Metaverso y Privacidad: Retos en Protección de Datos y Seguridad Digital

Aunque, tras un primer revuelo, el metaverso parece estar lejos todavía de convertirse en una realidad, no podemos descartar los riesgos para la privacidad y la protección de datos que traerá consigo, especialmente porque algunas instancias de lo que será el metaverso y las tecnologías que lo harán posible ya están funcionando. En este artículo echamos una mirada hacia el futuro para analizar los riesgos y retos del metaverso para la protección de datos y la privacidad.

¿Qué es el metaverso?

El metaverso es una combinación entre el mundo físico y el mundo digital, es decir, un lugar virtual donde, a través del uso de diferentes tecnologías (gafas de realidad virtual, gafas de realidad aumentada, guantes y otras prendas o dispositivos hápticos, etc.), los usuarios podrán sumergirse e interactuar con otras personas y objetos como si lo hicieran en el mundo real. De manera que en el metaverso se podrán llevar a cabo diferentes tipos de actividades (reuniones de trabajo, asistir a clases, viajes virtuales, juegos, compras…), algunas de las cuales podrían tener efecto en el mundo real (por ejemplo, comprar online en el metaverso y recibir esa compra en casa).

En cierto sentido, aunque alejados aún del futuro metaverso de Facebook (y de ese metaverso que podemos ver en películas o novelas de ciencia ficción como Ready Player One), ya existen metaversos actuales, como los que podemos encontrar en los videojuegos online (especialmente los que tienen un alto componente de interacción social) o, quizás uno de los ejemplos de metaverso más evidente, Second Life, un mundo virtual en el que podías tener una «vida paralela» completamente digital.

Evidentemente, a estos metaversos actuales lo que les falta es el componente de la inmersión, algo que los sistemas de realidad virtual y la tecnología háptica están más cerca de conseguir.

De cara a su desarrollo en el futuro, uno de sus aspectos más destacados será su capacidad para replicar el mundo físico en un entorno digital, difuminando las líneas entre ellos gracias al uso de las tecnologías ya citadas, la inteligencia artificial y el blockchain. Sin embargo, esta inmersión profunda conllevará una recopilación masiva de datos personales, de todo tipo, desde simples preferencias hasta datos biométricos como expresiones faciales y patrones de movimiento.

Además, otra característica particular del metaverso es que no estará controlado por una sola entidad, ya que muchas de las plataformas que formarán parte de él funcionarán bajo un modelo descentralizado, en lo que se ha venido a conocer como Decentralized Autonomoues Organizations (DAOs). Esta descentralización plantea dudas sobre la regulación y supervisión de los datos personales, dado que cada plataforma puede operar bajo diferentes normas de privacidad y seguridad y la normativa actual de protección de datos no habla del tratamiento de datos en mundos virtuales.

Desafíos de privacidad en el metaverso

Tal y como ha ocurrido con las redes sociales, el uso de aplicaciones, el comercio electrónico y otros servicios digitales, que ya supusieron nuevos retos para la protección de datos, retos que desembocaron en la creación del RGPD (Reglamento General de Protección de Datos) en Europa, el metaverso también trae consigo una serie de desafíos para la privacidad que pueden implicar la creación de nuevas leyes o la adaptación de las ya existentes.

Para empezar, esas nuevas tecnologías necesarias para entrar al metaverso capturarán y registrarán datos biométricos, unos datos que dentro del RGPD son considerados como datos sensibles cuando se destinan a la identificación inequívoca de una persona a través de medios automatizados.

Es cierto que las actuales tecnologías de los denominados wearables (como las smartbands), así como el reconocimiento facial o el escaneo de la huella dactilar o del iris, por citar algunos ejemplos, son ya formas de tratamiento de datos biométricos que el propio RGPD y la Ley Orgánica de Protección de Datos vienen regulando desde que están en vigor, por lo que las limitaciones para el uso de este tipo de datos personales ya existe, aunque habría que ver hasta qué punto esas nuevas tecnologías podrían llegar a capturar nuevos tipos de datos biométricos que hasta ahora no se tenían en consideración (en concreto, aquellos relacionados con la información neuronal de los usuarios).

