¿Cómo se podrían obtener conversaciones de WhatsApp de un tercero? A partir del caso Huracán y la documentación técnicamente existente, intentamos aproximar una respuesta a esta pregunta.
Temática: Privacidad
¿Quién defiende nuestros datos?
Las empresas
Cuando lanzamos la primera versión de este informe hace un año, la principal conclusión fue que a la industria de las telecomunicaciones le preocupaba poco o muy poco la protección de datos y la privacidad de los usuarios. Nuestra segunda conclusión fue que las empresas controladas por capitales extranjeros fueron levemente mejor evaluadas que sus pares, probablemente por cumplir con estándares fijados por su casa matriz.
Un año después, la versión 2018 pinta un panorama un poco más auspicioso. Un sector de la industria (en particular Claro y WOM) parece haber reaccionado ante los cuestionamientos del informe y avanzó sustantivamente en sus condiciones de privacidad y prácticas en pos de la defensa de los usuarios. Por otra parte, VTR y Movistar parecen haberse dormido en los laureles de su evaluación relativamente positiva del año pasado, y no avanzaron sustantivamente. Por último, Entel y Manquehue se mantienen al fondo de la tabla, no habiendo mostrado mayor interés en mejorar.
Una de las principales mejoras, y que resulta particularmente positiva a la luz de la polémica por la aprobación del llamado Decreto Espía, es que un número importante de empresas anunció públicamente que exige orden judicial previa, no solo cuando la autoridad solicita interceptar comunicaciones, sino para entregar acceso a los metadatos del usuario.
También resulta llamativo que las dos empresas que más avanzaron (Claro y WOM), son justamente las empresas más presentes en el segmento móvil del mercado, que hoy presenta mayores niveles de competencia. Esto puede indicar que el bajo nivel de competencia que enfrentan las empresas más afianzadas en el mercado entrega pocos incentivos para que estas ofrezcan mejoras en las condiciones de privacidad de sus usuarios.
La sociedad civil
Cuando nos preguntamos quienes recolectan, tratan y abusan de nuestros datos, los dardos generalmente apuntan al Estado y las empresas. Sin embargo, muchas organizaciones de la sociedad civil, como ONGs, partidos políticos, sindicatos y otros cuerpos intermedios también manejan grandes bases de datos personales, los que por un interés activo o por negligencia pueden ser mal utilizados.
Por su volumen, las bases de datos que los partidos políticos manejan al momento de desplegar sus campañas electorales son de particular importancia. Este año, nos enteramos que el mal uso de nuestros datos personales por parte de los partidos políticos va más allá de la compra de bases de datos y de mensajes de texto no solicitados.
En un extenso reportaje, CIPER dio a conocer que distintos partidos políticos han contratado los servicios de la empresa Instagis. A través de su software, la empresa permitiría identificar el RUT, domicilio y preferencia política de una persona, y de esta forma entregar publicidad personalizada durante las campañas políticas. Cabe recordar que las preferencias políticas de una persona constituyen un dato personal sensible, y por tanto su tratamiento no puede ampararse en haberse obtenido los datos de una fuente accesible al público. En otras palabras, estos partidos políticos están haciendo campaña a través de una herramienta que abusa de nuestros datos personales y está al margen de la legalidad.
Aun así, al igual que en el caso de las empresas de telecomunicaciones, hay un sector de los partidos políticos que ha decidido avanzar en la materia. Recientemente, el Frente Amplio ha buscado asesoría entre distintos expertos, con el fin de que su plataforma de participación no solo cumpla con la legislación, sino que entregue términos de privacidad que promuevan los derechos de sus participantes.
El Estado
Lamentablemente, y como hemos expresado en el pasado, los organismos público no solo no están cumpliendo con su deber de proteger los datos personales de los ciudadanos, sino que muchas de las iniciativas del gobierno activamente los exponen innecesariamente, o incluso como una forma de castigo.
De esta forma, la Ley Electoral todavía mandata que nuestros datos personales estén públicamente disponibles en el sitio web del SERVEL. Por otro lado, el próximo 5 de junio entrará a regir el denominado “DICOM del Transantiago”, una iniciativa que busca combatir la evasión del transporte público a través de un registro abierto cuyo objetivo es que los datos personales de los infractores sean expuestos, y así se vean discriminados en su acceso al trabajo, crédito y otros beneficios estatales.
¿El camino a seguir?
Si bien muchas de las mejoras antes descritas pueden resultar loables, lo cierto es que no bastan las iniciativas individuales. Necesitamos de una nueva legislación que impulse una cultura de la protección de datos a nivel transversal en nuestra sociedad.
El proyecto que hoy se encuentra actuamente en tramitación en el Senado se presenta como una oportunidad necesaria para mejorar nuestro estándar de protección y poder contar con una legislación cuyo objetivo sea proteger a las personas y no solo legitimar el tráfico de datos personales.
