Sobre el ataque reportado a OpenPGP

Desde hace varios años, ha tomado mucha importancia en algunas comunidades el protocolo OpenPGP para establecer comunicaciones seguras y niveles de confianza entre actores desconocidos. En primer lugar, hay quienes desean o necesitan comunicarse de una forma en la que se garantice que nadie más con acceso al mensaje pueda leerlo, y por otro lado, hay quienes necesitan verificar si un contenido en realidad está siendo publicado por quien dice, y por lo tanto pueden confiar al momento de descargarlo y manipularlo.

Este último ejemplo resulta de especial interés, pues aunque no lo sepamos, muchas personas utilizan OpenPGP o protocolos similares para manejar actualizaciones de software. Esto se hace para garantizar que las nuevas actualizaciones sean provistas por los desarrolladores originales de los programas y no por algún atacante que nos engaña para que instalemos código malicioso en nuestros equipos, haciéndose pasar por el programa original que queríamos actualizar.

¿Qué necesitamos saber para entender el ataque?

Como tecnología e infraestructura, PGP puede resultar complicada de explicar. Para entender mejor el ataque que está sufriendo podemos repasar algunos conceptos clave de su diseño:

Llaves públicas y privadas

Para que PGP pueda funcionar, las entidades involucradas deben crearse un par de archivos llamados llave pública y llave privada: la primera está diseñada para repartirse por tantos canales como sea conveniente para que cualquiera que la tenga, pueda enviar mensajes confidenciales al titular de la llave; por su parte, la llave privada debe permanecer segura en manos de su titular, pues es la que le permite abrir los mensajes confidenciales que se han recibido utilizando la llave pública. Si esta llave cayera en manos de terceros se rompería toda la seguridad que brinda esta tecnología.

Cifrado y firmado de mensajes

Una de las peculiaridades del uso de estas llaves es que podemos cifrar un mensaje con una de las dos y solo puede ser descifrado usando la otra. El uso más común es usar la llave pública de alguien para cifrar y enviarle un mensaje confidencial, ya que la persona destinataria solo podrá descifrar y leer el mensaje con la llave privada correspondiente.

Otra utilidad es cuando publicamos algo cifrado con nuestra llave privada. En principio será ininteligible, pero cualquiera que tenga nuestra llave pública puede descifrar el mensaje, confirmando así que nosotros -que poseemos la llave privada- fuimos quienes escribimos el mensaje en cuestión, aumentando el nivel de confianza y certificando que el mensaje es auténtico. A este proceso nos referimos cuando hablamos de firmar un mensaje.

Firmado de llaves

De la misma forma en que se pueden firmar mensajes arbitrarios, también podemos firmar un mensaje diciendo que la llave de alguien mas en efecto es de esa persona y no de un tercero haciéndose pasar por ella. Este mensaje se puede agregar a la llave pública «firmada», entonces cuando la busquemos no solo encontraremos la llave pública como tal, sino además todas las firmas de aquellos usuarios que declaran la autenticidad de esta llave.

Servidores de llaves y sincronización

Para solucionar el problema de cómo conseguir llaves públicas de otras personas, existen servidores particulares que se dedican específicamente de esta tarea, almacenando y actualizando llaves públicas y firmas. Muchos de estos servidores hablan entre ellos para mantener su información sincronizada.

Como una decisión de diseño, cuando se programó toda esta infraestructura se decidió que cualquier usuario podía firmar una llave particular y que todas las llaves públicas se almacenarían con sus correspondientes firmas.

Para saber más sobre cómo funciona PGP y sus implementaciones se podemos consultar este artículo recomendado de la EFF Una mirada en profundidad al cifrado de extremo a extremo: ¿Cómo funcionan los sistemas de cifrado de clave pública? Para comenzar a enviar mensajes cifrados con este protocolo podemos consultar las guías disponibles en la guía Surveillance Self-Defense también de la EFF.

Ahora sí, ¿cómo es el ataque reportado?

A finales de Junio algunas personas integrantes y cercanas a la comunidad de OpenPGP anunciaron que sus propias llaves públicas estaban siendo inundadas de firmas sospechosas, llegando en algunos casos a más de 150.000 para el momento de publicación de este artículo, además todas estas firmas están siendo sincronizadas entre la mayoría de los servidores de llaves disponibles.

Como tal, tener una gran cantidad de firmas en una llave pública no debería afectar el funcionamiento del protocolo, sin embargo, muchas implementaciones y programas que usan OpenPGP no están diseñadas para manejar más de unas pocas decenas de firmas por llave pública, entonces al procesar estas llaves inundadas tardan mucho tiempo o incluso se cuelgan, inutilizando OpenPGP al actualizar, importar o usar llaves públicas comprometidas.

Este problema ha sido reportado en el pasado como una vulnerabilidad teórica producto de la decisión de diseño de permitir que cualquiera pueda firmar llaves públicas de otros. Esta «falla de diseño» nunca fue corregida y hasta ahora no había sido vulnerada.

¿Cuál es el alcance actual del problema?

En principio, hay que aclarar que las características de OpenPGP no han sido vulneradas en absoluto, solo que su funcionamiento previsto está siendo abusado para afectar a ciertos programas que utilizan este protocolo. Por otra parte, la confidencialidad o integridad de nuestros mensajes no ha sido comprometida, ningún tercero podrá leer nuestros mensajes antiguos o modificarlos. Lo que produce esta inundación de llaves públicas es afectar la forma en la que algunos programas se comportan al descargar o procesar llaves comprometidas.

De hecho, para el momento de publicación de este artículo se ha detectado el compromiso de unas pocas llaves públicas de personas puntuales, por lo que se especula que este tipo de ataques se van a masificar en el futuro cercano, pero en este momento OpenPGP debería funcionar igual que siempre para la gran mayoría de los usuarios.

¿Solo nuestros correos que usan PGP estarían afectados?

En principio no. Como comentábamos al principio hay otros procesos que dependen del uso de llaves públicas como la actualización de software, en donde se comprueba la veracidad de las actualizaciones disponibles revisando el firmado de las mismas por parte de los desarrolladores oficiales.

En estos casos, dependerá de cómo se realiza el manejo de llaves públicas y firmas de los desarrolladores para cada implementación, pero para que este tipo de ataques afecte a un canal de actualización de software se debería cumplir al menos lo siguiente:

Que la llave sea obtenida o actualizada desde un canal que permita agregar firmas arbitrarias a llaves públicas.
Que el sistema que procesa las llaves realice alguna acción con las firmas afectadas.
Que alguien haga la firma masiva del certificado de forma intencional.
Que se lleve a cabo todo el proceso antes de que los diferentes programas actualicen su funcionamiento para adaptarse a este problema.

¿Podemos hacer algo como usuarios y usuarias?

Para este momento existen varias estrategias que podemos seguir para evitar las afectaciones por este tipo de ataques:

No actualizar llaves en nuestros repositorios, solo usar llaves que ya tengamos guardadas y sean funcionales.
Descargar nuevas llaves y actualizar existentes desde fuentes que no guarden firmas de llaves:
- Pedirlas directamente (e incluirlas de forma manual en nuestros repositorios)
- Usar servidores que no guarden o limiten el agregado de firmas de llaves como https://keys.openpgp.org/ o https://keys.mailvelope.com/
Usar clientes que soporten Autocrypt, una tecnología reciente que consiste en enviar las llaves públicas de forma automática junto a los mensajes y que estas sean manejadas de forma automática sin considerar firmas entre otras características. En este momento la implementación más usada de OpenPGP que soporta Autocrypt es Thunderbird + Enigmail, pero debe ser activada manualmente.
Esperar por la implementación de soluciones en los programas que actualmente implementan OpenPGP (esto puede tardar).

¿Qué podemos esperar de este incidente?

En principio, aunque el potencial de daño parece importante, este ataque tiene a la fecha un alcance mas bien limitado, lo que nos brinda cierto margen de maniobra en términos de tiempo para informar la situación y aplicar los correctivos necesarios. Esto eplica tanto para usuarios como para desarrolladores, quienes necesitarán adecuar sus programas para no verse afectados por este tipo de problemas. Queda ver si esta inundación de llaves públicas se queda como está a modo de advertencia a la comunidad técnica o escalará y entonces tendremos que prepararnos para la afectación de otros aspectos impactados por el uso de OpenPGP.

