El RGPD permite el tratamiento de datos personales con fines de investigación científica bajo varias bases jurídicas posibles. La más utilizada es el interés público (artículo 6.1.e), especialmente para investigación financiada con fondos públicos o realizada por instituciones públicas. También es posible usar el consentimiento (artículo 6.1.a), aunque el RGPD permite una gestión más flexible del consentimiento en investigación científica: puede ser recabado de forma genérica para categorías amplias de investigación sin necesidad de especificar cada finalidad concreta, siempre que se respeten los principios éticos. Para categorías especiales de datos (salud, origen racial, datos biométricos), se aplican además las excepciones del artículo 9.2.j (investigación científica con salvaguardias adecuadas) y 9.2.i (salud pública). Las nuevas directrices del EDPB clarifican cómo aplicar estas bases jurídicas en contextos de big data e IA, donde el tratamiento es particularmente complejo.

Una Evaluación de Impacto en Protección de Datos (EIPD o DPIA) es obligatoria en proyectos de investigación cuando el tratamiento de datos personales conlleva un alto riesgo para los derechos y libertades de las personas. En el contexto específico de la investigación científica, son especialmente frecuentes los casos que requieren EIPD: proyectos que tratan datos especialmente sensibles (salud, datos genéticos, datos biométricos) a gran escala, investigaciones que utilizan técnicas de análisis de comportamiento o perfilado de personas, proyectos que reutilizan datos recogidos inicialmente con otras finalidades, investigaciones que implican transferencias internacionales de datos a países sin nivel de protección adecuado, y proyectos que combinan múltiples fuentes de datos que individualmente pueden ser anónimas pero que combinadas permiten re-identificar personas. Las nuevas directrices del EDPB refuerzan la obligatoriedad y el contenido mínimo de las EIPD en proyectos de investigación con tratamiento intensivo de datos personales.

Sí, pero con limitaciones importantes y bajo condiciones estrictas. Para usar datos personales de usuarios en el entrenamiento de modelos de IA, la empresa debe contar con una base jurídica válida bajo el RGPD: el consentimiento informado y específico del usuario (que debe incluir el entrenamiento de IA como finalidad explícita), el interés legítimo (que requiere que no prevalezcan los derechos de los interesados, lo que en el contexto del entrenamiento de IA generalmente es difícil de justificar), o en algunos casos el interés público. Además, debe aplicar principios de minimización de datos (usar solo los datos necesarios), pseudonimización o anonimización siempre que sea posible, y asegurarse de que los usuarios puedan ejercer sus derechos (incluyendo el derecho a oponerse al uso de sus datos para el entrenamiento de IA). El EDPB y varias autoridades nacionales como la AEPD han emitido advertencias y multas a empresas que han entrenado IA con datos de usuarios sin base jurídica adecuada.

Las salvaguardias adecuadas en el tratamiento de datos para investigación científica son las medidas técnicas y organizativas que las organizaciones deben implementar para reducir los riesgos del tratamiento cuando se invocan las excepciones del RGPD para investigación. Las principales salvaguardias reconocidas son: la pseudonimización o anonimización de los datos tan pronto como sea posible dado el objetivo de la investigación, el establecimiento de controles de acceso estrictos (solo acceden a los datos quienes estrictamente necesitan hacerlo para el proyecto), la aprobación del proyecto por un comité de ética independiente, la obligación de confidencialidad para todos los investigadores que accedan a los datos, la publicación de los resultados de la investigación en forma agregada que impida la identificación de personas concretas, y la eliminación de los datos personales una vez finalizada la investigación. Las nuevas directrices del EDPB detallan cómo estas salvaguardias deben implementarse específicamente en proyectos de IA e investigación con big data.

Un centro de investigación —ya sea una universidad, un hospital, un instituto de I+D o una empresa de ciencia de datos— necesita asesoramiento jurídico especializado en varias dimensiones. En la fase de diseño del proyecto: determinar la base jurídica más adecuada para el tratamiento, decidir si se requiere EIPD y realizarla, y revisar los acuerdos de consorcio con otros socios investigadores para incluir las cláusulas de protección de datos necesarias. En la fase de ejecución: elaborar o revisar los formularios de consentimiento informado, gestionar los derechos de los participantes (acceso, rectificación, supresión), y controlar las transferencias de datos a terceros países si el consorcio es internacional. En la fase de resultados: verificar que la publicación de resultados no permite re-identificar a personas, gestionar la conservación o eliminación de los datos tras la finalización del proyecto, y mantener la documentación de cumplimiento actualizada. Y en caso de incidentes: gestionar brechas de seguridad que afecten a datos de investigación y coordinar la notificación a la AEPD dentro del plazo de 72 horas.