Sin embargo, para ello el proyecto debe modificar sustancialmente varias de sus disposiciones. Como hoy está contemplada, la futura Agencia de Protección de Datos Personales no cuenta con la autonomía e independencia necesaria del gobierno de turno para asegurar que sus decisiones sean de carácter exclusivamente técnico. Del mismo modo, resulta imperioso volver a incorporar los hábitos de las personas en la definición de dato personal sensible y restringir sustantivamente la figura del “interés legítimo” como causal para el tratamiento de datos personales sin el consentimiento del titular. Por último, es necesario aumentar el monto de las multas en casos graves o reincidentes, de forma tal que resulte un real desincentivo para las empresas de mayor tamaño. Tal vez emular la fórmula adoptada por la nueva versión Reglamento General de Protección de Datos, pronto a publicarse este mes, y que las multas asciendan hasta un 4% de los ingresos anuales de la empresa infractora resulte una buena idea a emular.
Los senadores tienen plazo hasta el 7 de junio para ingresar indicaciones al proyecto de ley, esperamos que las mejoras antes descritas puedan ser incorporadas a la discusión y debatidas, y de esta forma que sea la protección de los derechos de las personas el principal objetivo de nuestra legislación. Solo de esta forma podremos asegurar que la protección de los datos personales se transforme en la regla general en Chile, y no esté sujeta simplemente a la buena voluntad de los distintos actores involucrados.
¿Quién defiende tus datos? (2018)
Evaluación sobre las políticas de privacidad y protección de datos de las empresas que proveen servicios de internet en Chile.
Lejos de proteger nuestros datos en América Latina
Estamos a pocas semanas de que el Reglamento General de Protección de Datos (RGPD) entre en plena vigencia en la Unión Europea, y los efectos comienzan a notarse. La reglamentación contempla un entramado de normas que facilita el resguardo de los datos personales, incluyendo el tránsito de información personal que ocurre en el uso de tecnología digital. Varias empresas ya están luciendo nuevas políticas de manejo de datos, y haciendo saber a sus usuarias que han cambiado sus términos y condiciones de uso. Todo ello, para evitar las fuertes sanciones que imponen las nuevas reglas.
Ese cambio de conducta es significativo. No se trata solamente de una cuestión de cumplimiento legal, sino que se vincula directamente con el modelo de negocios de muchas de las empresas más grandes del mundo y que operan en internet. La monetarización basada en la recolección y el procesamiento de los datos personales enfrenta, al menos en la Unión Europea, algo más que un reproche ético y político, sumando ahora la necesidad de respetar una serie de reglas que devuelven un poco de control sobre los datos propios.
El nuevo estándar
El RGPD, aprobado en 2016, representa una evolución de la normativa de la Unión Europea para la protección de datos personales, pensada en el impacto de las tecnologías de información, y las condiciones actuales de recolección y procesamiento de datos personales. Entre otras cosas, el RGPD exige que la recolección de datos sea hecha mediando consentimiento previo, explícito, informado, libre y verificable; permite la portabilidad de los datos desde un controlador a otro; incorpora y regula el derecho a la supresión (u “olvido” desde índices); limita el uso de datos obtenidos de terceras personas a aquel obtenido bajo las condiciones propias del Reglamento; establece principios como el de privacidad por diseño y por defecto; regula más estrictamente la recolección y uso de la información de menores de edad, y más.
De forma quizás más relevante para los gigantes de internet, el RGPD los somete a un sistema de observancia particularmente duro. Además de la obligación de notificar en casos de fugas de datos o quiebres de seguridad, y de variar en las reglas sobre responsabilidad, las sanciones pueden elevarse hasta un 4% de los ingresos globales de la entidad infractora (o 20 millones de euros, según lo que sea mayor). Y ese nivel de impacto monetario es un serio desincentivo: los ingresos de Facebook no fueron seriamente mermados cuando en 2016 fueron multados por € 110 millones por proveer información incompleta tras la adquisición de WhatsApp. La sanción por infringir el RGPD podría ser muchísimo mayor. La pregunta que cabe, entonces, es si ese riesgo es suficiente para cambiar prácticas de uso de información personal y con ello los modelos de negocios a nivel global.
¿Nuevo estándar global?
La aplicación directa del RGPD en la Unión Europea se condice con la estrategia del bloque para agilizar el comercio, manteniendo un mismo nivel de protección en todos los países de la UE. Las transferencias internacionales quedan también sujetas a la existencia de certificación del nivel adecuado de protección de datos personales en los países con los que exista ese flujo de datos, o bien a la existencia de garantías adecuadas.
