Tratamiento de categorías especiales de datos.
Los VVA tienen acceso a información de carácter íntimo que puede protegerse en virtud del artículo 9 del RGPD, como los datos biométricos. Por lo tanto, los diseñadores y desarrolladores de VVA deben identificar cuidadosamente en qué casos el tratamiento implica categorías especiales de datos.
Consideraciones generales al tratar categorías especiales de datos.
Los VVAs pueden tratar categorías especiales de datos en diferentes circunstancias: (i) Como parte de sus propios servicios, por ejemplo, al gestionar las citas médicas en las agendas de los usuarios; (ii) Cuando actúan como interfaz para servicios de terceros, los proveedores de VVA procesan el contenido de los comandos. Un ejemplo podría ser cuando una usuaria emite órdenes a un VVA para que utilice una aplicación de terceros utilizada para hacer un seguimiento de su ovulación; y (iii) Cuando los datos de voz se utilizan con el fin de identificar de forma única al usuario.
Consideraciones específicas para el tratamiento de datos biométricos.
Algunos VVA tienen la capacidad de identificar de forma exclusiva a sus usuarios simplemente basándose en su voz. Este proceso se conoce como reconocimiento de plantillas de voz.
El reconocimiento de la voz del usuario sobre la base de una plantilla de voz equivale al tratamiento de categorías especiales de datos personales en el sentido del artículo 9 del RGPD (tratamiento de datos biométricos con el fin de identificar de manera única a una persona física). El tratamiento de datos biométricos con fines de identificación del usuario, requerirá el consentimiento explícito del sujeto o sujetos de los datos en cuestión.
Cuando se utilicen datos de voz para la identificación o autenticación biométricas, los responsables del tratamiento de datos deben hacer transparente dónde se utiliza la identificación biométrica y cómo se almacenan y propagan las huellas vocales (plantillas biométricas) entre los dispositivos.
Cuando el usuario registrado configura los VVAs para identificar la voz de sus usuarios, la voz de los usuarios no registrados y accidentales también será procesada con el fin de identificarlos de forma única. En otras palabras, la funcionalidad de reconocimiento de hablantes implementada en los asistentes de voz puede requerir que se registren los datos biométricos de la voz de las personas que hablan en el hogar, para permitir distinguir las características de la voz del usuario de las de la persona que desea ser reconocida. La identificación biométrica puede tener, por tanto, la consecuencia de someter a personas no informadas a un tratamiento biométrico, registrando su plantilla y comparándola con la del usuario que desea ser reconocido.
Para evitar esta recopilación de datos biométricos sin el conocimiento de los interesados y permitir al mismo tiempo que el usuario sea reconocido por el asistente, hay que dar prioridad a las soluciones basadas únicamente en los datos del usuario. En concreto, esto significa que el reconocimiento biométrico sólo se activa en cada uso a iniciativa del usuario, y no por un análisis permanente de las voces escuchadas por el asistente.
Mecanismos para Ejercer los Derechos de los Interesados.
En cumplimiento del RGPD, los responsables del tratamiento de datos que prestan servicios de VVA deben permitir a todos los usuarios, registrados y no registrados, ejercer sus derechos como interesados.
Los proveedores y desarrolladores de VVA deben facilitar a los interesados el control de sus datos durante todo el periodo de tratamiento, en particular facilitar su derecho de acceso, rectificación, supresión, su derecho a restringir el tratamiento y, en función de la base jurídica del tratamiento, su derecho a la portabilidad de los datos y su derecho de oposición.
El responsable del tratamiento debe proporcionar información sobre los derechos del interesado en el momento en que éste enciende un VVA y, a más tardar, en el momento en que se procesa la primera solicitud de voz del usuario.
Dado que el principal medio de interacción para los VVA es la voz, los diseñadores de VVA deben garantizar que los usuarios, registrados o no, puedan ejercer cualquier derecho del interesado, utilizando comandos de voz fáciles de seguir.
Los diseñadores de VVA y los desarrolladores de aplicaciones, en particular, deberían implementar herramientas específicas que proporcionen una forma eficaz y eficiente de ejercer tales derechos. Por lo tanto, deberían proponer para sus dispositivos una forma de ejercer los derechos de los interesados, proporcionándoles herramientas de autoservicio, como un sistema de gestión de perfiles.
