Proyecto de Ley, en tercer trámite Constitucional, que regula la protección y el tratamiento de los datos personales y crea la Agencia de Protecciónde Datos Personales.
Temática: Privacidad
Reconocimiento facial: tecnologías al servicio de la represión
Argentina, diciembre de 2023. Asunción del presidente electo Javier Milei. Recortes, ajustes, protestas. La Unidad Piquetera convocó una manifestación en respuesta a las primeras medidas del nuevo gobierno. El anuncio de la manifestación, planificada para el 20 del último mes del año, fue acompañado de nuevas medidas (y amenazas), que provocaron múltiples respuestas de la sociedad civil.
Previo a la mencionada manifestación, la ministra de Seguridad nacional, Patricia Bullrich, presentó el llamado “Protocolo antipiquetes”, un documento para controlar la protesta y que menciona la utilización de distintas tecnologías de vigilancia con el objetivo de identificar manifestantes. Según el protocolo, que combina represión y persecución, los datos obtenidos por la policía “serán remitidos a la autoridad de aplicación correspondiente para la adopción de las medidas que correspondan”. Frente a la consulta sobre de dónde sacarían los datos, la respuesta fue determinante; “por las cámaras de reconocimiento facial”, dijo la ministra. “Vamos a identificar a las personas. Vamos a tener cámaras, vamos a tener drones y vamos a tener distintas formas de identificarlas”, afirmó durante una entrevista en el canal LN+.
Del mismo modo, la ministra de Capital Humano, Sandra Pettovello, anunció que si quienes participaran de la protesta fueran beneficiarios de algún plan social, éste se les quitaría. Y volvió a mencionar en un video publicado en redes sociales del organismo, parafraseando al presidente, que “El que corta, no cobra”.
Argentina y el reconocimiento facial
Argentina ha sido pionera en la implementación de políticas de identificación con base en biometría, las que, de manera creciente, han incorporado elementos tecnológicos avanzados. La prensa local apunta a la existencia de al menos tres sistemas de reconocimiento facial automatizado en el país.
Uno es el que se empezó a usar en 2018 en las canchas del fútbol argentino como parte del programa Tribuna Segura 2.0. El otro, llamado Sistema de Identificación Segura (SIS) es utilizado por las fuerzas de seguridad en ciudades como Rosario para la búsqueda de ”prófugos, personas con antecedentes penales” y con “pedido de captura en la vía pública”.
El tercero, es el sistema de reconocimiento de prófugos y personas desaparecidas que empezó a implementarse en las terminales de transporte público en la Ciudad Autónoma de Buenos Aires en 2019. Este sistema fue declarado inconstitucional en 2022 gracias a un recurso interpuesto por el Observatorio de Derecho Informático Argentino (O.D.I.A.).
Entre otros argumentos, la acción cuestionó la ausencia de estudios de impacto previos a la implementación y de mecanismos efectivos de supervisión y auditoría al Sistema de Reconocimiento Facial de Prófugos (SRFP). En su momento existieron acusaciones hacia el gobierno porteño por cargar en el sistema datos de más de 40 mil personas, entre ellas dirigentes sociales, políticos, jueces o fiscales entre otros. Se supo también que esos datos se enviaron al Registro Nacional de las Personas (Renaper) sin autorización.
Además de los mencionados, en 2021, el Consorcio Al Sur identificó sistemas de reconocimiento facial activos en la Provincia de Salta y en la localidad de Tigre (Provincia de Buenos Aires).
Tecnologías para la represión
Los impactos del reconocimiento facial automatizado, el uso indiscriminado de datos biométricos y la poca transparencia de las medidas de vigilancia, son temas que la sociedad civil argentina ha discutido largamente en los últimos años. Como era de esperar, los reclamos ante a la nueva Resolución no tardaron en aparecer.
El Centro de Estudios Legales y Sociales (CELS) denunció el protocolo y las acciones frente a la ONU y a la Comisión Interamericana de Derechos Humanos. La denuncia fue acompañada por 1700 firmas de centrales sindicales, movimientos sociales, organismos de derechos humanos, organizaciones sociales, gremiales, ambientales, de los pueblos indígenas, migrantes, transfeministas, religiosas, colectivos de infancias, estudiantiles y políticos. Además, más de 15 mil personas firmaron la denuncia a título personal. La carta, menciona que los nuevos procedimientos planteados son “incompatibles con los derechos a la libre reunión y asociación, a la libertad de expresión y a la protesta social, reconocidos tanto en normas locales, como en la Constitución Nacional y en los tratados y estándares internacionales de derechos humanos”.
