Costa Rica: elecciones entre denuncias, violación de datos personales y reformas de ley insuficientes

El próximo 3 de abril se realizará la segunda vuelta presidencial en Costa Rica. El electorado elegirá al nuevo presidente entre José María Figueres, candidato del histórico Partido Liberación Nacional y ex presidente de la nación, y el oficialista Rodrigo Chaves, ex ministro de Hacienda e integrante del Partido Progreso Social Democrático. En un escenario convulsionado por las elecciones, uno de los temas más polémicos es la protección de datos personales. Varias organizaciones sociales se han reunido con los candidatos para conocer sus iniciativas en la materia.

Costa Rica fue uno de los primeros países de la región en aprobar una legislación en materia de datos personales, la Ley de Protección de la Persona frente al Tratamiento de sus Datos Personales, promulgada en 2011. Sin embargo, durante la última década la normativa se ha mantenido inalterada, pese a diferentes iniciativas de reforma que no prosperaron.

No solo eso. Los dos últimos años han estado marcados por varios casos de muy alto perfil relacionados con la violación de la intimidad y de la privacidad de las y los costarricenses, que involucran al actual presidente, Carlos Alvarado.

La UPAD (Unidad Presidencial de Análisis de Datos) fue una iniciativa creada por el presidente Alvarado con el objetivo de ayudar a la toma de decisiones en materias tales como el diseño de políticas públicas y los presupuestos institucionales. Funcionó durante un año y medio en la Casa Presidencial, sin contar con aval del Ministerio de Planificación y sin que trascendiera públicamente su existencia.

Durante su funcionamiento, la UPAD tuvo acceso a información sensible de diversas entidades públicas como la Dirección General de Migración y Extranjeria Ministerio de Educación o Instituto Nacional de Estadísticas y Censo. Sin embargo, su trayectoria fue breve. El repudio general que produjo la noticia de que la Unidad manejaba datos confidenciales de los y las costarricenses tuvo como resultado la derogación del artículo que habilitó la creación de UPAD y su posterior desmantelación, en febrero de 2020.

El acceso discrecional de la presidencia a datos confidenciales llegó a ser calificada como “terrorismo de estado” por el Secretario General de la Asociación Nacional de Empleados Públicos y Privados, Albino Vargas, y los diputados opositores a Alvarado manifestaron que UPAD es una iniciativa “ilegal, inconstitucional y un abuso de poder”. Las irregularidades en su creación, la falta de transparencia en el manejo de datos y diferentes denuncias recibidas llevaron al inicio de investigaciones por parte de la Fiscalía, la Defensoría de los Habitantes y la Cámara de Diputados.

Debido a la gravedad de los hechos, la Fiscalía de Costa Rica ordenó allanar la casa presidencial y levantó acusaciones por los presuntos delitos de prevaricato (dictar resoluciones contrarias a la ley), fraude y abuso de autoridad contra Alvarado y otros siete funcionarios del Gobierno. Concretamente, la Fiscalía considera que bajo el mando de Alvarado, la UPAD violó el artículo 14 de la Ley de Protección de la Persona Frente al Tratamiento de sus Datos Personales, que prohíbe la transferencia de datos personales sin mediar el consentimiento, así como el artículo 40 del Reglamento de esa ley; y la Ley de Registro, Examen y Secuestro de Documentos Privados e Intervención de Comunicaciones.

En su comparecencia frente a una Comisión Especial de la Asamblea Legislativa, en febrero de 2021, Alvarado declaró: “Finalizo esta jornada con la paz y tranquilidad de que hoy le rendí cuentas a las y los costarricenses y que lo dicho es la verdad: nadie espió a nadie, nadie se robó plata, nadie vendió información”. Los delitos de los que se acusan al presidente y sus asesores se contemplan en el Código Penal, con penas que oscilan entre los tres meses y seis años de cárcel.

En medio de este escándalo, lo que suceda este año será crucial para el futuro de la protección de datos en Costa Rica. UPAD no es el único proyecto relevante en la materia. Actualmente existen diversas iniciativas en discusión.

El Proyecto de Repositorio de Datos Biométricos propone centralizar en el Tribunal Supremo de Elecciones (TSE) la recolección y tratamiento de datos biométricos de toda la población. De esta manera, la Policía, el Ministerio Público, el Organismo de Investigación Judicial y la Dirección General de Migración podrían acceder a estos datos sin orden ni intervención judicial. Este proyecto prevé que se comercialice un módulo de consulta de datos biométricos, lo que convertiría a Costa Rica en el primer país del mundo en comercializar libremente datos biométricos de su población, incluyendo a menores de edad y turistas. La iniciativa fue dictaminada de manera unánime por la Comisión de Gobierno y Administración en octubre de 2021.

Además, la Dirección de Migración lanzará en el primer trimestre de 2022 un nuevo pasaporte que incorpora un sistema inteligente de datos biométricos. El pasaporte incluirá un chip con la biometría del rostro y las huellas dactilares de todas las personas con documento costarricense. Frente a esta iniciativa, la Fundación Privacidad y Datos presentó un recurso de amparo, pues considera que Migración y Extranjería no resolvió adecuadamente una serie de consultas que fueran realizadas sobre respecto al nuevo pasaporte. Además, sostienen que el proyecto no respeta el marco jurídico, ya que el tratamiento de datos biométricos solo puede darse mediante una ley habilitante, y esta ley no existe.