En cuanto al ejercicio de los derechos de los interesados en caso de múltiples usuarios, cuando un usuario, registrado o no, ejerce uno de sus derechos, debe hacerlo sin perjuicio de los derechos de los demás usuarios.
Derecho de acceso
Según el artículo 12, apartado 1, del RGPD, la comunicación prevista en el artículo 15 debe realizarse por escrito o por otros medios, incluidos, en su caso, los medios electrónicos. Por lo que se refiere al acceso a los datos personales objeto de tratamiento, el artículo 15, apartado 3, establece que cuando el interesado presente la solicitud por medios electrónicos, y salvo que los interesados soliciten otra cosa, la información deberá facilitarse en un formulario electrónico de uso común. El interesado no debería estar obligado a comprar programas o equipos informáticos específicos para poder acceder a la información.
Por lo tanto, los responsables del tratamiento deben enviar, previa solicitud, una copia de los datos personales, y de los datos de audio (incluidas las grabaciones de voz y las transcripciones) en particular, en un formato común legible por el interesado.
Derecho de rectificación
Para facilitar la rectificación de los datos, los usuarios, registrados o no, deben poder gestionar y actualizar, en cualquier momento, sus datos por voz directamente desde el dispositivo VVA. Los usuarios deberían ser notificados por voz, o por escrito de la actualización.
Derecho al borrado
Los usuarios, registrados o no, deben poder, en cualquier momento, por voz desde el dispositivo VVA, o desde una herramienta de autoayuda integrada en cualquier dispositivo asociado al VVA, eliminar los datos que les conciernen.
El derecho de supresión pueda hacerse efectivo mediante la anonimización.
En algunos casos, sin una pantalla de terceros o la posibilidad de visualizar los datos almacenados (por ejemplo, una aplicación móvil o un dispositivo tabular), es difícil tener una vista previa de las pistas grabadas, para juzgar la pertinencia de las sugerencias. Para facilitar su uso, el asistente de voz debería disponer de un tablero (o de una aplicación) ampliamente accesible para borrar el historial de las peticiones realizadas y personalizar la herramienta en función de las necesidades del usuario.
Para cualquier tratamiento de datos y, en particular, cuando los interesados registrados consienten que las grabaciones de voz sean transcritas y utilizadas por el proveedor para la mejora de sus servicios, los proveedores de VVA deben poder, a petición del usuario, suprimir la grabación de voz inicial, así como cualquier transcripción relacionada de los datos personales.
El responsable del tratamiento debe garantizar que no se produzca ningún otro tratamiento tras el ejercicio del derecho de supresión.
Derecho a la portabilidad de los datos
El tratamiento de datos realizado por los proveedores de VVA entra en el ámbito de aplicación de la portabilidad de los datos, ya que las operaciones de tratamiento se basan principalmente en el consentimiento del interesado.
En la práctica, el derecho a la portabilidad de los datos debería facilitar el cambio entre diferentes proveedores de VVA. En el caso de los AVS que operan en un entorno digital, en particular cuando la voz del interesado se registra en una aplicación o plataforma, el derecho a la portabilidad de los datos debería concederse para todos los datos personales facilitados por el interesado.
Además, el responsable del tratamiento debería ofrecer a los usuarios la posibilidad de recuperar directamente sus datos personales desde su área de usuario. Los usuarios también deberían poder ejercer este derecho mediante un comando de voz.
Los proveedores y desarrolladores de VVA deben ofrecer a los interesados un amplio control sobre los datos personales que les conciernen, con el fin de permitirles transferir los datos personales de un proveedor de VVA a otro.
Este derecho debe permitir al usuario recuperar, para su uso personal, los datos que haya comunicado mediante su voz (por ejemplo, el historial de interacciones de voz) y en el marco de la creación de su cuenta de usuario (por ejemplo: nombre y apellidos), en particular.
En cuanto al formato, los proveedores de VVA deben proporcionar los datos personales utilizando formatos abiertos de uso común (por ejemplo, mp3, wav, csv, gsm, etc.) junto con los metadatos adecuados utilizados para describir con precisión el significado de la información intercambiada.
Leer la Primera parte
Leer la Segunda parte
