Hola, mi nombre es Joaquín Sarrón Esteve
y soy profesor titular de Derecho Constitucional de la UNED.
Dentro del ciclo de investigación,
gobernanza y regulación en la era digital
estamos hablando de la libertad de investigación científica,
la libre circulación de datos y los espacios comunes de datos.
Esta es la segunda parte de otra videoclase
sobre esta misma temática.
Se enmarca dentro del proyecto del módulo YAMONET
empoderando a las personas en el espacio europeo de datos
financiado por la Unión Europea
y es una actividad además de la Cátedra ISAAC,
Derechos Individuales, Inversión Científica y Cooperación
establecida en la Facultad de Derecho de la UNED
por un convenio internacional entre la UNED
y el Instituto de Física Aplicada Nelo Carrara.
En esta segunda parte de esta temática, de esta clase,
vamos a hablar sobre el uso de datos en la investigación científica,
la libre circulación de datos y los espacios europeos de datos,
una vez ya hemos visto la problemática de la libertad
de investigación científica como derecho fundamental,
su contenido y sus límites que hemos analizado
en un vídeo anterior.
Una de las cosas más importantes de la investigación científica
en el entorno actual de las grandes innovaciones tecnológicas
es evidentemente el uso de los datos para investigación científica.
Somos conscientes que en una sociedad orientada a los datos,
en una Data Driven Society,
precisamente la investigación con datos es importante.
De hecho, el uso de los algoritmos y de los sistemas de IA
hacen que la inversión pueda ser más efectiva,
pueda ser más eficiente, si usamos, manejamos,
tratamos grandes cantidades de datos.
Eso es así en cualquier sector,
también en el sector que más nos interesa,
que es en el ámbito de los datos relativos a la salud.
Por supuesto, cuando hablamos de datos,
podemos hablar de diferentes tipos de datos.
Podemos hablar de datos personales y de datos no personales.
Los datos personales son aquellos datos que identifican.
O pueden llegar a identificar a una persona.
Los datos no personales se definen por exclusión.
Aquellos datos que no entran dentro del concepto de datos personales
serían datos no personales.
La diferencia es enorme porque la regulación es distinta
y los datos personales están sometidos
a mucha más protección por el derecho fundamental
a la protección de datos de carácter personal
y porque pueden afectar a la privacidad
y la intimidad de las personas.
En los datos no personales, datos relativos,
por ejemplo, a industrias, datos relativos a facturación,
datos relativos,
pues, simplemente a la medición del aire, por ejemplo, la metodología,
son datos, son de carácter personal
y que tienen una regulación distinta.
No quiere decir que no estén regulados,
pero hay una libre circulación de datos en el ámbito europeo
y más allá de que pueda haber ciertas limitaciones relativas
a la confidencialidad
o a protección del know-how y de derechos industriales,
pues, sería o sería muy más fácil
manejar y tratar esos datos con fines de investigación científica.
Por supuesto que podemos encontrar nos con ficheros de datos mixtos
o grupos de datos mixtos.
¿Cuándo hablamos de datos mixtos?
Cuando en un mismo fichero
o en un mismo bloque de datos incluimos,
por la recogida o por los mecanismos o tecnologías que hemos utilizado
para recoger los datos, datos de carácter personal
y datos no personales.
En ese caso, si no podemos técnicamente
desgajar esos datos y separarlos,
vamos a tener que aplicar esos datos que están mezclados,
esos datos mixtos,
la normativa en materia de datos de carácter personal,
que son los datos más protegidos.
Bien, para tratar los datos de carácter personal,
que son los datos protegidos,
tenemos que tener en cuenta que podemos tratarlos
siempre y cuando haya una base jurídica de legitimación.
Esto está regulado en el Reglamento General de
Protección de Datos de 2016, que entró en vigor en 2018,
en el ámbito europeo,
y en el caso de España, en la Ley Orgánica de Protección de Datos
y Garantía de Derechos Digitales de 2018.
