¿Es ilegal la minería de datos?

BYTE 96 - Temporal junio 2003 (19/05/2003) ¿ES ILEGAL LA MINERÍA DE DATOS? Miquel Barceló En los últimos años hemos oído hablar mucho de la minería de datos, una manera de rentabilizar los muchos datos hoy disponibles en las diversas bases de datos de las empresas. La minería de datos suele asociarse a la "etapa de descubrimiento" en el proceso llamado de "descubrimiento de conocimiento en bases de datos" (KDD, Knowledge Discovery in Data Bases) que, tal como indica Frawley, sería "la extracción no trivial de conocimiento implícito, previamente desconocido y potencialmente útil, a partir de una base de datos" existente. En ese proceso, según Fayyad, la minería de datos supone esa etapa primera de descubrimiento que es, en realidad, un "paso consistente en el uso de algoritmos concretos que generan una enumeración de patrones a partir de datos preprocesados". En román paladino, se trata de "sacar más jugo" de los datos de que se dispone que, a estas alturas, y tras unos cuantos años de historia con sistemas informáticos basados en bases de datos, no han de ser pocos en la mayoría de empresas. Hace ya un cierto tiempo suelo preguntarme cómo puede casar todo esto con la necesidad de respetar el secreto de los datos personales y, en concreto, sobre la compatibilidad de la minería de datos y de ese descubrimiento de conocimiento en bases de datos con la regulación legal vigente. Muchos de los datos (aunque no todos, eso es cierto) con los que trabaja la minería de datos son datos de afectan a personas y que quedan bajo la acción de determinadas leyes que, no por el hecho evidente de ser poco conocidas de los profesionales informáticos, dejan de tener vigencia. El hecho de que sean poco conocidas puede llevar incluso, como he podido ver en un anuncio en la prensa a que una empresa anuncie (tan recientemente como el 18 de mayo de 2003) una cadena de franquicias especializada en "asesorar a las empresas para que eviten una multa de 600.000 euros". En ese anuncio se recuerda que el 95% por ciento de las empresas incumplen hoy la Ley de Protección de Datos Personales (LPDP, Ley 59/1999 de 13 de diciembre) y, también la más reciente Ley de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSICE, Ley 34/2002 de 11 de julio). Curiosamente diré que, en ese anuncio, tal vez por mor de la brevedad parecen confundirse las dos leyes y, además, se da incompleto el nombre de la segunda. No se me oculta que muchos de los profesionales informáticos desconocen la LPDP, pese a lo mucho que les puede afectar (al menos crematísticamente) en su desempeño profesional. Nació en 1992 en la forma de la LORTAD (Ley Orgánica de Regulación de Tratamiento Automático de Datos) que, además, creaba la APD (Agencia de protección de Datos), una especie de "defensor del público" ante el posible atentado a la intimidad personal por parte de la informática (una protección que, por cierto, ya establece la misma constitución en un apartado de su artículo 18). Después de una directiva europea de 1995, la ley adquirió su forma final con la LPDP de 1999 que, pese a todo, sigue siendo la gran ignorada de la profesión informática. Volviendo a la minería de datos, debo decir que, por lo que conozco, me preocuparía abordar cualquier proyecto centrado en la minería de datos que pudiera incluir datos personales explícitamente protegidos por la ley respecto de su uso informático. Por ejemplo, el segundo apartado del artículo 4 de la LPDP explícita claramente que "los datos de carácter personal objeto de tratamiento no podrán usarse para finalidades incompatibles con aquellas para las que los datos hubieran sido recogidos". O, el apartado primero del artículo 6 recuerda que "el tratamiento de datos de carácter personal requerirá el consentimiento equívoco del afectado". A mi me parece (y ojalá me equivoque...) que, en el espíritu de esa ley y en una interpretación estricta de la misma, unos datos personales obtenidos para una determinada finalidad, difícilmente podrían ser usados para una finalidad distinta sin el permiso explícito de la persona afectada, y lo cierto es que no me consta que ese permiso se solicite en los proyectos de minería de datos que, además, en el caso de ser encargados a especialistas ajenos a la empresa, incurrirían en todo lo que afecta al artículo 12 de la LPDP: "Acceso a los datos por cuenta de terceros". En resumen, que tengo mis dudas sobre al posible legalidad de la minería de datos o, en su caso, me preocupa el hecho de que ciertos proyectos de minería de datos puedan ser multados con esos 600.000 euros (cien millones de pesetas) que, tan escandalosamente publicita el anuncio de marras. En cualquier caso, como toda precaución es poca, les recuerdo que pueden encontrar más información sobre la LPDP en la completísima y documentada página web de la Agencia de Protección de Datos (www.agenciaprotecciondatos.org) o consultando a su abogado más próximo.