Temática: Privacidad

Neuroderechos para qué, maldita sea

El pasado 21 de abril, el Senado chileno aprobó de forma unánime el proyecto de reforma constitucional para la incorporación de los “neuroderechos”. Así, Chile está en posición de convertirse en el primer país del mundo en contar con una legislación específica que garantice el derecho a la “neuroprotección”.

Pero lo que a primera vista podría parecer una buena noticia es, en el mejor de los casos, un avance cuestionable, que poco contribuye a la consolidación del sistema universal de protección de los derechos humanos, que ha tomado 75 años construir, instalar y fortalecer.

Neuroderechos: ¿qué y para qué?

A nivel internacional, el mayor promotor de la necesidad de avanzar en la protección de los neuroderechos es Rafael Yuste, neurobiólogo español, cuya propuesta ha encontrado gran eco en Chile, particularmente en el Senador Guido Girardi, miembro de la comisión de Desafíos del Futuro, Ciencia, Tecnología e Innovación del Senado. Juntos presentaron en octubre de 2020 dos proyectos de ley: el primero, la reforma constitucional recientemente aprobada por el Senado. El segundo, un proyecto de ley “Sobre protección de los neuroderechos y la integridad mental, y el desarrollo de la investigación y las neurotecnologías”.

Pero, ¿qué son exactamente los neuroderechos y por qué requerirían protección especial? No es una pregunta fácil de responder. El proyecto original presentado por Guirardi junto a Carolina Goic, Francisco Chahuán, Alfonso de Urresti y Juan Antonio Coloma señala que la finalidad es proteger la “dignidad humana” frente al uso de nuevas tecnologías, particularmente aquellas que tienen por objeto el “cerebro humano”, que “no se agota sólo en una dimensión física, sino que más bien se expande hacia su dimensión de potencialidad mental que envuelve los misterios de la existencia humana”. En lo concreto, el proyecto alude al derecho a la privacidad de los “neurodatos”, a la identidad personal y la autodeterminación, a la igualdad frente al aumento de capacidad cerebral y al control de sesgos de los algoritmos. Dentro de las preocupaciones mencionadas como detonantes del proyecto, se señala “la posibilidad de leer la actividad neuronal” y los anuncios realizados por la empresa Neuralink de Elon Musk .

Si bien es cierto que las neurotecnologías han avanzado de forma importante durante los últimos años, particularmente en el ámbito de las interfaces cerebro-computadores, y que empresas como Neuralink han hecho una serie de anuncios rimbombantes sobre las posibilidades más inmediatas del desarrollo de sus productos, la verdad es que la tecnología se encuentra todavía en un estado embrionario y los miedos específicamente estipulados en el proyecto de ley están lejos de poder materializarse.

Pero incluso si aceptamos la posibilidad de que en el futuro la manipulación neuronal sea algo cotidiano, lo cierto es que el proyecto parte de la premisa errada de que se requiere una protección nueva y especial para los neuroderechos frente a “las nuevas amenazas que el avance científico y tecnológico envuelve”.

La Constitución Política de la República de Chile, en el número 1º de su artículo 19º, garantiza “El derecho a la vida y a la integridad física y psíquica de la persona”, redacción que incluye la protección de cualquier potencial “neurodato” y resguarda por si misma el concepto de los “neuroderechos”. Si existiera una genuina preocupación por la protección de los derechos de las personas en relación con su indemnidad física y psíquica, el texto constitucional actual ofrecía suficientes garantías.

Sin embargo, el proyecto original buscaba la modificación del articulado de la siguiente manera:

“La integridad física y psíquica permite a las personas gozar plenamente de su identidad individual y de su libertad. Ninguna autoridad o individuo podrá, por medio de cualquier mecanismo tecnológico, aumentar, disminuir o perturbar dicha integridad individual sin el debido consentimiento. Sólo la ley podrá establecer los requisitos para limitar este derecho y los que debe cumplir el consentimiento en estos casos.

El desarrollo científico y tecnológico estará al servicio de las personas y se llevará a cabo con respeto a la vida y a la integridad física y psíquica. La ley regulará los requisitos y condiciones para su utilización en las personas, debiendo propender especialmente al resguardo de la actividad cerebral, así como la información proveniente de ella”.

Así, mientras la Constitución chilena ofrece una garantía absoluta al “derecho a la vida y a la integridad física y psíquica”, la redacción propuesta debilitaba este derecho al incorporar dos excepciones: el consentimiento y la ley. Es decir, que el derecho a la indemnidad física y psíquica podría ser limitado en virtud de la voluntad del propio perjudicado o mediante una ley que estableciera los requisitos de tal limitación y del consentimiento de las personas.

Afortunadamente, gracias a la valiosa colaboración de expertos y expertas durante la discusión del proyecto, y a las indicaciones presentadas por distintos parlamentarios, el texto fue modificado. Sin embargo, se mantuvo el segundo párrafo que incorpora la noción de que “[l]a ley regulará los requisitos y condiciones para su utilización en las personas”. Por vía interpretativa, es posible argumentar que esta inclusión solo se justifica si entendemos que mediante la ley se podría limitar el derecho en cuestión. De lo contrario, bastaba con el texto actual.

Una cuestión parecida ocurre con el segundo proyecto ingresado por Guirardi, que en vez de proteger a las personas de ser objeto de intervenciones no consentidas mediante la —innecesaria— incorporación de un “nuevo” derecho, abre la discusión sobre la intervención forzosa, mediante la incorporación de una serie de excepciones.

Lejos de ser una cuestión anecdótica, los proyectos tienen un potencial de daño y erosión de los derechos fundamentales que requiere atención, así como la deficiente técnica legislativa empleada y la finalidad ambigua que persiguen. Más todavía cuando estamos ad-portas de escribir una nueva constitución; la sospecha de que se trataría de una manera de presionar por la instalación de esta discusión en la nueva Carta Magna no es injustificada.

