El IoT conocido como el Internet de las cosas, se refiere a los billones de dispositivos electrónicos que están conectados en Internet, recogiendo y compartiendo datos. Son algunos ejemplos: los vehículos, juguetes, relojes, robots de cocina, pulseras, pulsómetros, tensiómetros, robots aspiradores, altavoces y televisiones. En la mayoría de los casos, el uso de estos dispositivos inteligentes implica el tratamiento de datos personales, con lo cual existen unos riesgos asociados.
El Comité Europeo de Protección de Datos define el IoT como aquella infraestructura en la que múltiples sensores incorporados a los dispositivos, registran, someten a tratamiento, almacenan y transfieren datos e interactúan con otros dispositivos o sistemas haciendo uso de las capacidades de conexión con la red.
Existen 3 capas en las que se pueden llevar a cabo tratamiento de datos personales:
– 1.ª capa: se refiere al dispositivo, capturar datos, procesarlas, comunicarlas e interactuar.
– 2.ª capa: posibilita el intercambio de datos entre el dispositivo y la capa de servicio, o intercambio de datos entre diferentes dispositivos.
– 3.ª capa: ofrece capacidades analíticas centralizada.
El tipo de datos que se pueden tratar a través del IoT son muy amplias: datos de contacto, de geolocalización, hábitos de uso del Internet, intereses, imágenes, voz, entre otros.
Los principales riesgos que puede haber con el IoT en cuanto a privacidad y protección de datos son los siguientes:
- Una revelación invasiva de patrones y perfiles de comportamiento, ya que el análisis basado en la información capturada en un entorno de IoT permite detectar los patrones de vida y comportamiento de una persona, de una manera muy detallada y completa. Existe una vigilancia potencial que puede lograr la esfera más privada de la vida de las personas y generar situaciones en las que la expectativa de privacidad se vuelve ficticia.
- Falta de control y asimetría de la información, destacando las graves dificultades para que el interesado revise adecuadamente los datos que genera, una exposición excesiva y una falta de control aún mayor con respecto al uso posterior de los datos, especialmente de los datos derivados y los datos inferidos.
- La falta de transparencia asociada al hecho de que los mecanismos clásicos para obtener el consentimiento no son fácilmente aplicables en algunos tipos de dispositivos IoT.
- La participación de múltiples actores con diferentes funciones de responsabilidad, corresponsabilidad o como procesadores aumenta el riesgo de que la “responsabilidad” se diluya o se presente asimetrías en el nivel de cumplimiento de cada una de las partes.
- Los sistemas de IoT afectan tanto a los usuarios directos de la misma como a aquellos que en algún momento pueden encontrarse “cerca” del sistema, incluso si ni siquiera tienen la intención de interactuar con este.
- La falta de medidas de seguridad adecuadas en cualquiera de las capas.
- Limitaciones a la posibilidad de permanecer anónimo al utilizar estos servicios.
El uso de IoT, expande las huellas digitales de las personas y gran parte de la vida se “datifica”. El perfil que se puede construir sobre una persona puede lograr una gran precisión y profundidad, cubriendo no sólo los aspectos parciales, sino también la globalidad de la persona.
Cumplir con la implementación de tratamientos basados en IoT requiere modelos complejos que incorporen requisitos regulatorios estándar y mecanismos de certificación que garanticen un nivel de protección de los derechos y libertades de las partes interesadas.
Las soluciones de IoT deben utilizarse con la confianza de que no serán una amenaza para la privacidad.