• Los Personal Information Management Systems (PIMS) son nuevos productos y servicios que ayudan a las personas a tener más control sobre sus datos personales. Los PIMS permiten a los propios individuos gestionar y controlar su identidad en línea.

El concepto de los PIMS ofrece un nuevo enfoque en el que los individuos son los "poseedores" de su propia información personal. Los PIMS permiten a los individuos gestionar sus datos personales en sistemas de almacenamiento seguros, locales o en línea y compartirlos cuando y con quien ellos elijan. Los individuos podrían decidir qué servicios pueden utilizar sus datos y qué terceros pueden compartirlos. Esto permite un enfoque centrado en el ser humano respecto de los datos personales y los nuevos modelos de negocio, protegiéndose contra las técnicas ilegales de rastreo y elaboración de perfiles que tienen por objeto eludir los principios fundamentales de la protección de datos.

Existe un interés creciente en nuestras "sociedades digitales" en cuanto a la forma en que los individuos pueden controlar mejor sus datos personales. Una encuesta del Eurobarómetro de marzo de 2019 reveló que la mitad de los encuestados (51%) se sentía solo en control parcial de la información que proporcionaban en línea, mientras que el 30% creía que no tenía ningún control. Solo el 14% de los encuestados pensaban que tenían un control total. Una encuesta de EE.UU. de 2019 incluso mostró que el 80% de los encuestados sentían que no tenían control sobre sus datos personales.

En la Unión Europea, el artículo 8 de la Carta de la UE consagra la protección de los datos personales como un derecho fundamental de toda persona y el Reglamento General de Protección de Datos de la UE (RGPD) tiene por objeto facultar a las personas para que controlen sus datos. Para ello, se necesitan herramientas y servicios prácticos y eficaces.

Los datos personales se recogen constantemente en el entorno digital, lo que hace que las personas dejen huellas digitales. El RGPD prevé varios derechos de los interesados, como el derecho de acceso y rectificación de los datos personales. Sin embargo, la actual arquitectura de los servicios de la sociedad de la información dificulta que las personas tengan pleno control sobre la forma en que se utilizan sus datos, quién debe tener acceso a ellos y cómo establecer restricciones y objeciones efectivas al procesamiento de los datos.

Fuente: European Data Protection Supervisor.

Una característica básica de los PIMS es proporcionar un control de acceso y una pista de acceso. Las personas, los proveedores de servicios y las aplicaciones tendrían que autenticarse para acceder a un centro de almacenamiento personal. Esto permite a los individuos rastrear quién ha tenido acceso a su comportamiento digital. Los individuos pueden personalizar qué categorías de datos desean compartir y con quién. Otros elementos habitualmente comunes de los sistemas de información pública son el almacenamiento seguro de datos, las transferencias seguras de datos (transporte seguro de datos entre sistemas y aplicaciones) y la interoperabilidad y la portabilidad de datos a nivel de los datos.

Hay varios ejemplos de iniciativas y proyectos que reivindican las características de los sistemas de información geográfica. Entre ellos cabe mencionar los siguientes: Nextcloud permite a los individuos y organizaciones utilizar sus propios servicios en la nube para compartir archivos y servicios de colaboración, así como compartir archivos a través de diferentes servidores de Nextcloud. La gente puede instalar el software libre y de código abierto por sí misma o recibir el software como un servicio (SaaS) de proveedores profesionales. Muchas universidades, gobiernos y empresas ya emplean Nextcloud.

Solid es un "conjunto propuesto de convenciones y herramientas para construir aplicaciones sociales descentralizadas". Datos como contactos, calendarios y fotos pueden ser almacenados en un llamado personal online datastore (POD). Se puede acceder a estos datos mediante aplicaciones compatibles. Se permite a los usuarios una experiencia continua a través de las aplicaciones dentro del ecosistema, manteniendo los datos sin replicarlos innecesariamente.

MyDex es una empresa de interés comunitario con sede en el Reino Unido que proporciona un identificador en línea portátil e interoperable. Los usuarios pueden acceder a un servicio particular en línea a través de una tienda personal segura, donde se gestionan todos los registros personales "verificados". Se puede acceder a ellos de forma segura por medio de otras aplicaciones utilizando las Application Programming Interfaces (APIs). Ofrece la posibilidad de conceder y revocar permisos de acceso de forma general o ad hoc.

MyData es una asociación sin ánimo de lucro que agrupa iniciativas en todo el mundo para "potenciar a los individuos mejorando su derecho a la autodeterminación con respecto a sus datos personales". MyData afirma que combina las necesidades de la industria en cuanto al acceso a los datos con los derechos humanos digitales, mediante la promoción de estándares abiertos y compartiendo el mismo conjunto de principios, para "pasar de la protección de datos a la potenciación de los mismos".

¿Cuáles son las cuestiones relativas a la protección de datos?

Potenciación individual más Protección de los datos por diseño y por defecto

Si se diseñan correctamente, los PIMS podrían ayudar a los controladores de datos a cumplir las obligaciones de privacidad y protección de datos por diseño y por defecto, y apoyarlos para demostrar el cumplimiento de la RGPD. Sin embargo, si estos instrumentos o sistemas no se diseñan correctamente, por ejemplo, existe el riesgo de que los interesados no estén facultados para gestionar su propia identidad digital, sino que se encuentren, sin saberlo, en una trayectoria de ser determinados por otros o que dé lugar a que los interesados tomen decisiones contrarias a sus propios intereses bajo la influencia de estos instrumentos/sistemas.