Los intentos por introducir nuevos conceptos nacidos de la euforia que producen las tecnologías de moda son nocivos por dos razones: en primer lugar, desvían energía y recursos que serían mejor aprovechados si los invirtiéramos en garantizar una mejor protección de los derechos hasta ahora reconocidos en nuevos contextos de desarrollo científico y tecnológico. En segundo lugar, nos empujan a una espiral inflacionaria en la que cada nuevo desarrollo tiene el potencial de cuestionar la vigencia de las protecciones ofrecidas por el sistema universal de los derechos humanos.

Así, la regulación de los neuroderechos palidece en urgencia si la comparamos, por ejemplo, con la paupérrima protección de los datos personales en nuestro país, y que hoy habilita el perfilamiento y la discriminación de personas.  La postergada modificación a la ley de datos personales podría ayudar a la protección no solo de los “neurodatos”, sino de los datos personales de cualquier tipo y, sin embargo, el proyecto acumula polvo en el Congreso desde 2017. Se trata de una necesidad que ha sido señalada en múltiples ocasiones por todas las expertas y expertos en la materia, y cuyos impactos no son potenciales como los de las neurotecnologías, sino tremendamente concretos.

Rafael Yuste propone que la protección de los “neuroderechos” debiese estar al nivel de los derechos humanos. Esta afirmación debería levantar escepticismo respecto a la comprensión que tiene Yuste de la problemática a nivel de derechos y cómo abordarla, pues evidencia ignorancia respecto a los desarrollos en torno a los conceptos de autonomía, dignidad humana y autodeterminación, que han forjado el centro del sistema universal de derechos humanos.

Puede ser que la propuesta nazca de una preocupación honesta y bienintencionada, pero cuando se aborda ignorando 75 años de desarrollo de la protección de derechos humanos —como en el caso chileno— lejos de ofrecer solución a problemas inexistentes, genera riesgos reales e innecesarios.

No podemos pretender reinventar la rueda a cada rato. No es cierto que cada nuevo desafío tecnológico ponga en entredicho derechos y principios que, por su esencia, son posibles de actualización y refinación permanente. Enfoquemos nuestros esfuerzos en los problemas que enfrenta la ciudadanía hoy, con soluciones efectivas y eficientes.

Los impactos de la vigilancia más allá de la privacidad

Mientras a nivel internacional avanza la demanda por prohibir el uso de las tecnologías de vigilancia hasta alcanzar estándares rigurosos en materia de derechos humanos, en América Latina observamos una nueva y silenciosa tendencia a adquirir y usar dichos sistemas para controlar el acceso a la protección social, es decir, a las políticas desarrolladas para disminuir la pobreza, la vulnerabilidad social y la exclusión.

Nuestra región —la más desigual del mundo— durante las últimas décadas se ha convertido en ejemplo internacional en la puesta en marcha de programas de protección social. Sin embargo, el aumento de las condiciones impuestas para acceder efectivamente a los beneficios, tanto explícitas como implícitas, atenta contra la finalidad de proteger y garantizar derechos básicos. Si sumamos la mediación tecnológica a través de sistemas biométricos, como el reconocimiento facial, la recolección de huella dactilar, aplicaciones web o registros digitales unificados, se corre el riesgo de profundizar las desigualdades que se intentan erradicar.

El relator especial de Naciones Unidas sobre la extrema pobreza y los derechos humanos ha identificado algunos usos de tecnologías en los sistemas de bienestar alrededor del mundo. El listado incluye la verificación de identidad, la evaluación de criterios para recibir ayudas, el cálculo y pago de prestaciones sociales, la prevención y detección del fraude, la clasificación de riesgo y necesidades, así como la comunicación entre autoridades y las personas destinatarias de las políticas de protección social.

Varios de los usos señalados ya existen en América Latina. En Venezuela, se han implementado sistemas biométricos para controlar la adquisición de productos de primera necesidad, lo que resultó en varias denuncias de discriminación hacia personas extranjeras y, especialmente, personas transgénero. Sumado a las discriminaciones prexistentes contra poblaciones históricamente vulneradas, este tipo de iniciativa implica el ejercicio de una vigilancia diferenciada, que agrava la desprotección de las personas en situación de mayor vulnerabilidad y que, por lo tanto, más dependen del apoyo del estado.

Medidas similares se han implementado en otros países de la región e incluyen el uso de reconocimiento facial para controlar el acceso de beneficios especiales en los sistemas de transporte de distintas ciudades de Brasil o, incluso, el ingreso a instituciones educativas; propuestas similares han sido presentadas en el marco del retorno a clases presenciales en Chile. En el contexto de la pandemia mundial por COVID-19, en El Salvador y Perú se han utilizado sistemas de reconocimiento facial para controlar potenciales fraudes en exámenes educativos realizados de manera remota, situación particularmente delicada al tratarse de personas menores de edad. 

En el caso de Bolivia, observamos como la digitalización, presentada muchas veces bajo la promesa de mayor eficiencia en la gestión pública, no solo es insuficiente para solucionar problemas estructurales de acceso a servicios básicos del Estado, si no que además abre espacios para nuevas formas de discriminación. Un análisis exploratorio sobre el rol de las tecnologías en la entrega de ayudas económicas a la población en el marco de la pandemia de COVID-19 evidencia las diversas capas de complejidad que implica tal uso.

Brasil y su programa de auxilio de emergencia es otro claro ejemplo. La decisión de utilizar aplicaciones móviles para que las personas puedan solicitar la ayuda tuvo como consecuencia un incremento en las dificultades de acceso a los beneficios. Quienes más necesitan apoyo no siempre disponen de un dispositivo con conexión a internet, un número de teléfono o incluso (y más grave aún) un documento de identificación. El sistema propuesto no consideró las necesidades de las destinatarias. En este sentido, organizaciones brasileñas presentaron preocupaciones en relación a la transparencia y garantías de seguridad ofrecidas por la aplicación respecto a los datos recolectados.