Por cierto, rigen tales reglas dentro del territorio de la Unión y para sus ciudadanos donde se encuentren, sin que para ello importe la ubicación comercial formal de las empresas, quedando estas obligadas por el hecho de operar allí o alcanzar con sus servicios a ciudadanos de la Unión. Esto es una obligación para quienes deseen continuar prestando servicios a una audiencia europea, sin embargo, ello no significa necesariamente que todos los cambios vayan a ser aplicables alrededor del mundo donde tales empresas también prestan sus servicios. Después de la audiencia de su CEO ante miembros del Senado estadounidense, Facebook tuvo que salir a aclarar que aplicará iguales condiciones de protección para la UE que para el resto del mundo, y no solamente los “controles” a los que obliga el RGPD; no obstante, subsiste la duda sobre si fuera de la UE esta y otras empresas abandonarán sus prácticas de recolección de datos masiva y su modelo de negocios basado en servicios a terceros a partir de los datos recolectados, o si adoptará por fin la privacidad por diseño.
Entonces, ¿se aplicarán estas reglas de protección allí donde el servicio alcanza igualmente a usuarios europeos y latinoamericanos? En parte, podríamos esperar que sí. Pero eso no es en absoluto suficiente para asegurar el pleno respeto de los derechos de las internautas en América Latina. Los cambios introducidos por el RGPD sirven como una demostración adicional del relativo abandono en que buena parte de la región mantiene sus reglas de protección de datos personales. Porque no existen, porque llevan años de tramitación como en Brasil y Chile, o porque sus alcances operativos son limitados.
La autorregulación, a estas alturas, es deseable pero insuficiente. En el espacio que brinda la ausencia de reglas protectoras, han nacido prácticas con décadas de asentamiento, como la recolección de huellas dactilares o números de identidad para condicionar la entrega de servicios, la formación de bases de datos opacas, fugas de datos sin compensación alguna, y un constante desdén por la idea del consentimiento y la finalidad. Si las reglas del RGPD contribuyen al establecimiento de un nuevo estándar global, es exigible a los gobiernos de América Latina que contemplen ese estándar como la guía para la protección de sus propias ciudadanías. No es una cuestión de mera información o transparencia, sino de igualdad, libertad, autonomía y dignidad.
Exigimos mayor transparencia cuando negocien sobre nuestros datos
Bajo los estándares actuales de protección de derechos humanos, la vigilancia de las comunicaciones y actividades en línea requiere ciertas precondiciones, una de las cuales es la existencia de una orden judicial. Sin embargo, de acuerdo con la normativa que se discute actualmente en Europa y en Estados Unidos, muchas cosas estarían por cambiar, en especial la garantía de que nuestros datos personales no terminen en manos de otros gobiernos sin que las leyes de protección de datos personales de nuestro país nos protejan.
Así, la llamada Ley CLOUD en Estados Unidos expande las posibilidades de las agencias policiales para acceder a los datos de personas que están fuera de sus límites territoriales, al permitir a las autoridades estadounidenses acceder a los contenidos de una comunicación y a sus metadatos sin importar dónde vivan o dónde se encuentre almacenada esa información. Además de esto, de ser aprobada, la ley permitiría a los Estados Unidos formar acuerdos ejecutivos con otros países que permitirían a ambos gobiernos acceder a estos datos de manera bilateral, independientemente de las leyes locales.
Simultáneamente, el Comité sobre Cibercrimen del Consejo de Europa negocia el segundo protocolo adicional al Convenio de Budapest sobre cibercrimen, que trata específicamente sobre el acceso transfronterizo a datos. A principios de abril, una larga lista de organizaciones no gubernamentales de todo el mundo, entre las que se incluye Derechos Digitales, suscribieron una carta al Consejo de Europa exigiendo una mayor transparencia en el proceso de estas negociaciones, dado que la sociedad civil en conjunto no ha tenido acceso al texto actual que contiene el inventario de las medidas que se están preparando.
Para Latinoamérica, esto significa -como ha significado hasta ahora en cuanto a otros instrumentos legales de carácter internacional, como al propia Convención de Budapest- enfrentar las consecuencias del desbalance de poder geopolítico de la región y de los países de manera individual. Cuando un país como Chile o Colombia entra a discutir su adhesión a un convenio internacional negociado por Europa, o a un pacto bilateral con los Estados Unidos, no entra en una relación de igualdad que le permita ejercer un contrapeso suficiente a las posibles ventajas a las que accede su contraparte. Así, por ejemplo, la adhesión de países latinoamericanos a la Convención de Budapest ha significado adaptar las legislaciones nacionales en materia de cibercrimen a un instrumento normativo en cuya discusión participaron únicamente los países de la Unión Europea, y que por tanto constituye un acuerdo de “tómalo o déjalo” donde poco cabe negociar, incluso en casos en que el país se acoge al tratado con reservas, como en el caso chileno o el costarricense.
