El Desafío del Consentimiento en el Altruismo de Datos: ¿Innovación o Laberinto Regulatorio?

Compartir datos por el bien comun suena impecable hasta que aparece la letra pequena: consentimiento, reutilizacion de datos protegidos, intermediarios con deber de neutralidad y autoridades nacionales vigilando que nadie convierta el altruismo en una excusa para extraer valor a puerta cerrada. Ese es el terreno real del Reglamento de Gobernanza de Datos de la UE, y conviene leerlo sin romanticismo.

La cuestion no es si el altruismo de datos es una buena idea. Lo es, al menos sobre el papel: permitir que personas y empresas cedan datos voluntariamente para fines de interes general, como investigacion cientifica, salud publica o lucha contra el cambio climatico. La cuestion es otra: que exige de verdad el marco juridico europeo y donde estan los riesgos operativos para quien quiera montar, usar o supervisar estos esquemas sin acabar mezclando conceptos que el legislador separo con bastante cuidado.

El primer error habitual: tratar igual consentimiento, reutilizacion y altruismo

El Data Governance Act no regula una sola cosa. Regula varias, y mezclarlas lleva a conclusiones incorrectas. Por un lado, el Capitulo II establece condiciones para la reutilizacion de determinadas categorias de datos protegidos en poder de organismos del sector publico. Hablamos de datos amparados, entre otros, por secreto comercial, confidencialidad estadistica, propiedad intelectual o proteccion de datos personales. Por otro, el Capitulo III aborda los servicios de intermediacion de datos. Y el Capitulo IV crea el marco para el altruismo de datos.

No es un detalle academico. Es la diferencia entre tres regimens con logicas distintas. La reutilizacion de datos protegidos no equivale a altruismo. Un proveedor de servicios de intermediacion de datos no es lo mismo que una organizacion de altruismo de datos reconocida. Y el consentimiento bajo GDPR no opera igual en todos los contextos ni sirve como comodin para bendecir cualquier tratamiento posterior.

Aqui es donde demasiados textos se descarrilan: citan un articulo incorrecto, trasladan obligaciones de una figura a otra y rematan con una capa de jerga sobre confianza y ecosistemas. Queda elegante. Tambien queda mal.

Consentimiento: menos eslogan y mas articulo correcto

Si el tratamiento se basa en consentimiento, el anclaje juridico en GDPR no es una frase motivacional sobre transparencia. Es una arquitectura concreta. El articulo 4.11 define el consentimiento como una manifestacion de voluntad libre, especifica, informada e inequivoca. El articulo 7 regula las condiciones para que ese consentimiento sea valido y, sobre todo, su retirada: el interesado debe poder retirarlo en cualquier momento y retirarlo debe ser tan facil como darlo.

Hay un matiz decisivo que suele perderse. GDPR no dice en el articulo 7 que todo consentimiento deba ser explicito. La exigencia de consentimiento explicito aparece en contextos determinados, por ejemplo para categorias especiales de datos bajo el articulo 9.2.a. En salud, investigacion biomedica o proyectos de datos especialmente sensibles, ese matiz no es precisamente menor.

Si tu modelo de altruismo de datos descansa sobre datos personales, la pregunta util no es “tenemos consentimiento, verdad?”. La pregunta util es esta: cual es exactamente la base juridica, que alcance tiene, como se informa al interesado, como se documenta y como se operacionaliza la retirada sin romper sistemas aguas abajo. Si eso no esta resuelto, el problema no es de narrativa. Es de diseno.

Lo que regula de verdad el DGA sobre intermediarios

Otra confusion muy extendida consiste en atribuir al articulo 20 del Data Governance Act la introduccion de los intermediarios de datos. No. Los proveedores de servicios de intermediacion de datos se regulan en el Capitulo III del Reglamento (UE) 2022/868, especialmente en los articulos 10 a 14. Ahi es donde aparece la figura y donde se fijan sus condiciones de prestacion.

La logica del legislador es bastante clara: crear servicios que faciliten el intercambio de datos entre titulares y usuarios sin apropiarse del valor informacional para fines propios incompatibles con su papel. En ese marco, la neutralidad no es un eslogan de marketing; es un requisito funcional del modelo. El reglamento impone condiciones para evitar conflictos de intereses y limitar usos indebidos de los datos por parte del proveedor.

Ahora bien, neutralidad no significa “no lucrativo”. Ese salto tampoco se sostiene. Los proveedores de servicios de intermediacion de datos no se definen por ser entidades sin animo de lucro. Lo que se les exige es operar bajo condiciones especificas de separacion funcional y uso de datos conforme al regimen del Capitulo III. El componente no lucrativo aparece, en cambio, en el regimen de las organizaciones de altruismo de datos reconocidas del Capitulo IV, pensado para entidades que recogen datos sobre la base del consentimiento o permiso de sus titulares para fines de interes general.

Traducido al idioma de compliance: si llamas “intermediario neutral y no lucrativo” a todo actor del ecosistema, estas mezclando dos categorias regulatorias distintas. Y cuando mezclas categorias, acabas diseñando controles equivocados.

Entonces, que hace el articulo 20?