Además, la implementación de tecnologías agrega nuevas capas y agentes al procesamiento de datos personales, e implica un aumento de vulnerabilidades en términos de seguridad y protección contra usos abusivos. Lo mismo es válido para las propuestas de integración e interoperabilidad de bases de datos, identidad única, automatización y predicción. En nuestra región estas prácticas abundan, sea en formato piloto o en propuestas de acción, impulsadas muchas veces por entidades financieras internacionales.

La publicación “Sistemas de identificación y protección social en Venezuela y Bolivia. Impactos de género y otros tipos de discriminación” aborda algunos de estos temas a partir de análisis de casos en ambos países, donde se alerta sobre las implicancias de la mediación tecnológica en relaciones entre estado y ciudadanía. Además, propone una reflexión sobre los impactos que las tecnologías de vigilancia pueden tener en el acceso a derechos sociales y económicos, y en cómo la digitalización puede profundizar la desigualdad, en especial, cuando implica el acceso a datos por parte de agentes privados o la mediación algorítmica por medio de sistemas de clasificación.

Consideramos que estos son puntos centrales que deben ser discutidos. Más todavía cuando la pandemia no muestra señales de detenerse en la región, y la pobreza y extrema pobreza alcanzan niveles inéditos.

“Sistemas de identificación y protección social en Venezuela y Bolivia. Impactos de género y otros tipos de discriminación” será lanzada el próximo miércoles 14 de abril, junto a un grupo muy especial de expertas y expertos que comentarán los  casos presentados y aportarán sus propias perspectivas a la discusión. El evento se transmitirá en vivo. Si te interesa participar, toda la información la encuentras aquí.

Desentrañando la vigilancia que llegó junto a la pandemia

En marzo de 2020, en un par de semanas, varios países de América Latina confirmaron sus primeros casos de Covid-19 y adoptaron medidas para evitar la propagación. Luego de que la Organización Mundial de la Salud (OMS) declaró la pandemia del virus, comenzaron los esfuerzos de confinamiento obligatorio en la región, y también en Chile.

En el marco de la iniciativa “Sonríe #estamosvigilando”, coordinada por el Centro por la Justicia y el Derecho Internacional (CEJIL), el pasado 18 de marzo presentamos solicitudes de acceso a la información pública para conocer los aspectos asociados a las tecnologías utilizadas por el gobierno, CoronApp y el sitio web Comisaría virtual (comisariavirtual.cl). El objetivo es identificar las prácticas que busquen garantizar la transparencia y la protección de los derechos humanos frente a la ejecución de tecnologías de gestión de la información durante este periodo, además de saber cuánto se dirige a fines sanitarios, y cuánto a crear nuevas formas y mecanismos de vigilancia.

A medida que la pandemia ha avanzado, los Estados y los actores privados se han apresurado en implementar soluciones tecnológicas que prometen identificar y rastrear el virus para contenerlo. Pero, al mismo tiempo, estas soluciones recogen información que es útil para vigilar y seguir a las personas mediante datos telefónicos, reconocimiento facial, cámaras, georreferenciación, control de la temperatura y otros. En este proceso, las aplicaciones conservan datos personales y sensibles sin las suficientes garantías para su protección o tratamiento. Por esto, a raíz de los riesgos que presentan para los derechos humanos, resulta necesario saber las condiciones de diseño e implementación.

Tanto CoronaApp como el sitio web Comisaría virtual proponen varias funcionalidades sin dar a conocer cuál es su utilización real y, como Derechos Digitales ha destacado desde su activación, parecieran ser problemáticas. De acuerdo a la legislación vigente en Chile, los datos necesarios para activar la aplicación o para obtener permisos y salvoconductos en comunas con restricciones de movilidad, cada vez que dan cuenta del estado de salud o hábitos personales del usuario se trata de datos personales o datos personales sensibles.

Esto genera dudas respecto al uso de información recabada mediante CoronaApp, en tanto se solicitan datos que permiten identificar a las personas como el nombre, DNI y edad. Lo mismo sucede con la Comisaría Virtual, pues al no existir claridad acerca de sus condiciones de procesamiento, es posible que la herramienta administrativa se convierta en un mecanismo de perfilamiento y vigilancia. Asimismo, las políticas de privacidad de dichas tecnologías no precisan las medidas de seguridad y confidencialidad según las que serán guardados estos datos, y solo abordan de manera genérica las condiciones de almacenamiento, acceso y uso de la información recolectada. Tampoco se establecen con claridad las condiciones y periodos de almacenamiento de la información, ni un procedimiento para que los titulares puedan ejercer su derecho de acceso, rectificación, cancelación u oposición de esos datos de acuerdo a la Ley Nº 19.628.

A falta de mejores resguardos normativos, la transparencia sobre las condiciones de tratamiento de datos personales se hace más relevante. Por consiguiente, hemos solicitado a los distintos organismos involucrados tanto en la implementación de dichas plataformas, como en la fiscalización y promoción de las garantías fundamentales que podrían verse afectadas por estos sistemas de recolección y uso de datos personales. Además de una serie de requerimientos de información pública sobre el uso y el impacto de estas tecnologías, para garantizar que la vigilancia no viole otros derechos fundamentales, como la privacidad, el acceso a la información, la integridad personal, o los derechos a la igualdad y a la salud.

La información sobre las políticas de privacidad existentes no es suficiente y, del mismo modo, la forma en que los datos han sido manejados a lo largo del primer año de la pandemia se torna preocupante. Entre otras cosas, solicitamos información respecto a especificaciones técnicas de las tecnologías, las finalidades específicas de la recolección y tratamiento de las distintas categorías de datos recolectados, los mecanismos y plazos de almacenamiento, los datos que son objeto de transferencia y bajo qué condiciones, así como antecedentes y evaluaciones jurídicas que den cuenta de una evaluación previa a la puesta en marcha de los sistemas.