Por otra parte, dada la influencia de los Estados Unidos con respecto a gran parte del tráfico mundial de datos de internet a causa de la localización de la mayor parte de las grandes compañías tecnológicas, cuando otro país ingresa en uno de estos acuerdos, esto le permitiría acceder a los datos de prácticamente cualquier persona localizada en cualquier país, independientemente de que el lugar donde esta persona se encuentra haya participado o no de estos acuerdos, una circunstancia que constituye una grave amenaza a la privacidad de las comunicaciones en todo el mundo. Esto, claro, con la excepción de los ciudadanos estadounidenses, los únicos que quedarían -relativamente- a salvo al estar protegidos por las leyes locales sobre privacidad.
Lamentablemente, en la mayor parte de los países latinoamericanos, los legisladores y creadores de políticas públicas entienden poco y nada sobre la materia que regulan cuando se trata de internet y tecnología. Esta brecha puede significar un enorme obstáculo al momento de suscribir esta clase de tratados y acuerdos, no permitiéndoles comprender los detalles relativos a la implementación efectiva de la norma y cómo podría afectar protecciones preexistentes en las leyes internas y en tratados internacionales sobre derechos humanos previamente suscritos. Tal como señala la carta de la sociedad civil, esto hace más indispensable aún que este tipo de procesos legislativos se hagan con participación abierta de todas las partes interesadas, lo que incluye no solo al sector no gubernamental, sino a los sectores técnicos, académicos y empresariales, cada uno de los cuales cuenta con intereses afectados y conocimientos específicos que deben incidir en la creación de este tipo de normas.
Entre tanto, la discusión de estos acuerdos internacionales -que afectarán a Latinoamérica independientemente de que ésta participe con peso específico en las negociaciones o no- sigue adelante, incrementando cada vez más las capacidades de los gobiernos del mundo para vigilarnos más y mejor.
Recomendaciones para la transparencia y anticorrupción en la adquisición y uso de tecnologías de vigilancia por parte de los Estados Americanos (2018)
¿Nuestra privacidad en manos del mercado?
Más allá del vendaval de memes que generó la audiencia, la pregunta por la privacidad de los usuarios en el contexto de Cambridge Analytics sigue abierta. Sin embargo, las extenuantes horas de audiencia dejaron varias cuestiones en claro.
Primero, que pese a las disculpas ofrecidas por Zuckerberg el modelo de negocios de la compañía seguirá afirmándose en los datos que sus usuarios generan. La diferencia sería, esta vez, que habría mayores recaudos respecto al acceso de tal información por parte de terceros. Pero, tal como dijo Zuckerberg, Facebook no vende datos, vende publicidad, así que vender los datos generados por sus usuarios sería enajenar su principal capital a la hora de segmentar audiencias. Pero la decisión de Facebook de no vender nuestros datos no es altruista, se trata de resguardar su modelo de negocios. Sobre la marcha, al ser preguntado por una senadora respecto a la posibilidad de cambiar el modelo de negocios para resguardar la privacidad de los usuarios, Zuckerberg respondió que no sabía a qué se refería.
Segundo, que la compañía está tomando el camino equivocado a la hora de asumir responsabilidad en sus acciones, al tiempo que Zuckerber repite, como mantra, que Facebook es una comunidad. A efectos prácticos, las y los usuarios no cuentan con mayor control de los datos que entregan a la red social; vaya comunidad aquella donde sus miembros no pueden discutir los fundamentos de su vínculo. Peor aún, al ser inquirido por asuntos como el discurso de odio en la plataforma, Zuckerberg apuntó al desarrollo y uso de herramientas de Inteligencia Artificial, como si estas fueran suficientes y sin cuestionar sus implicaciones políticas.
Este tipo de discursos, centrados en la potencial eficacia de los desarrollos tecnológicos -que autores como Morozov han catalogado de tecnosolucionismo- desplaza la pregunta sustantiva (¿qué constituye un discurso de odio?) hacia una pregunta formal (¿está adecuadamente programada la máquina que determina tal categoría?). Tales posiciones sitúan a desarrollos como la Inteligencia Artificial en el fundamento de las certezas, naturalizando su actuar. Como señaló Ryan Calo, Profesor de Derecho de la Universidad de Washington, “‘La inteligencia artificial solucionará esto’, es el nuevo ‘lo solucionará el mercado’».
Tercero, que necesitamos, con urgencia, un mayor desarrollo institucional para abordar problemáticas como las que surgieron tras el escándalo de Cambridge Analytica. No se trata solo de la existencia de agencias estatales dedicadas al resguardo de los datos personales; tampoco a la necesidad de una legislación que reconozca el cambio en los modos de registro de la vida cotidiana. Además es importante puntualizar la necesidad de que las y los representantes democráticamente elegidos desarrollen un juicio crítico sobre las implicaciones asociadas a las nuevas tecnologías. Bajo ese rasero las preguntas de las y los congresistas norteamericanos dejaron bastante que desear. Como contrapunto, la imagen de una situación semejante en el contexto latinoamericano llega a ser pavorosa. Basta recordar que una de las congresistas acabó discutiendo con Zuckerberg cuán bueno sería que Facebook desarrollase proyectos de fibra óptica en su distrito.
