Los avisos de privacidad en línea plantean un problema de interacción entre humanos y tecnología.
Muchas personas no leen los avisos, subestiman los riesgos para sus datos o no entienden cómo podrían utilizarse.
Estas son nueve alternativas que los gobiernos y las empresas pueden utilizar para proteger a los consumidores.
Durante las últimas dos décadas, nos hemos acostumbrado al tedioso ritual de aceptar políticas de privacidad en línea haciendo clic, pero, al igual que los extensos documentos de condiciones de servicio, por lo general no están redactadas pensando en la persona promedio. Son, ante todo, documentos jurídicos y, al fin y al cabo, ¿quién tiene tiempo?
Como personas, asumimos que podemos y queremos tomar decisiones informadas sobre quién recopila datos sobre nosotros y cómo lo hace. Sin embargo, numerosos estudios han demostrado lo inviable que resulta para las personas tener la capacidad, y mucho menos la voluntad, de gestionar la multitud de relaciones que mantienen con los encargados del tratamiento de datos.
Lo que tenemos aquí no es solo un problema jurídico, sino un problema de interacción entre humanos y tecnología, que debe abordarse teniendo debidamente en cuenta las limitaciones humanas en relación con la tecnología, así como las consecuencias más amplias para la sociedad.
Qué está en juego
Pese a la obligación legal de presentar a las personas una opción clara, la práctica de mostrar avisos a personas que no los leerán ni podrán leerlos no solo es poco sincera, sino que también socava muchos de los avances que las nuevas leyes de protección de datos intentan lograr. Por ejemplo, la recientemente promulgada Ley de Privacidad del Consumidor de California (California Consumer Privacy Act) en Estados Unidos y su parecida Ley de Derechos de Privacidad de California (California Privacy Rights Act) buscan dar a los consumidores un mayor control sobre sus datos personales. Los consumidores de California tienen ahora derechos de acceso, supresión y solicitudes de «no vender» respecto de sus datos personales en poder de empresas sujetas a la ley.
Las empresas también deben ofrecer mayor transparencia, pero ninguna de estas leyes limita la recopilación de datos personales, y ambas mantienen sin cambios los marcos existentes basados en el aviso y el consentimiento. Así, los consumidores solo se benefician directamente de estos nuevos derechos si los conocen y deciden ejercerlos, pero nada impide que las empresas con clientes en California sigan recopilando los datos que deseen, siempre que los consumidores hagan clic en «Acepto».
Uno de los sesgos cognitivos que compartimos los seres humanos es la tendencia al descuento hiperbólico: sacrificar beneficios a largo plazo por recompensas a corto plazo. En cuanto a los datos, es casi imposible predecir cuáles podrían ser las consecuencias a largo plazo de los datos que decidimos compartir hoy. Por ejemplo, ¿nos dimos cuenta, hace más de una década, cuando empezamos a compartir nuestras fotos en línea, de que las empresas algún día extraerían esos datos para entrenar algoritmos de aprendizaje automático, incluidas herramientas de reconocimiento facial? Y eso no es culpa nuestra; esas tecnologías estaban en sus inicios o no se habían desarrollado. A veces, marcar esa casilla equivale a intentar predecir el futuro.
Luego está la cuestión de la preparación para el futuro. Seguir dependiendo de «marcar la casilla» no tiene en cuenta la realidad de los dispositivos conectados permanentemente ni los casos en que tus datos afectan a otras personas, como cuando la decisión de una persona de facilitar su ADN a una base de datos genéticas de consumo también implica a sus parientes genéticos directos, presentes, futuros y pasados. Y, de forma más urgente, existen conjuntos de datos agregados que permiten a las empresas generar inferencias tanto sobre individuos en múltiples contextos como sobre sus relaciones con otros. Los datos recopilados en un contexto, para un fin, pueden generar información sobre ti en otro, sin que lo sepas nunca.
El camino a seguir
Existe un reconocimiento generalizado de que el sistema actual de aviso y consentimiento está fallando a los consumidores, desde los reguladores hasta los directores ejecutivos; sin embargo, hasta la fecha, los responsables de políticas de todo el mundo siguen teniendo dificultades para abordar el problema, probablemente porque las cuestiones son tan complejas que requieren cambios en muchos frentes, y la reforma exigirá reconocer que se trata de un problema de interacción entre humanos y tecnología, y no solo de un problema jurídico. Mientras tanto, estamos atrapados en un bucle interminable de «hacer clic para aceptar», mientras al mismo tiempo denunciamos estos mecanismos como una farsa.
