1. Introducción

En el futuro, los hospitales estarán en Internet, la información genética invadirá el cloud (convirtiéndose en el “cloud genético”), las investigaciones más exitosas se realizarán a través de analítica de los macrodatos y, las personas podrán vender sus datos obtenidos a través de sus wearables a organizaciones farmacéuticas por medio de plataformas de blockchain. En 2025, el mercado de blockchain sanitario superará los 1,600 millones de dólares1. Con tecnologías disruptivas presentes y venideras, los científicos esperan que en el 2049 no sea necesario acudir al médico, bastando un simple “selfie” con un smartphone para tener un diagnóstico clínico. En concreto, el binomio de las tecnologías big data y blockchain originará un papel facilitador y simplificador para analizar y tratar datos confiables de salud en el marco del ecosistema de actores y participantes. Ambas, en conjunto, posibilitarán transparencia, confianza, seguridad, exactitud, verificación y simplicidad.

Ahora bien, los modelos comerciales, también en la industria de la salud digital están explotando nuevas formas de recolección masiva, transmisión instantánea, combinación y reutilización de información personal para fines imprevistos y con dudosas y opacas políticas de privacidad. Esto pone en una situación comprometida al derecho fundamental de protección de datos, inclusive con la llegada del nuevo Reglamento General de Protección de Datos (RGPD), el cual no puede, ni debería, ser un obstáculo para la innovación y el desarrollo de estas tecnologías en esta industria. Ya el SEPD2 llamó la atención a los expertos en privacidad en el informe anual del 2016 para examinaran los conceptos de la tecnología blockchain y la forma mejor de implementar el RGPD. Por su parte, el Parlamento Europeo, en el mes de julio de 2019, responde a las solicitudes de stakeholders y autoridades nacionales de control de protección de datos, redactando el documento “Blockchain and the General DataProtection Regulation. Can distributed ledgers be squared with European data protection law?”Protection Regulation. Can distributed ledgers be squared with European data protection law?”3

2. Una aproximación al big data en e-health

Las empresas tecnológicas comienzan a crear sus propias herramientas de big data, como es el caso de Siemens (Teamplay), -donde ya cuentan con 153 Instituciones conectadas a la red con más de 2.500 equipos activos compartiendo datos y convirtiéndolos en información y 300.000 estudios realizados- o Apple (HealthKit) que posibilita transmitir registros médicos electrónicos –con datos como el peso, calorías y ritmo cardíaco- a la Universidad de Standford para su investigación.

Por su parte, por ejemplo, la Universidad de Sidney ha realizado un estudio del análisis de la forma facial4 para detectar marcadores de salud fisiológica en más de 270 individuos de diferentes etnias, y así conocer el índice de masa corporal y la presión arterial. En la genómica, también ha llegado el big data analítico, por ejemplo, los investigadores del CNIO desarrollan PanDrugs, una herramienta de prescripción de medicamentos que tiene en cuenta los datos genómicos del paciente.

2.1. Retos y posibles soluciones en materia de protección de datos.

Ahora bien, también es el momento de estudiar los retos específicos que surgen en el ámbito de los proyectos de big data y eHealth, como, por ejemplo:

i. La discriminación o “dictadura de los datos”.

La generación de perfiles de consumidores o profiling es sin duda uno de los usos principales del Big Data, y puede entrañar riesgos por posibles tratamientos basados en predicciones si se utilizan de forma discriminatoria excluyendo a sectores minoritarios en base a los resultados analizados, lo que se viene denominando “la dictadura de los datos” (ISMS AEPD, 2017). En este sentido, podemos decir que uno de los mayores problemas que tiene el Big Data es lo que denominan como “obscurity by design” de los algoritmos (Hartzog y Stuzman, 2013, 386) 5. La regulación actual tiene por objeto último evitar la discriminación y garantizar la libertad dando primacía a la dignidad del paciente o consumidor y al cumplimiento normativo.

ii. La compatibilidad con el principio de finalidad, consentimiento y el continuo cambio.

No siempre se conoce, desde el inicio, el alcance del proyecto big data y sus finalidades. En este sentido, el responsable del tratamiento deberá hacer referencia a que los datos personales no podrán usarse para finalidades incompatibles con aquellas para las que los datos hubieran sido recogidos. El Comité Internacional de Bioética (IBC) de la Unesco propone un nuevo modelo de consentimientos más adecuados a la naturaleza de la tecnología: el consentimiento amplio, de exclusión y dinámico. Este último requerirá de una actualización sobre el uso de datos de forma continua para que el individuo pueda optar por usos específicos. Investigador y paciente estarían conectados y podría funcionar como una empresa prácticamente (Consejo Nuffield, 2015)6 donde se podría instaurar cierto equilibrio de poder.

iii. La falta de autonomía individual y de transparencia.