Una de las reflexiones más relevantes respecto a este ataque es que cuando nos casamos con una tecnología nos casamos con su diseño, así como con sus defectos, que a veces pueden llevar a situaciones de afectación menor como hasta ahora ha sido con este incidente o a vulnerabilidades de seguridad importantes que pueden comprometer nuestras comunicaciones, datos o incluso el propio uso de nuestros equipos, como podría pasar si este problema de inundación de llaves llega a afectar de forma masiva la actualización de nuestros sistemas operativos.

¿Chile está a la altura de la tarea? Los derechos humanos en el entorno digital, examinados

El 22 de enero pasado, el Consejo de Derechos Humanos de las Naciones Unidas examinó el historial de derechos humanos de Chile en el contexto del proceso del Examen Periódico Universal (EPU). Este proceso permite rastrear el progreso que ha tenido Chile en sus obligaciones de promover y proteger los derechos humanos.

Como señalamos en un texto anterior, este EPU ha registrado la primera vez que se generó conciencia sobre la necesidad de abordar el impacto de las tecnologías digitales en el ejercicio y la promoción de los derechos humanos: desde el respeto del derecho a la privacidad, la libertad de expresión. , la reunión y asociación pacífica, el ejercicio de los derechos económicos, sociales y culturales, y el impacto de una amplia gama de tecnologías que están afectando cada aspecto de la vida de los chilenos.

El Estado chileno debe ajustarse a las normas internacionales sobre el disfrute de los derechos humanos en internet, el derecho a la privacidad en la era digital y otros instrumentos que combaten la discriminación y la violencia en sus manifestaciones digitales.

Las recomendaciones recibidas por Chile en este último EPU son cruciales para reconocer el compromiso deficiente del Estado con respecto al fomento del ejercicio de los derechos humanos en el entorno digital.

En un artículo anterior advertimos sobre cómo el estado y el sector privado han utilizado algunas tecnologías para realizar la vigilancia de los chilenos, afirmando que era por «su propia seguridad» y «el uso efectivo de los recursos públicos». A continuación echamos un vistazo a las principales áreas de preocupación que se expresaron en el EPU, que también percibimos como desafíos compartidos en varios países de América Latina.

Chile necesita mejores leyes de derechos digitales y autoridades independientes de protección de datos

La delegación brasileña recomendó que Chile «adopte una legislación específica para proteger y promover los derechos humanos en entornos digitales, incluido el derecho a la privacidad». Esta recomendación señaló que Chile se quedó corto en la implementación de políticas concretas y directas sobre la materia.

Perú recomendó que Chile debería trabajar en «la evaluación de las tecnologías de vigilancia y recolección de datos personales desde una perspectiva de derechos humanos, con respecto al derecho a la privacidad y considerando el principio de no discriminación».

En la misma dirección, el Estado suizo señaló «la necesidad de fortalecer la legislación sobre la protección de datos personales» y el establecimiento de políticas públicas «de acuerdo con el estado de derecho, la proporcionalidad y la privacidad». Para que esto suceda, según el Estado suizo, es necesario que Chile «considere la creación de una autoridad de control independiente» que proteja los datos personales.

Actualmente se están discutiendo algunas mejoras en la actualización de la ley chilena de protección de datos; no obstante, estas recomendaciones obligan al Estado chileno a cumplir con las obligaciones internacionales de derechos humanos previamente adoptadas por Chile.

Chile necesita enfrentar la violencia contra las mujeres en entornos digitales

Las recomendaciones de Islandia abordaron otros temas apremiantes, instando al Estado de Chile a «revisar las leyes, políticas y regulaciones que abordan la violencia contra las mujeres, incluida la violencia en entornos digitales». Esta recomendación fue secundada por Canadá, quien recomendó una orden de legislación que permitiría a las mujeres «vivir libres de violencia, incluido el contexto digital».

Si bien Chile ha mejorado considerablemente la implementación de políticas para combatir la violencia contra las mujeres y los jóvenes, no hay políticas específicas para enfrentar este problema en el campo digital: el acoso sexual en las redes sociales y la difusión de material íntimo sin consentimiento son una realidad que requiere un esfuerzo práctico para superar las estructuras patriarcales en espacios fuera de línea y en línea, a fin de garantizar la capacidad de las mujeres para crear, habitar y constuir sus propias narrativas en el espacio digital.

También es necesario señalar que estas recomendaciones son adicionales a los esfuerzos anteriores desarrollados por el Estado, por eso insistimos a las instancias calificadas que tomen en cuenta las recomendaciones para promover su plena integración en los programas futuros y la agenda legislativa; garantizando espacios libres de violencia para el desarrollo de las mujeres a partir de hoy.

Chile necesita dejar de usar la tecnología para violar los derechos humanos

Las recomendaciones bolivianas abordan uno de los temas más apremiantes y escandalosos de Chile en los últimos tiempos: el uso de la tecnología como herramienta de represión. En una declaración contundente, Bolivia recomendó que Chile “promueva estándares que sigan los principios de legalidad, necesidad y proporcionalidad. Así como el uso de las comunicaciones y las tecnologías como una forma de poner fin a la criminalización de las protestas de los indígenas».

La delegación boliviana instó a Chile a evitar la repetición de episodios escandalosos como el «Caso Huracán«, donde se utilizó la tecnología para enmarcar a los líderes indígenas en actos terroristas. En muchos casos, el estado ha utilizado la tecnología para espiar a los líderes, periodistas y medios de comunicación indígenas en un intento por criminalizar sus reclamos legítimos.

Todas esas acciones violan las normas internacionales de derechos humanos al restringir el derecho a la privacidad, evitando la inviolabilidad de las comunicaciones y limitando la libertad de expresión y la reunión pacífica. Estas son algunas de las razones por las que esperamos que las recomendaciones se tengan en cuenta y se canalicen a través de reformas legales e institucionales dentro de los servicios de inteligencia y la aplicación de la ley del país, para evitar que las violaciones a los derechos humanos de las personas chilenas vuelvan a suceder.

¿Qué sigue?

Los Estados que participaron en el EPU de Chile hicieron llamados claros y firmes al Estado de Chile para promover, proteger y respetar plenamente los derechos humanos en el contexto digital. Esperamos que el Estado chileno esté a la altura de la tarea de aceptar esas recomendaciones, avanzar hacia la implementación completa de un enfoque integral de los derechos humanos en el país y, por lo tanto, considere los espacios digitales como entornos protegidos para el ejercicio de los derechos humanos.

Derechos Digitales -con sus socios y simpatizantes- mantendrá la atención en la adopción de las recomendaciones de Chile y estará disponible para colaborar en esta tarea. Como hemos señalado anteriormente: es momento de tomar decisiones y compromisos para garantizar la capacidad de ejercer plenamente los derechos humanos para el futuro, que es ahora. No hay tiempo que perder.

* Estos esfuerzos fueron coordinados por Derechos Digitales y respaldados por IFEX, en colaboración con Privacy International, APC, Ciudadanía Inteligente y Fundación Pro Acceso.

Implementación del Convenio de Budapest en Chile: a tiempo para enmendar el rumbo

El pasado 15 de abril se cumplió el plazo para el ingreso de indicaciones en el proyecto de ley de delitos informáticos, que busca implementar las disposiciones del Convenio de Budapest en Chile. A través de este proceso, tanto el ejecutivo como los senadores ingresaron propuestas de modificación al proyecto. La buena noticia es que muchas de las inquietudes y propuestas de la sociedad civil, los académicos y la comunidad técnica fueron recogidas por los senadores (incluyendo las de Derechos Digitales). El ejecutivo presentó modificaciones menores -muchas de ellas positivas- pero mantuvo su posición en algunos de los aspectos más problemáticos del proyecto.

El martes 23, la Comisión de Seguridad del Senado retomó la discusión del proyecto, comenzando su votación en particular. Es decir, a discutir y votar cada una de las indicaciones con el fin de alcanzar un texto final.

