto a corto como a largo plazo.
De esta forma, esta tecnología tiene el potencial de afectar no solo nuestra privacidad, sino también los derechos fundamentales ligados a ella como la libertad de pensamiento, la libertad de expresión, la integridad corporal, personalidad, la dignidad de las personas, la no discriminación y la equidad y la justicia.
El RGPD adopta un concepto amplio en la definición de dato de carácter personal, y en dicho marco los neurodatos son datos personales. De forma general, en algunos casos podrían considerarse datos sensibles o muy personales (directrices WP248), puesto que son datos que corresponden a la esfera más íntima de la persona. En la medida en que el tratamiento de los mismos pudiera conllevar información biométrica orientada a la identificación, opiniones políticas, orientación sexual y datos de salud, entre otros, los neurodatos se calificarían entonces como un tratamiento de categorías especiales de datos personales. En este último caso, para su tratamiento sería necesario levantar la prohibición que establece el artículo 9 del RGPD con alguna de las excepciones que dicho artículo contempla (por ejemplo, el consentimiento explícito), y además ha que existir una base legal que legitime el tratamiento, según el artículo 6 del RGPD.
En el sitio web de Innovación y Tecnología de la AEPD se puede encontrar más información relacionada con este tema en:
- Neurodatos y neurotecnología: privacidad y protección de datos personales
- IoT (II): Del Internet de las Cosas al Internet de los Cuerpos
- Metaverso y privacidad
- Empleo de datos biométricos: Evaluación desde la perspectiva de protección de datos
- Guía de Privacidad desde el Diseño
- Directrices WP248 sobre la evaluación de impacto relativa a la protección de datos (EIPD) y para determinar si el tratamiento entraña probablemente un alto riesgo a efectos del RGPD
- Adecuación al RGPD de tratamientos que incorporan Inteligencia Artificial
- Gestión del riesgo y evaluación de impacto en tratamientos de datos personales