Con el objetivo de romper este bucle, trabajamos con el equipo de Política de Datos del Foro Económico Mundial en el Centro para la Cuarta Revolución Industrial de San Francisco para celebrar un diálogo multisectorial entre expertos en interacción persona-computadora, diseño, justicia social y derecho. Mediante el pensamiento de diseño centrado en las personas, el grupo elaboró un conjunto de nueve ideas para que los responsables de políticas y los líderes empresariales las consideren.
Estas ideas pueden clasificarse en cuatro dimensiones: centradas en el diseño frente a centradas en la regulación, y orientadas a lo individual frente a orientadas a lo colectivo. Por ejemplo, los Agentes de Usuario Personales, una propuesta que pretende utilizar software como medio para ayudar a las personas a gestionar sus relaciones con los datos, es un enfoque centrado en el diseño destinado a ayudar a los individuos. Los fideicomisos de datos (data trusts), en cambio, son un marco jurídico y regulatorio destinado a crear soluciones colectivas para la protección de datos que recurren a terceros de confianza para gestionar los datos en nombre de un grupo de personas.
Analizamos en profundidad cada una de las nueve ideas en el libro blanco, "Redesigning Data Privacy: Reimagining Notice & Consent for human technology interaction."
Nueve alternativas a los avisos en línea de «marcar la casilla»
Herramientas de visualización de datos para los responsables de políticas: herramientas que ilustran el impacto real de la recopilación de datos en las experiencias reales de las personas;
Proceso de evaluación de daños: evaluación del impacto de los datos para las empresas que se centra en los resultados para los consumidores;
Limitación de la finalidad por defecto: restringir por defecto los tipos perjudiciales de recopilación y tratamiento secundario de datos personales;
Regulación positiva e innovación responsable: incentivos para que las empresas adopten prácticas de recopilación y uso responsable y ético de los datos;
Privacidad desde el diseño en las ciudades inteligentes: procesos centrados en la justicia de diseño para configurar la recopilación de datos en entornos de ciudades inteligentes;
Autonomía para el rastreo en espacios públicos: uso de tecnología personal (como los dispositivos móviles) para expresar las preferencias de cada persona respecto al rastreo individual en espacios públicos;
Fideicomisos de datos (data trusts): nuevos instrumentos jurídicos para gestionar datos personales a través de terceros de confianza;
Explicabilidad algorítmica: someter los algoritmos de «caja negra» a auditabilidad para limitar los daños sociales e individuales;
Agentes de usuario personales: agentes virtuales de confianza basados en software que gestionan las preferencias individuales de recopilación y uso compartido de datos.
Pero queremos destacar la dimensión individual frente a la colectiva. Porque, mientras consideremos el aviso y el consentimiento solo como un problema arraigado en los individuos y en su capacidad de decisión, no alcanzaremos a ver los daños a nivel social que surgen de la divulgación y recopilación de datos agregados. También desaprovechamos la oportunidad de trasladar aspectos del consentimiento, especialmente en contextos particulares (por ejemplo, los datos de salud), hacia modelos colectivos que pueden ser más adecuados para el tipo de datos de que se trata o para los riesgos potenciales.
Esto podría incluir el traslado de algunas relaciones de datos a nuevos modelos de gobernanza de datos, como los fideicomisos de datos, en los que un tercero de confianza supervisa la administración y el uso de un conjunto colectivo de datos. También sugerimos que las empresas adopten la innovación responsable en este ámbito, mediante prácticas de datos que protejan la privacidad y que podrían permitir cierto grado de exención de los requisitos de aviso y consentimiento a través de una precertificación, o considerando la adopción de prácticas de diseño centradas en la identificación de daños sociales.
Entonces, ¿qué sigue?
Si bien existe un reconocimiento general de que los mecanismos actuales de aviso y consentimiento son un problema, el siguiente reto es lograr el consenso entre las partes interesadas sobre las soluciones adecuadas. Porque, aunque pueda parecer más sencillo centrarse en crear mejores mecanismos para que las personas afronten las decisiones de consentimiento, el problema también plantea cuestiones de gobernanza de datos a nivel social que deben abordarse.
En suma, si queremos avanzar hacia el siguiente capítulo de la protección de datos y poner fin a la farsa que representan el aviso y el consentimiento, debemos reconocer que se trata de un problema de interacción entre humanos y tecnología, y no solo jurídico, que requiere un enfoque nuevo. De lo contrario, nuestros mejores esfuerzos de reforma no lograrán romper el ciclo, y seguiremos obstaculizados por mecanismos que no son aptos para su propósito.