La Fundación Vía Libre, reforzó en un comunicado que existen garantías previstas legalmente contra la recolección abusiva de datos personales: “la ley de protección de datos personales y el principio de hábeas data con rango constitucional te protege si tus datos de identidad, de salud o de crédito son usados sin tu consentimiento”. Según el texto, “Argentina está queriendo utilizar el sistema de reconocimiento facial para desincentivar las manifestaciones”. La organización recordó que no se trata del primer caso a nivel mundial, refiriéndose a denuncias de activistas frente al Tribunal Europeo de Derechos Humanos contra el uso de reconocimiento facial en manifestaciones en Rusia.
Luego de la enorme manifestación del 20 de diciembre, y tal como lo había adelantado la ministra Bullrich, se solicitó al actual gobierno porteño la información recolectada por las cámaras, a pesar de la inconstitucionalidad declarada en 2022. Sin embargo, las autoridades se negaron a aportar la información. Según explicaron, el sistema no está en condiciones técnicas ni judiciales para ser usado.
En la ocasión, agentes de la Policía de Seguridad Aeroportuaria (PSA) subieron a transportes que se dirigían a la movilización convocada por movimientos populares y organizaciones sociales, pidiendo documentación y filmando a los pasajeros con el propósito de identificar a manifestantes. Los hechos fueron registrados por una pasajera que subió a sus redes un video donde se observa el momento en que los agentes suben a un ómnibus y registran a los presentes con un celular.
Contra la represión automatizada
Los sistemas de recopilación de información personal ponen en riesgo un conjunto de derechos fundamentales como la privacidad y la protección de datos personales, la libertad de asociación y de expresión, el debido proceso y la presunción de inocencia, entre otros. Es inaceptable que la asistencia social esté condicionada a la abstención de ejercer el legítimo derecho a la protesta. Utilizar la vigilancia y la represión (policial, judicial o administrativa) como amenaza es una forma de censura y una violación de los compromisos asumidos por Argentina a nivel internacional.
El pedido es simple: que el nuevo gobierno argentino atienda a criterios de legalidad y a los procedimientos validados por la justicia y que cualquier acción de vigilancia sea necesaria y proporcionada. Que los órganos de persecución penal y de seguridad pública recuerden sus compromisos constitucionales como límites a sus acciones.
Que la población efectivamente sepa a dónde van sus datos, para qué se van a usar, y que puedan contar con auditorías regulares es una base mínima sobre la que actuar. La experiencia lo ha demostrado: sin transparencia, no hay garantía de derechos.
Y lo más importante: que termine la represión de la protesta legítima, con o sin herramientas automáticas y modernas.
Reflexiones sobre la privacidad en videoconferencias
En primer lugar, están los servicios provistos por grandes empresas de Internet como son Zoom, Google Meet, Teams e Skype de Microsoft, entre otros. Estas plataformas suelen dar un servicio limitado gratuito y además ofrecen la posibilidad de pagar para tener funcionalidades extras.
Más allá de ser un servicio pago o gratuito, estas plataformas tienen la característica que la comunicación es gestionada por las empresas que proveen el servicio. Las conversaciones que viajan entre nuestros dispositivos y los servidores de las plataformas es cifrada. Esto quiere decir que alguien que pueda vigilar nuestras comunicaciones no tendrá la posibilidad de saber con quién hablamos ni lo que estamos diciendo, lo que es bueno y es el mínimo seguridad que se esperaría para cualquier sistema de comunicación.
Por otro lado, las empresas que proveen el servicio lo pueden ver todo y, si lo desean, tienen la capacidad de grabar y transcribir las conversaciones.
¿Nos sentiríamos a gusto si tuviéramos una conversación con micrófonos y cámaras en nuestra casa u oficina de trabajo? ¿Nos cuestionaríamos quién puede escuchar estas conversaciones y para qué? ¿Existe algún problema si las grandes empresas de internet pueden escuchar y grabar nuestras conversaciones?
Para contestar esta última pregunta vale la pena regresar a 2013, cuando Edward Snowden filtró documentos secretos de la agencia de inteligencia de Estados Unidos NSA. En estas revelaciones aparece el programa PRISM, en el que participaban empresas como Google, Microsoft, Meta (entonces Facebook), Yahoo, entre otras. Según las filtraciones, las empresas debían entregar información de cualquier usuaria si el gobierno de Estados Unidos se los pedía. Para ese entonces ya se incluía a las videoconferencias.
¿Estaríamos cómodos si supiéramos que en nuestras casas hay micrófonos y cámaras por dónde miran y escuchan agencias de inteligencia? ¿Está bien que nuestras conversaciones puedan ser escuchadas? ¿Se puede hablar por Internet sin que nos escuchen?
El primer camino es el cifrado de extremo a extremo. En ese caso, las organizaciones o personas que proveen el servicio no serán capaces de escuchar las conversaciones. Según las preguntas frecuentes de Zoom, es posible habilitar esta opción en sus llamadas. Sin embargo, si revisamos la historia reciente, en el año 2021 Zoom tuvo que pagar 85 millones de dólares en EEUU, como resultado de una demanda colectiva donde se les acusó de mentir sobre el cifrado extremo a extremo y entregar información a Google y a Facebook.