Asimismo, la Dirección de Migración no ha explicado las medidas de seguridad que dispondrá para que los datos se encuentren seguros en sus servidores. Como si fuera poco, dicho organismo indicó que no descarta compartir esos datos con fuerzas policiales, e incluso con otros países, sin que exista ninguna norma que regule su utilización.

Por último, una propuesta de reforma a la Ley de Protección de Datos Personales. Actualmente existe un proyecto impulsado por el Partido Acción Ciudadana, cuyo objetivo es reformar el marco regulador de la protección de datos en el país, incluyendo el funcionamiento de la Agencia de Protección de Datos Personales. Sin embargo, organizaciones sociales plantean que no se trata de una reforma integral, sino que de la misma ley actual con algunos agregados y conceptos actualizados. Sin embargo, manifiestan que el proyecto se perfila como un primer paso que podría admitir mejoras para una mayor seguridad jurídica.

Los principales problemas del proyecto son que no prevé sanciones relevantes cuando es el propio Estado quien incumple la legislación. También plantea la posibilidad de que los organismos públicos intercambien datos personales de la población teniendo como único requisito la firma de convenios institucionales.

Con motivo de la celebración del Día Internacional de la Protección de datos, Daniel Rodríguez, director ejecutivo de la Fundación Privacidad y Datos manifestó que en “Costa Rica, el reto más importante que enfrentamos es actualizar nuestra legislación en la materia. Tenemos, cuando menos, diez años de retraso en este tema y el precio que pagamos por cada día que pasa sin una nueva ley, es muy alto”.

#NoAlPadrón: México frente a una abusiva reglamentación para el uso de celulares

Disponível em português

En una sesión con poca participación y sin discusión, en abril de 2021, se decidió que 88 millones de personas en México deben proporcionar sus datos biométricos a una base para acceder a la telefonía móvil. Allí, fue aprobada una reforma a la Ley Federal de Telecomunicaciones y Radiodifusión para determinar la creación por parte del Instituto Federal de Telecomunicaciones (INT) donde esta nueva base de datos obligatoria denominada Padrón Nacional de Usuarios de Telefonía Móvil (PANAUT).

También ordenó a las concesionarias de telecomunicaciones recopilar e incorporar esta información en la base de datos del PANAUT, que contaría con al menos diez tipos de datos personales, entre los cuales se encuentran: nombre completo, nacionalidad, número de identificación oficial con fotografía o Clave Única de Registro de Población, además de los datos biométricos de quien sea titular.

Aunque en los discursos se defiende como “herramienta para combatir la extorsión y el secuestro por parte del crimen organizado”, existen varios problemas relacionados con los derechos humanos. Luego de cuestionamientos judiciales, la definición del caso ahora está en manos de la Suprema Corte de Justicia de México (SCJN).

Disputa judicial contra “El padrón” mexicano

A pesar de lo señalado por la sociedad civil y otras instituciones con motivo de la creación de este tipo de bases de datos, y la obligatoriedad de un tratamiento específico para los datos sensibles, la iniciativa de creación del PANAUT fue aprobada en el Senado mexicano por 56 votos a favor, 52 en contra y 7 abstenciones. Desde el principio, este cambio legislativo dio lugar a una oleada de juicios individuales, conocidos en el ámbito jurídico como amparos.

Sumado a los casos individuales, el Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI) —órgano constitucional autónomo encargado de la protección de datos personales— interpuso una acción de inconstitucionalidad ante la SCJN en México en mayo de 2021. Dicha acción se tramita junto con otra sobre el mismo tema, propuesta por un tercio de del Senado. La base constitucional del caso es la garantía para que los datos personales tengan máxima protección y seguridad, según el artículo 16 de la Constitución mexicana, agregado en una reforma en 2009. La instalación de esta base de datos obligatoria fue suspendida por medio de una medida cautelar, otorgada por la ministra Norma Piño, y ratificada en junio de 2021 por los demás magistrados de la primera sección de la SCJN.

Inclusión abusiva de datos biométricos

PANAUT es una base de datos que tiene como único objetivo, según su decreto, “colaborar con las autoridades competentes en materia de seguridad y justicia en materias relacionadas con la comisión de delitos” (art. 180, Bis). Pero para eso determina una recolección masiva de datos ya que, como fue mencionado, se calculan 88 millones de personas usuarias de celulares en México.

Asimismo, se recopilarán datos sensibles como la biometría. Aquí tenemos un concepto clave. La “Guía para el tratamiento de datos biométricos” del INAI dice que los datos biométricos son datos que se refieren a “propiedades físicas, fisiológicas, de comportamiento o de personalidad, atribuibles a una sola persona y que son medibles”. Algunos ejemplos son las huellas dactilares, y el reconocimiento facial, de retina e iris. Por consecuencia, pueden caracterizarse como datos sensibles, ya que refieren a la esfera más íntima de las personas y su uso indebido puede dar lugar a discriminación y suponer un gran riesgo.