Esto plantea una posible revisión y actualización de la protección de datos en realidad aumentada y virtual, especialmente cuando a través de ellas se están tratando datos biométricos.

Pero no solo se trata de datos biométricos; los usuarios, en sus interacciones con el metaverso, generarán más datos que podrán recabarse y usarse para diferentes fines, tal y como ocurre actualmente con nuestra huella digital. Por lo que será necesario trasladar el consentimiento expreso para la recolección y uso de esos datos por parte de los usuarios. El reto surge cuando, como ocurre con las cookies técnicas, parte de la recolección y tratamiento de esos datos sea necesaria para el funcionamiento del metaverso, lo que haría del consentimiento informado algo no completamente obligatorio y podría dejar la puerta abierta a la recolección y tratamiento de una gran cantidad de datos (y metadatos) personales sin que el usuario tenga realmente control sobre ello.

¿Y quién recabará y tratará esos datos? En principio, serán las grandes tecnológicas, no muy diferente a lo que ya ocurre en la actualidad, por lo que el reto está, nuevamente, en controlar los datos que son transferidos y tratados en países fuera de la UE.

El metaverso también planteará retos relacionados con la protección de la intimidad y el derecho al honor y la propiedad intelectual, en el sentido de hasta qué punto los límites legales relacionados con estos derechos en el mundo real se pueden trasladar al propio metaverso. Algo que ya podemos extrapolar desde lo que ocurre en redes sociales y plataformas para compartir contenidos creados por los usuarios y que la UE quiere legislar con su Ley de Servicios Digitales y de Mercados Digitales.

Las criptomonedas en el metaverso y otros criptoactivos, como los NFT, son otro de los desafíos para los países y regulaciones internacionales, puesto que se espera que las transacciones económicas en los metaversos se hagan usando criptomonedas, algo que podría escapar completamente al control de la ley y de las haciendas de cualquier país; pese a que las criptomonedas en España y en la UE ya cuentan con una pequeña legislación (relacionada con el blanqueo de capitales), esta todavía es insuficiente y, de cara al futuro uso de estas en el metaverso, más aún.

En definitiva, podemos hablar de un gran desafío: la regulación de metaversos descentralizados. ¿Cómo podrán aplicarse leyes a mundos digitales para evitar que estos se conviertan en una especie de «países soberanos independientes», donde quien crea las reglas es la gran empresa tecnológica de turno?

Riesgos del metaverso para la privacidad y la protección de datos

Dada la propia concepción datificada del metaverso, su uso podría llegar a ser muy intrusivo en lo que a nuestra privacidad se refiere. En este mundo digital los datos lo son todo y los usuarios, como hemos dicho en el punto anterior, generarán datos continuamente, que serán capturados, analizados y explotados por diferentes agentes del metaverso.

Ya hemos dicho la capacidad que wearables y gafas de realidad virtual tienen para captar nuevos datos biométricos. Si a estas tecnologías sumamos las futuras interfaces neuronales (que son las que más potencial tienen para sumergirnos en el metaverso y hacernos vivir una experiencia «real» en él), la capacidad para perfilar a los usuarios aumenta exponencialmente con respecto a lo que se puede hacer actualmente. Es muy posible que del análisis de los datos recopilados a través de esas tecnologías, se obtenga información sobre los usuarios de la que ellos no sean conscientes y que, quizás, no quisieran revelar.

Si el mundo digital actual y el tratamiento de datos personales que se genera en él, ya puede causar riesgos para la privacidad y para los derechos y libertades de las personas, la concurrencia de las tecnologías que hacen o harán posible el futuro metaverso multiplican esos riesgos. Hablamos de discriminación, de fraude, de suplantación de identidad, de vigilancia masiva, así como de riesgos que podrían, incluso, pasar del mundo digital al mundo físico, al explotar posibles vulnerabilidades en los dispositivos que usemos para interactuar con el metaverso.

