En el \u00e1mbito sanitario cada vez es m\u00e1s frecuente el uso de herramientas basadas en inteligencia artificial y que en menor o mayor medida se utilizan en el proceso de diagn\u00f3stico del paciente.<\/p>\n
El uso de estas herramientas tiene varias implicaciones legales como pueden ser la legitimaci\u00f3n para el uso de datos personales en su proceso de creaci\u00f3n y validaci\u00f3n, en especial a la fase de entrenamiento de algoritmos, la consideraci\u00f3n de estas herramientas como producto sanitario y su procedimiento de aprobaci\u00f3n, los l\u00edmites de la toma de decisiones automatizada o la aplicabilidad de los principios tradicionales de protecci\u00f3n de datos a los tratamientos realizados por estas herramientas.<\/p>\n
De estas implicaciones, analizaremos la aplicabilidad del art\u00edculo 22 del Reglamento General de Protecci\u00f3n de Datos –\u00a0RGPD\u00a0[1], relativo a los l\u00edmites de los tratamientos de datos basados en decisiones automatizadas. Este art\u00edculo aplica en relaci\u00f3n a las soluciones basadas en inteligencia artificial que ya han sido validadas, y est\u00e1n implantadas y en funcionamiento, en un entorno sanitario como puede ser un hospital, pero que se tiene que analizar y tener en cuenta desde la fase de dise\u00f1o de la herramienta.<\/p>\n
El art\u00edculo 22 del\u00a0RGPD, en su primer apartado establece que \u201ccualquier interesado tiene derecho a no ser objeto de una decisi\u00f3n basada \u00fanicamente en el tratamiento automatizado, incluida la elaboraci\u00f3n de perfiles, que produzca efectos jur\u00eddicos que lo afecten o que lo afecten significativamente de manera similar\u201d, para continuaci\u00f3n en su apartado segundo, establecer unas excepciones en que si ser\u00e1 admisible la toma de decisiones automatizadas.<\/p>\n
Para comprender el alcance de este art\u00edculo tenemos que analizar el significado de los conceptos de perfilaje o elaboraci\u00f3n de perfiles y la toma de decisiones automatizadas.<\/p>\n
<\/p>\n
Partimos de que existe una elaboraci\u00f3n de perfiles o\u00a0perfilatge\u00a0cuando seg\u00fan la definici\u00f3n dada por el art\u00edculo 4.4 del\u00a0RGPD\u00a0se dan los siguientes elementos:<\/p>\n
<\/p>\n
Es importante distinguir la elaboraci\u00f3n de perfiles de la simple clasificaci\u00f3n de personas, puesto que hay un elemento a la definici\u00f3n, evaluar, que implica analizar o hacer predicciones sobre personas.<\/p>\n
El perfilaje por lo tanto implica analizar informaci\u00f3n para clasificar a las personas en diferentes grupos o sectores. Este an\u00e1lisis identifica correlaciones entre diferentes comportamientos y caracter\u00edsticas para crear perfiles para individuos, es decir, se generan nuevos datos personales en relaci\u00f3n a estos individuos.<\/p>\n
La elaboraci\u00f3n de perfiles se utiliza en el \u00e1mbito sanitario por ejemplo, mediante la aplicaci\u00f3n de aprendizaje autom\u00e1tico para predecir la salud de los pacientes o la probabilidad que un tratamiento sea el adecuado para un paciente en particular en funci\u00f3n de ciertas caracter\u00edsticas del grupo.<\/p>\n