Esto en relación al uso y tratamiento de datos con fines civiles,
y me refiero con ello excluyendo o dejando aparte el uso militar
y, por supuesto, también el uso policial
y el uso para investigación criminal,
que tiene otra normativa específica relativa al uso de datos
con esos fines, tanto en el ámbito europeo
como en el ámbito español.
Las bases jurídicas que permiten el tratamiento de estos datos,
en particular para investigación científica,
dejando fuera la investigación militar
y la investigación policial, las bases jurídicas
que están en el artículo 6 del Reglamento General de Protección de
Datos son, por un lado.
La estrella, la base jurídica del consentimiento del interesado,
de la persona interesada de cuyos datos personales
estamos hablando, por otro lado, una relación contractual,
la existencia de una relación contractual,
intereses vitales del interesado o de otras personas,
el cumplimiento de una obligación legal
por parte del responsable del tratamiento de datos,
el interés público o el ejercicio de poderes públicos
e intereses legítimos prevalentes del responsable
o de terceros a los que se comunican los datos.
Cualquiera de estas bases jurídicas legitimaría el tratamiento de datos
de carácter personal.
Pueden existir varias bases de datos juxtapuestas o podemos utilizar
y basar el tratamiento en varias de estas bases jurídicas
de datos.
Lo que es importante tener en cuenta
es que siempre se debe identificar la legitimación que fundamenta
el tratamiento de datos por parte del responsable.
Por ejemplo, una empresa que haga una oferta y el consumidor
o un interesado firma el contrato o adquiere un producto,
la base de legitimación puede ser la relación contractual,
Y el consentimiento o únicamente la relación contractual.
Pero en cualquier caso hay que informar al interesado
sobre cuál es la base que legitima el tratamiento.
Y después puede ser obviamente la obligación legal
de mantener esos datos conforme a la normativa.
Con lo cual hay que informar de las bases jurídicas
adecuadas.
Se deben documentar
e identificar claramente esa legitimación,
ya que se deduce de algunos artículos del reglamento
y del principio general de responsabilidad activa
que debe mantener el responsable.
Siempre transparencia, siempre información al interesado
sobre la base jurídica del tratamiento de esos datos.
Lo que pasa
es que, si esto que hemos dicho antes es así, con carácter general,
sucede que algunos datos de carácter personal son especiales
o entran dentro de lo que se denominan categorías especiales
de datos.
Antes se los llamaba categorías de datos sensibles,
que requieren una mayor.
Protección.
Estas categorías especiales de datos de carácter personal
son aquellos datos que revelan el origen étnico o racial
de la persona, las opiniones políticas,
las condiciones religiosas o filosóficas,
la afiliación sindical, los datos genéticos,
los datos biométricos dirigidos a identificar de manera unívoca
a una persona física, los datos relativos
a la salud o a la vida sexual de la persona
o a las orientaciones sexuales de una persona física.
Por supuesto, cuando hablamos de datos personales,
siempre hablamos de datos de una persona física,
no de personas jurídicas,
porque el derecho fundamental a la protección de datos
de carácter personal es un derecho de las personas físicas,
no de las personas jurídicas.
Y estos datos especiales, evidentemente,
también van a estar referidos siempre a una persona física.
Respecto a estas categorías especiales,
a diferencia de los otros datos de carácter personal,
están prohibidos, como regla general,
su tratamiento.
Y, por tanto, no serían suficientes las bases del artículo 6.
Tiene que haber una base en el artículo 9
para el tratamiento de estos datos de categorías especiales,
que son excepciones a la prohibición.
¿Cuáles son esas excepciones?
Una de ellas es el.
Consentimiento del interesado, que debe ser explícito,
para el tratamiento de esos datos personales con uno más de los fines
especificados.
Por tanto, no puede haber un consentimiento general,
sino que tiene que estar vinculado a unos fines concretos.