Incumple tratados internacionales asumidos por el Estado

La creación de este tipo de bases de datos obligatorias, sin análisis de impacto y con total ausencia de mecanismos de control, traen consigo graves amenazas para los derechos humanos. Infringe la privacidad, el principio de inocencia y pone en peligro la vida de las personas. La protección de la privacidad y de los datos personales se encuentran previstos en la Constitución mexicana, así como en otros instrumentos internacionales que Estado mexicano adhiere, tales como la Convención Americana sobre Derechos Humanos (Pacto de San José de Costa Rica) y el Pacto Internacional de Derechos Civiles y Políticos.

La creación de un PANAUT obligatorio no pasa en el test de proporcionalidad, de contar con un fin constitucionalmente válido, o que la medida sea idónea para satisfacer el fin definido en la constitución. Además, que no existen medidas alternativas igualmente idóneas para lograr el mismo fin y que sean menos perjudiciales para la ciudadanía. Un simple ejemplo práctico: quienes realmente tengan intención de usar celulares con fines delictivos podrían simplemente robar el celular de alguien o comprar una tarjeta SIM en otro país donde el roaming es gratuito, como es el caso de México y Estados Unidos.

Así pues, el acceso a la base de datos podría ser solicitado por varias instituciones policiales y de investigación, sin ninguna garantía para la ciudadanía. Tales solicitudes se harían directo al IFT, sin ningún control del Poder Judicial en cuanto al propósito específico, qué datos se requerían, e incluso, si existía una investigación en curso. Como si fuera poco, los casos de filtración indebida de datos personales por parte del gobierno son ampliamente conocidos, no solo en México, sino en varios otros países de la región. Este factor aumenta el riesgo de quien sea titular de los datos, ya que al ser confidenciales pueden filtrarse y causar daños graves.

Restringe en forma indebida al acceso a internet

Como si estas vulneraciones no fueran suficientes, la obligación de proporcionar datos biométricos de manera masiva para fines de investigación criminal es una restricción indebida en el acceso a tecnologías tan importantes en la actualidad. El acceso a internet propicia el ejercicio de varios otros derechos como el acceso a la información, la libertad de expresión e incluso derechos económicos, sociales y culturales. En México, como en casi toda Latinoamérica, la población accede a internet mayoritariamente a través de teléfonos celulares. Alrededor de 80 millones de personas acceden a internet a través de su celular.

Así, para gran parte de la población, el ejercicio del derecho de acceso a internet estaría indebidamente condicionado a renunciar a sus datos personales y biométricos a una base de datos utilizada para la persecución penal, sin garantías mínimas de seguridad, control de acceso, transparencia y rendición de cuentas.

Más defensas frente al tecno-autoritarismo: el INAI y la participación popular

El caso resulta muy interesante porque demuestra cuán necesario es contar con instituciones serias e independientes para la protección de datos personales. El INAI es un instituto que, además de ser encargado de proteger los datos de la ciudadanía, también tiene legitimidad para impugnar la constitucionalidad de leyes que vulneren la protección de datos personales. El caso PANAUT demuestra que el cuerpo legislativo no escuchó adecuadamente a la institución que tiene la función de protección de datos.

Asimismo, demuestra que la sociedad civil organizada en México y otros países de la región, juega un papel importante en la colaboración de las discusiones legislativas y participa activamente en los debates ante el Poder Judicial. Más de diez organizaciones de la sociedad civil, incluida Derechos Digitales, presentaron una petición de amicus curiae solicitando participar en el caso. Se señalaron los riesgos y violaciones a los derechos humanos ocurridos, concluyendo que la creación del PANAUT fue inconstitucional. Varias organizaciones, tales como R3D, han estado participando activamente en el caso desde su inicio.

En una carta dirigida a los ministros de la Corte Suprema, fue solicitada la publicación de los proyectos de resolución del caso, siguiendo lo que normalmente se hace en los casos de amparo, para que haya mayor transparencia.

Un precedente relevante en la garantía de los derechos humanos

Como vemos en otros países de la región y del mundo, los gobiernos insisten cada vez más en establecer y aumentar las bases de datos obligatorias, principalmente relacionadas con la recopilación de datos biométricos. Presumiblemente, el propósito sería «combatir el crimen». Sin embargo, tales medidas no solo son ineficientes: exponen más a ciudadanos y ciudadanas, disminuyen los derechos a la privacidad y al acceso a internet, a la presunción de inocencia y la libertad de expresión.

La SCJN de México tiene en sus manos una gran oportunidad para sentar precedente en América Latina para enunciar, de una vez por todas, que no se admitirán las vulneraciones masivas de derechos humanos a través de iniciativas tecno-autoritarias.

Las reformas legales en El Salvador: un gran retroceso en los derechos humanos y el Estado democrático

La Asamblea Legislativa de El Salvador ha aprobado una serie de reformas al Código Procesal Penal y a la Ley de Delitos Informáticos y Conexos, con las que se modifican los parámetros para que ciertas conductas se tipifiquen como ciberdelitos, además de incluir nuevas medidas intrusivas para su investigación. Las reformas al Código Procesal Penal están pendientes de sanción presidencial.