El IBC en su informe7 sobre Big Data y e-Health trata la cuestión de la falta de autonomía individual, estableciendo que incluye entre otras cosas, la competencia del individuo interesado para acceder, comprender, evaluar, aplicar información relevante y decidir con los medios apropiados y de la existencia de diferentes opciones, la voluntariedad (Mertz et al., 2016). Por otro lado, el Dictamen WP2039 señala que para que exista transparencia, los individuos deberán tener acceso a sus perfiles y a sus fuentes y a la lógica de la toma de decisiones, es decir, a la lógica de los algoritmos. Lo más sensible no es tanto el contenido sino las inferencias que se pueden producir.

iv. La anonimización no irreversible.

En el contexto de la Sociedad de la Información en la que vivimos, la información (personal) es un recurso fundamental para todos los participantes. Ahora bien, el desarrollo inminente de la tecnología puede afectar e impactar a los derechos fundamentales de las personas físicas si no se toman las cautelas y medidas adecuadas para protegerlos. Sin medidas como la anonimización irreversible, nuestra información podría ser combinada con diferentes patrones y estaría totalmente desprotegida. Por ello, este uno de los mayores riesgos a los que nos podemos enfrentar y, más difícil de encontrar soluciones técnicas.
Tal y como señala la guía de la AEPD sobre “Orientaciones y garantías en los procedimientos de anonimización de datos personales”10;
“la finalidad del proceso de anonimización es eliminar o reducir al mínimo los riesgos de reidentificación de los datos anonimizados ateniendo la veracidad de los resultados del tratamiento de estos, es decir, además de evitar la identificación de las personas los datos anonimizados deben garantizar que cualquier operación o tratamiento que pueda ser realizado con posterioridad a la anonimización no conlleva una distorsión de los datos reales”.

No es para nada desdeñable el hecho de que la LOPDGDD (apartado p, art. 72.1) señale como infracción muy grave a la anonimización reversible o anonimización no irreversible11.

En cualquier caso, hay que tener muy presente el objetivo de la anonimización tal y como se señala en la guía;

“En el proceso de anonimización se deber producir la ruptura de la cadena de identificación de las personas Esta cadena se compone de microdatos o datos de identificación directa y de datos de identificación indirecta los microdatos permiten la identificación directa de las personas y los datos de identificación indirecta son datos cruzados de diferentes fuentes que pueden permitir la reidentificación de las personas como la información de otras bases de datos de este u otro responsable, de las redes sociales buscadores blogs etc”

En este sentido, sería bastante útil para el lector, asimilar cuestiones relacionadas con el propio proceso de anonimización, como por ejemplo; determinar la finalidad de los datos anonimizados como el uso científico o los plazos de conservación, establecer variables confidenciales necesarias para el tratamiento de los datos, eliminación de datos identificativos como son los nombres, fechas de nacimiento, email, teléfono, DNI, dirección IP, fotografía, etc.; o la utilización de rangos para “enmascarar” a las personas o contar con una política de claves12 para ocultar la identificación. Sin embargo, y a pesar del esfuerzo por intentar conseguir una posible anonimización irreversible, no se albergan grandes esperanzas sobre esta técnica, y en dicho documento así lo deja esclarecer: “No es posible considerar que los procesos de anonimización garanticen al 100% la no reidentificación de las personas, por lo que será necesario sustentar la fortaleza de la anonimización en medidas de evaluación de impacto (EIPD), organizativas, de seguridad de la información, tecnológicas y, en definitiva, cualquier medida que sirva tanto para atenuar los riesgos de reidentificación de las personas como para paliar las consecuencias de que éstos se aterialicen” 13. El avance de la tecnología y los grandes volúmenes de información disponibles hacen difícil garantizar el “anonimato absoluto”14. Piénsese en el desarrollo de la computación cuántica y la vulnerabilidad de la seguridad15 de la información que ésta puede generar sino se avanza, por ejemplo, en la encriptación cuántica. A continuación, intentaremos aproximarnos lo más posible a algunas soluciones como:

i. Ética de datos y responsabilidad proactiva del responsable.