¿Se puede confiar en Zoom o cualquier otra empresa que provea cifrado extremo a extremo? La respuesta es sí, siempre y cuando se trate de software libre y que el protocolo de cifrado funcione en nuestro dispositivo y no en el servidor. El software libre es importante porque se sabe de manera pública cómo funciona la aplicación y se la puede auditar de forma colectiva a nivel global. Es muy difícil poner puertas traseras con este esquema de desarrollo. Por otro lado, es importante que el cifrado de extremo a extremo suceda en nuestros dispositivos, porque por más libre que sea el software, no podemos saber si el sistema que funciona en el servidor ha sufrido modificaciones y pueda servir para espiarnos.
En ese sentido, las videollamadas de Signal están cifradas de extremo a extremo desde finales de 2021 para llamadas de hasta 5 personas y se supone que hoy en día soportan hasta 40. Si bien es una aplicación con más de 10 años de existencia y ha demostrado ser confiable, tiene un problema. Todas las comunicaciones son gestionadas por los servidores de Signal. Si bien no pueden escuchar las llamadas, tienen la posibilidad de monitorear quién se comunica con quién a través de los metadatos. No significa que suceda, pero es algo técnicamente viable.
Si no se puede confiar en quién provee el servicio, ¿qué se puede hacer? Una opción es gestionar el servicio de manera autónoma con servidores propios que funcionen con software libre. De esta forma, la gestión de la comunicación ya no pasa por proveedores conocidos por colaborar con agencias de inteligencia o lucrar con nuestros datos. En otras palabras, se transfiere la confianza de estos proveedores a nuestra organización o a un proveedor más chico en el que se pueda confiar.
Herramientas libres como Jitsi y Big Blue Button permiten tener un sistema de videoconferencias propio. Si bien las comunicaciones ya no pasan por las grandes empresas de tecnología, en principio no están cifradas de extremo a extremo. Esto quiere decir que las personas que gestionan las comunicaciones podrían vigilarlas. Por ello, es muy importante conocer quién nos da el servicio y confiar en nuestro equipo. Es importante también destacar que Jitsi está trabajando para tener cifrado de extremo a extremo en sus comunicaciones.
¿Existe alguna opción en la que dos o más personas puedan hablar por internet de forma segura sin que un tercero sepa que esto está sucediendo? Puede sonar algo subversivo, sin embargo, es el equivalente a reunirnos en un parque sin celulares en los bolsillos, ya que el mundo físico no viene con vigilancia embebida. Algo que fue normal hasta hace algunos años.
Herramientas como Jami o Tox buscan que la gente se comunique de forma segura sin la necesidad de servidores de terceros. Estos son proyectos que ya tienen su muchos años de existencia, pero que por problemas de usabilidad no han despegado.
Una alternativa interesante es Wahay, que ha sido desarrollada en Latinoamérica por el Centro de Autonomía Digital. Esta aplicación combina los proyectos de software libre Mumble con los servicios cebolla de Tor. Su arquitectura garantiza que nadie por fuera de la conversación sepa que la mismo sucedió y menos lo que se dijo. Actualmente, Wahay funciona solamente en GNU/Linux.
Esta columna no tiene el objetivo de recomendar una aplicación sobre otra. Lo que busca es ampliar una visión crítica sobre la tecnología que nos permita tomar decisiones informadas basadas en nuestras necesidades.
Por ejemplo, la inteligencia artificial está llegando a estas plataformas de comunicación y es importante tener una visión crítica sobre la misma. Hoy en día es posible tener un asistente virtual en nuestras reuniones que pueda tomar nota, hacer resúmenes, grabar las reuniones e incluso destacar los puntos claves en las grabaciones. Algo que puede ser útil y conveniente, pero si es gestionado por servidores remotos pone en riesgo nuestra comunicación y nuestra privacidad. Sin embargo, si la aplicación de inteligencia virtual funciona con software libre y en nuestros dispositivos, puede ser interesante. Tal vez es más simple y seguro tomar las notas entre seres humanos.
Examen Periódico Universal Chile Cuarto ciclo
Contribución conjunta suscrita por: Corporación Miles Chile, Derechos Digitales y Women’s Link
Worldwide. 46o Sesión del Consejo de Derechos Humanos, Ginebra. Abril-Mayo 2024
Contribución conjunta sobre derechos humanos en el entorno digital en Chile
Este informe producido por Derechos Digitales y la Asociación para el Progreso de las Comunicaciones (APC) se enfoca en el ejercicio de los derechos humanos en la esfera digital en Chile, en el marco del 4° ciclo del Examen Periódico Universal (EPU) y analiza el cumplimiento de las siete recomendaciones en esta materia recibidas durante el ciclo anterior del EPU.