La ambigüedad, imprecisión y amplitud de las reformas puede favorecer el abuso y la criminalización de actividades en ejercicio legítimo de derechos, así como poner en riesgo la privacidad y la libertad de expresión en el país, con graves consecuencias para su democracia. En un contexto en que hemos conocido situaciones de vulneración grave de derechos mediante la instalación de malware para la vigilancia de activistas y periodistas, cualquier reforma legislativa debe apuntar a mejorar las garantías de protección, defensa, debido proceso y acceso a la información y no aumentar las capacidades estatales para perseguir actividades legítimas mediante la vigilancia.

Por un lado, las reformas a la Ley de Delitos Informáticos y Conexos son imprecisas y deficientes en técnica legislativa. Uno de los artículos criminalizaría la mera obtención y transferencia de información considerada confidencial (artículo 25), estableciendo una sanción de 5 a 8 años de prisión. La medida pone en riesgo el ejercicio periodístico, la libertad de expresión, así como la protección de empleados de gobierno qué revelan irregularidades en el gobierno. Siendo habitual la carencia de información pública por parte del Estado, la utilización de fuentes anónimas e informantes es una práctica necesaria para favorecer la rendición de cuentas y el debate público. Además, sin ningún tipo de especificación o contrapesos, una medida así puede ser utilizada de manera maliciosa para criminalizar denuncias de corrupción, generando auto-censura y agravando un ambiente ya marcado por la persecución contra periodistas que intentan investigar temas de corrupción o gastos públicos.

Por otra parte, las reformas al Código Procesal Penal legalizan el empleo de técnicas de investigación y operaciones encubiertas invasivas a la privacidad y al derecho a la protección de datos personales, con la creación de una figura de “agente encubierto digital” y la autorización de uso de herramientas de extracción de información. De acuerdo al texto aprobado (artículo 259-D), las operaciones encubiertas digitales estarían a cargo de la policía y serían autorizadas previamente por el Fiscal General de la República no sería necesaria una orden judicial para este tipo de operación que podrían aplicarse a cualquier delito, sin importar su gravedad. La ley tampoco define el alcance y los límites de la intrusión, contrariando los criterios de necesidad y proporcionalidad establecidos por el Sistema Interamericano de Derechos Humanos en materia de intervención en comunicaciones privadas. No se establecen auditorías o controles para la actuación del agente encubierto digital o para las herramientas que podrían utilizarse para la vigilancia y extracción de información de la “evidencia digital”.

Además, en el procedimiento de registro de cadena de custodia e incorporación, producción, admisión y valoración de evidencia digital, se establecen reglas alejadas de estándares internacionales, para el manejo de la evidencia, tal como los “RFC 3227 Guidelines for Evidence Collection and Archiving”. Finalmente, la norma permitiría de manera amplia que el Ministerio Público solicite medidas cautelares al juez competente, consistente en el bloqueo de sitios, redes sociales y plataformas digitales de cualquier persona natural o jurídica en la fase de instrucción del proceso penal, sin hacer referencia expresa al deber de ponderar la necesidad o proporcionalidad de esa medida en casos concretos.

Por otra parte, son preocupantes las discusiones actuales para reformar la Ley de Acceso a la Información Pública para que la entrega o difusión de información reservada o confidencial, sea considerada una infracción muy grave, que recaiga también sobre particulares.

Desde nuestro rol como sociedad civil, vemos con preocupación los riesgos que corre la libertad de expresión en El Salvador, al legalizar y normalizar la vigilancia estatal y ampliar los poderes de investigación penal del ministerio público sin claras restricciones y en agravio al test tripartido de necesidad, proporcionalidad y legalidad consagrado en el Sistema Interamericano de Derechos Humanos.

No podemos dejar de señalar que, para dictar normas de esta naturaleza, es necesaria una discusión amplia con todos los sectores de la sociedad civil, que será la destinataria de leyes que pueden afectar sus derechos; así como también debe incorporar la opinión de expertos en la materia, cosa que no ha sido posible verificar en el caso de las reformas aprobadas.

Por todo lo anterior:

Llamamos al presidente de la República de El Salvador a no sancionar las reformas al Código Procesal Penal, ya que no garantizan el respeto de los derechos humanos de sus ciudadanos. Instamos a que las reformas sean devueltas a sede legislativa, que se realice un análisis especializado de estas propuestas a la luz de las obligaciones de El Salvador en materia del Derecho Internacional de los Derechos Humanos, y que la discusión sobre las reformas sea plural y cuente con la participación de la mayor cantidad de partes interesadas.
Instamos a la Asamblea Legislativa a no aprobar las reformas a la Ley de Acceso a la Información Pública; y, en general, a priorizar la adopción de leyes de protección a periodistas y activistas de derechos humanos, en línea con lo que establecen los estándares internacionales de derechos humanos firmados por el país.
Instamos a los órganos públicos de El Salvador a cumplir con el resguardo de los derechos humanos de todas las personas en el país y a no incurrir en conductas de persecución, vigilancia o silenciamiento. La seguridad de la ciudadanía en ambientes virtuales o al utilizar las tecnologías de la información y la comunicación es un deber del Estado, como también el respeto de las garantías procesales, la privacidad de las comunicaciones y la libertad de expresión.
Instamos las instituciones judiciales de El Salvador a investigar y punir los responsables por la instalación de software malicioso para vigilar a periodistas y activistas de derechos humanos.
Llamamos a la comunidad internacional, en particular las instancias del Sistema Interamericano de Derechos Humanos, a mantenerse alertas sobre la situación del derecho a la libertad de expresión, libertad de prensa y acceso a la información pública en El Salvador, así como también sobre las situaciones de riesgo de derechos humanos que lleguen a su conocimiento.