Partimos de la idea de que la ética y la accountability16 son fundamentales para cualquier proyecto vinculado a Big data. El SEPD señala que la responsabilidad de dar solución al reto de la Era de la digitalización podría reposar en un ecosistema interdependiente de desarrolladores, empresas y reguladores a miras del interés del individuo. Se refiere a las personas físicas como personas empoderadas –o “prosumidores”- las cuales producen y consumen contenido y servicios. A éstas se les tendría que dotar de más control sobre sus datos por medio, por ejemplo, de uso de almacenes o bóvedas de datos.

ii. Privacidad desde el diseño y EIPD.

En concreto, el responsable del tratamiento aplicará medidas técnicas y organizativas (art. 25 RGPD) apropiadas, como la seudonimización, la minimización de datos, y garantías necesarias. Dentro de las medidas de responsabilidad activa exigidas por el RGPD también se encuentra la Evaluación de Impacto (art.35) siendo obligatorio para procesamientos de alto riesgo, en los que se incluyen los datos de salud. iii. Gobierno de datos y anonimización. Los sistemas de control, monitorización y anonimización junto a políticas preventivas, proactivas y mitigadoras de riesgos internas que cubran lo que no está cubierto en los marcos legales serán las herramientas para utilizar por el delegado de protección de datos (DPO) o el comité multidisciplinar que trabaje para este fin. El problema no es tanto si se puede eliminar el riesgo y producir la reidentificación por completo sino si se puede mitigar el riesgo hasta que sea totalmente improbable.

Por otro lado, como establece la AEPD e ISMS (2017, 30),“aunque los procesos de anonimización y disociación son clave para respetar la privacidad en los análisis de Big Data, no hay que desdeñar otras medidas técnicas aplicables al desarrollo de cualquier sistema, aunque con particularidades propias para su aplicación a Big Data17.Y a su vez, estas técnicas podrían estar contenidas en algunas implementaciones en función de la fase de big data en la que el proyecto se encuentre

3. Blockchain sanitario.

Si hemos hablado de big data en el apartado anterior, a continuación, abordaremos blockchain y de esta manera, conseguiremos entender porque puede ser tan interesante la combinación de ambos. Dentro de poco, los pacientes dispondrán de aplicaciones móviles donde los pacientes de hospitales públicos y privados podrán acceder mediante blockchain (junto con IoT, por ejemplo), y permitirán compartir la información de sus historiales clínicos electrónicos con aseguradoras médicas para solicitar presupuestos de pólizas o con profesionales de salud u hospitales para ayudar en el diagnóstico o con farmacias o startups tecnológicas de e-Health para colaborar en investigaciones biomédicas. Un estudio18 reveló increíbles predicciones para la industria del blockchain, un crecimiento anual compuesto del 74,1%, equivalente a 28 millones de dólares para el 2025. En concreto, el blockchain en el mercado sanitario se espera que se valore en $ 5,61 mil millones para ese año.

Ahora bien, profundicemos en el concepto. Un blockchain es esencialmente una infraestructura digital que agrupa registros de transacciones en bloques con sello de tiempo (de ahí el nombre). Estos son registrados por todos los participantes (nodos) de una red dada. Cada nuevo bloque hace referencia al anterior con hashes criptográficos, creando un registro inmutable de todas las transacciones desde el primer bloque hasta el último.

Las transacciones están certificadas para ser verdaderas, no porque una autoridad confiable (por ejemplo, un banco central, el gobierno, Facebook, etc.) valide la contabilidad centralmente, pero porque el ledger se distribuye en tiempo real a todos los participantes de la red. Un participante de la red no puede falsificar el registro, porque un algoritmo de consenso reconcilia la información a través de los nodos, detectando cualquier discrepancia. Esto significa que cada participante, es decir, paciente, sabe en todo momento lo que ha sucedido. Blockchain permitirá que un paciente o consumidor de fármacos pueda identificarse en la Red sin tener que otorgar sus datos personales y, a su vez donar o monetizar sus propios datos genómicos. Por lo que todo ello supone una auténtica revolución en los derechos individuales (y fundamentales), comunicaciones y negocios.

Por ejemplo, en la actualidad, en Dubai existen unas cabinas inteligentes (Bodyo) en los centros comerciales que utiliza IoT, IA y Blockchain, donde se emplean sistemas de recompensa a través de smart contracts para aquellas personas que muestran un buen “comportamiento de salud”. En definitiva, ¿por qué esta tecnología se ha podido penetrar en la Industria del Cuidado de la Salud? Por diferentes motivos como los siguientes:

i. El envejecimiento poblacional en los países desarrollados y las limitaciones presupuestarias.

