Frédéric Tronnier (GUF)
| Agradecimientos: El autor agradece a Jeanette Klonk, Andrès Chomczyk Penedo e Iñigo de Miguel Beriain |
En la siguiente sección se ofrecen recomendaciones para los investigadores que realicen una encuesta en el marco de un proyecto de investigación e innovación sobre las TIC. Su objetivo es que sean fáciles de entender, sencillas de aplicar, conformes a la normativa y adecuadas a la práctica científica.
Para que la encuesta sea legal y éticamente compatible, hay que tener en cuenta de antemano las cuestiones de protección de datos. Los investigadores deben consultar a su responsable de protección de datos (DPO) para recibir asesoramiento sobre cómo preparar y realizar una encuesta de forma que cumpla con el RGPD.
Planificación de la encuesta
Un principio clave de la protección de datos es minimizar los datos recogidos de los encuestados al mínimo necesario para lograr la tarea específica o el propósito para el que fueron recogidos -esto se llama minimización de datos-. Los investigadores deben evitar siempre cualquier intrusión innecesaria en la privacidad de los encuestados. Por lo tanto, los investigadores deben pensar en qué información específica necesitan para su propósito de investigación en la fase de planificación de la encuesta. Deben sopesar la importancia de los datos para el proyecto, el grado de intrusión de las preguntas de la encuesta y si pueden recoger la información pertinente mediante métodos menos invasivos.
Según el principio de minimización, los investigadores deben preferir los datos anonimizados a los datos personales. Si esto no es posible (y deben poder demostrar por qué no), los datos seudonimizados son la opción más recomendable. En cuanto a la cantidad de datos, el principio de minimización obliga a los investigadores a recopilar el menor número de datos posible. En este sentido, optar por un conjunto de datos amplio debe estar justificado. Los datos de categorías especiales, como los datos biométricos de las personas, no deben recogerse si no es estrictamente necesario. Las encuestas deben evitar las preguntas hipersensibles, es decir, aquellas que puedan perjudicar a los encuestados y/o a entidades relacionadas, como empleadores, partidos políticos u otros individuos.
Preparación de la encuesta
Antes de llevar a cabo la encuesta, los investigadores deben abordar cómo piensan informar a los posibles encuestados sobre los aspectos de protección de datos de la encuesta, es decir, sus derechos, cómo se realizará el tratamiento, si los datos se compartirán con terceros, etc. En particular, los investigadores deben planificar cuidadosamente cómo cumplir con cualquier solicitud de un sujeto de datos que ejerza uno de sus derechos.
Obtención del consentimiento informado de los encuestados
El consentimiento es una base jurídica para el tratamiento de datos según el RGPD. Aunque existen otros fundamentos jurídicos, como el interés público (véase el artículo 6 del RGPD), los investigadores deben preferir el consentimiento informado de los encuestados para procesar los datos personales. La búsqueda del consentimiento de una persona para participar en la investigación refleja el derecho de una persona a la autodeterminación y también su derecho fundamental a no sufrir interferencias corporales, ya sean físicas o psicológicas, y a proteger sus datos personales, así como la oportunidad de elegir lo que les sucederá o no. Se trata de principios éticos reconocidos por la normativa y las directrices sobre investigación en seres humanos.[1] (véase la sección de Consentimiento en estas Directrices)
Contratación en línea
En los últimos años, las redes sociales se han utilizado a menudo como herramienta para reclutar participantes en una encuesta. Sin embargo, esta práctica es muy preocupante desde el punto de vista de la protección de datos. Para empezar, no es fácil determinar la edad real del encuestado. Los usuarios de algunas herramientas de los medios sociales cuentan con un número impresionante de menores. Si un investigador recluta a un menor en una encuesta mediante el uso de herramientas de medios sociales, el consentimiento informado no será válido (a menos que se prevea el consentimiento de los padres en cumplimiento de la normativa nacional pertinente). Además, podría exponer a los menores a riesgos potenciales que podrían perjudicarlos. Preocupaciones similares se aplican a la población de edad avanzada o a otros tipos de individuos vulnerables, que podrían ser incapaces de manejar las tecnologías utilizadas por la encuesta.
El uso de herramientas y servicios
Es fundamental analizar previamente la legalidad de las herramientas y servicios que se van a utilizar para la encuesta. Esto incluye los servicios con los que se recogen, almacenan y analizan los datos de la encuesta. Los investigadores deben tener en cuenta los siguientes puntos relativos al proveedor de servicios utilizado:
- Ubicación de los servidores de la herramienta o de los proveedores de servicios. Lo ideal es que los datos se almacenen en la UE.