A la luz de lo anterior es necesario que repensemos la pregunta en torno a la privacidad. Durante siglos resultó habitual considerar que la publicidad, considerada la contra cara de la privacidad en tanto capacidad de alcanzar a otros con nuestro mensaje, suponía un esfuerzo activo. Actualmente, por el contrario, pareciera que estamos situados en un contexto donde, como señaló Danah Boyd, lo público se asume por defecto, lo privado por necesidad. Si la privacidad es una necesidad, ha de ser también reconocida como una construcción, como algo por ser resuelto. No significa que tengamos que renunciar a ella, en lo absoluto, sino que debemos hacer esfuerzos conscientes a nivel individual y colectivo por construirla.
Esto se traduce en las “nuevas” preocupaciones que, por ejemplo, deben enfrentar madres y padres al verificar que sus hijas e hijos “conocen” personas a través de redes sociales. Tales preocupaciones suponen un esfuerzo activo por señalar a las y los niños cómo pueden construir su privacidad. Lo mismo que hacemos día a día, a través de las distintas redes sociales, al determinar a quién permitimos acceder a los contenidos que generamos. A nivel colectivo, sin embargo, esto supone un esfuerzo mayor. Toda vez que hemos de reconocer que la construcción de la privacidad será uno de los grandes desafíos de una era que, como nunca en la historia, ha generado mecanismo de registro pasivo de nuestras acciones cotidianas. Me refiero con esto, a cuestiones como el hecho de que nuestros teléfonos saben cuántos pasos hemos dado día a día, sin nosotros tener -las más de las veces- noticia de ello.
Finalmente, es importante no caer en la tentación de situar a Facebook como el chivo expiatorio de las tensiones que generan las nuevas tecnologías. En este sentido, Facebook no es sino, literalmente la punta del iceberg de un problema mayor: el comercio de datos sobre el que se cimenta la nueva economía de internet. Es imperioso que comprendamos que nuestros datos son valiosos, aunque no sean tangibles, aunque no sepamos que se están generando.
¿Cambridge Analytica? El próximo escándalo está a la vuelta de la esquina
Hace pocos días, el Guardian Observer y el New York Times, en una investigación conjunta, dieron a conocer una noticia que ha dado ya varias veces la vuelta al mundo: cincuenta millones de perfiles de Facebook habían sido explotados por Cambridge Analytica, la firma de análisis de datos que fue parte de las campañas previas a la elección de Donald Trump en los Estados Unidos y la votación para que el Reino Unido abandonara a la Unión Europea. Una enorme “fuga” de datos personales, que tiene hoy a la red social, una de las compañías más grandes del mundo, en una difícil posición ante la opinión pública.
La trama de las revelaciones (ya contada hasta el cansancio) involucra desde jóvenes investigadores hasta poderosos millonarios; desde interesantes postulados académicos aplicados al avisaje microdirigido (micro-targeting) de votantes hasta el escepticismo sobre el efecto real en los potenciales votos. También, la intervención de ex empleados tanto de Facebook como de Cambridge Analytica, que al modo de tardíos denunciantes (tratados hasta en la prensa como whistleblowers), han entregado detalles de la operación de Facebook sobre los datos personales al menos hasta 2014.
El escándalo es justificado: una firma privada, acumulando decenas de millones de perfiles, a partir de aplicaciones aparentemente inocentes y desarrolladas con fines académicos, montadas sobre Facebook. Una situación de abuso sobre datos personales, recordando el valor de nuestra información personal. No es más que la consecuencia lógica del continuo funcionamiento de la poderosa máquina de vigilancia que ha sido Facebook en los últimos años, alimentada por el legítimo interés por conectarse con familiares, amistades, colegas y más. Una máquina que funciona sobre perfiles construidos incluso sobre quienes no usan la plataforma.
Business as usual
Esta interesante historia es solo un ejemplo de los límites, cada vez más lejanos, a los que llega la industria de los datos. En el capitalismo de la vigilancia, no es del todo cierto que si no pagas por un servicio eres el producto. Aunque pagues, a menudo eres el producto. Aunque no tengas una cuenta, muy probablemente eres el producto. Y las conexiones personales recogidas por Cambridge Analytica dan cuenta de ello, pero están lejos de ser los únicos en tener tal clase de conexiones: Facebook está al centro de un ecosistema que involucra a muchos más actores, invisibles ante la opinión pública.