Las nuevas iniciativas del sector se pueden centrar, según la empresa Capital Cell19, en tres campos como son la introducción de datos médicos personalizados en Blockchain, la compartición de datos médicos con fines de investigación y desarrollo de nuevos fármacos, y la trazabilidad en la producción y el consumo de medicamentos.

ii. Debido a la desconexión entre la sanidad pública y la privada.

¿Disponer de todos los datos médicos de lideres internacionales? Un ejemplo de blockchain sanitario es la alianza entre la Administración de Alimentos y Medicamentos de Estados Unidos (FDA) e IBM Watson Health para explorar el uso de Blockchain en el uso compartido de información médica. El convenio incluye el intercambio de datos de pacientes procedente varias fuentes, incluyendo registros médicos electrónicos, ensayos clínicos, datos genómicos y datos de salud procedentes de dispositivos móviles, wearables e Internet of Things. Otro ejemplo, es la alianza entre Alibaba Health Information Technology y el Gobierno Chino que pretende almacenar los datos del sistema de salud a través de Blockchain. La empresa tecnológica pretende conectar la infraestructura médica con el sistema de tratamiento médico. Por su parte, la Estonian eHealth Foundation está asegurando los registros médicos de más de un millón de pacientes. El sistema es totalmente transparente y cualquier paciente puede iniciar sesión y ver exactamente quién ha estado viendo sus registros e incluso puede restringir el acceso a grupos de usuarios. De igual forma el gobierno de Dubái también ha lanzado un proyecto para establecer una plataforma blockchain para hacer más eficiente a la administración, crear industria y liderazgo internacional. Respecto a las empresas tecnológicas, IBM Watson Health y la FDA se han aliado para investigar conjuntamente sobre el intercambio seguro, eficiente y escalable de datos de salud usando blockchain. Aunque no hay una regulación concreta para este protocolo, se ha puesto en marcha de la iniciativa de normalizar a nivel internacional (ISO/TC 307) las tecnologías de registro electrónico distribuido y en particular, el protocolo blockchain. La mejor manera de entender el sistema es diseñando un ejemplo de ecosistema con participantes o actores que intervienen. Este es un sistema de blockchain cerrado y permisionado, diferente, por tanto, del blockchain público de bitcoins. Es necesario tenerlo en cuenta.

Pero ¿qué papel tienen los participantes como sujetos jurídicos frente a la normativa europea en protección de datos?
Detengámonos en esto, y veamos, aunque sea de forma pormenorizada, el rol que podrían adoptar. Responsable (art. 4.7. RGPD y 24 RGPD) es la persona física o jurídica que determina los fines y los medios para procesar los datos personales. Por lo que cualquiera que acceda a los datos almacenados en una cadena de bloques y haga tratamiento de datos (art. 4.2. RGPD) según sus propios fines se convierte en responsable de tratamiento. Además, se puede dar que el tratamiento se lleve a cabo por una asociación de participantes en una blockchain donde todos se considerarían corresponsables (Art. 25 RGPD). En caso de ser así, en ella se deberán definir las obligaciones y responsabilidades de cada uno respecto del cumplimiento del RGPD.

 

Y, por otro lado, ¿cómo se considerarían a los nodos (validadadores) y mineros? Sólo si tienen un papel más activo se les consideraría “responsables del tratamiento”. Esto ocurrirá cuando decidan sus propios fines, el hardware y el software.
Por otro lado, recordemos que el encargado, es cualquier persona física o jurídica que trata los datos personales en nombre del responsable (art. 4.8 RGPD) o también se define20 como la persona física o jurídica, autoridad pública, servicio u otro organismo que presta un servicio al responsable que conlleva el tratamiento de datos personales por cuenta de éste. Cuando los nodos ejecutan las instrucciones del responsable y verifican que la transacción cumple con los criterios técnicos, por ejemplo, un formato y un cierto tamaño máximo, y que el participante tiene capacidad para realizar su transacción. En este caso, se podrían tratar de los mineros, y se les podría considerar como “ ull nodes”21. Por tanto “sólo algunos tipos de nodos descargan toda la cadena de bloques y contribuyen a validar y apoyar el libro mayor compartido, y el nivel de participación de en el tratamiento de los datos varía en función del algoritmo de consenso y en función de el nivel de apertura de la configuración de la cadena de bloques” (Giannopoulou, 2018, 9)22.
Además, también se encuentran los proveedores de blockchain, como, por ejemplo, es HSBlox, quienes dan soluciones tecnológicas a pacientes (pensemos en asociaciones de pacientes o consumidores de servicios eHealth) o a proveedores de salud (hospitales) o a pagadores (empresas farmacéuticas).
En el sistema expuesto se podrán realizar las siguientes acciones:

– Acceso por parte del e-paciente/e-usuario a sus datos de salud desde cualquier sitio y dispositivo conectado a Internet, a través de una aplicación móvil o web.