Excepto cuando el derecho de la Unión
o los Estados miembros lo prohíban, es decir,
que impidan que el interesado pueda con su consentimiento
levantar esa prohibición general
del artículo 9 del Reglamento General de Protección de Datos, como hacen,
de hecho, algunos Estados miembros,
de tal manera que el consentimiento no es suficiente como base jurídica
para el tratamiento de algunos de estos datos de carácter especial,
conforme a la legislación de algunos Estados miembros.
Otra base jurídica
que podría legitimar el tratamiento de estas categorías especiales
de datos es cuando el tratamiento se refiere a datos personales
que el interesado ha hecho manifiestamente públicos,
es decir,
que nosotros mismos informamos públicamente de esos datos especiales
de protección,
de tal manera que la protección decae.
Es curioso que sea posible que el consentimiento
no sea base jurídica suficiente para el tratamiento,
en algunos casos porque los Estados miembros
lo impiden, y que en cambio hacer públicos esos datos
sí que legitime el tratamiento de los mismos.
Se plantean muchos supuestos de problemática,
de interpretación en relación
a este problema, que es hacer manifestamente público un dato.
¿Es suficiente con que yo suba mis imágenes o datos míos especiales,
por ejemplo, en una página web de una red social?
, de un perfil social, ¿es eso un espacio público
o es un espacio privado?
Hay discusión sobre este tema en la jurisprudencia.
Algunos tribunales españoles han determinado que subir fotos
en los espacios de algunas redes sociales,
en mi perfil de algunas redes sociales,
en la medida en que esos espacios de las redes sociales
no son espacios realmente públicos, sino privados de una empresa,
no sería hacer, manifiestamente, públicos esos datos.
Pero es una jurisprudencia muy limitada
y es un tema aún sujeto a discusión,
con lo cual hay que tener cuidado con lo que se sube a las redes.
Otra base jurídica que legitima el tratamiento
de estas categorías especiales de datos es cuando el tratamiento
es necesario con fines de archivo en interés público
o fines de investigación científica o histórica o fines estadísticos
de conformidad con el artículo 89.1 del propio reglamento jurídico.
Que viene a establecer la obligación de pseudoanonimizar esos datos
para esa investigación o con esos otros fines.
Este es el elemento o la base jurídica
más fundamental, evidentemente,
en el tema que estamos desarrollando en el vídeo,
porque estamos hablando de investigación científica.
Hay otros fines que pueden legitimar el uso de datos para investigación,
por supuesto, si el interesado da su consentimiento, por supuesto,
si el tratamiento se refiere a datos
que se han hecho puestos de manifiesto públicamente.
Puedo coger esos datos para investigar.
Pero la propia investigación es en sí misma una base jurídica
de legitimación.
Lo que pasa es que estamos obligados a la pseudoanonimización.
Mientras que si yo obtengo
o recojo los datos en base al consentimiento del interesado,
o bien recojo datos que le interesaba o puesto en manifestamiento público,
no necesitaría realizar la pseudoanonimización que me exige
el 89 en relación al tratamiento con fines específicos
de investigación.
Como he dicho antes, en relación con.
Las bases jurídicas generales del artículo 6,
también aquí es posible utilizar varias bases jurídicas,
si gusta, puestas o adicionales.
Esto siempre permite que en el caso que alguna caiga, por ejemplo,
si yo estoy tratando datos en base al consentimiento y a la investigación
e informo de ambas bases jurídicas al interesado,
si el interesado retira el consentimiento,
yo siempre podría seguir tratando los datos con la otra base jurídica
que he informado adecuadamente.
En este caso, para la investigación siempre debe
ser proporcionar el tratamiento al objetivo perseguido
y respetar en lo esencial el derecho a la protección de datos,
protegiendo los intereses del interesado.
Y por supuesto siempre la pseudoanonimización.