Los incentivos para operar son múltiples, y los costos ínfimos. Por una parte, las reglas sobre datos personales han sido lo suficientemente permisivas como para permitir instancias de dudosa entrega de consentimiento sobre los datos, bajo condiciones en que es imposible gozar de una opción sin entrega de datos para acceder a un servicio, o bien bajo la sujeción a términos de uso y políticas de privacidad ilegibles. La ausencia de suficiente conocimiento o educación sobre los derechos que existen, como consumidoras y como titulares de datos, hace aun más intensa la disparidad de poder entre compañías y usuarias.
Y todo ello se ha visto reflejado en la respuesta de Facebook: no se trataría de una “fuga” de datos personales, porque los datos recolectados fueron entregados voluntariamente por quienes usan Facebook. Claro, esto ignora a las decenas de millones de personas que no entregaron su información a los investigadores tras la app thisisyourlife; pero, más gravemente, transfiere la responsabilidad a las mismas personas, titulares de datos personales, por una pérdida masiva del manejo y control sobre los mismos. Aunque las condiciones que permitieron el abuso se remontan a 2014, y en teoría no existirían hoy, la respuesta importa: los marcos de funcionamiento ético, en la práctica, no parecen ser distintos de un apego al mínimo legal.
Democracia y control social
Una arista que ha recibido particular atención desde que Cambridge Analytica ganó notoriedad pública es su vocación para la operación en contextos electorales. Ayudada ante la imaginación pública, por cierto, por el éxito imprevisto de las campañas electorales de Donald Trump y de #VoteLeave. Este funcionamiento, basado tanto en el alcance de la red social como en el exitoso algoritmo, que mantienen a cientos de millones de personas pendientes de sus dispositivos, implicaría una capacidad de persuasión con efectos ya no sobre personas individuales, sino sobre grupos completos.
Aunque no sea del todo cierto que esa influencia es real y comprobable (o que esa sea la situación hoy), la noción de que movilizar y desmovilizar a las masas puede lograrse de forma más efectiva mediante herramientas tecnológicas, tiene un efecto significativo sobre los mercados de la información personal y el perfilamiento para las campañas políticas. Un marco atractivo para gobiernos que enfrentan sus propios, posiblemente adversos, contextos electorales. Como mostraban las -poco discretas- revelaciones de Channel 4 en el Reino Unido, la manipulación alcanzaba a varios niveles. Todo como demostración, ante la posibilidad de clientes futuros, del poder que pueden ejercer quienes tienen información personal a manos llenas. Cambridge Analytica aseguró así un jugoso contrato con el gobierno estadounidense.
En América Latina esa estrategia parece también haber tenido efectos. Un contrato en Brasil fue rescindido esta semana. También habría operado en el Perú. En Argentina se investiga si tuvo influencia. Habría tenido efecto en México, donde también cesó un contrato. Una empresa en Chile se jacta de servicios similares, pero niega operar como la firma británica.
Aun si no hay evidencia de una manipulación efectiva mediante el algoritmo, sí podemos vislumbrar que los mecanismos de administración de nuestra atención sí van ganando en complejidad y efectividad. Los contextos electorales, en que (según se nos permite) solamente es necesaria una línea sobre un papel cada cierto tiempo para mover ámbitos de poder, ponen estas herramientas en una atractiva vitrina para quienes quieren y pueden pagar por ellas. La gran afectada por esta operación masiva de vigilancia, minería y venta de datos e influencia es, finalmente, la democracia.
Retomando el control
Cuando por fin reaccionó Mark Zuckerberg, fundador y CEO de Facebook, la suspicacia ya estaba instalada. Se trataba de una instancia más en un largo historial de disculpas a nombre de la compañía por situaciones vergonzosas. Pero mientras los escándalos y las disculpas se acumulan, la empresa sigue creciendo, porque el negocio se mantiene vivo. El problema no es Cambridge Analytica, ni es tal empresa un villano corporativo único. El problema es una economía que permite e incentiva el tratamiento masivo y abusivo de datos personales, para vendernos productos y para vendernos como productos.
¿Qué hacer frente a estos escándalos? La propuesta de cerrar las cuentas de Facebook frente a este incidente puntual se muestra como una solución parcial; al menos, un pequeño alivio frente al potencial abuso para los (escasos) usuarios de internet que no tienen una cuenta abierta (pero que siguen siendo seguidos a través la red). No obstante, las posibilidades de interacción hacen que para muchos esa solución sea costosa; por lo demás, como usuarias sí debemos contar con la posibilidad de acceder a servicios sin que nuestros datos sean abusados por ello, sin que nuestras decisiones individuales o colectivas estén dirigidas por algoritmos o por intereses políticos. Existen algunas medidas de autocuidado que permiten limitar el alcance brutal de la recolección de información. Pero también podemos exigir más de las instituciones y empresas.