Por ejemplo, uno de los riesgos más preocupantes es la posibilidad de robo de identidad digital. Con el nivel de detalle de los datos recopilados, un atacante podría suplantar a un usuario con facilidad, accediendo a sus redes y recursos digitales. Esto subraya la necesidad de implementar medidas de seguridad robustas que protejan tanto la identidad como la huella digital de los usuarios.

Tampoco podemos olvidar que el uso de tecnologías como el blockchain presenta riesgos relacionados con la permanencia de la información. Una vez que los datos se almacenan en una cadena de bloques, su eliminación o modificación es casi imposible, lo que puede contravenir los derechos de los usuarios a la supresión de sus datos.

Además, las «leyes» que gobiernen estos metaversos descentralizados también se basarían en el uso del blockchain y, de forma similar a lo que ocurre con los smart contracts, las reglas se ejecutarán de manera automática, siendo los algoritmos los que tomen las decisiones, desplazando así cualquier tipo de regulación humana, lo que plantea sus propios desafíos para la gestión de riesgos de privacidad en el metaverso.

La protección de datos en entornos virtuales descentralizados

Lo hemos adelantado ya; en los metaversos descentralizados, la ausencia de una autoridad central complica la aplicación de leyes y normativas tradicionales como el RGPD. Las plataformas operan bajo estructuras distribuidas, donde las decisiones se toman colectivamente a través de DAOs. Esto puede dificultar la implementación de medidas coherentes de protección de datos.

El consentimiento informado es un pilar fundamental en la protección de datos, pero su aplicación en el metaverso enfrenta desafíos únicos. Los usuarios deben ser informados claramente sobre cómo se recopilan, procesan y comparten sus datos. Sin embargo, la complejidad técnica de las plataformas descentralizadas a menudo dificulta la comprensión y gestión de este consentimiento.

Además, la falta de un marco regulatorio global específico para los metaversos descentralizados aumenta la incertidumbre. Esto subraya la necesidad de desarrollar estándares internacionales que permitan la interoperabilidad sin comprometer la privacidad y seguridad de los datos.

La identidad digital y huella en el metaverso

La identidad digital en el metaverso no se limita a un simple avatar. Representa una colección de datos que describen quiénes somos en el mundo virtual, desde características personales hasta preferencias y comportamientos. Esto plantea retos significativos para la protección de la privacidad, ya que cada interacción deja un rastro que puede ser explotado.

La gestión de esta identidad requiere tecnologías avanzadas que permitan a los usuarios mantener el control sobre sus datos. Una solución emergente es la identidad digital soberana (SSI), que otorga al individuo la capacidad de gestionar su propia información personal sin depender de intermediarios.

Identidad digital soberana y sus ventajas

La SSI ofrece numerosas ventajas en términos de privacidad y seguridad. Permite a los usuarios compartir únicamente la información necesaria con las plataformas, reduciendo la exposición y el riesgo de mal uso de datos. Además, al operar en un marco descentralizado, la SSI proporciona un control total sobre la identidad digital, facilitando la portabilidad y el uso seguro de los datos entre diferentes plataformas del metaverso.

Sin embargo, su implementación presenta desafíos. Requiere una infraestructura robusta y un cambio cultural que eduque a los usuarios sobre sus beneficios. A pesar de estos obstáculos, la SSI se perfila como una solución clave para fortalecer la protección de datos en entornos virtuales, tal y como demuestra la actualización del Reglamento eIDAS2 para introducir la cartera europea de identidad digital.

Retos legales y normativos en el metaverso

El metaverso plantea un desafío significativo para los marcos regulatorios actuales. Las leyes de protección de datos, como el RGPD, deben adaptarse para abordar las particularidades de estos entornos digitales, y también se hace necesario que otras normativas aborden cuestiones específicas respecto a la privacidad en el metaverso. Esto incluye la gestión de datos en tiempo real, la interoperabilidad entre plataformas y la aplicación de los derechos de los usuarios en entornos descentralizados.

El rol del RGPD y otras normativas europeas

El RGPD parece que podría ser suficiente para hacer frente a algunos de los retos que plantea el metaverso respecto a la privacidad y la protección de datos, a fin de cuentas, ya hemos visto que los datos biométricos están amparados por esta normativa y, por tanto, su uso también, por lo que ya sabemos qué limitaciones hay respecto al tratamiento y la finalidad de dicho tratamiento de este tipo de datos.

