Advierten sobre preocupaciones en torno a la privacidad de los datos de salud mientras Ottawa intensifica su estrategia de IA

Advierten sobre preocupaciones en torno a la privacidad de los datos de salud mientras Ottawa intensifica su estrategia de IA

• Expertos en salud señalan «vacíos críticos» en las actualizaciones propuestas para la regulación de la privacidad

¿Debería una empresa privada que maneja sus datos personales de salud poder decir que tiene un «interés legítimo» que le permite recopilar y utilizar su información sin su consentimiento?

Esa es solo una de las preocupaciones que plantean los críticos de la propuesta legislativa sobre privacidad de Canadá, en un comentario reciente publicado en el *Canadian Medical Association Journal* (CMAJ).

Este verano, el gobierno federal anunció una actualización de las leyes de privacidad del sector privado en Canadá, la cual reconocería la privacidad como un derecho fundamental, reforzaría la transparencia en torno a las decisiones automatizadas tomadas por sistemas —incluida la inteligencia artificial (IA)— y permitiría a las personas solicitar la eliminación de su información personal en determinadas circunstancias.

Presentado como un «elemento clave» de la estrategia canadiense «IA para todos» (*AI for All*), el gobierno federal afirmó en su anuncio que el proyecto de ley propuesto «establecerá salvaguardas claras para proteger la información personal de los canadienses en un mundo digital que cambia rápidamente».

Sin embargo, en dicho comentario, investigadores del ámbito de la salud señalan que el Proyecto de Ley C-36, la *Ley de Protección de la Privacidad y los Datos de los Consumidores* (Protecting Privacy and Consumer Data Act), «contiene vacíos críticos que dejan expuestos los datos de salud sensibles».

Según la ley propuesta, las empresas del sector privado podrían «recopilar, utilizar o divulgar la información personal de un individuo sin su conocimiento ni consentimiento», siempre que aleguen un «interés legítimo» que prevalezca sobre cualquier daño «razonablemente previsible» para dicha persona.

«Lo preocupante de esto es que es la propia empresa la que toma la decisión», afirma la Dra. Sheryl Spithoff, médica investigadora del Women’s College Hospital de Toronto y coautora del comentario publicado en el CMAJ.

«Esto otorga a estas empresas una discrecionalidad significativa para utilizar los datos de pacientes o particulares sin su consentimiento».

¿Qué se considera un «interés legítimo»?
El proyecto de ley exige a las empresas documentar sus intereses legítimos, realizar evaluaciones de impacto en la privacidad para valorar los riesgos para los individuos y estar preparadas para proporcionar esta información cuando se les solicite. No obstante, Spithoff sostiene que las empresas deberían estar obligadas a informar a los organismos reguladores desde el principio, y que esta cláusula de «interés legítimo» debería reservarse únicamente para casos excepcionales. «Además, debería haber estándares más estrictos para la información sensible, como los datos personales de salud», señaló.

El comentario publicado en el CMAJ señaló que el Reglamento General de Protección de Datos de la Unión Europea exige un nivel de prueba muy elevado y especifica que el «interés legítimo» no prevalece sobre las «libertades y derechos fundamentales» de los titulares de los datos en cuestión. El proyecto de ley C-36 no contempla este tipo de salvaguardas.

Cuando CBC News preguntó a la oficina del ministro Evan Solomon qué se considera un «interés legítimo» y qué medidas de protección existen para evitar que los datos de salud privados se vendan a empresas del sector privado, la oficina del ministro se limitó a repetir la definición que figura en el proyecto de ley.

«Las organizaciones que se acojan a esta excepción estarán sujetas a salvaguardas, lo que incluye la obligación de evaluar los riesgos para la privacidad y adoptar medidas para mitigarlos», indicó la oficina del ministro en un comunicado, sin ofrecer más detalles sobre en qué consisten dichas salvaguardas.

Datos vendidos a empresas farmacéuticas
El año pasado, un estudio en el que participó Spithoff reveló que los datos de salud de millones de canadienses —incluidos detalles sobre su historial médico y sus recetas— fueron sometidos a un proceso de eliminación de elementos identificativos para, posteriormente, ser vendidos a empresas farmacéuticas.

Un estudio revela que los datos de salud de millones de canadienses están a la venta para la industria farmacéutica.

En aquel momento, los autores del estudio advirtieron que, si bien este intercambio de información podría mejorar la atención al paciente, también conlleva el riesgo de que las empresas farmacéuticas privadas utilicen estos datos para anteponer sus intereses económicos a los de los pacientes, lo que podría derivar en un aumento de los precios.

Otras jurisdicciones también están abordando problemas de privacidad similares.