Por otra parte, es urgente contar con marcos legales que protejan suficientemente los datos personales, entregando herramientas a los titulares de datos para ejercer sus derechos de manera efectiva y sancionando los abusos. No parece haber disenso al respecto. Sin embargo, la lenta marcha de las reformas legales a nivel nacional, sumada a la ausencia de regulación en varios países, dejan a América Latina una vez más a merced de grandes empresas extranjeras, y a la espera de que la institucionalidad comercial y estatal de otros países adopte medidas efectivas. Por ello, frente a riesgos masivos, corresponde a su vez insistir en que se adopten reglas fuertes de protección de datos personales en cada uno de nuestros países, que faciliten el control por las personas.
La responsabilidad de las empresas en casos como el actual tampoco puede dejarse pasar. Ya hay anuncios de demandas civiles y de acciones de agencias administrativas tanto en el Reino Unido como en los Estados Unidos. A ello se suma lo que las propias empresas pueden adoptar como prácticas respetuosas de los derechos de sus usuarias. Que las propias redes sociales digitales reconozcan tales derechos es a la vez una muestra de respeto como una forma de mejorar su propia imagen corporativa. Que las condiciones en que operan los desarrolladores de apps que interactúan con los datos, permitan prevenir el riesgo de abusos. En fin, el involucramiento de personas al formar marcos de interacción, incluyendo a las usuarias, como también de las organizaciones de la sociedad civil que representan sus intereses, para desarrollar y hacer evolucionar conjuntamente las políticas que rigen aspectos fundamentales de las vidas de las personas, es también un paso necesario.
Finalmente, el escándalo adquiere dimensiones de relevancia que son consecuencia del enorme poder que tiene hoy Facebook, cuya base de usuarias (al menos, con cuentas abiertas) es tal que llega a los miles de millones de personas. Una empresa que opera a esa escala sobre la humanidad es evidentemente un foco de atención por la influencia que puede llegar a tener. Poder a esa escala es ejercido apenas por un puñado de compañías, y es necesario abordar alternativas para reducir el riesgo que implica, más allá de la urgencia por reglas sensatas de protección de datos personales. El próximo escándalo está a la vuelta de la esquina, y los riesgos son cada vez más grandes.
Sin lugar dónde esconderse: retención de datos de telefonía en Venezuela
A finales de octubre de 2017 entró en vigencia la providencia administrativa Nº 171 de la Comisión Nacional de Telecomunicaciones de Venezuela, una regulación que, escondiéndose tras el traje de una norma técnica, reviste las características de una ley de retención de datos personales sin haber pasado por los controles legislativos necesarios en la regulación de un derecho humano básico como la privacidad. Durante los doce años anteriores, la retención de datos de telefonía en Venezuela se rigió por la brevísima Providencia Nº 572 del 21 de marzo de 2005, la norma en la que CONATEL estableció la información a requerir en el acto de la contratación de una línea telefónica, creando así un sistema de registro obligatorio de tarjetas SIM, tan normalizado que nadie en el país cuestiona que esta práctica pudiera llevarse a cabo de otro modo. Durante la última década, en Venezuela ha sido obligatorio consignar el documento de identidad, la firma, la impresión dactilar, el nombre completo y el domicilio del contratante para poder acceder a una línea telefónica, móvil o fija, sin haberse establecido jamás parámetros mínimos de protección con respecto a la captación, almacenamiento y manipulación de estos datos.
La providencia administrativa 171 aumenta esta larga lista de datos, los draconianos requisitos del Registro Único de Información Fiscal del contratante, su dirección de correo electrónico y una foto digital de su rostro, tamaño carnet, que debe ser tomada en el sitio de la transacción. Para que un extranjero no residente pueda contratar una línea telefónica debe proporcionar, además de la copia de su pasaporte, su correo electrónico, su firma, huella digital y fotografía, y una factura a su nombre que refleje la dirección en que se hospeda en Venezuela. Además de aumentar la cantidad de datos recabados, incrementa también los plazos de retención de estos datos: de los dos años desde la fecha de obtención (en físico) y tres meses luego de la extinción del contrato (en digital) que establecía la providencia 572, al absurdo y desproporcionado plazo de cinco años después de la finalización del contrato. Esta norma sitúa a Venezuela -junto a Colombia- entre los países con períodos de retención de datos más largos en Latinoamérica. Cabe recordar, por ejemplo, que la ley Nº 25.873 de Argentina, que establecía un plazo de retención de diez años -el mayor en existir jamás en la región- fue declarada inconstitucional justamente por violar los principios de legalidad, necesidad y proporcionalidad. Si bien el período de retención no es, ni remotamente, el único problema de la providencia administrativa 171, es necesario destacar cuán excesivos son los tiempos fijados, siendo que, además, se incide en una falla que es extensiva a la región, en lo que se refiere a la fijación de plazos mínimos para la retención de los datos, pero no de plazos máximos, lo que, en la práctica, genera toda clase de abusos tanto por parte de las autoridades como de las empresas de telecomunicaciones.