El proyecto original utilizaba una terminología confusa y poco adecuada respecto a qué condiciones se tienen que cumplir para que alguien se considere culpable de cometer un delito informático. Se proponía castigar a quien “maliciosamente” o “indebidamente” cometiera algunos de los ilícitos descritos en el texto del proyecto. El primer término -utilizado por nuestra legislación actual- es excesivamente subjetivo, exigiendo una intencionalidad específica de cometer un daño, la que suele ser difícil de probar. El segundo es excesivamente amplio, siendo sinónimo de “sin permiso”, sin exigir que se haya obtenido o hecho un mal uso de la información, o se haya superado una barrera técnica.

Una de las principales recomendaciones de la sociedad civil y la academia fue reemplazar estos términos por aquellos utilizados por el propio Convenio de Budapest, el que exige que las conductas sean cometidas de forma “deliberada y ilegítima”. Esta recomendación fue recogida por varios senadores -entre ellos los senadores Pugh, Araya, Harboe e Insulza- y tiene la particularidad de cumplir con uno de los objetivos del Convenio de Budapest: establecer criterios comunes en la legislación de delitos informáticos a nivel internacional. Por otro lado, exigir que los delitos se cometan de forma deliberada e ilegitima asegura que no se castiguen conductas lícitas, castigándose sólo aquellas que se realicen de forma premeditada y sin un derecho que las ampare.

Avances en la tipificación del acceso informático ilícito

Estas distinciones jurídicas pueden parecer completamente abstractas y académicas, pero tienen un efecto concreto en cómo se podrán aplicar estos tipos penales a futuro. En una columna anterior, expliqué cómo la actual redacción del delito de acceso informático puede terminar criminalizando la legítima labor de consultores, expertos y técnicos en materia de ciberseguridad que se dedican a identificar y notificar vulnerabilidades o fallas en los sistemas informáticos.

El ejecutivo parece haber tomado nota de las recomendaciones hechas por los invitados a exponer en la Comisión y al menos incluyó uno de los elementos necesarios para subsanar este artículo; también propone, como requisito para el delito de acceso informático, que el infractor sea quien supere una barrera técnica. Este cambio es positivo, ya que la comisión de un delito informático necesariamente requiere la superación de una barrera de seguridad, de otra forma la señal que se está dando es que basta un incumplimiento de los términos y condiciones de un sistema o sitio para que se configure el delito de acceso informático ilícito.

Sin embargo, este tipo penal requiere de otras modificaciones, que afortunadamente fueron recogidas por los senadores. La ya comentada inclusión de los términos “de forma deliberada e ilegítima” es particularmente importante en este delito, debido a que los expertos informáticos que detectan y dan a conocer vulnerabilidades informáticas efectivamente vulneran barreras técnicas de seguridad; pero lo hacen de forma legítima, porque su objetivo no es conocer o apropiarse de la información contenida en ellos. Por ello, resulta acertado que se haya propuesto que la redacción del artículo exija que el acceso se realice con el ánimo de conocer, apropiarse o utilizar la información contenida en el sistema para ser un delito.

Los senadores Araya, Harboe e Insulza incluso fueron más allá: proponiendo una excepción específica para quienes realicen labores de investigación de seguridad informática, eximiéndolos de responsabilidad en la medida que notifiquen sin demora la vulnerabilidad al responsable del sistema. De reflejarse en el texto final del proyecto, la inclusión de estos requisitos y excepciones permitirían que este tipo penal sea aplicable sólo a los delincuentes informáticos que el proyecto busca perseguir y no a otros actores del ecosistema de la ciberseguridad.

Criminalización del cifrado

Otro de los aspectos negativos del proyecto de ley era que establecía como agravante de la comisión de un delito informático, el haber utilizado tecnología de cifrado para burlar la persecución de la justicia. Ya he comentado cómo esta norma es contraria al principio de no incriminación y que el hecho de que el cifrado de punto a punto se está transformando en un estándar de la industria haría que todos los delitos informáticos vinieran -por defecto- agravados.

La propuesta del ejecutivo para subsanar esta situación es mantener esta agravante, pero bajo un criterio de neutralidad tecnológica, agravando el uso de “tecnologías destinadas a destruir u ocultar en una investigación penal”. Si bien este es un avance, en la práctica todavía estaría criminalizando la utilización del cifrado. Por otro lado, esta agravante sigue siendo contraria al principio de no incriminación, ya que es natural que una persona que cometa un ilícito tome las medidas necesarias para no ser descubierta y perseguida.

Aumento de retención de metadatos: la gran batalla

En una acertada columna, el académico Pablo Contreras explica cómo la extensión del período de retención de metadatos propuesta por el proyecto de ley resulta desproporcionada, lesiva de derechos fundamentales y en la práctica busca legalizar lo propuesto por el infame Decreto Espía. Los distintos expertos, académicos y miembros de la sociedad civil que expusieron en la Comisión de Seguridad Ciudadana mostraron su oposición a este aumento de la capacidad de vigilancia del Estado. Sin embargo, el ejecutivo decidió mantener su posición de aumentar, tanto el período de retención de las comunicaciones de todos los chilenos -a dos años-, como el tipo de tráfico a almacenar, incluyendo información relativa a la ubicación de las personas.

Afortunadamente, la voz de los expertos fue recogida por gran parte de los senadores; quienes propusieron la eliminación o modificación de este artículo para mantener el período de retención en su plazo actual de un año. Esta modificación puede incluso transformarse en una oportunidad para modificar la expresión utilizada actualmente por el Código Penal, el que establece que los datos de tráficos serán almacenados por un período “no menor a un año”. Establecer un límite preciso y la obligación de eliminar la información de manera segura luego de cumplido el plazo se presenta como una mejora importante, e impide la existencia de recurrentes interpretaciones antojadizas a futuro.

Continúa la tramitación…

El hecho de que los senadores hayan ingresado indicaciones positivas no es garantía de que el proyecto de ley sea efectivamente modificado para subsanar todas sus deficiencias. Estas indicaciones todavía tienen que ser discutidas y votadas por la Comisión para alcanzar un texto final. El pasado martes la Comisión votó el artículo 1 (ataque sobre la integridad del sistema) y el artículo 3 (interceptación ilícita), que eran las normas menos polémicas del proyecto. La Comisión comenzó la discusión del artículo 2, sobre acceso informático, pero al no alcanzar un consenso solicitó la creación de un grupo de trabajo especial para destrabar la discusión.

Es de esperar que en las próximas semanas la Comisión retome la discusión y votación de las disposiciones particulares. Esperamos que en dicho diálogo primen las consideraciones técnicas y las recomendaciones otorgadas por los expertos. Las indicaciones presentadas por los senadores significan un avance importante para que le proyecto efectivamente busque promover la ciberseguridad en nuestro país y resultaría positivo que estas sean incorporadas al proyecto.

En este contexto, una coalición de expertos informáticos, académicos y miembros de la sociedad civil hizo llegar el martes pasado una carta abierta a la Comisión de Seguridad resumiendo los puntos clave que el proyecto debe modificar para proteger los derechos de las personas, promover la ciberseguridad y permitir el florecimiento de la industria de la seguridad informática en nuestro país.

Por una ley de delitos informáticos que promueva la ciberseguridad

En 2018 la ciberseguridad ocupó la portada de todos los grandes medios y se transformó en un tema prioritario para gobiernos y las empresas privadas. No podía ser de otra forma: a medida que la tecnología pasa a ser un componente crucial de nuestra economía, en nuestras comunicaciones y en casi todos los aspectos de nuestra vida cotidiana, se vuelve necesario que el entorno digital sea seguro.

En este contexto, la implementación de las disposiciones del Convenio de Budapest sobre ciberdelincuencia se presenta como una oportunidad para que Chile actualice su marco normativo y así enfrente de forma efectiva el fenómeno de la cibercriminalidad.

Lamentablemente, el proyecto de ley ingresado por el Ejecutivo — y que hoy se discute en la Comisión de Seguridad Pública del Senado — contiene disposiciones que, lejos de permitir que las personas y las empresas se desenvuelvan de forma más segura en el ciberespacio, podrían deteriorar la labor de quienes se dedican a la ciberseguridad en nuestro país.