Cuando se despliegan herramientas tecnológicas con propósitos de interés público, las medidas adoptadas deben ser transparentes, y deben ser evaluadas para determinar su eficacia e impacto en los derechos fundamentales. Esto es importante, sobre todo cuando estamos frente a un patrón de adquisición o producción de tecnologías digitales susceptibles a convertirse en factores útiles para la vigilancia como parte de las funciones estatales.

La implementación de estas herramientas no puede llevarse a cabo afectando los derechos fundamentales. Cualquier persona debería tener derecho a acceder a toda la información relevante sobre las tecnologías de vigilancia desplegadas, incluyendo el alcance, el objetivo de los datos recogidos y los resultados.

Ley de datos personales: sin pausa, pero sin prisa y de cara a la sociedad

El Salvador es uno de los pocos países en la región que aún no cuenta con una legislación específica para la protección de los Datos Personales. A pesar de contar con algunas reglas dispersas, como un breve capítulo en la Ley de Acceso a la Información Pública (LAIP) y algunas normas en leyes sectoriales (Ley de Regulación de los Servicios de Información sobre el Historial de Créditos de las Personas, Ley de la Firma Electrónica, Ley de Partidos Políticos, por mencionar algunas), todavía no existe una ley general en la materia. El propio derecho de acceso a la información personal (Habeas Data) en el país constituye un destacado desarrollo de la jurisprudencia, formulado por la Sala de lo Constitucional de la Corte Suprema de Justicia.

Así las cosas, la necesidad de tener una legislación especializada y coherente con los estándares internacionales de derechos humanos, que abarque el ámbito público y privado, es primordial. No solamente por la necesidad de actualización frente al procesamiento manual de datos del pasado, sino por el crecimiento de la capacidad de procesamiento automatizado que atraviesa cada aspecto de la vida social, en el presente y el futuro, a nivel nacional y global. A pesar de la escasa protección en el ámbito preventivo, asistimos al uso cada vez más frecuente de herramientas tecnológicas, tanto en lo público como en lo privado, sobre las cuales pocas veces se reflexiona y sobre las que la ley tiene alcance limitado para proteger los derechos de las personas.

La ausencia de reglas expresas que permitan la protección de la información personal, tiene ejemplos concretos de riesgos, tanto de parte del Estado como de privados. Desde el año 2017 la Alcaldía del municipio de Santa Tecla ha desplegado cámaras con reconocimiento facial; en la misma línea, el gobierno central solicitó un préstamo para financiar su estrategia de combate a la delincuencia, en el que se incluía la compra de cámaras con tecnología de reconocimiento facial, la compra de drones para la Policía y para el Ejército, y la instalación de centros de monitoreo para ambas instituciones. La empresa privada no se queda atrás: en algunos centros comerciales, a raíz de la pandemia, se instalaron cámaras térmicas para medir la temperatura de los visitantes, sin que se sepa a ciencia cierta si están dotadas con tecnología para el reconocimiento facial o si se almacenan las imágenes captadas; todo sobre lo cual no se informa a los usuarios al ingresar.

En este contexto de uso de tecnologías susceptibles de almacenar datos personales como las descritas, se anunció la discusión en la Asamblea Legislativa de un proyecto de Ley de Protección de Datos Personales, lo que constituye en principio una excelente noticia. La propuesta se encuentra en discusión previa aprobación del articulado dentro de la Comisión de Economía donde, una vez obtenido dictamen favorable, el proyecto pasará a discusión en el Pleno Legislativo.

Si bien es cierto que tanto la información oficial como la de prensa dan cuenta de la participación de algunas instituciones de la sociedad civil en el proceso consultivo de las distintas propuestas de anteproyecto, no se tuvo una publicidad adecuada para que cualquier ciudadano pudiera expresar su opinión sobre la normativa y se produjera un debate más amplio en la sociedad acerca de aspectos que necesitan ser incorporados en esta regulación. Además, mucha de la discusión se dio en el marco de la emergencia por COVID-19, lo que distrajo naturalmente la atención de la ciudadanía. Sin embargo, por ser un tema de mucha importancia para el país, la discusión merece al menos una atención amplia, por lo determinante que resulta para el ejercicio de los derechos fundamentales de las y los salvadoreños. A continuación presentamos nuestra breves consideraciones geenerales sobre el Anteproyecto de Ley unificado, para contribuir a este debate, en la mira de involucrar a la ciudadanía con su atención a esta discusión.

Antecedentes sobre la protección de datos personales en El Salvador

La protección de datos personales en El Salvador tiene su mejor expresión no en la ley, sino en la jurisprudencia. Desde la sentencia de Amparo 934-2007, la Sala de lo Constitucional sostuvo que “… el derecho a la autodeterminación informativa tiene por objeto preservar la información de las personas que se encuentra contenida en registros públicos o privados frente a su utilización arbitraria —especialmente la almacenada a través de medios informáticos—, sin que necesariamente se deba tratar de datos íntimos”.

En la sentencia de Amparo 142-2012, la Sala desarrolló el contenido del derecho a la autodeterminación; señaló que la faceta material de este derecho permite a las personas definir la intensidad con que desea que se conozcan y circulen tanto su identidad como otras circunstancias y datos personales; combatir las inexactitudes o falsedades que las alteren; y defenderse de cualquier utilización abusiva, arbitraria, desleal o ilegal que pretenda hacerse de esos datos; que, para conseguir estos fines, se cuenta con la técnica de protección de datos, que se encuentra integrada por un conjunto de  derechos subjetivos, deberes, principios, procedimientos, instituciones y reglas objetivas. En esta sentencia se desarrollan los derechos de los usuarios, así como los principios de la protección de datos personales y algunas reglas para este fin.

Estas sentencias fueron el antecedente para la protección de datos personales. Algunas de estas consideraciones fueron incorporadas en la Ley de Acceso a la Información Pública (art. 31 a 39) y en los Lineamientos Generales para la Protección de Datos Personales en los Entes Obligados, emitidos por el Instituto de Acceso a la Información Pública (IAIP). Se trata de un reconocimiento todavía limitado, que el nuevo anteproyecto vendría a complementar.