Firmamos la presente:

Derechos Digitales, América Latina
Human Rights Watch
Fundación Democracia Transparencia Justicia (DTJ), El Salvador
Acción Ciudadana, El Salvador
Asociación Transparencia, Contraloría Social y Datos abiertos (TRACODA), El Salvador

Casos de espionaje con Pegasus en El Salvador: una nueva estocada al derecho a la libertad de expresión

Algunos ejemplos como la toma del Instituto de Acceso a la Información Pública (IAIP) volviéndolo una institución irrelevante; la destitución ilegal de los 5 magistrados de la Sala de lo Constitucional y del Fiscal General, sustituidos también de manera ilegal por abogados leales a Bukele; así como la remoción de jueces incomodos al oficialismo, son solo parte de esta ofensiva que busca socavar los controles inter orgánicos, que en el fondo pretenden, según algunos analistas, proteger a su círculo de los señalamientos de corrupción que pesan sobre su gestión.

En este afán de disolver los controles sobre su administración, Bukele también finalizó abruptamente el convenio con la Comisión contra la Corrupción y la Impunidad en El Salvador (CICIES) que él mismo había instaurado y su Fiscal impuesto, disolvió la Unidad Anticorrupción de la Fiscalía General de la República (FGR) cuando se hizo público que investigaban algunos de los múltiples señalamientos de corrupción en el manejo de los fondos destinados para el combate a la pandemia, así como el pacto con la pandilla MS13.

Todo quien contradice a Bukele es un enemigo

Una de las principales características de Bukele y su maquinaria de propaganda es su desprecio por todo aquello que implique control y críticas a su gestión. Periodistas, académicos, universidades, organizaciones de la sociedad civil (OSC), defensores de derechos humanos, miembros de partidos políticos de oposición, etc., han sido víctimas, la mayoría de veces, de acoso digital. En otras, de persecución por parte de las instituciones que son usadas para acallar las voces disonantes.

El caso de Mario Gómez, detenido arbitrariamente por la Policía Nacional Civil (PNC) luego de manifestar críticas a la implementación del Bitcoin como moneda de curso legal; la violación a derechos humanos de personas encarceladas, llevada a cabo por la Dirección de Centros Penales contra el ex Alcalde de San Salvador, del partido Alianza Republicana Nacionalista (ARENA) y contra ex funcionarios de gobiernos del Frente Farabundo Martí para la Liberación Nacional (FMLN); la investigación abierta por el Fiscal impuesto a fiscales que formaron parte de la Unidad Anticorrupción de la FGR —que era liderada por el ex fiscal German Arriaza, hoy exiliado— son muestras de lo peligroso que se está volviendo el clima en El Salvador en lo referente al respeto a los Derechos Humanos en general y, en particular, al derecho a la libertad de expresión.

A estas acciones se suman dos casos más que retratan la naturaleza del régimen de Bukele en cuanto a la persecución de quienes considera sus “enemigos”: 1) la intención de aprobar una Ley de Agentes Extranjeros, por la cual se pretendía retener el 40% de cada transacción que recibieran las OSC y medios de comunicación, desde el exterior; y, 2) el caso del espionaje con el software Pegasus, realizado a por lo menos, 35 periodistas y miembros de OSC, recién hecho público.

Si bien la aprobación de Ley de Agentes Extranjeros fue detenida a raíz de las múltiples críticas que recibió, que incluyeron un llamado de la CIDH y la RELE para que el Estado salvadoreño se abstuviera de aprobarla, la intención de darle vida aún no ha sido descartada totalmente.

En el caso del espionaje con Pegasus, el informe que corrobora la existencia de la vigilancia con dicho software destaca que la infección ha sido especialmente insistente, con numerosos y prolongados accesos a algunos de los dispositivos intervenidos. Estas infecciones coinciden con los momentos en los que las víctimas de espionaje reporteaban sobre temas delicados que involucraban a la administración Bukele, como el caso del pacto con la pandilla MS-13 en el que esta se comprometía a reducir los homicidios a cambio de dar apoyo electoral a Bukele.

Aunque el gobierno ha intentado desligarse de este ataque, parte del informe señala que, si bien es cierto no ha podido establecerse el vínculo entre una infección particular con un usuario específico de Pegasus, si ha podido identificarse a un usuario que opera casi exclusivamente en El Salvador desde noviembre de 2019, el cual ha sido identificado como Torogoz.

Con todo este contexto, no es descabellado las pronunciaciones de alerta cuando son presentadas iniciativas de ley desde el Ejecutivo, como las reformas a la Ley de Delitos Informáticos y Conexos (LDIC) y al Código Procesal Penal (CPP).