A principios de este año, se presentó una demanda colectiva contra la empresa Tempus AI, con sede en Chicago. La demanda alega que, tras adquirir la firma de pruebas genéticas Ambry Genetics, Tempus AI obligó a dicha empresa a entregar los datos genéticos y clínicos de los pacientes, utilizó esta información para entrenar sus sistemas de inteligencia artificial y, posteriormente, vendió dichos datos a empresas farmacéuticas y biotecnológicas sin el consentimiento ni el conocimiento de los pacientes.

El proyecto de ley C-36 exige que la información personal sea «desidentificada» mediante la modificación de datos personales, como los nombres o la información de las tarjetas sanitarias. Sin embargo, a los investigadores les preocupa la posibilidad de que, a medida que avancen las herramientas de inteligencia artificial, se produzca una «reidentificación», lo que permitiría vincular de nuevo la información sensible con personas concretas. «Existen preocupaciones muy reales de que ya nada pueda anonimizarse de manera adecuada o completa… dada la cantidad de otros datos disponibles y la potencia de las tecnologías de IA», señaló Teresa Scassa, titular de la Cátedra de Investigación de Canadá en Derecho y Política de la Información en la Universidad de Ottawa y coautora del comentario publicado en el CMAJ.

Scassa señala que los datos a los que se les ha eliminado la identificación —o incluso los datos anonimizados— pueden permitir establecer correlaciones y vínculos que afecten negativamente a las personas, aunque estas no aparezcan identificadas en dichos conjuntos de datos.

Explica que, a partir de estos datos, se puede elaborar un perfil de una persona indicando que tiene un alto riesgo de padecer una afección médica cuyo tratamiento resultaría costoso; en consecuencia, es posible que dicha persona no cumpla los requisitos para acceder a determinados tipos de seguros.

Según el proyecto de ley, la reidentificación deliberada de información personal constituiría una infracción; no obstante, Scassa advierte que demostrar este hecho podría resultar difícil.

Los datos anonimizados siguen conllevando riesgos
A los críticos también les preocupa que la legislación propuesta solo abarque la información a la que se le ha eliminado la identificación, dejando sin protección lo que se denomina «datos anonimizados».

De acuerdo con el proyecto de ley, la eliminación de la identificación consiste en «modificar la información personal de modo que no sea posible identificar directamente a un individuo a partir de ella, aunque persiste el riesgo de que dicha identificación pueda producirse». Por su parte, los datos anonimizados —tal como se definen en el texto— son aquellos a los que se les ha retirado la información personal de forma «irreversible y permanente», de modo que no existe un riesgo «razonablemente previsible» de identificar a una persona.

Sin embargo, los expertos advierten que los datos anonimizados siguen entrañando riesgos; de hecho, son precisamente estos datos los que se utilizan para entrenar sistemas de inteligencia artificial (IA).

«El uso de información en sistemas de inteligencia artificial conlleva riesgos, y no disponemos de mecanismos para regularlo», afirmó Scassa.

El análisis explica que los datos anonimizados —que quedarían fuera del ámbito de aplicación de la ley— suelen reflejar sesgos sociales. Cuando estos sesgos se incorporan a los sistemas de IA, pueden derivar en la discriminación de personas que comparten determinadas características.

Los autores citan un ejemplo de esta discriminación ocurrido en Estados Unidos: un algoritmo, utilizado habitualmente para asignar recursos hospitalarios, destinaba menos recursos a las personas negras que a las blancas.

«[Los investigadores] descubrieron que esto sucedía porque el algoritmo basaba la asignación de recursos futuros en el uso previo de los recursos del sistema sanitario», señaló Spithoff.

Beneficios de los datos sanitarios
Si bien los expertos reconocen que existen preocupaciones legítimas en torno al uso de datos sanitarios sensibles, otros médicos destacan que, cuando esta información se emplea de forma segura, resulta fundamental para avanzar en la investigación sanitaria. El Dr. Amol Verma es médico y científico en el Hospital St. Michael de Toronto. Dirige una red de investigación hospitalaria llamada VITAL, la cual facilita a las organizaciones sanitarias de todo el país el acceso a datos hospitalarios anonimizados.

Explica que su red colabora con hospitales y utiliza herramientas de inteligencia artificial para que los datos de salud puedan emplearse en la investigación y la innovación, garantizando al mismo tiempo la privacidad de los pacientes.

«Hemos logrado mejorar la eficiencia de la atención hospitalaria, reduciendo de forma segura el tiempo que las personas pasan en el hospital, sin aumentar los riesgos para los pacientes», señaló Verma.

Verma afirma que la preocupación por la privacidad no constituye, necesariamente, un obstáculo para la innovación.

«Creo que la única manera de fomentar la innovación basada en datos dentro de nuestro sistema sanitario es avanzando simultáneamente en la innovación y en la protección de la privacidad».