Regulación de IA: los derechos humanos primero
En las últimas semanas fuimos inundados por debates sobre la regulación de la inteligencia artificial en diversos frentes. Un acuerdo de las grandes potencias sobre un código de conducta para las empresas que trabajan con IA, los riesgos y retos del uso de la IA para la seguridad y la paz social, y cómo afecta la IA generativa a los derechos de autor son algunos de los temas que han circulado en estos días. En los más diversos foros mundiales, como el Consejo de Seguridad de la ONU, el Grupo de los 7, el Grupo de los 20, la UNESCO, la Organización Mundial de la Propiedad Intelectual (la OMPI) y docenas de otras instiancias, la cuestión está aflorando a la superficie, como demuestra el reciente mapeo de Lea Kaspar, Maria Paz Canales y Michaela Nakayama.
En cierta medida, los diferentes debates se conectan y se solapan, pero también se integran a la maraña que conforman las referencias del derecho internacional en esta temática, como los principios de la OCDE y las recomendaciones de la UNESCO sobre la IA. Sin embargo, es urgente que este debate se base en los derechos humanos, tomando como ejemplo los recientes avances del Consejo de Derechos Humanos de la ONU, que deberían formar parte central de la discusión sobre cualquier regulación de la IA.
¿Discusión “Global”? Preocupaciones en torno a la participación desbalanceada
Las intenciones de la ONU de abordar la cuestión más general de la inteligencia artificial son cada vez mayores. Recientemente, Antonio Gutérres anunció la creación de un órgano asesor sobre IA que, paradójicamente, cuenta con una escasa participación de miembros de la sociedad civil y una sobrerrepresentación de las empresas tecnológicas. De este desequilibrio ha dado buena cuenta Juan Carlos Lara, quien argumenta que este órgano asesor deja en manos de quienes «más se benefician de las ventajas económicas de la IA» un papel preponderante en las recomendaciones sobre dicha gobernanza global, frente a quienes más sufren los efectos negativos de la IA, que es precisamente la sociedad civil.
Sin embargo, la falta de participación no solamente ocurre en el órgano asesor de la ONU, sino también en otros espacios como en las discusiones sobre el Pacto Digital Mundial, que sirve de preparación para la Cumbre del Futuro, evento que reunirá a líderes mundiales en Nueva York para “forjar un nuevo consenso internacional a fin de mejorar el presente y salvaguardar el futuro”.
En una carta, firmada por más de 30 organizaciones de la sociedad civil, se alerta sobre la falta de oportunidades de intervención de este sector, en tanto la palabra se concedió mayoritariamente a los Estados miembros, las agencias de la ONU y el sector privado, en detrimento de las organizaciones de derechos humanos de la sociedad civil durante las discusiones temáticas en línea. Lamentablemente, como afirma Gina Neff, «hemos visto cómo estas empresas se las arreglan hábilmente para establecer los términos de cómo debe ser el debate».
Riesgos inaceptables para los derechos humanos
Además de la participación, también es necesario pensar en las líneas sustantivas de estos procesos. En las últimas dos sesiones del Consejo de Derechos Humanos de la ONU, se han actualizado dos resoluciones de gran importancia. Así, las resoluciones se suman a otro importante texto aprobado por la Asamblea General de la ONU a finales del año pasado, siguiendo con fuerza una tendencia que hemos observado con anterioridad.
Tanto la resolución sobre nuevas tecnologías como la resolución sobre privacidad consolidan la necesidad de abordar a la IA desde la perspectiva de los derechos humanos. A pesar de constituir avances importantes en términos de resaltar riesgos inaceptables para los derechos humanos, estas resoluciones no son lo suficientemente explícitas a la hora de condenar el uso de la IA cuando a priori no cumplen con normativas de DD.HH., y cuya venta e implementación debe de ser prohibida o estar sujeta a una moratoria, conforme ya lo ha expresado mediante una resolución emitida por Michelle Bachelet, anterior Alta Comisionada de la ONU.
Un ejemplo claro de esto es que, si bien la resolución de privacidad deja claro que la utilización de medidas de reconocimiento facial de “vigilancia biométrica” suscitan gran preocupación en cuanto a su carácter de proporcionalidad, la resolución pierde a oportunidad de condenar la aplicación de IA en los sistemas de reconocimiento facial, dejando en manos de los Estados garantizar que la utilización de este tipo de tecnología no permita una “vigilancia masiva o ilegal”. Esto es especialmente preocupante, considerando las crecientes denuncias de vigilancia estatal en la región y a nivel global.