El anteproyecto de ley de datos personales

La propuesta de Ley declara su objetivo en su artículo 1: la protección de los datos personales de las personas naturales “… para garantizar el derecho a la intimidad y el derecho a la autodeterminación informativa de las personas naturales”. Resulta muy positivo que se considere el derecho a la autodeterminación informativa como un derecho autónomo del derecho a la intimidad. Sin embargo, aunque en su articulado hay una lógica de interconectar la autodeterminación informativa con otros derechos como la libertad de expresión y el acceso a la información, hubiera sido provechoso dejar en claro esta relación en los considerandos o de manera más explícita en las disposiciones normativas.

El anteproyecto apunta a la regulación del tratamiento de datos personales en general. Sin embargo, al fijar su propio ámbito de aplicación, la propuesta contempla excepciones con algunos elementos que levantan alertas. Por ejemplo, se excluye de la aplicación de la ley a los datos del historial crediticio, hoy regulados en una normativa específica, impidiendo así parámetros comunes para la protección de datos. Por otro lado, excluye la recolección para fines familiares, referidos a los que carezcan de “utilización comercial”, dejando amplio margen de interpretación para excluir de la aplicación de la ley. Finalmente, se excluye el uso de datos con fines de “seguridad pública” o “seguridad del Estado”, sin suficiente precisión sobre el alcance de tales conceptos que permita prevenir las injerencias estatales arbitrarias en la esfera de la autodeterminación informativa, sobre todo mediante tecnologías de vigilancia. Se trata de exclusiones amplias, que restan protección a la información personal en una vasta cantidad de posibles usos por empresas y por el Estado.

Las definiciones del anteproyecto también muestran falta de claridad o precisión. Por ejemplo, el proyecto señala que, por el principio de legalidad, los datos “…deben ser procesados de manera legal”, una expresión circular que no conduce a nada. Por el contrario, la definición debería considerar que, por este principio, la información debe ser procesada en una base jurídica clara, con un propósito claro, y de una manera justa y transparente. Por otra parte, la redacción del principio de privacidad es confusa, mientras que la referida al principio de licitud está poco desarrollada. Y hay aun más ejemplos que demuestran la necesidad de un debate más robusto que auxilie a la redacción de la ley.

También merece atención la protección a una de las categorías especiales de información: los datos personales de niños, niñas y adolescentes. No basta con mencionar únicamente el interés superior de las personas menores de 18 años o las leyes y tratados internacionales pertinentes para considerar que se está prestando la atención requerida a esta categoría de datos. El tratamiento de estos datos debe ser lo más restrictivo posible y no puede permitirse su tratamiento libre, aunque estos sean de naturaleza pública. Esta carencia debe ser subsanada por la ley.

La propuesta de normativa desarrolla los derechos de las personas sobre los datos de los que son titulares, consagrando así los denominados derechos ARCO (acceso, rectificación, cancelación y oposición), siguiendo la tradición y la práctica de muchos países en la materia (Art. 6). Sin embargo, tanto la definición de estos derechos como su operatividad resultan problemáticos. Por un lado, el legislador está equiparando el derecho de cancelación o eliminación de datos con el “olvido”, y al derecho de oposición lo denomina derechamente “derecho al olvido”. Podría pensarse que es una confusión o que se trata de meros sinónimos, pero al momento de señalar las excepciones al derecho de supresión (art. 10), se incluye la hipótesis de que los datos sean necesarios para ejercer la libertad de expresión y prensa, algo que no podría ser congruente si se estuviera legislando sobre el derecho al olvido.

Por otra parte, las excepciones a los derechos ARCO (Art. 18) contienen disposiciones de interpretación muy amplia. Por ejemplo, puede negarse el ejercicio de los derechos en caso de lesiones a los derechos de un tercero, sin más desarrollo que permita saber cómo se acredita esa lesión o por quién; se menciona también la resolución de una “autoridad competente” sin especificar de qué autoridad se trata; finalmente, autoriza la denegación de los derechos de manera genérica en “los demás casos establecidos en la presente ley u otras leyes aplicables”, sin exigir el cumplimiento de estándares de legalidad, necesidad y proporcionalidad en la afectación del ejercicio de derechos fundamentales.

El artículo 56 autoriza el tratamiento de datos para la elaboración de perfiles con fines promocionales, comerciales o publicitarios. Aunque se señala que estos datos deben haber sido obtenidos con el consentimiento de los usuarios, más parece una “solución” para aquellos casos en los que las empresas recolectan datos sin que los usuarios lo sepan, que una obligación para cumplir con este requisito de consentimiento informado. Por otro lado, no se hacen exigencias adicionales para el consentimiento expreso para transferir a terceros los datos que ha recopilado de esta forma y para estos fines.

La necesidad de una autoridad de control

Como es habitual en las discusiones modernas sobre protección de datos personales, se intenta regular teniendo en mente la existencia de una autoridad de control de datos personales, es decir, un órgano estatal encargado de la fiscalización y la observancia de la ley. Esta discusión no está del todo zanjada en el proyecto de ley de datos personales, y es un debate legislativo complejo y con distintas posiciones dentro del país.

En las discusiones sobre la autoridad que debería encargarse de la protección de los datos personales, se han barajado al menos tres opciones: 1. Que asuma ese rol el Instituto de Acceso a la Información Pública, el ente que actualmente tiene bajo su competencia velar por el acceso a la información pública y la protección de los datos personales en el Estado; 2. Que la Dirección de Protección al Consumidor (DPC) tenga esa competencia; y, 3. Que se dé origen a un nuevo ente público. Los argumentos a favor de cada una de ellas varían entre la disponibilidad inmediata de personal capacitado en el IAIP, la visión más comercial de incluir a la DPC y la ventaja de formar desde cero un nuevo ente, autónomo, independiente, con capacidad técnica y con presupuesto propio. A esas opciones se suma una cuarta alternativa: la competencia en esta materia podría recaer sobre una Autoridad Nacional Digital, regulada por una ley especial bajo el mismo nombre, que, además, tendría atribuciones sobre el acceso universal a internet, el comercio electrónico, la economía del conocimiento, la firma electrónica y la ciberseguridad.