Las personas abajo firmantes, académicos y profesionales, integrantes de la sociedad civil y expertos en ciberseguridad, hacemos un llamado al gobierno y a quienes conforman la Comisión de Seguridad Pública del Senado para subsanar los siguientes aspectos del proyecto:

Criminalización del pentesting: Esta práctica es fundamental para el ecosistema de la ciberseguridad, ya que otorga a consultores independientes la capacidad de probar la seguridad de los sistemas informáticos y reportar, de buena fe, eventuales vulnerabilidades a su administrador. En la versión actual del proyecto de ley, el delito de acceso informático exige que este se haya realizado de forma “indebida”, es decir, sin permiso. Esto abre la puerta para la criminalización de una actividad que no solo es lícita, sino que es esencial para permitir el diagnóstico y reporte de vulnerabilidades informáticas.
Utilización del cifrado como agravante penal: El proyecto establece que la responsabilidad penal se verá agravada cuando se utilice tecnología de cifrado para obstaculizar la labor de la justicia. Esta propuesta es técnicamente inconducente, ya que es una tendencia a nivel de industria y de estandarización a nivel mundial la implementación de tecnología de cifrado de punta a punta en sus productos. Por otro lado, el cifrado es un elemento esencial para fomentar la seguridad de las comunicaciones y transacciones. Tal como establece la Política Nacional de Ciberseguridad, es labor del Estado promover la tecnología de cifrado, no obstaculizar su uso.
Aumento del período de retención de metadatos: El proyecto aumenta de uno a dos años el período en que las empresas proveedoras de internet tendrán que almacenar datos de tráfico de sus usuarios, e incrementa la variedad de tipos de datos e informaciones a retener. Consideramos que esta obligación es desproporcionada y contraria al derecho a la privacidad de los ciudadanos, y expone innecesariamente información altamente sensible a ser objeto de filtración, ataques informáticos o uso no autorizado, volviendo a los usuarios más vulnerables.
Sobre la evidencia digital: Se plantea que los procedimientos de preservación y custodia se ajusten a lo que indique una persona (Fiscal Nacional), pero no hace referencia a que una entidad, como el Instituto Nacional de Normalización (INN) sea quien dicte los marcos referenciales para este tipo de procesos que son extremadamente delicados, ya que pueden constituir pruebas que permitirían la acusación penal de una persona. Actualmente existen normas internacionales que velan por el tratamiento de la evidencia digital de forma adecuada y que incluso la OEA promueve. No parece prudente que sea únicamente una persona quien dicte los procedimientos que se deben utilizar en informática forense como normativa legal.

Firmantes:

María Paz Canales, directora ejecutiva Derechos Digitales
Joshua Provoste, Investigador de Seguridad Informática
Alejandro Barros, Académico Asociado – Centro de Sistemas Públicos (U. de Chile)
Juan Anabalón, Presidente del Information Systems Security Association (ISSA Chile)
Pablo Contreras, Académicos Universidad Autónoma de Chile
Paulo Colomés F, Académico e Ingeniero de proyectos en NIS.CL
Leo Soto M., Consultor Lider para Banca y Pagos en Continuum.
Ignacio Parada Poblete, Presidente de MITI A.G. – Asociación Gremial Mejor Industria TI.
Claudio Álvarez Gómez, Académico Universidad de los Andes
Mauricio Castro, CTO Magnet SpA
Alma Negrete, Gerente General DevArtisan SpA
Tomás Vera, CINNO Zenta Group SpA
Luis Cruz, Managing Director en 2Brains
Gert Findel, Director Ejecutivo Acid Labs
Manuel Moreno, CEO GlobalSecure Academy
Manuel Suárez, Gerente General Synaptic
Javier Urrutia T, CEO coreDevX SpA

Puedes adherir firmas, a título institucional o personal, a través del siguiente formulario:

[ninja_forms id=37]

Pronunciamiento de las organizaciones civiles latinoamericanas: Exigimos liberen a Ola Bini

El jueves 11 de abril, la policía ecuatoriana detuvo en el aeropuerto de Quito a Ola Bini, ciudadano sueco residente en Ecuador, desarrollador de software y activista por la privacidad y la libertad en internet, mientras trataba de tomar un vuelo hacia Japón. Según las autoridades ecuatorianas, el arresto estaría justificado en la relación de Ola Bini con WikiLeaks, que lo implicarían en supuestas conductas ilegales.

Ola Bini es un experto altamente respetado en seguridad digital y criptografía, y es reconocido por sus importantes contribuciones en este campo. Es miembro de varias redes europeas e internacionales, y participa en proyectos de alto nivel, varios de ellos patrocinados por la Comisión Europea.

Nos preocupa que el arresto y la detención de Bini sea parte de una campaña contra la comunidad de personas desarrolladoras que construyen herramientas de tecnología de seguridad digital, que garantizan el disfrute de los derechos humanos en internet y las comunicaciones seguras en línea.

Las tecnologías de seguridad digital, incluidas las de cifrado, son herramientas importantes para salvaguardar el ejercicio de derechos humanos en internet de la ciudadanía. El Consejo de Derechos Humanos de la Organización de las Naciones Unidas incluso ha reconocido en su Resolución 33/2 de 2016 que estas tecnologías son valiosas para proteger a las y los periodistas, pues proveen un canal seguro para sus comunicaciones y preservan la confidencialidad de las fuentes.

[left] Dada la importancia que tienen las herramientas digitales para el disfrute de derechos humanos, las personas que desarrollan tecnologías de seguridad digital –como Ola Bini– no deberían ser criminalizadas. [/left]

El día de la detención, funcionarios del Gobierno ecuatoriano anunciaron que estaban a punto de tomar medidas contra cuatro individuos descritos como “dos hackers rusos, un colaborador de WikiLeaks y una persona cercana a Julian Assange”, alegando que estas personas estaban tratando de “establecer un centro internacional de piratería” en Ecuador. Expresamos nuestra preocupación por la arbitraria privación de libertad de Ola Bini. La misma se ejecutó de manera injustificada, poco clara y con una orden judicial irregularmente emitida, violentando el marco internacional e interamericano de derechos humanos que garantizan el debido proceso y garantías de protección a los derechos fundamentales de las personas.

Con posterioridad, la Fiscalía General de Ecuador declaró que a Bini se le acusa de su “presunta participación en el delito de atentado contra la integridad de los sistemas informáticos” y de intentar desestabilizar el país. Como prueba, el Fiscal General presentó una serie de dispositivos digitales, como computadoras portátiles, iPads, iPods, cables USB y dispositivos de almacenamiento de datos cifrados, libros, así como patrones de viaje y pagos por servicios de internet. Reiteramos que el uso de dispositivos digitales no puede ser utilizado como una medida para incriminar a personas cuyo trabajo se apoya en el uso de software libre y está vinculado al desarrollo de herramientas de seguridad digital.

Los cargos, la vinculación de Bini con Wikileaks y las pruebas, más que sostener la acusación, estigmatizan y criminalizan actividades legítimas y necesarias para la protección de los derechos humanos. Las irregularidades de su detención, generan una profunda preocupación sobre la negación a Ola Bini de sus derechos al debido proceso y a la defensa. Lo anterior configura una persecución y criminalización del activismo en favor de la la libertad de expresión y el acceso a la información. Tanto el Relator Especial sobre libertad de expresión de la Comisión Interamericana de Derechos Humanos, Edison Lanza, como el Relator Especial de a ONU sobre la promoción y protección del derecho a la libertad de opinión y expresión, David Kaye, han expresado públicamente su preocupación por lo que demuestra hasta ahora ser una detención arbitraria.

Las organizaciones firmantes, provenientes de América Latina y el Caribe, rechazamos la criminalización de las actividades de desarrollo de herramientas de seguridad digital y habilitadoras de los derechos humanos en Internet, particularmente, de la libertad de expresión. Reconocemos que es fundamental proteger la seguridad de las comunicaciones, anonimato y el derecho a la privacidad de periodistas y sus fuentes, así como de defensores de derechos humanos en un contexto de creciente violencia en la región.

Por lo tanto, exigimos al Gobierno del Ecuador libere inmediata e incondicionalmente a Ola Bini y que retire todos los cargos en su contra.