– Acceso por parte de otros actores (hospitales/centro médicos, profesionales sanitarios) a los datos de las personas físicas interesadas, siempre que este acceso haya sido permitido explícitamente y de antemano bien por el paciente o bien por el centro médico productor del dato. Estos permisos pueden concederse o revocarse en cualquier momento y se almacenan en la blockchain.

– Acceso a datos anonimizados de forma agregada para uso en investigación por parte de los diferentes universidades o centros investigadores pueden participar si son incluidos en la blockchain privada para consultar datos. Los propios pacientes pueden otorgar y revocar el uso para investigación de sus datos, así como ver para qué fueron utilizados. Si bien no todos los proyectos de blockchain implican el procesamiento de datos personales, en la práctica, muchos usos de este protocolo requieren la manipulación de estos datos, tanto en términos de contenido como de información de los participantes.

Pero ¿cómo se producen los tratamientos de datos personales? Se puede producir por la intervención de los usuarios, nodos validadores y mineros cuando envían, verifican y almacenan o registran las transacciones. Tengamos en cuenta dos tipos puntos de vista respecto al tratamiento en blockchain:

i. En primer lugar, pensemos en el tratamiento de datos como servicio (per se), por ejemplo, el sistema de dinero electrónico entre igual e igual. Los medios serán el software y el hardware que los nodos y mineros utilizan para este fin. Estos últimos son quienes deciden

 

sus propios fines, el hardware y el software a utilizar. Dicho esto, entenderíamos que los nodos validadores y mineros serán los responsables del tratamiento. ii. En segundo lugar, pensemos en el tratamiento de datos que se produce en una transacción individual y específica, del que nos referiremos a partir de ahora. Los medios en este caso son elegidos por la propia plataforma blockchain. Los usuarios proporcionan los datos personales en el sistema al enviar sus transacciones. El papel de los nodos y los mineros es facilitar el acceso a la base de datos y el papel de los usuarios determinar qué datos se almacenan. Dicho lo cual, entenderíamos que los responsables del tratamiento serían los usuarios (o participantes).23
Hemos hablado de participantes y de tratamiento, pero hablemos de datos personales. En este sentido, es de destacar el considerando 26 RGPD, donde el legislador señala que los datos personales pseudonimizados se deben considerar información sobre una persona física identificable. Además, apunta que para determinar si una persona física es identificable, debe tenerse en cuenta todos los medios que razonablemente pueda utilizar el responsable del tratamiento o cualquier otra persona para identificar al individuo. Por ejemplo, “las claves y direcciones públicas desechables de Bitcoin pueden calificarse como datos personales” (Finck, 2018, 12) 24. Según la CNIL, un blockchain puede contener dos categorías de datos personales: i. Identificación de participantes donde cada participante tiene una clave pública, que garantiza la identificación del emisor y el destinatario de una transacción. Según la CNIL, los participantes, podrían ser considerados como responsables de tratamiento en la medida que decidan sobre los fines y los medios de procesamiento. ii. Datos adicionales escritos «en» una transacción (por ejemplo, HCE, registros de médicos personales de wearables de pacientes). Si estos datos se refieren a personas físicas, posiblemente distintas de los participantes, directa o indirectamente identificables, se tratarán de datos personales. Las características de este sistema blockchain serían:

i. Acceso integral e intercambio de datos. El paciente interactúa con multitud de proveedores de atención médica (médicos, dentistas, enfermeros etc.), y en cada momento, dejan datos dispersos en lugares diferentes dificultando el acceso y rastreo de los datos fragmentados. El sistema de blockchain podría facilitar una “one-stop-shop” a través de smart contracts.

i. Descentralización y cifrado. Los datos se almacenan localmente en bases de datos separados de los pacientes y proveedores. Cuando el médico agrega un nuevo registro se almacena, se publica una referencia hash en la cadena de bloques, el paciente podrá recuperar y descargar estos datos una vez que el controlador verifique el blockchain para confirmar sus derechos de acceso y propiedad.

ii. Equilibrio de poder y autonomía del paciente. Sería posible una economía de datos entre consumidores y productores de datos que, en el campo de investigación médica, en la industria farmacéutica, en las AAPP, en compañías de seguro y otros interesados. Los pacientes podrían cambiar de médico, revisar su historial descargándolo en la última cadena de bloques de la red.

