От лични данни към ментална неприкосновеност: необходима ли е специална защита на невроданните в GDPR?

1. Невроданни и GDPR

Развитието на невротехнологиите постепенно измества класическия правен дебат за защита на личните данни. Ако досега правото основно се интересуваше от това кой обработва нашето име, адрес, здравна информация, биометрични данни или онлайн поведение, новият въпрос е по-дълбок: как следва да бъде защитена информацията, която произтича от мозъчната и нервната активност на човека?

Т.нар. невроданни вече не са тема само на медицината или научната фантастика. Те могат да бъдат събирани чрез електроенцефалография (метод за измерване на електрическа активност на мозъка), мозъчно-компютерни интерфейси (BCI), системи за неврообратна връзка, медицински устройства, потребителски wearables, gaming устройства, образователни технологии и бъдещи имплантируеми решения. В комбинация с изкуствен интелект тези данни могат да бъдат използвани за изводи относно внимание, умора, емоционални реакции, стрес, когнитивни модели, памет, предпочитания и потенциално дори намерения. Така възниква основният правен въпрос: достатъчен ли е чл. 9 GDPR, или невроданните трябва да бъдат изрично признати като специална категория лични данни?

Отправна точка на този анализ е позицията на European Data Protection Supervisor (EDPS), изразена в TechDispatch #1/2024 – Neurodata от 3 юни 2024 г.

EDPS изрично посочва, че развитието на невротехнологиите вече не е ограничено до медицината и научните изследвания. Напротив, невротехнологии се използват или могат да бъдат използвани в области като невромаркетинг, образование, gaming, развлечения, работна среда, търговско наблюдение и дори правоприлагане. Именно това разширяване на употребата превръща невроданните в сериозен проблем за защитата на личните данни и основните права. EDPS приема, че невроданните на човешки лица представляват лични данни, защото се събират от идентифицирани или идентифицируеми лица и могат да позволят разграничаване или идентифициране на индивида. Още по-важно е, че EDPS включва в понятието „невроданни“ не само суровите данни от мозъка или нервната система, но и изводите, направени въз основа на тях — например емоционални реакции или предпочитания. Това означава, че проблемът не е само в техническото събиране на мозъчни сигнали, а в последващото им тълкуване чрез алгоритми и изкуствен интелект. Затова настоящата статия стъпва върху разбирането на EDPS, че невроданните са не просто нов вид лични данни, а категория информация, която може да засегне най-интимната сфера на човека — неговата ментална неприкосновеност, автономия и достойнство.

2. Какво представляват невроданните?

Невроданните могат да бъдат определени като данни, получени от мозъчната или нервната активност на човека. Те могат да бъдат сурови сигнали, например електрическа активност на мозъка, но могат да бъдат и изведени данни — заключения за емоционално състояние, концентрация, умора или когнитивни реакции. Тяхната особеност е, че те могат да бъдат не просто данни за човека, а данни, които дават достъп до неговата вътрешна ментална сфера. Именно това ги отличава от много други категории лични данни. Обикновените лични данни описват човека отвън. Невроданните могат да позволят поглед към това как човек реагира, възприема, мисли или чувства.

3. Попадат ли невроданните в чл. 9 GDPR?

Чл. 9 GDPR предвижда специална защита за определени чувствителни категории лични данни — здравни, генетични, биометрични данни, данни за политически възгледи, религиозни убеждения, сексуална ориентация и други. Невроданните обаче не са изрично посочени. В някои случаи те очевидно могат да попаднат в съществуващите категории. Ако разкриват неврологично заболяване, те могат да бъдат здравни данни. Ако се използват за уникална идентификация, могат да бъдат биометрични данни. Ако се обработват в медицински контекст, по правило ще се ползват от по-висока защита. Проблемът е в сивите зони. Как следва да се третират невроданни, събрани от потребителско устройство за концентрация? Или от gaming headset? Или от система за измерване на внимание в училище? Или от работодателски инструмент за оценка на умора и продуктивност? Тези данни може да не бъдат представени като медицински. Може да не служат за биометрична идентификация. Но въпреки това могат да разкриват изключително чувствителна информация за психическото и когнитивното състояние на човека. Именно тук се появява правната празнина.

4. Защо невроданните са особено чувствителни?

Здравните данни могат да разкрият състояние на тялото или психиката. Биометричните данни могат да идентифицират човека. Невроданните могат да направят и двете, но потенциално и нещо повече. Те могат да позволят изводи за: внимание; умора; стрес; емоционални реакции; импулси; когнитивни слабости; памет; предпочитания; уязвимости; реакция към стимули. Тук рискът вече не е само информационен. Рискът е свързан с автономията на личността. Ако една компания, работодател, училище, застраховател или платформа получи достъп до данни за когнитивните и емоционалните реакции на човека, възниква възможност за много по-дълбоко профилиране и потенциална манипулация. Затова невроданните трябва да бъдат разглеждани не само през призмата на "privacy", а и през призмата на менталната неприкосновеност.