En las reformas a la LDIC, que han sido aprobadas por la Asamblea Legislativa, pero aún no sancionadas por el Presidente, se reformó el art. 25 que penaliza la obtención y transferencia de información confidencial por medio de las tecnologías de la información, en un sentido distinto al articulado antes vigente. Mientras que la ley del año 2016 señalaba que la información obtenida de manera ilegal debería servir para vulnerar un sistema o datos informáticos, la actual reforma únicamente contempla el hecho de obtener o transferir información confidencial, eliminando el otro requisito del tipo penal: la vulneración de un sistema con esa información.

En un contexto en el que las instituciones públicas abusan de la declaratoria de reserva que la Ley de Acceso a la Información Pública (LAIP) permite, la obtención de información pública que a veces incluye información que debería ser oficiosa, se logra a través de fuentes que deciden colaborar con periodistas. Por ejemplo, el artículo en cuestión más parece ser una medida de disuasión para que las fuentes se abstengan de seguir dando información y que los/as periodistas se abstengan de publicar información obtenida en contra de este artículo. Esto constituye una clara violación al derecho de acceso a la información, en tanto que todas las vías información sobre la gestión gubernamental están siendo cerradas de manera acelerada.

Por su parte, en las reformas al CPP se contempla la inclusión de la “evidencia digital” que genera muchas dudas, principalmente sobre la autoridad responsable para autorizar y monitorear la operatividad del “agente digital encubierto”. También se cuestiona la forma en la que, para dar validez a la evidencia obtenida en la intervención de dispositivos tecnológicos en la investigación de un delito, no se requiere que quien intervenga el aparato sea un perito. Otro de los cuestionamientos tiene que ver con las medidas cautelares, que incluyen el bloqueo de cuentas, perfiles o sitios web que se estén investigando por algún delito.

A primera vista, preocupa la falta de referencia en el texto de la reforma a la idoneidad y proporcionalidad de este tipo de medidas propuestas. Sin embargo, uno de los temores más acuciantes es el contexto en el que se están proponiendo estas medidas: el de un gobierno que está intentando, por todos los medios, restringir el derecho de acceso a la información pública, esencial para el control ciudadano, y que, en el camino, tampoco tiene reparo en vulnerar la privacidad de sus ciudadanos/as.

En el marco de la derogatoria de la celebración de los Acuerdos de Paz, que puso fin al conflicto armado del país, los temores sobre la deriva autoritaria del régimen de los Bukele continúan haciéndose realidad a pasos agigantados.

En rechazo a la modificación del Código Procesal Penal que habilita la vigilancia sin controles ni contrapesos legales

Una Comisión Mixta del Congreso aprobó recientemente modificar el Código Procesal Penal para permitir al Ministerio Público solicitar datos personales de cualquier ciudadano a todo proveedor de servicios, sin orden judicial previa, mecanismos de transparencia ni de rendición de cuentas que permitan controlar el uso de una herramienta de vigilancia que, además, puede ser utilizada para la investigación de cualquier delito, incluidos delitos menores o de bagatela.

La norma aprobada, además, impone un deber de secreto que hará imposible conocer con certeza el despliegue de intrusiones estatales que podrían afectar no solo el derecho a la privacidad de los ciudadanos, sino también la labor de periodistas y sus fuentes, medios de comunicación, organizaciones y movimientos sociales.

Vemos con preocupación la ambigüedad del texto legal al establecer como único requisito la existencia de una “investigación en curso”, sin siquiera exigir una especificidad individual, abriendo un amplio margen para solicitudes genéricas e indefinidas. En definitiva, el texto carece de las garantías de respeto y protección de derechos fundamentales que nuestra sistema jurídico exige para permitir el acceso a los datos personales de los ciudadanos.

Esta normalización de la vigilancia estatal vulnera el derecho de todo ciudadano a no ser objeto de intrusiones gubernamentales injustificadas, uno de los pilares básicos de toda democracia, pues sin él resulta imposible el ejercicio de otros derechos tan fundamentales como la libertad de expresión, la libertad de asociación y la libertad de informar y ser informado, entre otros.

Siendo la separación y el control de los poderes de los organismos del Estado un eje central de todo sistema democrático, esperamos que el Congreso rechace cualquier norma que pretenda dotar al Estado de mayores herramientas de vigilancia sin contemplar los mecanismos necesarios para controlar su uso.

Adscriben:

Comprender las violencias facilitadas por las tecnologías

Cuando hablamos de privacidad en internet estamos hablando también de confianza. La privacidad es eso que nos permite actuar libremente sin temor a los juicios por parte de otras personas o instituciones. Para hacernos una idea, en las ciudades contemporáneas los baños pueden ser esos lugares donde esperamos tener privacidad plena: que nadie nos esté observando, que nadie nos moleste. Cuando entramos al baño en un local comercial, confiamos en que sus dueños no estarán espiándonos y cuidan que nadie más lo haga.

En internet, la confianza es la garantía de que nuestra privacidad está resguardada cuando utilizamos servicios que son ofrecidos por terceros como las apps, plataformas de redes sociales o sistemas de pago en línea. Con el desarrollo permanente de las tecnologías digitales, cada tanto es bueno volver a preguntarnos, ¿existe algún lugar en internet donde tengamos plena confianza de que nadie nos está observando?