Analicemos a continuación las implicaciones del blockchain en materia de protección de datos y el RGPD.

 

i. En primer lugar, el consentimiento (cf. 4.11, 6.1.a y 7 RGPD) expreso que es obligatorio en la nueva regulación no entraría en conflicto, sino todo lo contrario, podría resultar un elemento clave para el cumplimiento puesto que el usuario verifica y valida los datos antes de que se agreguen a la cadena de bloques. El problema de la asunción errónea de legitimación en entornos de ensayos clínicos ha hecho que investigadores25 estudien el potencial de blockchain como solución. Y es que la FDA estadounidense ha informado que casi en el 10% de los ensayos no se obtuvo un consentimiento informado por escrito o los formularios de los individuos estaban sin aprobar o los documentos otorgaban un consentimiento no válido.
ii. En segundo lugar, respecto al ejercicio de los derechos de los titulares de datos como el de derecho de acceso y portabilidad (art. 15 y 20 RGPD) según la CNIL, se podrían ejercer de manera efectiva.

iii. En tercer lugar, respecto a la privacidad desde el diseño (cf. Art. 25 RGPD), podemos decir que la propia infraestructura de la tecnología, o más bien, del protocolo, es la que obliga la utilización de seudónimos (donde no pueden atribuirse a un interesado sin utilizar información adicional) y algoritmos desde el momento inicial del proyecto. Pero no sólo eso, sino que la propia CNIL recomienda a los actores que implantan proyectos tecnológicos planteen el protocolo blockchain en lugar de otras alternativas.

iv. En cuarto lugar, al igual que cuando un dispositivo se extravía con información cifrada y sin poder acceder a su contenido, habrá que notificar a la autoridad de control y a los interesado puesto que no queda afectada la confidencialidad pero si la disponibilidad (cf.art.1.f, 33 y 24 RGPD).
Ahora bien, hablemos de los retos respecto a la compatibilidad con el RGPD.

i. En primer lugar, blockchain es un protocolo no una tecnología, por lo que intentar determinar quién es el responsable de tratamiento (cf.4.7 y 24 RGPD) puede ser contradictorio. Se trata de un un sistema descentralizado por naturaleza, y no encaja con el modelo de dicotomía de responsable/encargado de tratamiento. No existe un sujeto que se responsabilice del mismo.

ii. En segundo lugar, tampoco resulta posible aplicar el derecho de supresión (art. 17 RGPD) o “derecho al olvido”, rectificación (art. 16 RGPD) en un sistema donde los datos ingresados en la cadena de bloques son imborrables e inrectificables toda vez que la transacción se valida.

iii. En tercer, y en línea de lo anterior, tampoco sería posible casar la obligación de la limitación del periodo de conservación (art. 5.1. e RGPD) puesto que blockchain se caracteriza por la inmutabilidad de los datos.