5. От защита на данните към защита на менталната сфера

Класическото право на защита на личните данни е изградено около идеята за контрол върху информацията. Но невротехнологиите поставят въпроса дали правото трябва да защитава и вътрешната сфера на човека като самостоятелна ценност. Тук се появява дебатът за т.нар. невроправа — "cognitive liberty" (когнитивна свобода), "mental privacy " (ментална неприкосновеност), "mental integrity"(ментална цялост), "psychological continuity" (писхологическа непрекъснатост). Тези понятия все още не са напълно установени в европейското позитивно право, но изразяват реален проблем: технологиите вече могат не само да наблюдават поведението, но и да се приближат до анализа на вътрешните състояния на човека.

Това свързва невроданните с основни права като: човешко достойнство; физическа и психическа неприкосновеност; личен живот; защита на личните данни; свобода на мисълта; недискриминация. Следователно въпросът не е само дали невроданните са лични данни. Въпросът е дали те са нова категория данни, която изисква по-високо ниво на защита, защото засяга самата автономия на личността.

5. AI Act и невроданните

Невроданните стават особено рискови, когато се комбинират с изкуствен интелект. AI системите могат да анализират големи масиви от мозъчни и поведенчески сигнали, да класифицират реакции и да правят прогнози. Това създава рискове в няколко области: работното място; образованието; маркетинга; застраховането; здравеопазването; сигурността; развлеченията; потребителските невроустройства.

GDPR отговаря на въпроса дали обработването на данни е законосъобразно. AI Act поставя допълнителен въпрос: допустима ли е самата AI система, когато тя създава риск за основните права? Затова защитата на невроданните не може да бъде оставена само на GDPR. Тя трябва да бъде мислена в комбинация с AI Act, медицинското право, трудовото право, потребителската защита и основните права.

6. Необходима ли е специална категория „невроданни“?

Може да се защити позицията, че чл. 9 GDPR вече е достатъчен, защото невроданните често могат да бъдат квалифицирани като здравни или биометрични данни. Тази позиция има практическо предимство: не изисква промяна на закона. Но тя е непълна. Проблемът е, че чувствителността на невроданните не зависи само от това дали са здравни или биометрични. Те могат да бъдат чувствителни, защото разкриват вътрешни когнитивни и емоционални състояния. Тази чувствителност е самостоятелна. Затова по-убедителната позиция е, че невроданните трябва да получат изрична защита — или чрез включване в чл. 9 GDPR, или чрез специален европейски правен режим за невроданни и невротехнологии.

7. Възможно решение: диференциран режим

Не всички невроданни са еднакво рискови. Затова най-балансираното решение не е механично да се забрани всяка обработка, а да се въведе диференциран режим.

Първо, суровите невроданни, получени директно от мозъчна или нервна активност, следва по презумпция да се третират като високорискови.

Второ, изведените невроинференции — например заключения за стрес, внимание, емоционално състояние или когнитивна уязвимост — също следва да получат специална защита, когато могат да засегнат личността, автономията или равенството на човека.

Трето, анонимизираните и агрегирани научни данни могат да бъдат третирани по-гъвкаво, но само ако анонимизацията е реална и не позволява повторна идентификация.

Такъв подход би позволил развитие на медицината и научните изследвания, без да се допуска превръщането на мозъчната активност в обикновен търговски ресурс.

8. Връзка с трансхуманизма

Темата за невроданните е пряко свързана с трансхуманизма. Трансхуманизмът се стреми към преодоляване на биологичните ограничения на човека чрез технологии. Невротехнологиите са една от най-важните области в този процес, защото засягат не просто тялото, а съзнанието, когнитивните способности и идентичността. Мозъчно-компютерни интерфейси, когнитвино усъвършенстване, системи за неврообратна връзка и бъдещи импланти могат да бъдат представяни като инструменти за усилване на човека. Но същите технологии могат да бъдат и инструменти за наблюдение, профилиране и контрол. Затова правният въпрос е не само как да се обработват невроданните, а къде е границата между допустимото технологично развитие и недопустимото навлизане в менталната сфера на човека.

9. Заключение

GDPR осигурява важна, но непълна защита на невроданните. Чл. 9 може да обхване много случаи, в които невроданните са здравни или биометрични. Но той не решава напълно проблема с потребителските невроустройства, наблюдение на работното място, образователни технологии, невромаркетинг и AI системи, които извличат заключения за когнитивни и емоционални състояния. Невроданните трябва да бъдат разглеждани като особено чувствителни не само защото могат да разкрият здраве или идентичност, а защото могат да засегнат менталната неприкосновеност, автономията и човешкото достойнство. Европейското право следва да премине от защита на невроданните като обикновен информационен ресурс към защита на менталната сфера като съществен елемент от личността.

Тази публикация е част от поредицата „Правото и трансхуманизъм“, в която разглеждаме връзката между правото, тртансхуманизма, изкуственият интелект и как дигиталното безсмъртие поставят нови въпроси пред GDPR, личностните права, човешкото достойнство.

В следващата статия от поредицата ще разгледаме въпроса за защита на вътрешният свят на живия човек, AI аватарите и дигиталния образ на човека след смъртта.