Buenas prácticas en materia de protección de datos para ‘big data’

Protector del inversor. Bolsa de València

En los últimos meses, el término big data se ha convertido en uno de los más utilizados en el ámbito tecnológico (y, en consecuencia, con implicaciones en casi todos los sectores de la economía), para definir un conjunto de tecnologías, algoritmos y sistemas empleados para la recopilación, procesamiento y uso de grandes volúmenes de datos de diversa tipología, provenientes de una gran variedad de fuentes y a una gran velocidad.

La incursión del big data en los sectores financieros, de seguros y de inversión ha marcado importantes hitos en la gestión y aprovechamiento de los datos, que han supuesto una gran ventaja competitiva para sus usuarios pero que, a su vez, genera importantes retos para garantizar una adecuada protección de los derechos de los titulares de los datos.

Así, por ejemplo, entidades del sector bancario usan tecnología big data para extraer información de sus clientes ya no a partir de encuestas sino a partir de su comportamiento, el uso de sus tarjetas, movimientos en sus cuentas, el tipo de vida que tienen, para así tratar de dar a sus clientes un mejor servicio.

Barreras para el uso de herramientas big data
Conscientes de esta realidad, las Autoridades Europeas de Supervisión (EBA, Eiopa y Esma por sus siglas en inglés), a través de su Comité Permanente de Innovación Financiera (Financial Innovation Standing Committee), siguen de cerca la evolución de herramientas de innovación como el big data. En 2016, la Esma publicó un documento de discusión sobre el uso del big data por instituciones financieras y un documento de preguntas y respuestas (Q&A) sobre big data, en los que se aborda el fenómeno, el marco regulatorio y los beneficios y riesgos para los consumidores y las instituciones financieras.

Además, a efectos de profundizar en el diagnóstico, la Esma abrió una consulta, cuyo plazo finalizó el pasado 17 de marzo, con el fin de recabar información relativa al uso del big data por instituciones financieras y demás actores involucrados en la gestión de activos, banca, seguros, entidades gubernamentales y empresas tecnológicas, entre otros.
Una de las preguntas incluidas en dicha consulta hacía referencia a las barreras que impedían desarrollar y ofrecer herramientas de big data en los sectores de banca, seguros y valores. La CNMV, en respuesta a la consulta de la Esma, señaló dos barreras: (i) el riesgo reputacional y (ii) las limitaciones presupuestarias. Como paliativo al riesgo reputacional, la CNMV señala que es importante contar con directrices relativas al cumplimiento de normativas que afectan el entorno digital, tales como protección de datos personales.

Aun cuando no siempre los datos tratados y analizados con big data son datos personales, en cuyo caso no resulta de aplicación la normativa de protección de datos, también existen muchos otros supuestos en los que sí se ven implicados datos personales de consumidores y usuarios. En estos casos, deben observarse los principios que afectan al procesamiento de los datos personales, incluidos la forma en que se recopilan los datos, las fuentes, el deber de información sobre el tratamiento y su consentimiento.

Si bien actualmente la legislación aplicable es la Ley 15/1999, de protección de datos y su reglamento de desarrollo, a partir del 25 de mayo de 2018 resultará de aplicación el Reglamento General de Protección de Datos (RGPD). Ante la gran expectativa que el RGPD sigue suscitando, el pasado 11 de mayo la Agencia Española de Protección de Datos (AEPD) e ISMS Forum Spain, en colaboración con empresas y profesionales independientes, hicieron público el Código de Buenas Prácticas en protección de datos para proyectos big data.

En su comunicado de prensa, la AEPD señala que este Código, que toma como referencia el RGPD, es un punto de partida práctico para asesorar a aquellas entidades que estén desarrollando o tengan previsto implementar proyectos de big data.

Código de Buenas prácticas en materia de protección de datos para proyectos Big Data
El código de buenas prácticas en protección de datos para proyectos big data aborda los aspectos relevantes para garantizar el adecuado tratamiento de datos personales y la privacidad de los afectados en un proyecto big data. Para ello, se refiere a las normas y principales obligaciones legales en materia de privacidad, los principios y aspectos procedimentales e introduce medidas tecnológicas para la mejora de la privacidad, seguridad y confianza.

Así, se resalta la importancia de considerar la privacidad desde el diseño del proyecto big data, con el objetivo de asegurar que las garantías de protección de los datos se tomen en consideración desde la fase de planificación de los procedimientos y sistemas de información. Igualmente, se hace alusión a la importancia de valorar la necesidad de realizar una evaluación de impacto de la protección de datos, a efectos de que las empresas y administraciones puedan determinar si las iniciativas que involucran el uso de información privada representan riesgos para la protección de datos y como gestionarlos. También se aborda la reutilización de datos disociados y las técnicas que se habrán de tener en cuenta en los procesos irreversibles de anonimización en iniciativas big data.

Este código puede contribuir, no solo a la protección de los derechos de usuarios y los intereses de los inversores, sino también a la construcción de una mayor confianza y transparencia en el uso de este tipo de herramientas tecnológicas, facilitando a los interesados pautas para la implementación de los cambios introducidos por el RGPD en los proyectos big data.