\u00a0<\/em><\/p>\n <\/p>\n En relaci\u00f3n a la toma de decisiones automatizadas, no encontramos una definici\u00f3n al RGPD, pero seg\u00fan el establecido al Documento Directrices sobre decisiones individuales automatizadas y elaboraci\u00f3n de perfiles a los efectos del Reglamento 2016\/679<\/em> del Grupo de Trabajo del art\u00edculo 29 la decisi\u00f3n automatizada es la capacidad de toma de decisiones basadas \u00fanicamente en medios tecnol\u00f3gicos sin una participaci\u00f3n\/supervisi\u00f3n humana.<\/p>\n Esta supervisi\u00f3n humana tiene que llevarse a cabo de forma que sea significativa por la presa de la decisi\u00f3n, no \u00fanicamente simb\u00f3lica o\u00a0rutinaria. Se tiene que llevar a cabo por una persona autorizada y competente con capacidad suficiente para modificar la decisi\u00f3n, y capaz de entender todos los datos para tenerlas en cuenta en la hora de realizar el correspondiente an\u00e1lisis.<\/p>\n <\/p>\n Tal y como hemos indicado en el punto anterior, a trav\u00e9s de la evaluaci\u00f3n de impacto que basura incorporaremos el estudio de todos los elementos que nos permitan determinar como afecta la participaci\u00f3n humana en el procedimiento de toma de decisiones y si esta se suficiente para descartar la aplicaci\u00f3n del art\u00edculo 22 del\u00a0RGPD, o por el contrario nos encontramos dentro de su \u00e1mbito de aplicaci\u00f3n.<\/p>\n Determinada la aplicaci\u00f3n del el art\u00edculo 22.1 del\u00a0RGPD\u00a0a trav\u00e9s de la evaluaci\u00f3n de impacto, tenemos que hacer menci\u00f3n a la independencia entre los conceptos de elaboraci\u00f3n de perfiles y decisiones automatizadas y la existencia de una no tiene porque presuponer la existencia del otro.<\/p>\n En el marco de la elaboraci\u00f3n de perfiles podemos encontrar que se den varias situaciones:<\/p>\n <\/p>\n <\/p>\n De estos tres supuestos el art\u00edculo 22.1\u00a0RGPD\u00a0solo aplicar\u00eda en el primer caso, cuando\u00a0 se establece el derecho a no ser objeto de una decisi\u00f3n basada \u00fanicamente con un tratamiento automatizado.<\/p>\n As\u00ed mismo, tambi\u00e9n tenemos que tener en cuenta que una decisi\u00f3n automatizada, no tiene porque basarse en una elaboraci\u00f3n de perfiles, a pesar de que suele ser lo m\u00e1s usual. Por lo tanto el art\u00edculo 22.1\u00a0RGPD\u00a0aplicar\u00e1 solo cuando haya una decisi\u00f3n automatizada, que a su vez puede, o no, basarse en una elaboraci\u00f3n de perfiles.<\/p>\n Por lo tanto podemos afirmar que los conceptos de decisi\u00f3n automatizada y elaboraci\u00f3n de perfiles se solapan, pero se pueden dar de forma independiente. Es decir las decisiones automatizadas se pueden dar sin elaboraci\u00f3n de perfiles, y la elaboraci\u00f3n de perfiles se puede dar sin que hayan decisiones automatizadas.<\/p>\n Finalmente, hay que hacer menci\u00f3n a que porque aplique este art\u00edculo 22.1 del\u00a0RGPD, hace falta que se\u00a0complexi\u00a0un \u00faltimo requisito, y es que esta decisi\u00f3n \u201clo afecten o que lo afecten significativamente de manera similar\u201d al titular de los datos. En el caso de aplicaci\u00f3n al \u00e1mbito de salud, esta afectaci\u00f3n directo de la decisi\u00f3n automatizada a los titulares de los datos, es dif\u00edcil pensar en una situaci\u00f3n en que no se produzca, puesto que estas herramientas primordialmente son de ayuda a los profesionales sanitarios en el \u00e1mbito del diagn\u00f3stico y por tanto impactan directamente en la salud de los pacientes.