Más captahuellas, más datos
Añadiendo al texto apenas un par de palabras, la providencia 171 cambia radicalmente la naturaleza de las bases de datos de usuarios de telefonía en Venezuela: la inmensa cantidad de información que acumulan las operadoras telefónicas ahora debe estar digitalizada, y sus huellas dactilares serán tomadas “mediante un dispositivo analizador o lector biométrico”, generando así bases de datos biométricos redundantes que vienen a sumarse a las bases de datos de los sistemas electorales y alimentarios. En cuanto respecta a las condiciones mínimas de seguridad en el almacenamiento y tratamiento de estos datos, la providencia solo señala que estas condiciones deberán ser definidas por los operadores del servicio y los órganos de seguridad del Estado, despojando así a los usuarios de toda protección a la privacidad de sus datos personales.
Igualmente, la norma crea un registro de números IMEI e IMSI, bajo la denominación de “registro de los abonados”, que en efecto son tres registros que se intersectan: el de los usuarios, el de los números IMEI y el de los números IMSI, cuya combinación permitirá, por ejemplo, cumplir con el requisito de la existencia de un registro histórico sobre la titularidad de una determinada línea telefónica, donde se comprenda el registro de ventas y traspasos.
El código IMEI identifica a un dispositivo en concreto, y en aquellos países donde existe un registro obligatorio, quienes lo impulsan suelen justificar su necesidad bajo la excusa de poder rastrear la red para identificar a la persona que está usando un determinado dispositivo, y bloquear el acceso del usuario al sistema. Por su parte, el número de IMSI (international mobile subscriber identity) identifica a la línea telefónica y es utilizado para determinar la red a la que pertenece el número y en consecuencia, para enrutar las llamadas. El IMSI no está atado a la tarjeta SIM, sino a la línea telefónica. La combinación de ambos, el IMSI y el IMEI, permite a las operadoras de telefonía identificar y localizar con rapidez a un determinado usuario, dispositivo y línea telefónica, que en este caso se encuentra asociado a un conjunto de datos personales del usuario (desde su dirección hasta su rostro).
Así, en la práctica, esta norma crea un sistema de “lista blanca” de registro de IMEI, es decir, los clientes solo podrán usar dispositivos que hayan sido registrados ante la compañía de telecomunicaciones. La providencia establece una serie de plazos para adecuar los sistemas al cumplimiento de estos requisitos: 120 días para adecuar los dispositivos de captación de datos (entiéndase, para implementar lectores biométricos y dispositivos de digitalización de firmas), 120 días más para adecuar las bases de datos correspondientes, y un último plazo de 120 días, tras el cual deberán suspender el servicio a los abonados que no hayan actualizado sus datos.
No conforme con esto, la norma establece la obligación por parte de los operadores de telefonía de llevar registros sobre los servicios de datos (con las direcciones IP de emisión y recepción, la fecha y hora de conexión y las coordenadas geográficas de la misma), de recarga de saldo (a través de tarjetas prepagadas, plataformas bancarias o portales web) y de llamadas y mensajes de texto (fecha, hora y duración de la comunicación, números telefónicos que originan y reciben la comunicación, coordenadas geográficas). En todos los casos se obliga a los operadores a tener esta información “a disposición” de los órganos de seguridad del Estado, sin establecer ningún tipo de control previo o requisito de orden judicial para acceder a ellos, e incluso sin identificar con precisión qué entes o instituciones se encuentran dentro de la categoría de “órganos de seguridad”.
En ocasiones anteriores hemos alertado sobre los peligros de la creciente capacidad de los gobiernos para acumular y manejar datos sobre las comunicaciones de sus ciudadanos, con la excusa de proporcionar una mayor seguridad, y bajo el argumento falaz de que los datos sobre las comunicaciones son menos sensibles que la comunicación misma. Lo cierto es que la suma de datos personalísimos y de metadatos comprendidos en esta serie de registros puede permitir a las autoridades y a los operadores saber más sobre el comportamiento de un usuario que una comunicación aislada, puesto que permite determinar patrones en sus hábitos, e identificarlo sin sombra de duda. Este factor, sumado a la carencia absoluta de protecciones legislativas o técnicas que protejan al usuario de manejos inadecuados de su información personal por parte del personal de las operadoras telefónicas, o por los propios órganos de seguridad del Estado, deja a la población en un estado de precariedad absoluto frente a la tutela de su derecho básico a la privacidad, y por ende de su libertad de expresión, comunicación y asociación.