Sobre este punto, es importante hacer referencia al importante caso de reconocimiento facial promovido por el Observatorio Argentino de Derecho Informático (O.D.I.A) y el Centro de Estudios Legales y Sociales (CELS) resuelto recientemente por los tribunales argentinos. En 2020, tras una acción de amparo colectiva presentada por el O.D.I.A. mediante el cual se puso en discusión la constitucionalidad y convencionalidad de las normas que implementaron el sistema de reconocimiento facial en la CABA, se declaró la inconstitucionalidad del uso del sistema de reconocimiento facial por no haberse dado cumplimiento a los recursos legales de protección de los derechos personalísimos de la ciudadanía. Entre varias cuestiones, el fallo nota que el sistema se usó de manera ilegal para buscar a más de 15 mil personas que no estaban en la lista de prófugos del sistema de Consulta Nacional de Rebeldías y Capturas (CONARC). Además, la sentencia en cuestión recomienda cuestiones fundamentales como la necesidad de promover la transparencia y la explicación adecuada de los sistemas de IA, debiéndose considerar todo el ciclo de vida del sistema de IA.
La transversalidad de género, protección de datos e inteligencia artificial
Parte de la necesidad de colocar a los derechos humanos como centro de las discusiones alrededor de la implementación de sistemas de IA tiene que ver con el deber de considerar los impactos diferenciados de género que éstos causan.
En ese sentido, como ha sido constatado en la contribución conjunta sobre género presentada en el marco de las discusiones del Pacto Digital Mundial, para que los derechos de todas las personas puedan ser respetados de igual forma en el ecosistema digital global se requiere una protección efectiva y absoluta frente a la persecución, la discriminación, el abuso y la vigilancia; asegurar la igualdad de acceso a la información, las oportunidades y la comunidad, e igualdad de respeto a la privacidad, la identidad, la autoexpresión y la autodeterminación.
En la reciente resolución sobre privacidad, referida anteriormente, se realizan importantes avances en la materia. Por un lado, reconoce que las mujeres y niñas experimentan vulneraciones específicas en base al género a su derecho a la intimidad como parte de una desigualdad estructural que tiene efectos específicos en género, en tanto la implementación de tales sistemas puede reproducir, reforzar e incluso exacerbar las desigualdades raciales de género. Por otro lado, insta a los Estados a desarrollar e implementar políticas con perspectiva de género, a la par que alienta a todas las partes interesadas a que incorporen una perspectiva de género en la conceptualización, el desarrollo y la aplicación de las tecnologías digitales y las políticas conexas, y a que promuevan la participación de las mujeres para hacer frente a la violencia y la discriminación contra todas las mujeres y niñas que se producen a través del uso de la tecnología o son amplificadas por ella, instando a las empresas de tecnología digital, incluidos los proveedores de servicios de Internet, a que respeten las normas y apliquen mecanismos de información transparentes y accesibles.
Si bien celebramos dichos pronunciamientos, los que consideramos esenciales para el abordaje de esta problemática, observamos con preocupación que, tal como notamos en el análisis de la resolución proveniente de las discusiones del CSW67 del presente año, hay ausencias que implican retrocesos. En ese sentido, preocupa que el texto evite incluir a personas LGTBIQ+ en el ámbito de protección, considerando que esta exclusión tiene la potencialidad de profundizar desigualdades sobre una comunidad que ha sido históricamente vulnerada debido a cuestiones —relacionadas con desigualdades de género— y de legitimar políticas públicas discriminatorias.
A su vez, y en conexión con señalado previamente, aun cuando se reconoce el impacto negativo de la implementación de la IA sobre grupos en situación de vulnerabilidad, especialmente considerando factores de raza y género, las recomendaciones tenían la potencialidad de condenar la implementación de sistemas que ya han probado reproducir y profundizar desigualdades estructurales en ese sentido y de establecer líneas claras de protección que pongan foco en la obligación estatal de dotar protección efectiva de datos, entre otras cuestiones.
2024: agenda llena de acciones, altas expectativas
Los próximos pasos son aún inciertos y podrían conducir a una situación paradójica: las resoluciones aprobadas apuntan a la necesidad de más estudios y mayor acción efectiva en temas como la discriminación, la necesidad de regionalizar el tema, así como recomendaciones sobre cómo abordar el problema dentro del sistema de la ONU. No obstante, con la aprobación del órgano consultivo sobre IA, se han generado muchas prisas en toda la ONU. Todo ello para finalizar el trabajo en unos meses, de modo que esté listo a tiempo para la Cumbre del Futuro en septiembre del próximo año en Nueva York, donde todo lo relacionado con el Pacto Mundial Digital tendrá particular protagonismo.
Los pequeños (pero importantes) pasos que estamos dando en relación con la privacidad, los datos personales y la IA no pueden estar fuera de la concepción de esta discusión. El trabajo en curso de la Oficina del Alto Comisionado y de varios países que forman parte del Consejo de Derechos Humanos, llevado a cabo con la participación de diversas organizaciones de la sociedad civil, deberían ser un punto de partida fundamental para tomar medidas contra las repercusiones en los derechos humanos del uso indebido de los sistemas de IA por parte de Estados y empresas. La participación amplia de la sociedad civil también es un requisito necesario para esta discusión y, por nuestra parte, seguiremos en estos espacios para ampliar la voz de la sociedad latinoamericana.
