Hola, soy un robot, ¿Tengo que cumplir con el Reglamento General de Protección de Datos?

¿Cuántas veces has entrado en un sitio Web y un asistente virtual se ha ofrecido a ayudarte con la compra, a responder a tus consultas o a ofrecerte un presupuesto? ¿Alguna vez has asistido a un evento y te has encontrado con un robot que te invita a compartir tus impresiones?, ¿Has probado a facturar tu equipaje siguiendo las instrucciones de un holograma?

Los softwares de inteligencia artificial están adquiriendo un papel protagonista en situaciones que, hasta hace relativamente poco tiempo, eran gestionadas únicamente por personas físicas. Actualmente, es común encontrarnos con este tipo de sistemas que rompen con las técnicas hasta ahora existentes, ofreciendo servicios de atención al cliente, mostradores de información o servicios diversos, proporcionando una asistencia rápida, directa y personalizada, a través de un lenguaje natural y ofreciendo el servicio que necesitamos en cada momento.

Todo ello implica que, a las formas tradicionales de obtención de datos personales, tales como formularios online y presenciales, locuciones telefónicas y contratos, se le sumen los agentes artificiales programados, como por ejemplo los chatbots, que interactúan con los usuarios a través de un chat programado, simulando ser un operador o una persona real cuyo objetivo final es facilitar información a los usuarios en línea y recabar información sobre los mismos que, posteriormente serán utilizados para distintos fines.

No cabe duda de las enormes ventajas que ofrecen este tipo de tecnologías a las empresas, dándoles la posibilidad de proporcionar una atención individualizada 24/7 a sus clientes y usuarios, reduciendo costes de personal, ofreciendo un servicio más rápido y eficiente, aminorando las posibilidades de perder clientes o potenciales clientes. Asimismo, permiten obtener información en tiempo real, directamente del interesado, utilizando sus respuestas y reacciones para su posterior explotación con fines de marketing.

Sin embargo, la utilización de este tipo de tecnologías, como cualquier iniciativa de negocio que implique un tratamiento de datos de carácter personal, debe de ser conforme a lo dispuesto tanto en el Reglamento General de Protección de Datos (RGPD), aplicable a partir de Mayo de 2018, como en la normativa estatal que fuera de aplicación.

¿Qué implicaciones jurídicas relacionadas con la privacidad, conlleva la implementación de chatbots y robots como herramientas de conexión entre empresa y usuarios?

Para conocer el alcance completo de las implicaciones jurídicas derivadas de la utilización de este tipo de tecnologías, debe partirse de la premisa de que las mismas llevan implícito un alto riesgo de vulneración de la privacidad de los usuarios con los que se interactúa

Estas permiten recabar una gran cantidad de datos: desde datos identificativos, bancarios o de contacto, hasta aspectos tan personales como sus gustos, preferencias, hábitos y conductas (bien sea directamente, mediante la observación de sus comportamientos y reacciones y, la aplicación de algoritmos de programación o, a través de procesos de  inducción del conocimiento, también llamados “machine learning”), con la finalidad de llevar a cabo el análisis de la información obtenida, permitiendo la elaboración de perfiles del usuario y la posibilidad de predecir circunstancias relacionadas con su conducta, comportamiento e intereses, provocando efectos jurídicos sobre el mismo.

Por tanto, ante el uso de estos avances tecnológicos, la empresa deberá garantizar que sólo se recabarán datos que sean estrictamente necesarios para las finalidades legítimas para las que los mismos fueron recabados, obligación que se aplicará tanto a la cantidad de datos personales recogidos como a la extensión de su tratamiento, a su plazo de conservación y a su accesibilidad, evitando, en la medida de lo posible, el tratamiento de datos sensibles siempre que estos no sean necesarios para la finalidad perseguida.

Igualmente, la empresa deberá cumplir con el derecho de transparencia de la información que asiste al interesado, así como facilitar el ejercicio de los restantes derechos que le asisten y obtener el consentimiento del usuario a menos que el tratamiento de los datos pueda basarse en alguna otra circunstancia legitimadora y cumplir con las obligaciones establecidas por la normativa en lo que respecta al tratamiento de datos de carácter personal llevado a cabo, especialmente en lo que respecta a la suscripción de los oportunos acuerdos de prestación de servicios con acceso a datos personales.

Máxime en los casos en los que, como es habitual, este tipo de servicios sean prestados por una tercera empresa, a la regularización de las transferencia de datos personales fuera del espacio Económico Europeo y a la aplicación de las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo y a la tipología de datos tratados, entre las que resultaría especialmente recomendable al caso concreto, el empleo de sistemas de cifrado de extremo a extremo o “end to end”, a fin de evitar accesos no consentidos a la información transmitida.

Asimismo, teniendo en cuenta que una de las potenciales aplicaciones de este tipo de tecnologías, quizá la de mayor interés para las empresas, es su utilización con fines de mercadotecnia directa, será necesario comunicar al usuario explícitamente y de forma clara, la posibilidad de oponerse a dicho tratamiento en cualquier momento y sin coste alguno.

Además, cabe destacar el alto riesgo de suplantación de identidad a través de estas tecnologías, siendo conveniente la habilitación de mecanismos y documentos que permitan acreditar la identidad del usuario. En este sentido, las compañías deben hacer esfuerzos razonables para verificar que el consentimiento fue dado o autorizado por el titular, teniendo en cuenta las tecnologías disponibles, especialmente en los servicios destinados a menores de 13 años, en los que, debe solicitarse el consentimiento de los padres del menor y la solicitud DNI padre/madre/tutor, libro de familia, etc.).

Es indiscutible que el uso de este tipo de tecnologías abre nuevas vías de comunicación para las empresas, permitiéndoles acceder a una mayor información de sus usuarios, que permitirá la elaboración de perfiles precisos, de gran utilidad para su explotación con fines comerciales, generando una evidente mejora en la experiencia de los usuarios, no obstante, deben adoptarse medidas oportunas para garantizar el cumplimiento de las obligaciones legales.

Y si todo lo demás falla, el usuario tiene derecho a solicitar la intervención de un humano.