Firman:

Actantes
Artículo12, A.C. México
Artículo19 México
Artigo19 Brasil
Asociación por los Derechos Civiles (ADC)
Asociación de Software Libre del Ecuador
Casa da Cultura Digital Porto Alegre
Centro de Estudos da Mídia Alternativa Barão de Itararé
Centro de Mídia Independente Brasil
Ciranda Inter. Comunicação Compartilhada
Coletivo Digital
Coletivo Saravá
Derechos Digitales
Electronic Frontier Foundation
Escola de Ativismo
Fórum Nacional pela Democratização da Comunicação — FNDC
Fundación Ciudadanía Inteligente
Fundación Karisma
Garoa Hacker Clube
Instituto Bem Estar Brasil
Instituto Educadigital
Instituto de Pesquisa em Direito e Tecnologia do Recife — IP.rec
Instituto Prensa y Sociedad de Venezuela
Internet Sem Fronteiras Brasil
Intervozes — Coletivo Brasil de Comunicação Social
Rede Latino-americana de Estudos sobre Vigilância, Tecnologia e Sociedade — Lavits
Usuarios Digitales

Contra la vigilancia masiva en los espacios públicos del «Sistema de televigilancia móvil»

Las organizaciones e individuos firmantes expresamos nuestra preocupación y rechazo por las medidas de vigilancia pública anunciadas por el gobierno de Chile.

El martes 18 de marzo de 2019, el presidente Sebastián Piñera puso en marcha el «Sistema de televigilancia móvil» en la Región Metropolitana, enmarcado en el plan “Calle Segura” y que mediante aeronaves no tripuladas (también conocidas como drones) vigilará el espacio público con el fin de combatir la delincuencia. Se trata de ocho drones dotados de cámaras de alta definición, con tecnología de reconocimiento facial y capacidad de grabar y transmitir las imágenes en tiempo real. El monitoreo se hará desde las oficinas de la Intendencia y se planea su extensión a todo el país en 2020.

[left]Este sistema viola derechos fundamentales y representa un retroceso significativo del Estado chileno en materia de derechos humanos.[/left]

Esta nueva política nacional instaura una tecnología de vigilancia masiva en el espacio público, con un nivel de intrusión y movilidad nunca antes vista en Chile, y es la expresión de un Estado que busca un mayor control social, vulnerando el principio de inocencia de nuestro sistema penal al someter a la población a la constante mirada vigilante y omnipresente de la policía, facilitada por la tecnología. Este sistema viola derechos fundamentales en una sociedad libre y democrática, y representa un retroceso significativo del Estado chileno en materia de derechos humanos.

Al respecto, nos parece importante señalar que:

El sistema es ilegal. No existe una habilitación legal expresa que autorice el reconocimiento de personas con fines de vigilancia[2] y tampoco existen anuncios de un proyecto de ley que lo habilite. Si para poner en funcionamiento los controles de identidad preventivos, el ejecutivo entiende que se requiere una habilitación legal expresa, por la limitación del ejercicio de garantías constitucionales que implican, del mismo modo debió prever que el desarrollo de una política basada en el despliegue de tecnologías de vigilancia altamente intrusiva necesita de un debate democrático previo en el Congreso, orientado a balancear la protección de los derechos fundamentales en juego. La falta de una legislación adecuada para la protección de datos personales y para la prevención de los abusos policiales -como los ocurridos en casos como Operación Huracán- agravan esta situación de ilegalidad y falta de mecanismos de control.

El sistema es inconstitucional. Al mantener a la sociedad vigilada en el espacio público, sujeta al escrutinio y registro constante, el sistema amenaza los derechos a la vida privada y a la protección de datos personales (Art. 19 nº 4), a la inviolabilidad del hogar (Art. 19 nº 5), a la libertad de movimiento (Art. 19 nº 7), a la libertad de reunión pacífica (Art. 19 nº 13) y a la igual protección de la ley en el ejercicio de derechos (Art. 19 nº 3). Al no existir autorización constitucional ni legal expresa, ni control judicial alguno, se afecta inconstitucionalmente la esencia de tales derechos, contraviniendo lo prescrito en el Art. 19 nº 26.

El sistema es ineficaz, ineficiente y propenso a errores. Incontables estudios, incluyendo la experiencia reciente en Chile,[4] dan cuenta de que el reconocimiento facial es altamente falible. Del mismo modo, no existe una correlación significativa entre el descenso de la criminalidad y la presencia de estos aparatos. Ni el sector oriente de Santiago ni la región de Antofagasta -donde, desde diciembre de 2018, ha operado el piloto de este programa- han mostrado cambios significativos en las tendencias de criminalidad.

El sistema facilita abusos de la autoridad. Los sistemas de reconocimiento facial han facilitado la institucionalización de sesgos asociados a la clase social y el color de la piel[6], y refuerzan prejuicios sociales, manteniendo sistemas de persecución criminal discriminatorios y basados en la sospecha del otro. El plan inicial cubre comunas de nivel socioeconómico predominantemente medio y bajo, con lo que amenaza reforzar discriminaciones existentes sobre la población menos privilegiada y su estigmatización.

El sistema carece de legitimidad. No existen estudios que avalen la necesidad ni la proporcionalidad de las medidas anunciadas. Tampoco existen estudios de impacto sobre derechos humanos que avalen las medidas, ni han existido mecanismos de participación pública en su formulación. La ausencia de autorización legal en la materia requiere de un debate democrático en el Congreso previo a la implementación de esta tecnología.

El sistema carece de mecanismos de transparencia y rendición de cuentas. La autoridad no ha informado qué tecnología se usa para el reconocimiento facial, cuáles pruebas de errores se han realizado y cuáles han sido sus resultados, ni cómo se hará esa evaluación en el futuro. Tampoco ha anunciado qué medidas técnicas y organizativas se adoptarán para resguardar la seguridad de la información recogida por las aeronaves, ni qué resguardos existen en caso de abuso por quienes operen la tecnología. Un ejercicio de función pública sin transparencia y rendición de cuentas es inaceptable.

En síntesis, el sistema de videovigilancia es contrario a los derechos humanos. Además de ser contrario a la ley y a la Constitución, el sistema desconoce las obligaciones adquiridas por el Estado chileno en el Pacto Internacional de Derechos Civiles y Políticos y la Convención Americana sobre Derechos Humanos. Ignora las recomendaciones de los Relatores Especiales para la Libertad de Expresión y para la Privacidad de la Organización de las Naciones Unidas, como también las de la Relatoría Especial para la Libertad de Expresión de la Comisión Interamericana de Derechos Humanos y las del Grupo de Trabajo de Protección de Datos de la Unión Europea (G29, Dictamen 3/2012) [7]. Incumple con principios de alto nivel y omite la opinión especializada sobre la materia.[8]

Recomendaciones

Las organizaciones e individuos firmantes instamos al gobierno de Chile a:

Detener el proceso de implementación de videovigilancia aérea mediante drones y poner fin al programa «Calle Segura» mientras no existan evaluaciones transparentes y abiertas, como también discusión pública sobre la necesidad, conveniencia y licitud de las medidas propuestas.
Ordenar la realización de análisis previos de impacto en derechos humanos de las propuestas sobre tecnología de vigilancia y seguridad pública, y evaluación periódica de sus resultados, en procedimientos transparentes, visados por expertos independientes.
Impulsar con urgencia la reforma a la normativa sobre protección de datos personales, incluyendo la formación de una autoridad pública de control, autónoma y con facultades amplias de fiscalización, intervención, interpretación y sanción, desde una perspectiva de protección de los derechos fundamentales. Del mismo modo, impulsar una reforma profunda a las instituciones policiales, que permitan un control democrático y la prevención de los múltiples abusos en el uso de tecnologías de vigilancia, para ceñirlas a los principios de legalidad, necesidad y proporcionalidad.