La Estrategia Europea de Datos hace un gran hincapié en la importancia
de convertir a la Unión Europea en líder en materia de datos.
Somos conscientes de que vivimos en una Data Driven Society,
una sociedad donde los datos son muy importantes,
y Europa puede convertirse en el gran actor
en materia de datos.
Es el gran actor ya en materia regulatoria
de datos con el EU Privacy Package, dentro del cual está el Reglamento
General de Protección de Datos de 2016
y que ha sido capaz de imponer su perspectiva
y su modelo regulatorio
globalmente a otros países que están interesados,
cuyas empresas están interesadas en tratar datos europeos.
Pero quiere convertirse la Unión Europea en el motor
y en el mercado que garantice una libre circulación
de datos para investigación en el ámbito europeo.
Veremos que eso es lo que ha motivado
que se estén desarrollando espacios seguros,
espacios de entornos seguros comunes europeos de datos
para que se puedan utilizar datos,
entre ellos el Espacio Europeo de Datos de Salud
y otros para investigación científica.
Esto permitiría el desarrollo de aplicaciones basadas en datos
que aporten muchos beneficios para los ciudadanos europeos,
así como también para las empresas,
para el desarrollo e innovación tecnológica
y de sus productos y servicios.
Por supuesto también las propias administraciones públicas,
el propio sector público pueda aprender muchísimo del manejo
de grandes cantidades de datos.
Mejorar la asistencia sanitaria,
crear sistemas de transporte más seguros y limpios,
generar nuevos productos y servicios,
reducir los costes de los servicios públicos
o mejorar la sostenibilidad y la eficiencia energética.
Conseguir ese mercado único de datos permitiría
que los datos fluyan dentro de la Unión Europea,
se intercambien dentro de la Unión Europea,
obviamente bajo condiciones de seguridad,
de cumplimiento y respeto de la normativa,
de los derechos fundamentales y de los intereses
de los diferentes actores, pero beneficiaría en general,
siempre manteniendo esas condiciones de seguridad, a todos.
Por supuesto, es una máxima el respeto del derecho europeo
en materia de datos y en materia de privacidad.
La protección también de la competencia
y por supuesto de los secretos empresariales, industriales,
etc. Hay que definir adecuadamente cuáles son las reglas de acceso y uso
de esos datos para que sean justas, prácticas y claras.
El Reglamento General de Protección de Datos no es una norma suficiente
para esto y por ello la Unión Europea está desarrollando.
Nueva normativa para regular el uso de los datos
y convertir a la Unión Europea
en ese líder de la sociedad digital en materia de datos.
Entre ellas vamos a destacar las siguientes.
El primero de ellos es el Reglamento
sobre la Gobernanza Europea de Datos,
también conocida como la Ley de Gobernanza de Datos
de 2022, que entró en vigor el 23 de junio de 2022,
pero que es aplicable desde septiembre de 2023.
Las normas europeas a veces establecen la entrada en vigor,
pero.
Establece un abacate de leyes respecto a su aplicabilidad
para dar tiempo a las empresas y estados
a adaptarse.
El objetivo de esta ley es garantizar a escala europea
que los datos públicos de mayor potencial
se pongan a disposición para su reutilización
con una restricción tanto jurídica como técnica mínima
y sin coste.
Es decir, datos públicos, datos que manejan
o que pueden manejar las administraciones públicas
que sean puestos a disposición de las empresas
y de los ciudadanos para poder ser utilizados para adaptarse.
La mejora de los productos,
servicios que puedan tener las empresas
de otras administraciones públicas,
etc. Tenemos un reglamento de ejecución 2023-138 de 2022
que establece precisamente una lista de conjuntos de datos específicos
de alto valor y cuáles van a ser las modalidades de publicación
y restricción de esos datos.
Es importante tener en cuenta que se aplica únicamente
a datos que estén en poder del sector público,
y excluye de su ámbito de aplicación datos vinculados a la privacidad,
datos personales, confidencialidad, seguridad nacional,
intereses comerciales, secreto comercial
y derechos de propiedad intelectual de terceros.