Lo mismo ocurre con los datos que se puedan generar en las interacciones con el metaverso; la publicidad dirigida va a estar más regulada por la Ley de Servicios Digitales, por lo que los usuarios tendrán, en teoría, más control sobre quién y cómo se les rastrea al usar determinados servicios en Internet y esto puede incluir al metaverso también. Tanto esta ley como el RGPD son flexibles en ese aspecto, dejando espacio para modificaciones e introducción de nuevos aspectos, según avanza la tecnología.

Además, el RGPD establece la protección desde el diseño y por defecto, algo que debe aplicarse a cualquier tratamiento de datos y, por extensión, a cualquier tecnología que implique el tratamiento de datos personales, como lo serán aquellas que se usen para entrar e interactuar en el metaverso. Por lo tanto, sus desarrolladores y aquellos que vayan a implementarlas, deben aplicar ese principio del RGPD cuando traten con usuarios de la UE.

Otras leyes con las que se podrán hacer frente a los desafíos regulatorios y riesgos para la privacidad en el metaverso son el Reglamento de Inteligencia Artificial, la Ley de Gobernanza de Datos, la Ley de Datos y la Ley de Mercados Digitales.

En cualquier caso, se deberá seguir trabajando, desde las instituciones nacionales y europeas, para reforzar aspectos relativos al metaverso como la interoperabilidad, la estandarización, la propiedad intelectual e industrial, la competencia, el almacenamiento de datos y la ciberseguridad, así como mejorar la protección de los derechos de los usuarios.

La descentralización y la virtualidad del metaverso supone un reto, cómo ya hemos visto, pero que algo no esté en el mundo físico, no tendría que implicar que no pueda regularse de la misma forma.

 

Consentimiento y derechos digitales en el metaverso

El consentimiento informado es clave para garantizar que los usuarios tengan control sobre sus datos. Sin embargo, en el metaverso, este consentimiento debe evolucionar para adaptarse a las interacciones complejas y en tiempo real. Las plataformas deben ofrecer herramientas claras y accesibles para que los usuarios gestionen sus preferencias y ejerzan sus derechos.

En las plataformas tradicionales, el consentimiento suele ser una acción puntual, como marcar una casilla o aceptar los términos de un contrato. Sin embargo, en el metaverso, donde las interacciones son continuas e inmersivas, este modelo no es suficiente. Los usuarios están constantemente generando datos mientras navegan, interactúan con otros avatares o utilizan funciones personalizadas. Por ello, las plataformas deben implementar mecanismos de consentimiento dinámico, que permitan a los usuarios modificar sus preferencias de privacidad sobre la marcha.

Por ejemplo, una plataforma podría ofrecer un panel de control intuitivo que muestre en tiempo real qué datos se están recopilando, con opciones para limitar o detener esta recopilación de forma inmediata. Este enfoque garantizaría un nivel de transparencia y control que se alinea con los principios del RGPD.

Asimismo, el metaverso también plantea la necesidad de ampliar el alcance de los derechos digitales. Además de los derechos ya reconocidos, como el acceso, rectificación y supresión de datos, los usuarios deberían contar con nuevos derechos adaptados a las particularidades de estos entornos. Por ejemplo, el derecho a la portabilidad de la identidad digital, que les permitiría trasladar sus perfiles y datos entre diferentes plataformas del metaverso sin pérdida de control.

Sin embargo, garantizar estos derechos requiere un esfuerzo coordinado entre las plataformas y los reguladores. Las plataformas deben invertir en tecnologías que faciliten la ejecución de estos derechos, mientras que los reguladores deben desarrollar marcos específicos para supervisar y garantizar su cumplimiento.

Evaluación de impacto en privacidad para proyectos de metaverso

Las evaluaciones de impacto de privacidad son esenciales para identificar y mitigar riesgos en los proyectos de metaverso. Estas evaluaciones permiten a las organizaciones anticiparse a posibles problemas y garantizar el cumplimiento normativo desde las fases iniciales del desarrollo.