Suscriben:

Derechos Digitales · América Latina
Fundación Datos Protegidos
Amnistía Internacional – Chile
Centro de Derechos Humanos de la Universidad Diego Portales
Ciudadanía Inteligente
Observatorio Ciudadano
Corporación Fundamental
Centro de Investigación y Defensa Sur (CIDSUR)
Libertades Públicas
Fundación ProAcceso
Fundación Todo Mejora
Corporación Humanas
Acoso.Online
Fundación Multitudes
Presidencia FECh
Coordinadora Feminista 8M
Colectivo Disonancia
Observatorio de Género y Equidad
Frente Feminista Región Metropolitana de RD
Colectiva Hartas Mujeres
Mujeres en el Medio
Foro Ciudadano
Vaginas Ilustradas
Stgoverde
Brigada de Propaganda Feminista
Fundación CIAPE Educación y tecnologías
Programa Libertad de Expresión del Instituto de la Comunicación e Imagen de la Universidad de Chile
ONG Amaranta
Domingo Lovera, abogado y académico UDP.
Patricia Peña, académica, Coordinadora Diplomado en Comunicación Digital ICEI Universidad de Chile.
Paz Becerra, abogada.
Pablo Ortega Manosalva, abogado.
Sebastián Saavedra Cea, abogado.
Karina Riquelme Viveros, abogada.
Natividad LLanquileo Pilquiman, abogada.
Pamela Nahuelcheo Queupucura, abogada.
Marlenne Becker Marín, trabajadora social.
Cristopher Corvalán Rivera, abogado.
Eduardo Painevilo Maldonado, abogado.
Carolina Contreras Rivera, abogada.
Luis Cordero, abogado y profesor de derecho administrativo – Universidad de Chile.
María Jaraquemada, abogada.
Mauricio Duce, abogado y académico UDP.
Pedro Anguita, abogado.
Tomás Jordán Díaz, abogado y académico Universidad Alberto Hurtado.
Verónica Encina, abogada.
Carolina Barrera, abogada.
Victoria Ortega Escudero, abogada.
Bárbara Orellana Baltra, abogada.
Ricardo Cadet Herrera, abogado.
Iván Vidal Tamayo, abogado.
Humberto Lemarie Silva, abogado.
Francisco Vera Hott, abogado.
Iván Vidal Tamayo, abogado .
Lorerna B. Valderrama, académica Universidad Alberto Hurtado.
Carolina Gainza C., académica Universidad Diego Portales.
Helder Binimelis Espinoza, académico Universidad Católica de y miembro del Observatorio de Transparencia Regional de la Araucanía.
Juan Contreras Bustos, activista de derechos humanos.
Daniel Piña Rivera, analista programador.
Ignacio Astorga, animador digital.
Tamara Daniela Lazcano Domange, artista visual.
Mauricio Vargas Peralta, capitán Partido Pirata de Chile.
Ricardo Noerr, consultor informático.
Mauricio Yanchapaxi Jacho, consultor organizacional y de emprendimiento.
Roberto Muñoz, Director de innovación Ciencia360.
Sebastian Rodriguez, diseñador industrial.
Daniel Sanchez Urrutia, diseñador web.
Bastián Lisboa, estudiante
Vicente aguilar, estudiante
Juan Ignacio Ferrari, estudiante
Manuel Lainez.
Erwin Gonzalez, informático
Enrique Herrera Noya, informático
Freeman Sánchez, ingeniero en sistemas computacionales.
Luis Alfredo, ingeniero.
Francisco Ibáñez, ingeniero.
Claudio C, ingeniero.
Joshua Provoste, investigador de seguridad Informática.
Pamela Moragrega Vilches, periodista.
Daniel Jeria, periodista.
Marcela Ortiz Buijuy, periodista.
Facundo Ferreirós, profesor.
Matías Tapia Wende, profesor.
Diego Esteban Loyola Maureira, profesor.
Evelyn Acevedo Parra, profesora.
Pamela Zárate Martel, UX Strategist.
Carlos Oliva.
Alex Martinez .
Diego Melendez García.
Juan Claudio Ramirez Gomez.
Camila Hidalgo.
Simonne loyola.
Yañez Juan.
Oscar Fernández.
Alan Arellano.
Juan Correa Poblete.
Viviana Alvarez.

¿Quieres adherir a la declaración? Firma acá.

[1] «Presidente Piñera lanzó sistema de vigilancia con drones en la Región Metropolitana», https://www.gob.cl/noticias/presidente-pinera-lanzo-sistema-de-vigilancia-con-drones-en-la-region-metropolitana/

[2] Cordero Vega, L. (2015). Videovigilancia e intervervención administrativa: las cuestiones de legitimidad. Revista de Derecho Público, (70), pp. 359-376.

[3] Ley Nº 19.628 sobre protección de la vida privada, Art. 10.

[4] «[A]demás la PDI informó que entre mayo y junio pasado se realizaron pruebas al sistema, que concluyeron que el 90% de las identificaciones de rostro fueron falsos positivos (identificación de persona errónea)». «¿Dónde quedan las imágenes de reconocimiento facial de los malls?», Las Últimas Noticias, 14 de marzo de 2019, p. 10.

[5] «Subsecretaría de Prevención del Delito e Intendencia de Antofagasta implementan drones de vigilancia en la región», http://www.seguridadpublica.gov.cl/noticias/2018/12/14/subsecretaria-de-prevencion-del-delito-e-intendencia-de-antofagasta-implementan-drones-de-vigilancia-en-la-region/

[6] Propublica (2016). Machine Bias. https://www.propublica.org/article/machine-bias-risk-assessments-in-criminal-sentencing

[7] Opinion 3/2012 on developments in biometric technologies, Article 29 Data Protection Working Party https://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2012/wp193_en.pdf

[8] «Propuesta de estándares legales para la vigilancia en Chile», https://www.derechosdigitales.org/wp-content/uploads/propuesta-estandares-legales-vigilancia-chile.pdf

Medidores inteligentes: la invasión “smart” que llega hasta los hogares

La atención pública que en Chile recibió la renovación de los medidores de consumo de energía eléctrica por otros aparatos “inteligentes”, a pesar de estar centrada en el probable aumento del precio del servicio, trajo también preocupación y alarma por otros impactos en las personas. En particular, sobre las capacidades de estos aparatos para generar información de las usuarias de energía eléctrica, vulnerando su intimidad.

No es un problema nuevo: en Europa y en los Estados Unidos ha habido resistencia a la instalación de estos medidores, especialmente fundada en los riesgos sobre la privacidad. El escenario ha sido distinto en América Latina, donde además de Chile, países como Argentina, Brasil, Colombia, México y Perú llevan años de programas piloto y de planificación e implementación progresiva de smart grids, con medidores inteligentes, sin similar oposición. Pero a pesar de parecer una muestra más de un futuro inevitable, las preocupaciones invitan a revisar hacia dónde estamos avanzando.

[left] Buena parte de la justificación de este ambicioso recambio sigue una lógica smart, de la modernización sin cuestionamiento y la creciente datificación de la cotidianidad.[/left]

El resguardo de los datos

La oposición en países como Francia u Holanda tenía pleno sentido. Que un medidor siga el comportamiento a intervalos de 15 minutos en principio podría apenas dar información sobre un consumo que sube y baja, tal como observar un medidor analógico en tiempo real. Pero el acceso a información así de detallada podría permitir inferir la clase de aparatos eléctricos que se utilizan en un hogar, detectando patrones de conducta y formulando perfiles a partir de los mismos. Es decir, información personal se produce, almacena y envía a las empresas de energía, de una forma en que antes no ocurría. Por cierto, las empresas siguen ceñidas a las obligaciones asociadas a la protección de datos personales.

En segundo lugar, esa información personal puede ser requerida por órganos de persecución criminal. A falta de regulación expresa en la materia, no es difícil pensar en requerimientos no sujetos a reglas de debido proceso; no obstante, la experiencia en los Estados Unidos da cuenta del resguardo constitucional, que en términos afines a los bloques constitucionales en buena parte de América Latina, haría exigible el control judicial ante el requerimiento de esa información.

En tercer lugar, esa información personal en principio sería conocida por las empresas de suministro de electricidad. Puesto que se envía información a distancia, es posible pensar en ataques maliciosos por parte de terceros, afectando la información que se transmite. En cuarto lugar, la capacidad remota de control sobre el suministro implica que tales ataques podrían dirigirse al suministro mismo.

Si bien en Chile el Anexo Técnico sujeto recientemente a consulta pública detallaba exigencias de seguridad que controlarían buena parte de los riesgos, el control de la correcta implementación de tales medidas constituye un nuevo ámbito de las funciones de la autoridad, vinculado a la seguridad digital, que requiere renovadas capacidades y recursos.