iv. Y en cuarto lugar, los actores de blockchain públicos necesitarán estar atentos ante las subcontrataciones y a las normas de trasferencias internacionales. Piénsese por ejemplo, en los desarrolladores de smart contract donde organizaciones farmacéuticas moneticen los datos extraídos a través de aplicaciones de medicamentos con wearables. Si pensamos en aproximaciones a posibles soluciones a los puntos críticos del RGPD podemos apuntar a las siguientes conclusiones: i. Respecto a los posibles riesgos generales en protección de datos. Resultará de aplicación (y de gran utilidad) la realización de la evaluación de impacto o EIPD (art. 35 RGPD) debiendo analizar la novedad del blockchain en función del nivel de conocimiento de la organización. Corresponderá a los actores implantar el tipo de blockchain que ponga en menor riesgo a los derechos y libertades de las personas físicas analizando la necesidad y la proporcionalidad. ii. Respecto a la anonimización y la dificultad de que sea irreversible. Se podría apostar por soluciones tecnológicas que hagan posible alejar todo riesgo de reidentificación. Desde las autoridades europeas se están estudiando. iii. Respecto a la inmutabilidad y derecho al olvido. La inmutabilidad en blockchain se debe principalmente a la criptografía, al árbol de Merkle y al algoritmo de consenso, pero no dotan a esa de una rigidez absoluta. La CNIL, por ej., está evaluando soluciones tecnológicas que sin que obtengan resultados idénticos a lo que establece el RGPD permitan acercarse especialmente cortando la accesibilidad de los datos de acuerdo con el formato elegido (compromiso criptográfico, cifrado, huella dactilar resultante de una función hash …). iv. Respecto a la responsabilidad. Si bien nadie es responsable de esta tecnología, si se pudiera identificar a alguien como causante de una agravio, se le podría exigir a éste responsabilidad civil o derecho de daños, y responsabilidad penal por posibles conductas de manipulación fraudulenta de la cadena de bloques según el art. 248.2 CP en relación con estafas mediante instrumentos informáticos, o en el art. 264 en relación con la alteración de documentos electrónicos ajenos (González-Meneses, 2017, 106)26”. v. Respecto a la libertad contractual. Ibáñez (2018,160) 27 señala que “el legislador debe permitir que los operadores jurídicos en el momento de programar un smart contract (SC), puedan diseñar clausulas parametrizables en los contratos que tienen lugar entre las partes para su ejecución en una blockchain dando cabida a la autonomía de la voluntad de forma que estas puedan flexibilizar las condiciones del negocio mediante opciones guiadas, bajo el principio de consentimiento informado, introduciendo avisos de mutación si es preciso en el propio SC”28.

4. Conclusiones

El binomio de big data y blockchain origina un papel facilitador y simplificador para analizar y tratar datos confiables de la e-salud en el marco del ecosistema de actores y participantes pero plantean desafíos a la regulación existente. Blockchain, de hecho, será más efectivo siempre en combinación con otras tecnologías, como por ejemplo, internet de las cosas o machine learning. El desarrollo tecnológico posibilitará, no a largo plazo, en el campo de la salud, el avance hacia una sociedad desarrollada y saludable. No obstante, cuanto mayor sea el flujo de información que intervenga en las tecnologías, mayor será el riesgo e impacto en los derechos de las personas. Como bien es sabido, la maquina legisladora no siempre llega a tiempo de la irrupción tecnológica por lo que, en ocasiones podemos encontrarnos con vacíos, lagunas o bloqueos legales a la hora de aplicar la normativa. Es entendible que los legisladores no alcancen a entender aspectos escrupulosamente técnicos tal y como se requeriría habida cuenta el escenario presente. Y es la propia naturaleza de cada una de las tecnologías la que en ocasiones hace complicado acercarse al “absoluto cumplimiento normativo”.
En escenarios donde aparezcan proyectos de big data; la ética, la responsabilidad activa, transparencia y seguridad serán fundamentales en cualquier proyecto. En big data, la regulación actual tiene por objeto último evitar la discriminación y garantizar la libertad dando primacía a la dignidad del paciente o consumidor y al cumplimiento normativo. Por otro lado, conseguir cierta transparencia en la información a los titulares de los datos, no siempre es posible, ya que a veces no conoce (desde el momento cero) el alcance del proyecto big data y sus finalidades. Por ello, podría ser recomendable proponer un nuevo concepto de consentimiento: el consentimiento amplio, de exclusión y dinámico orientado sobre todo para investigaciones científicas. Los individuos deberán tener acceso a sus perfiles, a sus fuentes y a la lógica de la toma de decisiones. Lo más sensible no es tanto el contenido sino las inferencias que se pueden producir. Y es que uno de los mayores problemas de big data, por no decir el principal, tiene que ver con la anonimización y el riesgo de reidentificar mediante inferencias, o por vinculación o con otros paquetes de datos personales.

Y en escenarios donde existan proyectos de blockchain (sanitario), deberemos prestar especial atención a la identificación del responsable de tratamiento, a la aplicación del derecho de supresión, la limitación del periodo de conservación y la cadena de suministro (subcontrataciones y smart contracts). Como medidas a tomar desde el momento inicial del sistema o proyectos, se recomienda a los desarrolladores que no almacenen los datos transaccionales dentro de una cadena de bloques y que se realicen evaluaciones de impacto (EIPD) respecto a las claves públicas. Las soluciones están en la propia tecnología.
Desde mi punto de vista, las soluciones más acertadas se encontraban en torno a las off-chain, y side-chain y middleware. Los problemas no son de carácter tecnológico sino más bien de cultura de privacidad de los participantes y del reto social de espíritu de comunidad y confianza desde los consorcios sanitarios.En definitiva, el principio de limitación de finalidad del tratamiento de datos, en el caso de big data, o la naturaleza inmutable y descentralizada, en el caso de blockchain, pueden complicar el acercamiento al absoluto cumplimiento normativo.

