Mucho se ha escrito ya acerca del metaverso, pero ¿qué es? Y lo más importante, ¿en qué nos afecta a las personas?

“Metaverso” es, sin lugar a dudas, la palabra de moda desde octubre de 2021 cuando Mark Zuckerberg comunicó al mundo que Facebook estaba construyendo un nuevo universo virtual en el que las personas comenzaremos a relacionarnos a través de avatares y que cambiarán tanto nuestras relaciones personales como comerciales o profesionales. Es más, Zuckerberg decidía cambiar el nombre de Facebook por la marca “Meta”. Toda una declaración de intenciones respecto a por dónde dirigirá la compañía los próximos años.

Ahora bien, la pregunta que se nos plantea a los abogados dedicados a la privacidad y los datos personales es: ¿en qué afecta a las personas la irrupción del metaverso? En resumen, la conclusión es que, si decidimos formar parte de ese nuevo mundo virtual, nos afectará como personas físicas y mucho.

En primer lugar, advertir que el metaverso todavía está “en construcción” y, si bien se han realizado algunas experiencias a efectos de prueba, todavía no es una realidad, sino que diversas empresas multinacionales como Telefónica, Microsoft, Google, Apple, Epic Games, o Nvidia, entre otras, están trabajando e invirtiendo dinero y tiempo en posicionarse como la empresa que lidere el metaverso. La inversión requerida es muy grande, pero el retorno esperado también. 

En segundo lugar, el metaverso se podría definir como un universo paralelo basado en realidad virtual en el que el usuario experimentará simulaciones inmersivas. Dicho con otras palabras, el usuario que acceda al metaverso verá una realidad alternativa gracias a un software y un casco de realidad virtual, en la que podrá hacer las mismas cosas que hacemos hoy fuera de casa (como trabajar, educarnos, comprar o conocer gente), pero sin movernos de una habitación.

Desde un punto de vista jurídico, la normativa de protección de datos de carácter personal tendrá un gran peso en la regulación del metaverso. Esto es así porque para participar en el metaverso se necesita un “avatar” que, conforme a la definición de la Real Academia Española, es una “representación gráfica de la identidad virtual de un usuario en entornos digitales”. Por tanto, desde el primer momento, el usuario del metaverso va a ser una persona física identificable, puesto que, con el fin de que toda la experiencia sea lo más real posible, los avatares van a personalizarse basándose en la propia imagen del usuario. Por tanto, como establece el artículo 1 del Reglamento General del Protección de Datos (RGPD), esta normativa va a ser de plena aplicación. 

¿Qué consecuencias tiene la aplicación de la normativa de protección de datos?

Muchas, ya que significa que, como ocurre con otras materias como la propiedad intelectual, industrial, publicidad o consumidores, el metaverso y los servicios que ofrezca va a tener en cumplir con la normativa de cada jurisdicción. En el caso de Europa, la legislación aplicable es el RGPD, que es la más restrictiva del mundo cuando afecta a la protección de los datos personales y la privacidad de los ciudadanos.

¿Qué tipos de datos se van a recoger a través del metaverso?

A priori, y a la espera de que el metaverso sea una realidad, la clasificación podría ser la siguiente:

1. Datos identificativos
   Ya que los usuarios del metaverso deberán registrarse antes de adentrarse en este nuevo mundo. Muy probablemente el usuario deberá aceptar unas condiciones de uso y, aunque el metaverso podría financiarse a través de las marcas anunciantes, otras fuentes indican que el uso del metaverso podría no ser gratuito, sino previo pago. Además, se pretende que dentro del metaverso se puedan realizar operaciones económicas como comprar productos, por lo que para ello deberemos dar nuestros datos bancarios. 
    
2. Datos biométricos
   Como se ha comentado, se utilizará la propia imagen del usuario para hacer el avatar con el que interactuará dentro del metaverso, por lo que muy presumiblemente se utilizará un sistema de reconocimiento facial para que la recreación de la imagen y el cuerpo de los usuarios sea lo más fiel posible. Por otro lado, parece lógico que también se precise captar y reproducir la voz en tiempo real, ya que éste va a ser un lugar de encuentro en el que mantener reuniones virtuales o conocer gente nueva (con cualquier fin) e interactuar todos entre todos.
   
   El lenguaje corporal también formará parte de las interacciones virtuales. Y es que el casco que se utiliza para acceder al metaverso tiene unos sensores que reproducirán las gesticulaciones que hagan los usuarios en el mundo real.
   
   Conforme a la normativa, tanto la imagen facial como la voz o los datos relativos a las características físicas, fisiológicas o conductuales de una persona física son datos biométricos. Esto implica que, por su naturaleza, son datos personales particularmente sensibles, ya que el contexto de su tratamiento podría entrañar importantes riesgos para los derechos y las libertades fundamentales. Por este motivo, forman parte de las “categorías especiales de datos personales” (artículo 9 RGPD) y ello conlleva que el responsable que trate estos datos estará obligado a implementar las medidas técnicas, organizativas y jurídicas que exige el RGPD.
    
3. Elaboración de perfiles
   El metaverso va a generar la posibilidad de crear perfiles casi perfectos de sus usuarios, ya que a través de este software se va a poder obtener información sobre sus gustos, intereses, formas de actuar, si se debaten entre adquirir un producto u otro, si se guían por precio o si tienen preferencia por una marca concreta, etcétera.
   
   Probablemente y sin darse cuenta, el usuario va a proporcionar información de manera que el responsable del metaverso podrá analizar o predecir aspectos relativos a su rendimiento profesional, situación económica, salud, preferencias personales, intereses, comportamiento, ubicación o movimientos. En ese caso, deberemos tener presente lo previsto en el artículo 22 del RGPD, así como los derechos que asisten a los ciudadanos en relación a la elaboración de perfiles y las decisiones automatizadas.

Aparte de lo anterior, existen otras cuestiones importantes a tener en cuenta relacionadas con la privacidad:

• (i) El volumen de datos personales que se van a tratar, ya que la pretensión de las empresas que están invirtiendo en el metaverso es tener el mayor número de usuarios posible.
• (ii) La monitorización que potencialmente se podrá hacer de los usuarios, la cual podría ser mayor que la conocida hasta ahora.
• (iii) La capacidad de realizar perfilados exhaustivos, incluyendo información sensible que, en un principio, podría no querer darse o que inicialmente no fuese prevista. En este sentido, resulta más que probable que al crear un avatar un usuario dé información sobre su origen étnico o racial, o exprese sus opiniones políticas, religiosas o su orientación sexual al interactuar con otras personas. Estos ejemplos son también datos de categorías especial, puesto que la información que muestran forma parte de la esfera más íntima de las personas.

Finalmente, destacar que el hecho de tratar datos de carácter personal conlleva que deberán definirse muy bien los roles de las distintas empresas o actores que participen en el metaverso con el fin de determinar quién es responsable de los datos recopilados, quién es encargado, si existen terceros, etcétera. En definitiva, quién tiene obligación de cumplir con las obligaciones que impone el RGPD, incluyendo el deber de información previsto en los artículos 13 y 14 RGPD o la obligación de realizar una evaluación de impacto previa, lo cual cuando el tratamiento de datos implica que va a ser a gran escala y mediante sistemas de inteligencia artificial no resulta una cuestión baladí.
Sin duda, se acercan tiempos interesantes desde el punto de vista de la tecnología, la privacidad y el Derecho.

Estrella Arana
Abogada en Protección de Datos – PONS IP
©Todos os derechos reservados.