Smart metering para smart cities

El uso de medidores inteligentes no hace cambiar necesariamente el costo del servicio eléctrico. Lo que sí permite es un seguimiento, individual y agregado, de los momentos y días de mayor consumo, con el fin de controlar el consumo propio o de diseñar sistemas tarifarios diferenciados por horario, además de gestionar remotamente el suministro y su facturación, detectar hurtos de energía y hasta permitir la alimentación de la red (una vez convertida en smart grid) desde paneles solares. Junto con hacer más eficiente el sistema, permitiría un control sobre el consumo tendiente al ahorro energético.

En principio, suena moderno y flexible. Pero no precisamente como una necesidad para mejorar hábitos de consumo. Buena parte de la justificación de este ambicioso recambio sigue una lógica smart, de la modernización sin cuestionamiento y la creciente datificación de la cotidianidad. Con ello, se apunta a la conversión del espacio urbano compartido en una smart city, con el consiguiente aumento de los riesgos de vigilancia, como de modelamiento del comportamiento, sin siquiera comenzar a abordar los serios problemas de desigualdad y de acceso a servicios que aquejan a ciudades que aspiran a ser “inteligentes”, como Santiago de Chile.

Modernización y derechos humanos

Aunque ni la modernización energética en general ni el recambio de medidores en particular son intrínsecamente negativos, no podemos ignorar los riesgos involucrados en procesos de modernización aislados de procesos más amplios de resguardo de los sistemas de información y comunicación, así como de protección de los intereses de las personas, consideradas tanto individual como colectivamente. Es siempre necesario contar con estudios del posible impacto sobre derechos humanos de los procesos de cambio tecnológico.

Lo que esperamos no es solamente un mejor sistema eléctrico, sino también un apropiado resguardo de los datos personales, de la ciberseguridad, e incluso del debido proceso cuando se requiera información de medidores. Del mismo modo, esperamos una regulación técnica acuciosa y una correcta implementación de la misma. Además, puesto que la seguridad de la información requiere atención continua, una fiscalización fuerte y un permanente reestudio de las condiciones de resguardo de la información almacenada y en tránsito. El costo de la modernización no puede ser el abandono de la seguridad de nuestra información.

Violencia de género, redes sociales y la ley del embudo: ¿quién se queda con el lado más estrecho?

El sonado y muy mediático caso de Nido.org, la página web cuyos usuarios publicaban información e imágenes personales de mujeres y niñas sin su consentimiento, ha traído al debate público el tema del acoso en línea; en particular del acoso de carácter sexual sufrido por las mujeres que hacen vida en los espacios digitales. Según el Primer Informe de Violencia de Género en Internet en Chile, publicado a finales de 2018 por Fundación Datos Protegidos, la Universidad Alberto Hurtado y ONG Amaranta, dos de cada tres mujeres chilenas sufren alguna forma de acoso en línea. En toda Latinoamérica, las cifras de violencia en línea contra las mujeres vienen en crecimiento y con frecuencia las autoridades se quedan cortas a la hora de abordar la ilegalidad de este fenómeno, ya sea por falta de herramientas legales o por directo desconocimiento de los temas tecnológicos o de las cuestiones de género.

Como resultado, la balanza suele pesar más del lado de la víctima. La desafortunada declaración de Isabel Plá -Ministra de la Mujer en Chile- llamando a las mujeres a hacer privadas sus cuentas de redes sociales, lamentablemente refleja la postura de una buena parte de la población. En palabras de la Ministra: “Cuando tenemos redes abiertas, hay que tener conciencia que esa fotografía dejó de pertenecernos, y que puede ser publicada y mal usada”. Esta perspectiva, que concluye en pretender de las mujeres un uso restringido y limitado tanto de las herramientas tecnológicas a su disposición como de sus propios cuerpos, termina convirtiéndose en una inaceptable justificación del abuso.

Por más evidente que resulte la necesidad de educarnos -y educar a otros- respecto a los riesgos y medidas de seguridad en el uso de plataformas de redes sociales, es inadmisible que asignemos estándares a las mujeres y jóvenes que determinen que su uso de estas plataformas deba verse restringido por los “peligros” que puedan encontrar; ante los cuales, además, las usuarias se encuentran desprotegidas por falta de las estructuras legales y administrativas para accionar sus derechos. No solo se hace necesario enfatizar que toda mujer tiene el derecho humano -básico e irrenunciable- al ejercicio pleno de su sexualidad y a la autonomía sobre su cuerpo, así como a su integridad física, psíquica y social; también debemos recordar que el ejercicio progresivo de este derecho se hace extensivo a la adolescencia. La exploración informada y segura de la propia sexualidad es un derecho humano para los adolescentes y esta exploración incluye, sin duda, el derecho a descubrir y documentar el cuerpo y la imagen propios, e incluso compartirlos: dentro de ciertos márgenes establecidos.

La vigilancia o la prohibición del uso de redes sociales a niños y adolescentes no son soluciones a este problema, tampoco lo es la prohibición de tomarse o compartir fotografías de sí mismos; ambas actividades que, en el contexto actual, constituyen experiencias básicas de la vida social. La educación y la comunicación son claves: existen guías como acoso.online, Safer Nudes o el Manual de exting seguro que además de ofrecer herramientas y estrategias para llevar a cabo estas actividades de manera más segura, también informan sobre cómo enfrentar las posibles consecuencias de un ataque.

Si bien puede ser recomendable utilizar herramientas como ObscuraCam (que permite pixelar los rostros de una imagen antes de compartirla) o Wickr (una de tantas herramientas de mensajería que permite enviar una imagen y que ésta se desvanezca después de visualizada) es necesario insistir en que no podemos permitir que la responsabilidad de este problema -de profundo carácter social- recaiga en las víctimas; esto solo contribuiría a perpetuar una cultura de abuso y de violencia de género, misma que se expresa constantemente tanto online como offline.

El único enfoque posible consiste en una combinación entre educación (principalmente con respecto al consentimiento y la violencia sexual), reforma legislativa (para incluir los tipos penales necesarios que permitan abordar este tipo de fenómeno) y presión sobre las plataformas (para que continúen implementando las herramientas necesarias para reportar y dar de baja contenido violatorio de derechos humanos). Ninguna de estas herramientas sería suficiente para enfrentar el problema, pero la combinación de todas ellas podría ofrecer una alternativa por la cual vale la pena apostar.

El privilegio de cerrar Facebook

¿Cuánto cobrarías por permitir que alguien recopile toda la información disponible en tu teléfono sobre tus hábitos en internet? Las aplicaciones que usas, así como cuánto y cuándo las usas, las cosas que buscas, las imágenes que envías y recibes, tus mensajes de texto…todo. Si tienes entre 13 y 35 años, hasta hace una semana atrás Facebook estaba dispuesto a pagar hasta US $ 20 mensuales por esa información, a través de una aplicación que le daba acceso privilegiado a tu dispositivo, según informó un reportaje de TechCrunch.

Para los usuarios de iOS, la aplicación fue construida utilizando certificados emitidos por Apple para que las empresas puedan construir aplicaciones de uso interno. Y puesto que esto constituye una violación de los términos de servicio impuestos por Apple, la empresa revocó los certificados otorgados a Facebook, volviendo inoperables una serie de aplicaciones usadas por los trabajadores de la compañía, desde versiones de prueba de sus aplicaciones hasta una utilizada para leer los menús de la cafetería.

Esta no es la primera vez que Facebook es sorprendido accediendo a las profundidades de los dispositivos de los usuarios. Hacen unos meses atrás se supo de Onavo, una aplicación para gestionar mejor el uso de los recursos del celular que además funciona como VPN, pero que tras ser adquirida por Facebook les sirvió para recopilar información privilegiada sobre las prácticas de sus usuarios: qué hacían en sus teléfonos y, con ello, a qué competidores copiar o qué empresas adquirir, como se supone ocurrió en el caso de Instagram. La aplicación fue vetada por la AppStore en noviembre.

Y aunque Facebook ha salido a desmentir el reportaje de TechCrush – que solo el 5% de los involucrados eran menores de edad y tenían permiso de sus padres, que el programa no era secreto, que se informó que se iba a recolectar información sobre los usuarios, incluso aquella que podría estar cifrada – la verdad es que el hecho se suma a la larga lista de escándalos de la compañía, fuertemente cuestionada durante 2018.

¿Y ahora qué? Al igual que después de cada una de sus polémicas surge la solución: es hora de eliminar tu cuenta de Facebook. Incluso hay datos que sugieren que salir de la red social te haría más feliz, según explica un estudio realizado por Standford y NYU. Pero, como todo en la vida, probablemente la respuesta no es tan sencilla.