Consideramos que la multiplicidad de funciones puede generar controversias innecesarias cuando se trate, por ejemplo, de la protección de datos personales frente a injerencias de empresas que puedan ver esta protección como una limitante para el desarrollo de sus negocios en el ámbito del comercio electrónico. A la vez, la multiplicidad de funciones puede ser contraria a la especialidad técnica que la protección de datos personales requiere, en particular frente a los desafíos de la tecnología y a la creciente complejidad de los modelos de explotación de la información personal. La autoridad que proteja los datos personales debe estar disponible de manera especial para ese fin, con suficiente autonomía para garantizar una real independencia para aplicar la ley y velar por los intereses y derechos de los titulares de los datos personales, tanto a entes públicos como privados que colectan datos personales, con facultades fiscalizadoras y sancionatorias que hagan efectiva la protección.

Por cierto, no se trata de problemas insalvables. Pero creemos que partes relevantes de la capacidad operativa de la propia ley y el establecimiento de sus mecanismos de observancia no deberían ser dejados a una discusión posterior sobre la autoridad de control. Esta es la oportunidad de fijar no solamente los parámetros sustantivos para la protección de la autodeterminación informativa, sino también el marco para permitir su cumplimiento, tanto a petición de los titulares como por la intervención proactiva de una autoridad fuerte.

Próximos pasos hacia una ley de datos personales

Como Derechos Digitales, hemos acompañado varios procesos en la región para la discusión y desarrollo de normativa de protección de datos personales y nos ponemos a disposición de la discusión en El Salvador para poder aportar desde esa experiencia Latinoamericana. Sabemos que no es tarea fácil para los países que se ponen de cara a ese desafío, pero hemos visto cómo la participación de grupos amplios de sociedad civil con conocimiento técnico en la materia puede ser un aporte para perfeccionar la técnica legislativa, en una forma consciente de los desafíos y oportunidades de cada realidad nacional. Con los puntos aquí presentados buscamos llamar la atención sobre la necesidad de discutir en profundidad un tema que es de vital importancia para las y los salvadoreños: La recolección de datos se da en muchísimos ámbitos de nuestras vidas, desde acceder a un sitio web, caminar en una calle con cámaras de vigilancia, comprar en línea, usar aplicaciones bancarias, ingresar a centros comerciales, residenciales o sitios de entretenimiento. La tecnología avanza en la sociedad, y los derechos no pueden quedarse atrás. Esperamos que los legisladores salvadoreños asuman hoy la responsabilidad de modernizar la legislación de un modo sensible a las necesidades de protección de la ciudadanía sin pausa, pero sin prisa para un buen resultado de protección.

Llorar sobre la leche derramada: El problema cultural del manejo de los datos personales

Hace pocos días se hizo público que los exámenes médicos y la información de salud de miles de personas habían sido expuestos debido a fallas de seguridad de los prestadores chilenos de servicios médicos RedSalud y Bupa. Sin embargo, el manejo de la noticia vino dado con un enfoque de peso en los datos de salud de diputados, senadores y otras autoridades, como si esta información sensible fuera la que originara la gravedad del fallo. 

A principios de la pandemia mundial por COVID-19 se publicó la información georreferenciada de personas que habían dado positivo al test de diagnóstico de la enfermedad; el medio responsable señaló que no los había publicado con detalle “para evitar peleas entre vecinos o actos de discriminación”. 

Este nivel de indolencia y lassez-faire en el manejo de la información privada es endémica: basta prestar atención por cinco segundos para notar cómo en América Latina nuestros números de identificación personal (llámese cédula, RUT, carnet o como prefieran) están esparcidos por las bases de datos más diversas, públicas, privadas, gubernamentales, bancarias y de retail, que se los intercambian como fichas de bingo. En Venezuela, a más inri del sistema de vigilancia omnipresente, el propio gobierno ha inventado mecanismos de phishing para obtener datos sobre la conducta política de sus ciudadanos.

Es fácil en este punto culpar a los ciudadanos por la facilidad con la que estamos dispuestos a entregar nuestros datos a cambio de un poco de comodidad, a dar nuestro número de identificación para obtener un descuento o a iniciar sesión con nuestra cuenta de Google para evitar crear una nueva contraseña.

Lo cierto es que estamos jugando con cartas marcadas: pretender que sea el ciudadano el que cargue con el peso de la desigualdad económica y social que implica proteger sus datos. Perderse ese descuento que puede, hacer una diferencia a fin de mes; o tener el tiempo y el conocimiento necesario para comprender cuál es el trasfondo de usar una red social en lugar de otra menos privada. Eso es trasladar responsabilidades a quien menos debería acarrear con ellas.

Si nuestros propios gobiernos no son capaces de enfrentar el problema de la protección de los datos personales con la seriedad que merece, si manejan bases de datos centralizadas e inseguras que son vulnerables ante cualquier ataque y tampoco toman las medidas necesarias para sancionar a las empresas privadas que llevan a cabo las mismas prácticas, entonces de nada vale que nos pongamos el sombrero de papel aluminio y nos alejemos de la vida en sociedad. 

¿Tendrá sentido que —de aquí a una década o quizás antes— tengamos que inventar nuevos mecanismos de verificación porque los patrones de nuestras huellas digitales se han perdido en una tras otra filtración de datos y ahora se requieren para hacer trámites bancarios, para comprar cosas, para entrar a nuestra casa o para desbloquear nuestro teléfono?