<\/p>\n La prohibici\u00f3n de tratamiento del art\u00edculo 22.1\u00a0RGPD, no operar\u00e1 cuando se den cualquier de los supuestos previstos en el art\u00edculo 22.2\u00a0RGPD:<\/p>\n <\/p>\n <\/p>\n Si se dan cualquier de los supuestos indicados en este art\u00edculo 22.2\u00a0RGPD, no operar\u00e1 la prohibici\u00f3n del art\u00edculo 22.1\u00a0RGPD, pero se tendr\u00e1 que tener en cuenta que igualmente se tienen que aplicar determinadas garant\u00edas como por ejemplo el derecho a la informaci\u00f3n, o en determinados supuestos a la obtenci\u00f3n de una intervenci\u00f3n humana por parte del propio responsable del tratamiento, a expresar su opini\u00f3n e impugnar la decisi\u00f3n, entre otros.<\/p>\n Tanto en el caso de decisiones automatizadas c\u00f3mo de elaboraci\u00f3n de perfiles, al margen del art\u00edculo 22\u00a0RGPD, se tienen que tener en cuenta en la hora de aplicar los principios del art\u00edculo 5\u00a0RGPD\u00a0y de las bases legitimadoras, arte 6 y 9\u00a0RGPD.<\/p>\n Precisamente la relaci\u00f3n entre elaboraci\u00f3n de perfiles, decisiones automatizadas y herramientas de inteligencia artificial es el elemento que reviste m\u00e1s complejidades en la hora de aplicar los principios y garant\u00edas de la normativa de protecci\u00f3n de datos. En relaci\u00f3n a la aplicaci\u00f3n de estas garant\u00edas, hay una tensi\u00f3n entre los principios tradicionales de protecci\u00f3n de datos, como la limitaci\u00f3n de prop\u00f3sitos, la minimizaci\u00f3n, el principio de transparencia en el tratamiento o las propias limitaciones a las decisiones automatizadas del art\u00edculo 22\u00a0RGPD\u00a0con su aplicaci\u00f3n al \u00e1mbito de la inteligencia artificial, que se ha abordado en el informe del Parlamento Europeo\u00a0Study\u00a0The\u00a0Impact\u00a0of\u00a0the\u00a0General Fecha\u00a0Protection\u00a0Regulation\u00a0(GDPR)<\/em>\u00a0donde artificial\u00a0Intelligence.<\/p>\n Este documento constata la existencia de estas tensiones, considerando compatible la aplicaci\u00f3n de los principios del\u00a0RGPD\u00a0en el \u00e1mbito de la inteligencia artificial, pero estimando necesario la realizaci\u00f3n de actuaciones por parte de las autoridades competentes a efectos de\u00a0solventar\u00a0y aclarar este tensiones y aparentes contradicciones, ya sea a trav\u00e9s de directrices de interpretaci\u00f3n o normativas, que se pueden producir en la aplicaci\u00f3n del\u00a0RGPD\u00a0en este \u00e1mbito.<\/p>\n <\/p>\n https:\/\/ico.org.uk\/for-organisations\/guide-to-data-protection\/guide-to-the-general-data-protection-regulation-gdpr\/automated-decision-making-and-profiling\/<\/a><\/p>\n https:\/\/www.aepd.es\/sites\/default\/files\/2019-12\/wp251rev01-es.pdf<\/a><\/p>\n https:\/\/www.europarl.europa.eu\/RegData\/etudes\/STUD\/2020\/641530\/EPRS_STU(2020)641530_EN.pdf<\/a><\/p>\n <\/p>\nTOMA DE DECISIONES AUTOMATIZADAS<\/strong><\/h3>\n
DECISI\u00d3N AUTOMATIZADA, ELABORACI\u00d3N DE PERFILES Y APLICACI\u00d3N DEL ART\u00cdCULO 22 DEL RGPD.<\/strong><\/h3>\n
\n
\n
REFERENCIAS<\/strong><\/h3>\n
\n
\n
\n
NOTES AL PEU<\/strong><\/h3>\n