- Si los datos se envían a terceros.
- Disponibilidad, fiabilidad y reputación del proveedor de servicios.
- Certificación según la norma ISO 9001/27001 u otras normas internacionales.
- Despliegue de cookies a los encuestados.
- Si se puede demostrar el cumplimiento del RGPD y de la legislación nacional.
En general, los investigadores deben preferir proveedores de servicios con sede en la UE y que cumplan las normas europeas en materia de recogida, almacenamiento y análisis de los datos de la encuesta.
Cumplimiento de la legislación nacional, comunitaria e internacional
La creación y ejecución de la encuesta debe cumplir tanto la legislación europea como la nacional. En primer lugar, los responsables del tratamiento deben garantizar el cumplimiento del RGPD, así como de cualquier otra disposición pertinente de la UE. A continuación, deben comprobar el cumplimiento de la legislación nacional, ya que puede haber situaciones específicas relacionadas con la investigación o el tratamiento de datos de categorías especiales. Por ejemplo, el art. 89(3) del RGPD describe las salvaguardias y excepciones relacionadas con el tratamiento para lograr fines de investigación científica, pero la normativa nacional puede añadir otros requisitos.
A nivel internacional, la mayor parte de los documentos jurídicos pertinentes son normas no vinculantes para las personas físicas y jurídicas, es decir, no son jurídicamente vinculantes. No obstante, existen directrices relevantes, como las “Directrices sobre la protección de la privacidad y el flujo transfronterizo de datos personales” de la OCDE (2013) y la “Recomendación del Consejo sobre la gestión de los riesgos de la seguridad digital para la prosperidad económica y social” (2015), que los investigadores deben tener en cuenta. Por lo tanto, los investigadores deben estar al tanto de la nueva y próxima normativa, así como de los cambios en la normativa existente, ya sea nacional o internacional.
Al comprender plenamente las complicaciones jurídicas y éticas de la recogida y el tratamiento de datos personales en un proyecto, los responsables del tratamiento pueden garantizar que se respetarán las disposiciones jurídicas aplicables al tratamiento de datos personales durante todo el transcurso del proyecto. Como norma general, todos los datos personales deben procesarse de acuerdo con las disposiciones europeas de protección de datos, incluso si los datos se obtienen fuera de la UE. Si su encuesta se lleva a cabo en un país no perteneciente a la UE, recuerde que la legislación nacional puede variar y asegúrese de cumplir todas las normas nacionales de protección implicadas, así como de mantener el cumplimiento de las leyes europeas e internacionales sobre protección de datos. Preste especial atención a las normas y reglamentos éticos derivados de las leyes y directivas nacionales. Estas directivas nacionales pueden requerir intervenciones éticas específicas adicionales.
Tras la realización de la encuesta: criterios de retirada
Por diversas razones, un participante en la encuesta puede retirarse de ella en cualquier momento después de haberla realizado. Los datos obtenidos del encuestado deben eliminarse inmediatamente y no utilizarse en los resultados posteriores. Los procedimientos de retirada deben cumplir con la legislación nacional y de la UE y no tener consecuencias para el encuestado. Lo mismo se aplica si su encuesta forma parte de una serie de encuestas. Por lo tanto, la retirada de un participante no sólo debe conducir a la eliminación de los datos de la última encuesta, sino también a la eliminación de los datos de las encuestas anteriores. Debe informar a los participantes en la encuesta sobre el plazo en el que ya no pueden ejercer su derecho a retirar el consentimiento, si los datos van a ser agregados y anonimizados. Si los datos se anonimizan, ya no se consideran datos personales y deja de aplicarse el RGPD. Borrar los datos de los datos agregados puede ser entonces demasiado costoso, o directamente imposible. La norma ISO/IEC 20889 ofrece una visión general de la terminología y las técnicas de desidentificación de los datos para mejorar la privacidad que pueden aplicarse para (pseudo)anonimizar los datos. Del mismo modo, el derecho al olvido no es absoluto y no se aplica a los fines de la investigación científica si se establecen las salvaguardias adecuadas, de conformidad con el artículo 89 (1) del RGPD.
Más información
|
| Qué hacer |
|
| Lo que no hay que hacer |
|
| Más información |
|
- Para una visión general de la ética en las TIC: Ética de las tecnologías de la información y la comunicación. 2012. Grupo Europeo de Ética en la Ciencia y las Nuevas Tecnologías a la Comisión Europea. Dictamen nº 26. Doi: 10.2796/13541 ↑