Hace poco, en una sesión de trabajo de protocolos de internet donde se conversaba sobre distintos escenarios de conectividad, el presentador afirmó que en una conexión casera puede haber total confianza: “porque no me preocupa si mi perro ve mi dirección MAC, o mi esposa o mis hijos. No creo que ellos vayan a atacarme”. Por supuesto, aclaró, “soy un usuario ingenuo que vive en los Estados Unidos y cuyo vecino más cercano se encuentra a una milla y media de distancia”.

La dirección MAC es un identificador único para cada uno de los aparatos que se conectan a internet. En esa sesión se estaba discutiendo sobre la posibilidad de que la dirección MAC se asigne de manera aleatoria a los aparatos cada vez que se conectan, de manera que no permita la identificación de la persona que está utilizando cierto aparato para conectarse a internet. Supongamos que ese aparato es un celular y la persona que se conecta está buscando información sobre aborto seguro, o cómo denunciar violencia doméstica. Si la dirección es única y estática, alguien con capacidad de ver el tráfico de red en el hogar puede saber desde el aparato de quién se están haciendo dichas búsquedas.

Para el presentador “ingenuo” solo su vecino sería un posible atacante, es decir alguien con capacidad suficiente para conocer el tráfico de red en su hogar, y es evidente que su esposa, sus hijos o su perro, no. Pero como bien sabemos, esta situación puede ser completamente diferente para otras personas. La privacidad y la confianza, tanto en el hogar como en internet, están determinadas por relaciones de poder. Por ejemplo, ¿quién contrata el servicio de internet? ¿quién puede configurar los aparatos instalados? ¿cuántas personas acceden a cada aparato conectado, y en qué condiciones? ¿quién conoce y quién controla las credenciales de acceso?

La idea de que el hogar es un lugar de “total confianza” (o que la familia es un grupo de “mucha fraternidad”, parafraseando al actual presidente de México) ha sido ampliamente cuestionada por grupos feministas que combaten las violencias de género normalizadas en nuestra sociedad. Sin embargo, quienes diseñan las tecnologías que utilizamos y quienes gobiernan los países donde vivimos continúan pensando que una declaración es suficiente para garantizar espacios seguros y libres de violencias, tanto dentro como fuera de línea.

Pero concentrémonos en las tecnologías digitales. En esa misma sesión de trabajo, varias personas señalaron que, en términos de seguridad, el hogar no es un escenario de confianza pero una empresa sí lo es. ¿De qué confianza estamos hablando?, ¿y de qué seguridad? ¿Para quién?, ¿para qué? En una empresa, en una institución militar o de gobierno, es necesario proteger la información que se comparte. La confianza está mediada por contratos de trabajo, acuerdos de confidencialidad, políticas y protocolos de procedimiento que han sido meticulosamente diseñados para garantizar el correcto funcionamiento institucional.

La seguridad es una característica necesaria en cualquier sistema informático y quienes han estado a cargo de esta labor en los contextos empresariales e institucionales son principalmente ingenieros hombres, que viven en familias consideradas “normales”, en condiciones económicas muy cómodas, en países del norte. Pero hoy, cuando a través de un mismo dispositivo conectado a internet sostenemos por igual relacione s laborales, académicas, burocráticas e íntimas, la seguridad digital se ha quedado corta en responder a las necesidades de las -cada vez más y más diversas- personas que nos conectamos.

El campo de la ciberseguridad se ha construido sobre la base de identificar adversarios, amenazas y riesgos asociados al uso de tecnologías digitales, así como de garantizar la confidencialidad, integridad y disponibilidad de la información. Pero muy poco se ha estudiado sobre cómo el diseño de las tecnologías digitales afecta a las diferentes personas, y qué tipos de amenazas aparecen en los entornos privados e íntimos. Quienes trabajan en seguridad suelen pensar que estas amenazas son poco sofisticadas porque técnicamente son fáciles de ejecutar y no dependen de un diseño tecnológico complejo. Nada más alejado de la realidad.

Estas amenazas están basadas en una profunda conflictividad social que difícilmente es experimentada en el día a día por quienes diseñan, mantienen y analizan sistemas de seguridad: en su mayoría hombres cis, heterosexuales, no racializados en su contexto local y con cierta comodidad financiera. Hacerle frente a esta conflictividad implica entender, no solo la complejidad técnica de los ataques, sino las condiciones sociales en que configuraciones técnicas muy sencillas facilitan la ejecución y amplificación de prácticas normalizadas que son violentas, por ejemplo, la vigilancia y el control de los cuerpos de las mujeres por parte de sus familiares o parejas sentimentales.

A tiempo que construimos tecnologías para acabar el patriarcado necesitamos hablar más de las violencias facilitadas por las tecnologías que hoy día estamos usando, esa condición de facilidad y simpleza con que permiten a los agresores (principalmente hombres allegados a las personas agredidas) ejercer violencia. No solo se trata de las aplicaciones para descubrir una infidelidad, que cada día se hacen más comunes en las tiendas de descarga, sino de las características de muchas aplicaciones que usamos cotidianamente, y que incitan a la vigilancia, el seguimiento y el abuso sobre la privacidad de quienes tienen (por condiciones estructurales que ya mencionamos aquí) menos habilidades o posibilidades de conocer el trasfondo del funcionamiento de estas aplicaciones.