Derechos humanos en entornos digitales en Nicaragua
El Informe ofrece una revisión a la situación de derechos humanos en Nicaragua, con énfasis particular en su relación con las tecnologías digitales.
Identidad digital en américa latina: Situación actual, tendencias y problemáticas
Esta publicación ofrece un panorama de la adopción de sistemas de identificación digital implementados en distintos ámbitos de la gestión pública en 12 países de América Latina. La investigación forma parte de un esfuerzo global por identificar y comparar el estado de las amenazas, el uso y las repercusiones de la biometría y la identidad digital.
«Escuchas» de llamadas telefónicas a través de la infraestructura del proveedor de servicio
La seguridad de las comunicaciones ha sido un elemento relevante y estratégico dentro de la historia de la civilización, tanto a nivel personal como colectivo, ya sea en momentos de conflicto o de aparente calma. En el contexto actual, donde muchas de nuestras comunicaciones se materializan a través de teléfonos móviles, es válido preguntarse acerca de su seguridad y privacidad. Esta columna se centrará específicamente en las llamadas telefónicas que se realizan a través de la red del operador de telefonía, lo que comúnmente conocemos como “llamar por teléfono”.
Es cotidiano enterarse por la prensa de investigaciones judiciales o de inteligencia que utilizan la interceptación de llamadas, también conocidas como “pinchazos” o “escuchas” telefónicas. Este método se utiliza con la intención de recopilar pruebas en un contexto investigativo fundado, pero también existen casos en los que el método es usado con otros fines, como por ejemplo en el caso de Chile reportado en 2022 por el Centro de Investigación Periodística CIPER. En esa oportunidad, relata la investigación que «durante tres meses, entre diciembre de 2017 y febrero de 2018, el teléfono de una conocida productora de eventos estuvo intervenido por la Dirección de Inteligencia de Carabineros. Los agentes de la policía escucharon y pudieron grabar cada una de sus conversaciones, en las que ella dialogó con humoristas, cantantes y managers«.
Ante este escenario, en que personas y organizaciones que no deberían ser objeto de investigación están bajo vigilancia, resulta relevante entender cómo funciona la interceptación y cómo prevenirla.
Existen algunos supuestos indicios que podrían advertir al usuario del teléfono si su dispositivo está sometido a un proceso de interceptación de sus llamadas desde la infraestructura del operador de red. Para verificar eso, comentaremos el tipo de protocolo de comunicación utilizado actualmente, con el fin de dar una explicación que nos permita evaluar con mayor certeza qué tan ciertas pueden ser dichas afirmaciones.
Lo primero que debemos entender son los identificadores de rastreo. Cuando un teléfono es utilizado, sea “smartphone” o «de los antiguos”, requiere de un chip o tarjeta SIM (por su sigla en inglés, Subscriber Identity Module). La tarjeta SIM cuenta con un número de teléfono asociado que puede ser reasignado, por ejemplo, en el caso en que se cambie de tarjeta SIM pero se mantenga el número telefónico. Además, la tarjeta cuenta con un identificador único, llamado IMSI (International Mobile Subscriber Identity), que es un “código inteligente” que nos entrega información acerca del país (MCC), red del operador (MNC) y un identificador (MSIN). El conjunto del código es único, identificable y rastreable. Por otro lado tenemos el identificador del dispositivo móvil (teléfono físico), llamado IMEI (International Mobile Equipment Identity), que es un código único que identifica al aparato de forma exclusiva a nivel mundial.
Cuando una compañía telefónica es notificada para monitorear la actividad de un número telefónico, utiliza el IMSI para generar el filtro necesario y captar las llamadas. Cabe mencionar que, además de las llamadas, existen otros tipos de datos que pueden ser entregados por el operador telefónico al solicitante: mensajes SMS, geolocalización y listado de llamadas.
En el caso del listado de llamadas y la geolocalización es posible que el operador pueda entregar información retroactiva, es decir, datos correspondientes a períodos previos a la fecha en que se requiere la interceptación.
Cambiando de tarjeta SIM
Existen personas que, dado su contexto de acción, tienen la sospecha de que pueden ser objeto de vigilancia, por lo que toman la medida de cambiar de tarjeta SIM con el fin de evitar que sus llamadas sean “pinchadas”. Es aquí donde interviene el identificador único del dispositivo móvil o IMEI.
Los operadores telefónicos tienen la capacidad de generar filtros por IMEI, por consecuencia, aunque se cambie la tarjeta SIM el filtro de monitoreo igual funcionará, pues tienen la capacidad de reconocer el dispositivo desde el cual se está utilizando.
¿Cómo saber si mi dispositivo está siendo parte de un procedimiento de interceptación de llamadas telefónicas a través de la infraestructura del operador de red?