¿Valdrá la pena llorar sobre la leche derramada una vez que nuestra privacidad haya sido vulnerada hasta el punto de no retorno? ¿O quienes no tienen “nada que ocultar” publicarán finalmente la contraseña de su cuenta bancaria? 

Hasta que no comprendamos la gravedad de un problema que nos afecta a todos y todas, no solo a diputados y ministros, nuestros datos personales seguirán siendo fichas de intercambio en un juego en el que la casa siempre gana.

Protección de datos personales en Ecuador: El momento es ahora

A mediados de septiembre de 2019, la prensa internacional reportaba “la mayor filtración en línea de información personal en la historia de Ecuador”, con los datos de la casi totalidad de la ciudadanía expuestos. Se trataba de 18 GB de datos distribuidos en múltiples archivos, que incluían nombres, información financiera y otra información personal de 20 millones de personas.

Al comienzo de la pandemia, la declaración de Estado de Emergencia en Ecuador dispuso que “[p]ara el cumplimiento de las restricciones del presente Decreto se podrán utilizar plataformas satelitales y de telefonía móvil para monitorear la ubicación de personas en estado de cuarentena sanitaria y/o aislamiento obligatorio, que incumplan las restricciones dispuestas, a fin de ponerlas a disposición de las autoridades judiciales y administrativas competentes”. La sociedad civil de la región reaccionó con preocupación a este anuncio, planteando que esta medida revistía gravedad en un contexto en que, a pesar de la garantía de la privacidad consagrada en la Constitución, el Ecuador carece de una normativa legal y de una autoridad técnica e independiente que permita una adecuada protección de datos personales conforme a estándares internacionales de derechos humanos.

Como vemos, Ecuador sufre de una paradoja: reconoce la protección de datos personales como derecho fundamental, basado en su Constitución, así como en tratados internacionales de derechos humanos que protegen la privacidad, pero carece de una estructura legal interna para garantizar dicha protección, lo que deja a ecuatorianas y ecuatorianos en la práctica en la indefensión, ante situaciones y medidas como las descritas.

En efecto, Ecuador es uno de los pocos países de América Latina que no cuenta con una Ley de Protección de Datos Personales, mientras otros países de la región lo hacen desde más de 20 años, o la han aprobado recientemente. Para remediarlo, el 19 de septiembre de 2019 el presidente de la República presentó ante la Asamblea Nacional el Proyecto de Ley Orgánica de Protección de Datos Personales.

La iniciativa ha concluido su primera revisión por la Comisión de Soberanía, Integración, Relaciones Internacionales y Seguridad Integral, la cual ha presentado un texto consolidado a consideración del pleno de la Asamblea Nacional.

El proyecto está actualmente en tabla para su discusión y es crucial que las ecuatorianas y ecuatorianos se mantengan atentos a este desarrollo legislativo y movilicen a sus representantes de todo el espectro político para asegurar que esta ley —esencial para la efectividad del ejercicio de los derechos fundamentales de la ciudadanía en el siglo XXI— sea aprobada.

Para entender la relevancia de esta moción para el Ecuador hoy, y por qué no puede seguir siendo postergada su discusión, es necesario comprender la transversalidad del objeto regulado por la ley de protección de datos personales. Este derecho no solo garantiza la autodeterminación informativa y la privacidad, si no que posibilita el libre ejercicio de otros derechos como la libertad de expresión, la no discriminación, la participación ciudadana, el derecho a reunión pacífica, el acceso al empleo, la salud, la educación, entre otros.

El objetivo de la ley general de protección de datos personales es establecer reglas para el desarrollo de actividades que involucren la recolección y procesamiento de datos, por parte de agentes públicos y privados. Así como prevenir injerencias arbitrarias en el normal desarrollo de la vida de los ciudadanos y ciudadanas, de donde sea que tales injerencias vengan.

En un mundo cada vez más tecnologizado, la protección de los datos personales es indispensable, en especial para grupos vulnerables o históricamente marginalizados, para prever que la utilización de tecnología basada en el uso de esos datos pueda amplificar y replicar la dicriminación tradicionalmente sufrida. Esto aplica a la hora de postular a un crédito bancario comercial, recibir beneficios sociales del Estado o entrar en relación con una aseguradora de salud.

Hoy, los datos personales —cualquier información referida a una persona identificada o identificable— se entregan en todas las interacciones sociales, ya sea con el aparato público o entes privados que operan en todos los ámbitos de la economía, el quehacer social y cultural.

Sin embargo, por esa misma frecuencia y cotidianidad con que los datos personales se tranzan, muchas veces se pierde de vista que son una puerta a nuestra vida y nuestra posibilidad de interacción social. Una regulación de protección de datos personales permite que como ciudadanas y ciudadanos podamos contar con herramientas concretas para exigir límites en el uso de la información. Ese control es esencial para garantizar nuestra libertad, autonomía y dignidad como personas, frente al Estado y las empresas, donde las desproporciones de poder y potenciales impactos en ejercicio de derechos resultan más evidentes.

Actividades tales como tomar una cita médica, comprar alimentos, visitar sitios web, realizar búsquedas en internet, monitorear nuestros hábitos de sueño con dispositivos inteligentes, entregar información para acceder de una wifi pública y caminar por calles que cuentan con cámaras de seguridad, se traducen en un rastro de datos personales que puede ser recolectado en forma constante y que permite analizar nuestros hábitos, nuestras relaciones personales, nuestros gustos y necesidades, nuestras preferencias personales o políticas. Conocer esa información otorga un poder único para tomar decisiones sobre nuestra vida: ya sea ocupar un determinado puesto de trabajo, acceder a una oportunidad de educación, ser atendido preferentemente o no en la sala de urgencias, obtener un crédito bancario, recibir un beneficio social, ser cuestionado o no por participar en una manifestación pública, etc.

Una ley de protección de datos personales es precisamente el instrumento a través del cual las sociedades democráticas, comprometidas con la protección y promoción de los derechos humanos, establecen un marco que permite delimitar aquello que puede ser legítimamente conocido, analizado y utilizado para tomar decisiones a través nuestro.