Gestión del consentimiento

Los PIMS entregan todo su potencial cuando confían en el consentimiento de los usuarios. Los individuos mantendrían el control total y serían libres de compartir sus datos personales según sus propias preferencias y borrarlos cuando quisieran. Sin embargo, en algunas circunstancias, la ley decide cómo deben procesarse los datos (por ejemplo, almacenando las declaraciones de impuestos durante algunos años). El control en esos casos lograría transparencia en la forma en que se procesan los datos personales, y poder verificar su exactitud, el tiempo de retención, etc.

Una característica básica del sistema PIMS es la gestión del uso y el intercambio de preferencias de los datos personales de un individuo, como fotos, vídeos, listas de contactos e incluso la geolocalización. Para cada categoría de datos personales, los individuos deben poder decidir qué servicios pueden utilizarlos, para qué fines y con quién pueden compartirlos. Cuando se retira el consentimiento, los PIMS avanzados pueden proporcionar pruebas fiables de que un servicio ya no utiliza los datos de uno.

Transparencia y rastreo

Los proveedores de servicios en línea suelen recoger los datos personales de los usuarios a cambio de servicios supuestamente "gratuitos". El interesado se enfrenta a menudo a un enfoque de "lo tomas o lo dejas", con poca o ninguna transparencia para los individuos sobre la forma en que se manejan sus datos personales. El sistema PIMS permitiría la transparencia tanto a nivel de políticas compartidas como por diseño técnico, revelando qué servicios están procesando qué datos para qué fines específicos. La información se puede dar en tiempo real. Los  Personal data dashboards pueden ayudar a los individuos a seguir sus datos y su procesamiento.

La utilización de los sistemas de información geográfica también puede servir de apoyo a los servicios de administración electrónica, proporcionando ventajas como una mayor trazabilidad y transparencia sobre qué administración pública tiene acceso a qué datos personales.

Ejercicio de los derechos individuales de acceso, rectificación y supresión o "derecho al olvido".

Los PIMS proporcionan características para que los individuos puedan acceder a sus datos personales, así como para rectificarlos o borrarlos, según lo dispuesto por el RGPD, ya sea porque los datos se encuentran en depósitos bajo su control directo o porque todos los datos compartidos están vinculados a una fuente, que también está bajo el control del individuo.

Precisión de los datos

En los PIMS, los individuos son responsables de los datos que proporcionan. Al mismo tiempo, cuando otras organizaciones son responsables de los datos personales (por ejemplo, bancos, proveedores de servicios públicos), ciertos PIMS pueden proporcionar pruebas de origen/validez de esas organizaciones, concediendo así el nivel de fiabilidad necesario. Una mayor exactitud de los datos es un beneficio también para aquellos terceros que tienen interés en acceder a los datos, permitiendo así sinergias entre individuos y organizaciones.

Portabilidad e interoperabilidad de los datos

Los PIMS pueden ofrecer normalmente datos personales y otros metadatos que describan sus propiedades en formatos legibles por la máquina, así como programming interfaces (APIs) para el acceso y el procesamiento de datos. Esta última característica implica el uso de estándares de políticas y protocolos de sistema. Este es un elemento esencial, la falta del mismo representa actualmente también un límite para la adopción del PIMS.

Seguridad de los datos

Los PIMS también deben garantizar la seguridad de los datos personales en reposo y en tránsito de un acceso o modificación no autorizados o accidentales. Para ser implementados en su totalidad, los PIMS deben poder confiar en las Privacy Enhancing Technologies (PETs), una amplia gama de técnicas que incluyen entornos de ejecución de confianza, encriptación homomórfica, computación segura multipartita y privacidad diferencial. También se deberían proporcionar servicios de minimización de datos y anonimización. Una característica de muchas PET es el uso de la criptografía.

Las características criptográficas pueden utilizarse para verificar la autenticidad de los datos y aplicar las preferencias de privacidad de los usuarios, como los fines autorizados y los períodos de retención permitidos, frente a los proveedores de servicios y terceros. Un uso común de la criptografía es el cifrado de datos, que favorece la confidencialidad e integridad de las comunicaciones, las bases de datos y otros depósitos. Las investigaciones criptográficas actuales están desarrollando formas de permitir los cálculos sin desencriptar los datos. Esto mitigaría los riesgos de acceso o divulgación no autorizados. La criptografía también proporciona pruebas matemáticas de que los datos y las comunicaciones proceden de una determinada fuente, así como pruebas de que una entidad (por ejemplo, un servicio, una organización o un individuo) está autorizada a acceder a categorías de datos (personales) para determinados fines o a realizar cualquier otra acción sobre esos datos, incluso de forma granular. Los datos se divulgarían entonces únicamente a los servicios que dispusieran de esa prueba criptográfica.

Por último, apoya las técnicas de minimización de datos (por ejemplo, credenciales basadas en atributos), para garantizar que los terceros puedan acceder solo a los elementos de información necesarios, evitando así la divulgación de la identidad completa de la persona.

En la actualidad, un gran desafío para los PIMS es la escasa aplicación de estas tecnologías en el mercado, en un mundo digital dominado por unas pocas grandes empresas de tecnología que están haciendo uso de los actuales modelos de seguimiento en línea. Esta situación hasta el momento impide el crecimiento de los PIMS y por consiguiente su adopción. Si se aprueba, la  EU Commission’s Data Governance Act  establecería condiciones para los servicios de intermediación entre los interesados que tratan de poner a disposición sus datos personales y los posibles usuarios de los datos, incluida la puesta a disposición de los medios técnicos o de otro tipo para posibilitar esos servicios, en el ejercicio de los derechos previstos en los PIMS.

Fuente: EDPS