Debido a los cambios en los protocolos e implementaciones tecnológicas, las llamadas pasaron de un sistema analógico a uno digital. Cuando la interceptación se realiza utilizando la infraestructura del operador, no existe forma de notar o probar que un dispositivo está en ese proceso.
Antiguamente, en las comunicaciones análogas, era posible escuchar ruidos o voces cuando un teléfono estaba siendo vigilado. Pero con la implementación de la comunicación digital los dispositivos que gestionan las llamadas son muy similares a un computador o servidor, y no generan ningún tipo de ruido o evidencia perceptible para los usuarios.
Es posible que, como en todo sistema de comunicación a distancia, al usar el dispositivo se generen ruidos, por distintos motivos: pérdida de señal, demoras en el procesamiento, congestión, etcétera. Pero aún así, eso no es evidencia de la interceptación. Desde la otra vereda, puede suceder que un dispositivo móvil esté siendo sujeto de interceptación, pero los usuarios no experimenten ruido alguno.
Es importante reiterar que esta columna solo está referida al proceso de interceptación a través de la infraestructura del operador de red telefónica, pues existen otro métodos, como el uso de Cell-Site Simulators/IMSI Catchers, que básicamente funcionan como antenas falsas que captan las comunicaciones de uno a más dispositivos telefónicos a su alrededor.
En el escenario del uso de antenas falsas es posible que se generen algunos efectos que puedan ser perceptibles por los usuarios. En otras técnicas de vigilancia, como el uso de malware, es posible evidenciar su funcionamiento con comportamientos anómalos en el dispositivo, como el uso excesivo de la batería, sobrecalentamiento o el uso inusual de cantidad de datos.
Técnicas avanzadas de rastreo y vigilancia
Como ya fue mencionado, los operadores pueden rastrear e identificar un dispositivo móvil a pesar del cambio de tarjeta SIM. Entonces, en el escenario de cambio de dispositivo físico y de tarjeta SIM, ¿es posible identificar a alguien? La respuesta es sí, es posible.
Con el supuesto de que se buscó la forma de adquirir un dispositivo físico y una tarjeta SIM sin que tenga relación de pago o suscripción con quien lo utilizará, existen técnicas de reconocimiento de patrones de llamadas que pueden identificar al usuario.
Una técnica se centra en la utilización de una base de datos de registros de llamadas previas, para así generar reglas de comportamiento, tal como lo menciona la EFF en su columna de acerca del problema con los teléfonos móviles donde cita el reporte de intersecciones y explica el funcionamiento de un sistema del gobierno de Estados Unidos llamado PROTON.
En palabras simples, aunque una persona cambie de dispositivo físico y de tarjeta SIM, es posible su identificación debido al reconocimiento del patrón de números con los cuales se comunica habitualmente.
También es posible identificar un dispositivo si se mueve junto a otro. Esto significa que si se tienen dos teléfonos con perfiles de uso diferenciados, el operador puede relacionarlos si se mueven juntos y, de ese modo, identificar al usuario del dispositivo.
Prevención y soluciones
Existen varias formas de sortear la interceptación de llamadas telefónicas. Lo primero es tener en cuenta que en los teléfonos llamados “inteligentes” está la posibilidad de utilizar aplicaciones para hacer llamadas, que cuentan con cifrado de extremo a extremo. Estas aplicaciones permiten resguardar la privacidad de la llamada, pues el operador de la red no puede captar dichas comunicaciones debido al cifrado. En esta categoría encontramos aplicaciones como Signal, Whatsapp o Element/Matrix.
Si por algún motivo no se quiere utilizar un teléfono “inteligente”, son necesarias una serie de medidas que dificulten la identificación del dispositivo. Primero, no debe existir relación de adquisición o suscripción con la persona que lo utiliza. Segundo, no se debe usar o transportar en conjunto con otro dispositivo, para que no puedan ser relacionados. Finalmente, se debe tener un uso diferenciado de las comunicaciones, es decir, no se deben efectuar llamadas a números frecuentes, para que no se pueda generar la identificación del patrón de comunicación.
Esta columna solo trata de mostrar cómo se efectúa la interceptación de llamadas con la participación del operador de red, debido a que son casos muy comunes y frecuentes.
Existen otras técnicas de vigilancia que pueden ser aplicadas a dispositivos móviles, tales como el uso de antenas falsas o mediante la implantación de malware, pero ambas resultan ser menos frecuentes, dado que necesitan de más recursos técnicos e inversión monetaria. De todos modos, y aunque menos frecuentes, no dejan de ser una preocupación, por lo que posiblemente serán temas abordados futuras instancias.
Construyendo el fediverso
El fediverso es una “red de redes”, similar a internet. De ella participan redes federadas como Mastodon (que es similar a Twitter), Pixelfed (similar a Instagram), Peertube (a Youtube), entre muchas otras. Se puede pensar en el fediverso como un mundo compuesto por países, que están formados por ciudades. Los países serían las redes federadas y las ciudades serían las instancias donde las personas u organizaciones tienen cuentas. Las instancias son servidores en internet donde se instalan sistemas como Mastodon, Pixelfed u otros, y se pueden crear cuentas para publicar y leer contenido. En el fediverso existen miles de instancias que pueden interactuar unas con otras, a través de la federación.