La digitalización y automatización del tratamiento de datos personales propia del siglo XXI solo vuelve más evidente el problema y la necesidad urgente de su regulación, por la mayor capacidad técnica de recoger, almacenar y analizar datos personales. Pero una ley de protección de datos personales permite proteger a las personas de todo tipo de uso de sus datos —automatizados, o no, digitales o físicos— y de donde sea que provengan las amenazas entes públicos o privados.

Es indispensable que la ley de protección de datos personales que actualmente se discute en el Ecuador contemple los derechos que componen el núcleo esencial del derecho a la autodeterminación informativa, de lo contrario tal protección será ilusoria. Para eso la ley debe referirse a qué información personal puede recogerse, cómo se autoriza esa recogida, para qué puede usarse, por cuánto tiempo, cómo se resguarda, etc. En materia de protección de datos personales estas preguntas se traducen en determinados derechos que componen el núcleo esencial del derecho a la autodeterminación informativa, los famosos derechos ARCO: acceso, rectificación, cancelación y oposición. También, en principios tales como el de juridicidad, lealtad, transparencia, finalidad, pertinencia y minimización de datos personales, proporcionalidad del tratamiento, confidencialidad, calidad y exactitud, conservación, seguridad de datos personales, responsabilidad proactiva y demostrada, aplicación favorable al titular, e independencia del control.

Aquellas personas interesadas en proteger la habilidad de empresas o del Estado de tener control sobre la vida de las y los ciudadanos, intentarán decirles que este debate excede la sofisticación tecnológica, o la realidad económica y social del Ecuador. Algunos de esos puntos fueron levantados durante el debate registrado en algunas de las mesas de trabajo abiertas por la Comisión de Soberanía, Integración, Relaciones Internacionales y Seguridad Integral.

Sin embargo, afirmaciones de ese tipo no se avienen a la realidad, en la cual las y los ecuatorianos a diario experimentan los impactos del uso de sus datos personales (Sí, estamos pensando en ese llamado que recibiste el otro día de una empresa que ni conocías, ni eres cliente, pero que de forma misteriosa sabía lo que necesitabas).

Aquí no se trata de copiar modelos foráneos o adoptar instituciones que son de naturaleza controversial en el sistema interamericano de derechos humanos —como puede ser el derecho al olvido—. Se trata de no perder la oportunidad de dotar al Ecuador de una regulación moderna, para que se actualice en cuanto a las necesidades de una economía digital al servicio de la ciudadanía y, de paso, acorte su rezago respecto de otras naciones de la región que cuentan con este tipo de regulación hace dos décadas. Como compartió la Unidad de Flujos Internacionales y Protección de Datos de la Comisión Europea en sus contribuciones durante la tramitación de la Ley Orgánica de Protección de Datos, esta debe ser concebida “para establecer un sistema moderno de protección con características propias de un régimen moderno de protección de datos”.

Al inicio del debate legislativo de Ley Orgánica de Protección de Datos, en conjunto con la Asociación para el Progreso de las Comunicaciones presentamos a la Comisión de Soberanía, Integración, Relaciones Internacionales y Seguridad Integral un documento que ahonda en aspectos que consideramos indispensables para una buena política de protección de datos personales en el Ecuador. No se trata de estándares inalcanzables, ni de quedar entrampados en tecnicismos. Ecuador necesita definiciones claras respecto a lo que constituye un dato personal y un dato sensible (de manera no taxativa) y establecer niveles de protección acorde; principios vinculantes que hagan eco de la experiencia internacional —porque está demostrado que funcionan— y permitan orientar el régimen de protección de datos personales; una lista de derechos vinculantes de los titulares de los datos para garantizar que tengan control sobre su información personal; establecer obligaciones de los responsables de bases de datos, señalando con precisión a los sujetos obligados y los estándares de cumplimiento, en particular la seguridad; establecer un régimen sancionatorio de multas que sean disuasivas. Además, la creación de una autoridad de control que tenga la independencia necesaria y los mecanismos apropiados para garantizar la aplicación de la ley a todo ente público o privado.

Las excepciones al ámbito de aplicación de la ley y al consentimiento deben ser limitadas a casos excepcionales y establecidos con claridad. Para fortalecer las oportunidades de comercio del Ecuador con el exterior, la ley debe considerar la protección a los flujos transfronterizos de los datos, mediante mecanismos sometidos a una supervisión estricta y transparente, e incluir medidas de reparación para garantizar que los derechos de los usuarios viajen junto con sus datos. Los aspectos descritos en estos últimos dos párrafos son esenciales si se quiere garantizar la protección de los datos personales y, con ello, cumplir el estándar exigido por la Unión Europea para declarar a Ecuador un país adecuado en materia de protección de datos personales, cuya protección se ha transformado en el estándar global y cuyo cumplimiento es cuestión indispensable para el comercio digital.

Limitar la aplicación de la ley al flujo transfronterizo de datos o solo al contexto de relaciones comerciales y de consumo, o flexibilizar las normas sobre intercambio de datos personales bajo la excusa de que una ley proteccionista de los derechos de las personas significaría una traba para el desarrollo comercial del país, son falsos dilemas con los que algunos participantes del debate legislativo han intentado convencer a la Asamblea Nacional. Sin embargo, retrasar la discusión no deja ni los intereses económicos del Ecuador, ni el ejercicio de los derechos de su ciudadanía en mejor posición: solo mantiene en el rezago de alcanzar los beneficios de hacer exigibles sus derechos.

La atención de la ciudadanía al debate de la Ley Orgánica de Protección de Datos que se estará produciendo en la Asamblea Nacional en las próximas semanas es esencial para que sus representantes entiendan la necesidad de que se apruebe una legislación adecuada, que permita la plena protección de los derechos de las y los ecuatorianos: el momento es ahora.