Hace algunas semanas atrás tuve la oportunidad de escuchar a Max Senges, filósofo de la tecnología en Google. Consultado respecto al daño potencial que las nuevas tecnologías están teniendo a nivel individual y social, Senges respondió que la gente debería ser más responsable con estas plataformas y usarlas menos; “Cuando salgo de picnic con mi familia no llevo mi teléfono”, agregó (más o menos, estoy parafraseando).

Ahora, no hay como discutir con esa lógica: la gente debería ser más responsable con estas tecnologías y usarlas menos. Quizás de plano no usarlas. Pero hay dos cuestiones que creo que es importante discutir. La primera, es que no podemos delegar la responsabilidad puramente en los usuarios; no lo hacemos cuando hablamos de cigarrillos o la cantidad de azúcar en los alimentos, y no veo porqué este caso debiese ser diferente.

La segunda, y que en este momento me parece la más interesante, es qué se pierde al renunciar a Facebook. Y probablemente estás pensando “no mucho”. Pero obviamente esa no es una respuesta estándar. No todo el mundo tiene la posibilidad de salir de picnic. Más allá de los casos más obvios en los que podríamos pensar – gente que, por ejemplo, se sustenta vendiendo algún producto a través de Facebook o aquellas personas que están lejos y que considera que ese es el canal más sencillo para mantenerse comunicado con sus seres queridos – para mucha gente sin demasiadas alternativas, internet se ha convertido en la forma más sencilla y barata de pasar el rato. Diversión de baja calidad para gente con nada mejor que hacer, como fue antes la televisión.

En ese sentido, quizás existe una correlación entre el paso paulatino de la internet “de antes”, a través de un computador conectado a una línea telefónica, y el internet ubicuo de hoy a través del teléfono celular y otros dispositivos móviles. Puesto que a la internet de antes “se entraba”, era necesario un propósito, incluso si ese propósito era matar el tiempo. Hoy ya nunca salimos de internet, siempre estamos conectados y no necesitamos un motivo ni hacer nada más que simplemente estar ahí, mirando como las publicaciones corren, sin llegar nunca al final. Si el internet de antes estaba intrínsecamente ligado a una idea de producción, el internet de hoy es uno de procastinación y vigilancia, diseñado para que estemos la mayor cantidad de tiempo posible informando sobre lo que nos gusta para que las compañías que recopilan esos datos puedan vender publicidad.

Y a pesar de lo mal que suena, la verdad es que hay gente que no tiene mucho más donde elegir. Lo difícil no es cerrar Facebook, es pensar con qué sustituirlo.

¿Qué hay detrás de las recolecciones de datos y la vigilancia?

En el marco de la semana de la privacidad de datos, hacemos una reflexión a través del uso de tecnologías de vigilancia para recolectar masivamente datos biométricos. Estas aproximaciones a la tecnología como instrumento de control se han manifestado a través de distintos casos alrededor del mundo, sin embargo la búsqueda y sofisticación de herramientas que permiten a los gobiernos amedrentar, censurar y espiar a las personas es una constante que se manifiesta a pesar de las peculiaridades en los climas políticos de cada país.

Hace unos días, el diario norteamericano The Intercept publicó una nota sobre la conformación de bases de datos biométricas en las prisiones estadounidenses, mismas que están siendo alimentadas pasando sobre los derechos humanos de cientos de miles de convictos en las prisiones de Nueva York, Texas, Florida, Arkansas y Arizona; a quienes -de acuerdo al texto citado- se les ofrece “la opción” de participar en el robustecimiento del algoritmo de reconocimiento por voz o perder el acceso al uso del teléfono si decidían no hacerlo.

Al momento de que estas acciones fueron cuestionadas públicamente, la respuesta por parte de las autoridades de las prisiones versó sobre el impacto “positivo” que el uso de estas tecnologías produce para mejorar la seguridad y evitar fraudes, señalando que estos despliegues de tecnologías de reconocimiento para generar “voice prints” -o huellas de voz- han sido financiados en parte por un apoyo económico de 50 millones de dólares otorgado por el Departamento de Defensa para identificar las comunicaciones hechas por terroristas y presuntos criminales; sin embargo no hubo reparo ante las implicaciones en cuanto a los derechos humanos de las personas presidiarias que son sometidas a “participar voluntariamente” en la implementación de estas medidas.

Y este caso hace eco a incidentes anteriores en los que el consentimiento de las personas para recabar sus datos biométricos ha sido completamente borrado, apelando a un discurso que somete a las personas a ser constantemente vigiladas bajo el yugo de “el bien común” aludiendo a la seguridad como el fin último y convirtiendo a la privacidad en privilegio: arrebatándole la cualidad de derecho fundamental que la constituye.

Fuera del contexto del norte, podemos ubicar casos puntuales en América Latina donde: bases de datos personales han sido expuestas, se han reportado casos de espionaje gubernamental a activistas, se ha comprobado la vigilancia e interceptación de comunicaciones de personas disidentes, se han hecho despliegues de tecnologías de vigilancia en lugares públicos, se ha buscado obtener datos de menores de edad a través de programas de beneficio social y se controla el acceso a ciertas páginas de internet a través de bloqueos en la red.

Muchos de estos casos han sido abordados para exigir rendición de cuentas y denunciar abusos de poder a través de iniciativas de diversas organizaciones, logrando conseguir espacios en medios de alta difusión. A pesar del fuerte eco que parecen tener estas denuncias, estos casos se miran desde una distancia que aparenta no interferir en el día a día de quienes vivimos cada vez más rodeadas de mecanismos tecnológicos configurados para estar siempre atentos a las peticiones que hacemos al aire -cual genios de lámpara mágica- y nuestra necesidad de estar constantemente frente a pantallas que se desbloquean automáticamente al reconocer nuestros rostros o huellas.

De vuelta a las prisiones norteamericanas, algunos registros de voz son hechos sin el consetimiento de las personas presidiarias cuando éstas se comunican con sus familias, además estos registros permanecen en el poder del sistema penitenciario aún cuando sus condenas llegan a término… Y lo que más impacta es que en el indiscrimado uso de estas tecnologías para recabar datos, son también registradas las personas con las que han tenido contacto vía telefónica: sin ser notificadas, sin saber para qué fines son registrados sus datos, sin ser si quiera sujetos de sospecha e incluso cabría el caso de que algunas de esas personas registradas “por proximidad” sean menores de edad; como sucedió en el caso del hijo de la periodista Carmen Aristegui en México, quien se encontraba entre los objetivos del caso #GobiernoEspía.

Ante estas situaciones, cabe cuestionarnos y promover ejercicios de reflexión en torno a cómo tratamos nuestros datos y llevar esto un paso más allá: pensando cómo colectivamente facilitamos la creación de perfiles precisos de nosotros y quienes nos rodean, a partir de nuestra relación con los dispositivos que usamos a diario.

Una de las mejores formas de hacer frente a estos “despliegues de inteligencia” por parte de los Estados es justamente promover estrategias inteligentes para dotar a las personas de herramientas que les permitan proteger sus derechos y autonomía, fomentando la participación activa de las personas en discusiones y toma de decisiones en torno al tratamiento de datos personales, la vigilancia de comunicaciones y la protección de los derechos humanos.

En Derechos Digitales hemos creado diversos recursos para promover herramientas de anonimato, hemos realizado materiales y eventos de difusión en torno a la protección de datos en distintos países de América Latina y además promovemos la creación de políticas públicas que controlen las iniciativas estatales y protejan los derechos humanos en entornos digitales (entre ellos la protección de la privacidad y los datos personales).

Vivimos en un mundo en el que las posibilidades de la tecnología han avanzado más rápido que nuestra capacidad colectiva para diseñar políticas que impidan usos abusivos o prevengan todos los intereses que se hallan en usar la capacidad tecnológica en detrimento de los derechos fundamentales, sin embargo -a cierta distancia de las personas de las prisiones estadounidenses- aún podemos elegir usar diversas tecnologías sin pagar con nuestra privacidad o la integridad de nuestros datos: es tiempo de actuar, el futuro es ahora ¡Hagámoslo juntas!