Ricard Martínez Martínez, Universitat de València

Fer recerca amb dades personals exigeix un compromís amb el compliment de la legalitat. Respon a un imperatiu ètic: si fem recerca amb aquesta mena d'informació, abans de res hem de garantir i protegir els drets dels implicats. Per desgràcia, això no sempre es compleix. L'experiència professional adquirida en la gestió del compliment del Reglament General de Protecció de Dades i la del nostre equip investigador en projectes de recerca com BigMedilytics aporten un parell de valuoses lliçons.

En primer lloc, el compliment d'aquestes normes en la recerca es percep com a part de la càrrega burocràtica que els investigadors suporten. En general, no existeix un coneixement ètic i formatiu previ.

La Declaració d'Hèlsinki inspira gran part dels principis d'aquestes recerques, sobretot en l'àrea de ciències de la salut. Amb tot, no és un marc suficient per a garantir el dret fonamental a la protecció de dades.

Per a molts investigadors la “protecció de dades” no és altra cosa que un imprès de consentiment informat que descarreguen de la pàgina web del comitè d'ètica de la recerca. Aquest no és més que una part del compliment exigible i, encara que al lector li resulte paradoxal, he d'afirmar que és la menys rellevant en termes materials.

A més, genera una cultura de copiar i enganxar que, per alguna estranya raó, convenç algunes persones que n'hi ha prou amb l'imprès. Per això alguns, no familiaritzats amb la recerca, creuen honestament estar complint les normes. Implica un volum desconegut d'estudis en què algú, amb tan bona voluntat com escàs encert, vulnera els drets de menors, ancians i malalts.

No n'hi ha prou amb saber que la norma existeix

El resultat és que un col·lectiu investigador escassament format confon la part amb el tot i incompleix els deures d'anàlisi de riscos, avaluació d'impacte relativa a la protecció de dades, adopció de mesures de seguretat, declaració i registrament d'activitats de tractament. Tot, a fi i efecte de facilitar la burocràcia.

No és l'únic problema en l'enfocament. Recorde la intervenció d'un delegat de protecció de dades en una jornada sobre la matèria en què lamentava que els investigadors no tinguen en compte la normativa. De la mateixa manera, es té constància d'accions d'aquests professionals consistents a comunicar als investigadors que la norma existeix. A tal efecte s'empren discursos merament formals, propis d'una conferència a estudiants de grau en una facultat de dret.

Totes dues actituds constitueixen la manifestació del tràgic error de pensar que complir el Reglament General de Protecció de Dades és problema dels investigadors. Aquesta és la manifestació més patològica i nociva per al compliment normatiu. Convèncer investigadors de primer nivell amb un discurs buit i allunyat de la realitat, desconeixedor dels més elementals processos de recerca científica, resulta contraproduent i genera desafecció i impotència.

Cal més inversió

La garantia dels drets fonamentals exigeix inversió. I la que es refereix al Reglament General de Protecció de Dades exigeix processos de gestió i l'existència de persones que presten suport a l'investigador.

En termes de costos i inversió, descarregar el pes de la protecció de dades en l'investigador principal, o en l'equip de recerca, constitueix un seriós error de concepte en els models de gestió de projectes.

Per començar, pressuposa que la garantia de la privacitat s’ha de fer a cost zero. Això és ridícul. Qualsevol empresa privada que faça recerca a la Unió Europea disposa de les persones que donen suport a aquesta àrea. D'altra banda, el cost d'oportunitat derivat de traslladar pressió a l'investigador amb matèries allunyades de la seua àrea, a més de causar angoixa i maldecaps, resulta incalculable.

Les nostres universitats no sols han de liderar la recerca: han de fer-ho amb garanties. La potència d'anàlisi que proporciona la computació distribuïda en clústers, mitjançant el suport de proveïdors en el núvol, els programes d'analítica de dades i la construcció de xarxes neuronals ofereixen grans oportunitats per a fer recerca al servei del bé comú.

El legislador europeu (i espanyol) ha fet els seus deures. Les aportacions que vam fer els investigadors durant l'exposició pública del Projecte de Llei orgànica de protecció de dades en seu parlamentària van ser ateses. Primer, per un informe de l'Agència Espanyola de Protecció de Dades, i després mitjançant la tramitació de les esmenes promogudes pel Partit Socialista.

No tot són bones notícies. El regulador i el legislador van ser incapaços d'entendre que la recerca amb dades, allò que vulgarment s’anomena big data, desborda l'àrea de recerca en salut a la qual es refereix la disposició addicional dissetena de la Llei.

En qualsevol cas, disposem d'un ecosistema normatiu favorable a la recerca, però cal aplicar-lo. Això exigeix l'adopció de polítiques de gestió responsable dels processos de recerca. Defense que resulta crucial la integració de les normes, no sols de la protecció de dades, en el disseny de la recerca des de la gènesi de la idea investigadora.

A tal efecte és necessari un model de gestió estructurat i protocol·litzat, en què hauria de dipositar la seua confiança l'investigador, sabent que a l'altre costat hi ha persones que seran el seu suport i guia.

La universitat i els investigadors han d'entendre que la protecció de dades no sols evita riscos reputacionals i sancions de les autoritats de protecció de dades. Constitueix un valor ètic, un compromís amb la qualitat de la recerca que comporta un avantatge competitiu i de prestigi en la societat de la transformació digital.

Ricard Martínez Martínez, Professor de Dret Constitucional. Director de la Càtedra de Privacitat i Transformació Digital, Universitat de València

Aquest article es publicà originalment en The Conversation. Llegiu l'original.