Por fuera de esos ámbitos, establece una lista de datos
que van a ser puestos a disposición para la investigación,
la mejora de políticas y la mejora de servicios
y de productos.
Además, tenemos el reglamento sobre normas
armonizadas para un acceso justo a los datos
y su utilización, que entró en vigor el 11 de enero de 2024
y que será aplicable a partir del 12 de septiembre de 2025.
Esto es lo que se denomina la ley de datos.
No confundir esto, el reglamento de datos o ley de datos,
con el reglamento de gobernanza de datos o ley de gobernanza de datos
que hemos mencionado en la diapositiva anterior.
Este reglamento sobre datos o reglamento de datos
o ley de datos, que tampoco debemos confundir con el reglamento general
de protección de datos, establece el desarrollo
e implementación de diferentes regímenes jurídicos
para los llamados espacios europeos de datos.
Regula sectores estratégicos y de interés público
y espacios sectoriales.
Establece que estos nuevos espacios europeos de datos
serán unos entornos de tratamiento seguro.
Cuidado porque que hable de espacios de datos
no quiere decir y no debemos entender por tal bases de datos.
Es decir, no se trata de crear una base de datos europea
o a nivel europeo para cada uno de estos sectores,
incluyendo, por ejemplo, como veremos anteriormente,
El Espacio Europeo de Datos de Salud , que es el primero de ellos,
no son bases de datos transnacionales,
son espacios o entornos seguros de intercambio de datos,
para intercambiar, acceder y poder utilizar esos datos,
pero no es una base de datos a nivel europeo.
Son entornos de tratamientos seguros.
Se está desarrollando, y está a partir de este reglamento,
normativa de datos específica para cada uno de estos entornos.
Pero además tenemos
que tener en cuenta que va a ser aplicable
y sigue siendo aplicable la normativa ya existente en materia de protección
de datos, en concreto en materia de datos personales
el Reglamento General de Protección de Datos de 2016,
en materia de datos no personales el Reglamento de Libre Circulación de
Datos No Personales de 2018.
Y, por supuesto, también la normativa aplicable
en materia de ciberseguridad para garantizar un entorno seguro.
Deben garantizar, dice la Ley de Datos,
además, estas normativas que regulen estos espacios comunes
de datos, los derechos de los interesados,
la propiedad intelectual, la confidencialidad,
la integridad y la accesibilidad de los datos.
Además de que sean datos interoperables,
que permitan su descarga, la exportación y el cálculo de datos
derivados mediante algoritmos computacionales.
La Unión Europea
está pensando en desarrollar hasta 14 espacios comunes europeos de datos,
que incluirá el Espacio Europeo de Datos de Salud,
pero también el Espacio Europeo de Datos de Investigación,
es uno de esos 14 espacios europeos de datos,
junto a otros espacios europeos de datos,
como en materia industrial, en materia de medio ambiente,
en materia de administraciones públicas,
en materia del sector energético, en materia,
por ejemplo, de cualificaciones y formación profesional,
hasta 14 espacios europeos de datos.
No debemos obviar tampoco que quizá esta lista
de los 14 espacios europeos de datos es meramente ejemplificativa
y son ideas que ha tenido la Unión Europea,
pero que probablemente en el futuro veremos mucho más allá de 14 espacios
europeos comunes de datos.
De momento, la única norma,
y lo veremos en videoclases posteriores,
que se ha aprobado dentro de estos espacios europeos,
es el primero, es el reglamento sobre el espacio europeo
de datos de salud.
Pero será interesante ver cómo se aprueba también en el futuro
el espacio europeo de datos de investigación
para mejorar la eficiencia y eficacia de la investigación científica.
Entornos europeos de datos seguros
y garanticen los derechos de las personas.
Muchas gracias por su atención.