Las posibles soluciones que se presentarán en el futuro serán soluciones parciales para casos específicos, flexibles y diferentes a lo que venían conociendo los desarrolladores tecnológicos.El desarrollo tecnológico propiciará soluciones que ya están siendo estudiadas por grupos de trabajo de investigación académicos y por autoridades de control nacionales de protección de datos. Y todo ello será posible sin hacer retroceder a la innovación y al desarrollo de una sociedad saludable y su investigación biomédica.

Blockchain incluso puede llegar a presentarse con una suerte de facilitador “prioritario” para el propio cumplimiento normativo (del RGPD) tal y como estableció en su momento el CNIL29 francés. Además, como se señala en el documento elaborado por el Parlamento Europeo (2019) “la cadena de bloques puede ayudar a promover algunos de los objetivos del RGPD”. Por tanto, aparece algo nuevo y anecdótico característico del escenario dinámico y disruptivo en el que nos encontramos: la tecnología puede permitir (y ayudar) al cumplimiento normativo.

5. Referencias

1. AEPD. Orientaciones y garantías en los procedimientos de anonimización de datos personales.
2. AEPD e ISMS Forum Spain. Código de buenas prácticas en protección de datos para proyectos de Big Data, 2017, pp 29.
3. AUTORIDAD CATALANA DE PROTECCIÓN DE DATOS (APDCAT). El encargado de tratamiento en el Reglamento General de Protección de Datos (RGPD).
4. EUROPEAN DATA PROTECTION SUPERVISOR (EDPS). Annual Report, 2016.
5. BENCHOUF M. ; RAVAUD P. Blockchain technology for improving clinical research quality. BMC Trialsjournal. 2017, COUD SECURITY ALLIANCE (CSA). Expanded Top Ten Big Data Security and Privacy Challenges.
6. CNIL. Blockchain and the GDPR: Solutions for a responsible use of the blockchain in the context of personal data, 2018.
7. COMITÉ INTERNACIONAL DE BIOÉTICA. Informe del IBC sobre big data y salud.
8. EUROPEAN PARLIAMENT. Blockchain and the Data General Data Protection Regulation.Can distributed ledgers be squared with European data protection law?
9. FINK, M. (2018). Blockchains y Protección de datos en la Unión Europea. Der Juristiche Verlag Lexxion. Vol. 4, No. 1. Pp. 17-35.
10. GIANNOPOLOU, A.; Ferrari, V. (2018) . Distributed Data Protection And Liability On Blockchains. INTERNET SCIENCE. 5th International Conference, INSCI 2018. St.Petersburg, Russia, October 24-26, Proceedings, Vol. 2. Workshops. Pág. 9.
11. GONZÁLEZ-MENESES, Manuel. “Entender Blockchain: Una introducción a la Tecnología de Registro Distribuido”. Editorial Thomsons Reuters Aranzadi, 2017, pp 106.
12. GT29. Dictamen 03/2013 sobre la limitación de la finalidad. (WP 203).

13. HARTZOG, Woodrow y STUTZMAN, Frederic D. «Obscurity by Design», Washington Law Review, Vol. 88, 2013.
14. IBAÑEZ JIMENEZ, J. Wenceslao. Blockchain: Primeras cuestiones en el ordenamiento español. Editorial DYKINSON, 2018, pp 160.
15. MERTZ M., JANNES, M., SCHLOMANN, A., MANDERSCHEID, E., RIETZ, C. y WOOPEN, C. Digitale Selbstbestimmung . Centro de Ética, Derechos, Economía y Social de Colonia Ciencias de la Salud. 2016. DOI 10.8716 / ceres / 00001
16. MARTÍNEZ MARTÍNEZ, Ricard, «Big data, investigación en salud y protección de datos personales. ¿Un falso debate?», Re ista Valenciana d’Estudis Autonò ics, Nº62, 2017, pp. 257-259.
17. NUFFIELD COUNCIL ON BIOETHICS. La recopilación, vinculación y uso de datos en biomedicina investigación y cuidado de la salud: cuestiones éticas.

«Artículo publicado originariamente en la Revista de Derecho y Genoma Humano.Genética, biotecnología y medicina avanzada. Cátedra de Genoma Humano y Derecho. Grupo de investigación de la Universidad del País Vasco/EHU. Num. 49. Noviembre 2019.»