Las evaluaciones de impacto en privacidad para proyectos de metaverso deben considerar, aparte de los elementos ya presentes en las EIPD, factores como la interoperabilidad entre plataformas y la integración de tecnologías descentralizadas como el blockchain.

Por ejemplo, un proyecto que utilice realidad aumentada para eventos virtuales debe evaluar cómo se protegerán los datos visuales y auditivos capturados durante estas experiencias. Esto incluye la información que otros usuarios pueden recopilar, así como la protección contra la vigilancia no autorizada o el uso indebido de imágenes y sonidos.

Cabe señalar que para ser efectivas, las evaluaciones de impacto en privacidad deben implementarse en las etapas más tempranas del desarrollo de un proyecto de metaverso. Esto permite a las organizaciones identificar riesgos potenciales y tomar medidas preventivas antes de que el proyecto se lance al público. Además, son un medio valioso para demostrar cumplimiento normativo a las autoridades reguladoras y a los usuarios.

¿Qué deben tener en cuenta las empresas que quieran trabajar en el metaverso y cumplir con la ley de protección de datos?

Como ya ocurre con las redes sociales, es más que probable que las empresas también quieran formar parte del metaverso, tener su presencia en este mundo digital e interactuar con sus trabajadores y clientes en él. Por ello, es necesario que las empresas que vayan a querer tener esa presencia en el metaverso, se aseguren también de que cumplen con la ley de protección de datos.

Así, esas empresas deberán conocer y cumplir estrictamente con lo dispuesto en la normativa de protección de datos y también con la Ley de Servicios Digitales, así como otras leyes europeas relacionadas ya citadas; el metaverso, como hemos dicho, no tendrá una ubicación real, pero el procesamiento y tratamiento de los datos capturados en él sí, ya sea en países de la UE o fuera de ella.

Si la empresa va a hacer uso o tener acceso a los datos biométricos de empleados o usuarios con los que se interaccione en el metaverso, deberá cumplir con los requisitos tanto de información como de consentimiento expreso para el tratamiento de dichos datos. Consentimiento que deberá renovar cada cierto tiempo, puesto que la conservación de estos datos no debería ser indefinida.

Asimismo, y como ya hemos señalado, será necesario que la protección de la privacidad esté integrada en el diseño de la propia tecnología o en el uso que se quiere hacer de ella. Además, se deberán implementar las medidas de seguridad adecuadas para garantizar la protección de esa privacidad.

Las empresas que operen en el metaverso y especialmente si ofrecen servicios gratuitos, deberán ofrecer a sus usuarios políticas de privacidad clara, en las que se especifique si ese «uso gratuito» es a cambio de información personal (no muy diferente a lo que ya es obligatorio hacer con los formularios de suscripción para poder tener acceso a determinados materiales de una web) y para qué fines se usará dicha información.

Aparte de esto, será necesario cumplir con todas las obligaciones que actualmente se recogen en el RGPD y la LOPDGDD respecto a la protección de datos (análisis de riesgos, evaluaciones de impacto, elaboración del registro de actividades de tratamiento, nombramiento del delegado de protección de datos, ejercicio de derechos de los interesados e información sobre brechas de seguridad), sin olvidar otros aspectos relacionados con el tratamiento de datos personales obtenidos del metaverso, como son:

• La minimización de los datos recogidos.
• La aplicación de la privacidad desde el diseño y por defecto.
• La transparencia, especialmente en las decisiones automatizadas.
• La protección de los datos que generan los wearables y otros dispositivos para interactuar con el metaverso, tanto mientras se transmiten como cuando se almacenan.
• La aplicación de medidas de seguridad que garanticen la disponibilidad, resiliencia y confidencialidad de los datos personales tratados en el metaverso.

Además de aquellas modificaciones o novedades que se puedan incluir en el futuro, tanto en el propio RGPD y la LOPDGDD como en otras leyes relacionadas con la protección de datos y la privacidad y el uso de las nuevas tecnologías y el metaverso.