Justo lo que muchos articulos dicen que no hace. El articulo 20 del DGA se refiere al registro publico nacional de organizaciones de altruismo de datos reconocidas. No establece las condiciones para la reutilizacion de datos protegidos ni introduce la figura de los intermediarios. Su funcion es otra: dar visibilidad oficial a las entidades reconocidas bajo el regimen de altruismo de datos y permitir cierto nivel de trazabilidad institucional.

Ese detalle importa porque el reconocimiento formal no es cosmetico. El Capitulo IV del DGA intenta crear un marco de confianza para que personas y empresas cedan datos con fines de interes general a entidades sujetas a requisitos concretos. Entre ellos, la obligacion de actuar sin animo de lucro, de perseguir objetivos de interes general y de cumplir exigencias de transparencia e informacion. Si una organizacion quiere presentarse como actor legitimado en altruismo de datos, no basta con declararse bienintencionada en la web corporativa. Tiene que encajar en ese marco.

El legislador europeo, en esto, ha sido menos ingenuo de lo que parece. Sabe que “compartir datos para el bien comun” puede ser una consigna maravillosa hasta que alguien descubre una via de monetizacion indirecta. Por eso separa con bisturi quien intermedia, quien reutiliza y quien recibe datos por altruismo.

Reutilizacion de datos protegidos: no esta en el articulo 20 y no deberia tratarse como un pie de pagina

Las condiciones para la reutilizacion de determinadas categorias de datos protegidos en poder del sector publico estan en el Capitulo II del DGA, no en el articulo 20. Ese capitulo fija el marco bajo el cual los organismos del sector publico pueden permitir la reutilizacion cuando concurren derechos o intereses que exigen salvaguardas adicionales.

La estructura del DGA aqui tiene una idea sencilla pero exigente: abrir ciertos datos no significa desprotegerlos. Si existen secretos comerciales, datos personales, derechos de propiedad intelectual o restricciones de confidencialidad, la reutilizacion debe organizarse de manera que esos elementos no queden erosionados por el mero hecho de habilitar acceso secundario. Por eso el reglamento contempla condiciones, medidas tecnicas y organizativas, e incluso limites sobre el entorno en el que la reutilizacion puede producirse.

Para equipos juridicos y de seguridad, la consecuencia practica es bastante menos glamourosa que los discursos sobre economia del dato: antes de reutilizar, hay que clasificar. Que categoria de datos es esta? Que capa de proteccion le aplica? Que base juridica soporta el acceso? Que restricciones contractuales, tecnicas o de anonimización son necesarias? Si esa secuencia no existe, todo lo demas es decorado.

Salud: el error no es olvidar HIPAA, es meterla donde no toca

Cuando se habla de datos de salud en Europa, hay una tendencia casi automatica a invocar HIPAA para sonar internacional. Suele quedar muy cosmopolita y juridicamente bastante flojo. HIPAA, incluida su Security Rule en 45 CFR 164.312, puede ser relevante para entidades cubiertas y asociados de negocio en Estados Unidos. Pero no es una capa normativa general aplicable al altruismo de datos en la UE ni una referencia necesaria para explicar el marco europeo.

Si el asunto es salud dentro de la UE, el nucleo juridico esta en GDPR, especialmente en el articulo 9 sobre categorias especiales de datos, y en la normativa sectorial o nacional que corresponda. Si ademas se habla de reutilizacion o altruismo de datos, el DGA entra en la ecuacion segun el modelo operativo elegido. Ese es el mapa real. Todo lo demas depende del caso de uso, de la geografia del tratamiento y de si hay o no actores sometidos a derecho estadounidense.

Dicho sin rodeos: meter HIPAA por defecto en una explicacion sobre altruismo de datos europeo no la hace mas completa; la hace mas confusa.

El problema operativo no es la teoria, es gobernar la retirada, la trazabilidad y los limites de uso

El debate juridico importa, pero la friccion aparece cuando hay que convertirlo en procesos. En un esquema de altruismo de datos o de intermediacion, tres preguntas mandan sobre casi todas las demas.

La primera: como se delimita el fin. El DGA gira en torno a finalidades concretas y categorias diferenciadas de actores. Si una organizacion recopila datos para objetivos de interes general, necesita definir esos fines de forma inteligible y gobernable. “Investigacion” no siempre basta. “Mejora del ecosistema sanitario” tampoco dice gran cosa. Cuanto mas abierta sea la formulacion, mas tension habra con los principios de limitacion de la finalidad y minimizacion bajo GDPR.

La segunda: como se gestiona la retirada del consentimiento o del permiso concedido para altruismo cuando el tratamiento se apoya en esa logica. El articulo 7.3 GDPR obliga a que la retirada sea posible en cualquier momento y tan facil como el otorgamiento. Eso exige trazabilidad real, no un buzon generico de privacidad que alguien mira los viernes. Si no puedes localizar donde viajo el dato, con que restricciones y bajo que dependencias operativas, retirar deja de ser un derecho y pasa a ser una aspiracion.