La mayoría de personas que participan del fediverso lo hacen a través de cuentas que crean en instancias que son mantenidas por personas voluntarias y donaciones. Existen instancias grandes como Mastodon.Social, con más de 300 000 usuarias, y otras más pequeñas, como Mastodon Uruguay, que tiene poco más de 300. Las instancias funcionan gracias a sistemas de software libre que se instalan en servidores. De manera similar como se puede instalar WordPress para tener un sitio web, se puede instalar Mastodon para tener un microblog, PixelFed para compartir fotos, PeerTube para compartir videos, entre otros. Incluso, existen plataformas de hosting que permiten tener una instancia en el fediverso de manera fácil.
El pasado 31 de julio, la BBC decidió experimentar con el fediverso y creó una instancia de Mastodon, que actualmente aloja nueve cuentas de distintos programas. A diferencia de las instancias antes mencionadas, no está abierta para crear cuentas. Si alguien desea seguir una de las cuentas de la BBC en el fediverso, debe tener una cuenta en una instancia pública o implementar la propia. De esta forma, la BBC tiene la posibilidad de informar a la ciudadanía, sin tener la responsabilidad de almacenar los datos de las personas que comentan en sus artículos.
De manera similar, en abril de 2022, la Unión Europea implementó una instancia de Mastodon y otra de PeerTube para que distintas agencias puedan interactuar con la ciudadanía. Al igual que la de la BBC, estas instancias no están abiertas para que cualquier persona pueda crear una cuenta. Sin embargo, agencias estatales de la Unión Europea o funcionarios públicos podrían solicitar una.
Los gobiernos de Suiza, Holanda y Alemania han implementado sus propias instancias de Mastodon. El caso de Alemania es interesante. Algunos partidos políticos, como el Partido Verde y el Partido Social Demócrata, ya tienen sus propias instancias, lo que demuestra que diversos tipos de organizaciones están creando sus propios espacios en el fediverso para publicar y acceder a contenido.
La descentralización mitiga el impacto de los fallos
El modelo centralizado con el que trabajan las principales plataformas y redes sociales de internet es susceptible a un único punto de fallo. Si algo deja de funcionar en Twitter, este error afectará a más de 500 millones de cuentas; si la falla es en Instagram, entonces la afectación será a más 2 mil millones de cuentas. Esto ya ha sucedido. Por ejemplo, en octubre de 2021, Facebook, Instagram y WhatsApp dejaron de funcionar de manera simultánea por 5 horas a nivel de mundial. Eso quiere decir que miles de millones de personas a nivel global perdieron parte importante de su comunicación por culpa de una sola empresa.
En tal sentido, es casi imposible que todo el fediverso deje de funcionar a la vez o que que todas las instancias de una red como Mastodon fallen de manera simultánea. El modelo federado es más antiguo que internet y una de sus motivaciones es evitar un punto único de fallo. El correo electrónico es el caso de éxito más importante. Nunca ha sucedido que todos los correos electrónicos del mundo dejen de funcionar a la vez.
Desde el punto de vista de la privacidad, es importante tener la opción de escoger una instancia en la que se pueda confiar. De esta manera es posible saber quién tiene acceso a nuestros datos y se puede decidir dónde participar, sin perder la posibilidad de interactuar con el resto. Incluso, si se creó una cuenta en una instancia de Mastodon, es posible migrar la cuenta y sus seguidores a otra instancia. De esta manera, además de tener la posibilidad de proteger los datos, se evita tener dependencia de proveedor.
En el caso de las organizaciones, tener una instancia propia significa tener mayor autonomía. Las publicaciones no podrán ser borradas o censuradas, porque la plataforma está controlada por la organización. Desde el punto de vista técnico, no es más complejo que administrar un sitio web propio, sobre todo si la instancia no permite registrar cuentas de forma pública.
En marzo de este año, WordPress adoptó de manera oficial un plugin para publicar contenido al fediverso, a través del protocolo ActivityPub. Esto quiere decir que personas con cuentas en el fediverso pueden suscribirse al contenido publicado en un sitio web directamente desde su cuenta de Mastodon, Pixelfed u otra.
Las instancias gubernamentales mencionadas en este artículo y la de la BBC se encuentran en una etapa de pruebas. No se sabe si tendrán éxito y se mantengan a lo largo del tiempo, pero el hecho de que las empiecen a probar es alentador. Esperemos que en el futuro tengamos más redes descentralizadas y federadas, que estén pensadas para que las personas se comuniquen de manera libre y sin dependencia de proveedores. Ojalá que cada vez más gente habite el fediverso.