La tercera: quien controla el uso ulterior. El valor de estos esquemas depende de que terceros accedan o reutilicen datos. El riesgo tambien. Sin controles contractuales, tecnicos y de supervisión suficientemente precisos, la promesa de interes general puede degradarse rapido hacia usos incompatibles, opacos o sencillamente imposibles de auditar.

No hace falta invocar NIST para saber donde se rompen estos proyectos

Algunos analisis intentan reforzar este tipo de explicaciones citando NIST CSF 2.0, a veces con referencias apresuradas a funciones o categorias concretas. No hace falta. Y, cuando se hace mal, empeora el texto. Si el articulo no esta desarrollando un mapeo preciso con NIST, lo prudente es no fingir una cita normativa donde no la hay.

Eso no significa que el componente de gestion de riesgos desaparezca. Significa que puede explicarse con base en las obligaciones y tensiones reales del marco europeo. Un sistema de altruismo de datos necesita gobierno del dato, evaluacion de riesgos, controles de acceso, trazabilidad, gestion de terceros y mecanismos para atender derechos y restricciones. Todo eso es cierto aunque no se adorne con una sigla de ciberseguridad importada a martillazos.

Hay una mania curiosa en compliance: si una idea sensata se formula sin una taxonomia anglosajona, parece menos seria. No lo es. A veces la seriedad consiste precisamente en no sobreactuar la cita.

Que puede medirse sin convertir recomendaciones en falsa normativa

Tampoco conviene presentar como hechos regulatorios lo que en realidad son indicadores de gestion internos. Medir si un sistema funciona exige metricas, claro. Pero una cosa es recomendar indicadores utiles y otra atribuirles respaldo normativo especifico cuando no lo tienen.

En la practica, un programa de altruismo de datos o de intermediacion puede evaluar su desempeno con indicadores operativos ligados a obligaciones concretas: tiempos de respuesta a solicitudes de retirada o ejercicio de derechos, volumen de tratamientos con base juridica claramente documentada, incidencias detectadas en controles de acceso, numero de transferencias bloqueadas por incumplir restricciones de uso, o grado de completitud de los registros y evidencias exigibles. Son metricas razonables porque ayudan a probar control. No porque el DGA o GDPR las enuncien como KPIs oficiales.

La diferencia parece sutil, pero no lo es. Si presentas una recomendacion interna como mandato normativo, desorientas al lector y debilitas el argumento. Mejor decir lo que es: una practica util para demostrar gobernanza y detectar fallos antes de que lo haga la autoridad competente.

La pieza clave que muchas empresas todavia no tienen: una cartografia regulatoria decente

Si una entidad quiere participar en este espacio con un minimo de rigor, necesita algo mas prosaico que una estrategia de datos inspiradora. Necesita una cartografia regulatoria y operativa que distinga, al menos, cinco capas.

• Tipo de actor: organismo del sector publico, reutilizador, proveedor de servicios de intermediacion de datos, organizacion de altruismo de datos reconocida o usuario final de datos.
• Tipo de dato: personal, no personal, protegido por secreto comercial, propiedad intelectual, confidencialidad estadistica u otras restricciones.
• Base juridica y limites de uso: consentimiento, permiso, obligacion legal u otra base aplicable, con delimitacion expresa de finalidades.
• Controles operativos: registro, trazabilidad, restricciones contractuales, medidas de acceso, segregacion funcional y gestion de retiradas.
• Autoridad y supervision: que autoridad competente interviene segun el regimen aplicable y que evidencias habra que mostrar si pregunta.

Sin ese mapa, el riesgo no es solo incumplir. Es construir un modelo internamente incoherente: pedir consentimientos demasiado amplios, asumir que un intermediario debe ser no lucrativo cuando no es ese el criterio, o ignorar que el reconocimiento en altruismo tiene un regimen propio y no intercambiable con otros papeles del ecosistema.

La leccion de fondo: el legislador europeo no esta premiando buenas intenciones, esta pidiendo arquitectura

Hay una tentacion persistente de leer el DGA como una norma de impulso politico con vocabulario amable y bordes difusos. Error parcial. Tiene ambicion de mercado, si. Tambien tiene bastante mas arquitectura de control de la que muchos resumenes admiten. Separa funciones, encierra cada una en su capitulo y deja claro que la confianza no sale gratis.

Eso tiene consecuencias practicas inmediatas. Si estas diseñando un proyecto de datos para fines de interes general, no empieces por la historia que quieres contar al publico. Empieza por algo menos inspirador y mas decisivo: en que caja regulatoria cae cada actividad. Luego mira GDPR con el detalle que merece, incluido el articulo 4.11 sobre definicion de consentimiento, el articulo 7 sobre sus condiciones y retirada, y el articulo 9 si entras en categorias especiales de datos. Despues vuelve al DGA y separa sin piedad reutilizacion, intermediacion y altruismo.

Suena menos epico. Tambien es la diferencia entre un proyecto defendible y otro que se deshace en cuanto alguien con bata de regulador o toga de abogado hace dos preguntas seguidas.

La buena noticia es que el marco europeo no prohibe innovar con datos para fines de interes general. La mala es que tampoco perdona la pereza conceptual. Y esa, a estas alturas, ya no deberia sorprender a nadie.