Derechos digitales en 2021: un último vistazo al año que nos deja

«Es navidad y ¿que has hecho?» nos pregunta una famosa canción navideña cada fin de año. Intentar responder nos obliga recordar y reflexionar.

La pandemia del COVID-19 hizo evidentes las escandalosas desigualdades que atraviesan nuestras sociedades y los límites de un modo de producción que debemos repensar si queremos construir un futuro más respetuoso y justo para todos los seres que habitamos este planeta. Ese contraste sigue vívido frente a nuestros ojos.

En América Latina, el deterioro de las condiciones de vida como resultado de una serie de crisis que se superponen —sanitaria, económica, política, climática y ambiental—se hace visible en los paisajes de muchas ciudades. Sin embargo, la fuerza de la solidaridad, la colaboración y la resistencia una vez más dejará su marca en nuestra historia. En 2021, la gigantesca marcha de mujeres indígenas en Brasil, los fuertes movimientos de protesta en Colombia y en Cuba, la movilización en los períodos de elecciones en Chile, y la resistencia ante la crisis en Venezuela, Nicaragua, Honduras y El Salvador, fueron muestras de una intensa lucha por derechos, en una región tan marcada por la dificultad de los cambios.

Son innumerables las iniciativas locales que buscaron garantizar y promover derechos, desde grupos grandes y pequeños, desde comunidades y redes de solidaridad a nivel local, regional y global. Desde Derechos Digitales, pudimos apoyar algunas por medio del Fondo de Respuesta Rápida: fueron 20 proyectos apoyados durante el año, con acciones en 11 países. Y sabemos que hay mucho más por hacer.

En este contexto, la vida en internet se ha vuelto aun más importante que los vaticinios tecnoptimistas de principios de siglo. Por la misma razón, defender la libertad de expresión, el acceso a la información, la privacidad, los derechos a la protesta y participación en línea se hizo aún más fundamental. La posibilidad de conectarse a una internet de calidad, sin interferencias excesivas y arbitrarias fue lo que le permitió a algunas personas trabajar, estudiar y mantener una vida social de manera segura. Sin embargo, no fue así para todas. Algunos gobiernos aprovecharon la crisis sanitaria para intentar establecer mayores controles sobre discursos legítimos.

En Bolivia y Brasil, la sociedad civil movilizada logró impedir iniciativas peligrosas para la libertad expresión en línea. En Chile, junto con reconocidas expertas y expertos internacionales criticamos firmemente el proyecto de ley para regular las plataformas digitales, que tiene un enorme potencial de daño al ejercicio de derechos fundamentales; además de sus errores de conceptuales, el proyecto ignora desarrollos importantes de derechos humanos a nivel internacional. En Colombia, asistimos al Congreso a detener una iniciativa legal que, en nombre de los derechos de niños, niñas y adolescentes, buscaba implementar una serie de disposiciones para el control de la circulación de contenidos en internet, contrarias a las condiciones establecidas en la Convención Americana sobre Derechos Humanos; una medida que probablemente tenía buenas intenciones, pero que constituía una amenaza peligrosa.

La violencia en línea —especialmente la violencia de género—se multiplicó como estrategia para silenciar las críticas. Como reconoció la Relatora Especial de Naciones Unidas sobre libertad de expresión, Irene Kahn, este tipo de práctica representa una forma de censura y muchas veces obliga a las víctimas a desconectarse para sentirse seguras. Reiteramos lo dicho por incontables activistas y expertas a nivel mundial: la violencia de género en línea es un atentado contra los derechos humanos

Los distintos impactos de la brecha digitales se hicieron más evidentes que nunca: miles de personas se vieron excluidas por la digitalización de servicios públicos, al no tener ningún tipo de conexión o por la precariedad de su forma de acceso, incluidos los servicios vinculados al control de la pandemia o de sus efectos sobre la vida de las personas en la región. Algunas de estas iniciativas abrieron espacio para nuevas formas de discriminación y para una vigilancia diferenciada hacia las personas que se encuentran en situación de mayor vulnerabilidad y, por lo tanto, dependen del apoyo del Estado, como apuntamos en nuestro análisis de los sistemas de sistemas de protección social en Bolivia y Venezuela.

Para quienes lograron conectarse, la digitalización del sector público también ha implicado una mayor recolección de datos, en muchos casos, sin las debidas garantías de protección. Con el consorcio Al Sur, analizamos el uso de tecnologías para el combate al virus y concluimos que su implementación se basó en escasas evidencias de efectividad, sin considerar tampoco procesos de evaluación o auditorías participativas. Debido a la ausencia de estudios previos de impacto y de medidas suficientes de seguridad, estas iniciativas se constituyeron como riesgos al ejercicio de derechos humanos y fallaron en el cumplimiento de estándares de legalidad, necesidad y proporcionalidad.

La vigilancia floreció en América Latina durante el último año: observamos con preocupación el avance del uso de tecnologías de reconocimiento facial, especialmente en espacios públicos, sin mayores cuestionamientos sobre sus consecuencias. En Uruguay una ley aprobada en abril autorizó la creación de una base de datos de identificación facial para uso en la seguridad pública, a pesar de la manifestación de docenas de organizaciones de la sociedad civil y de crecientes cuestionamientos a este tipo de tecnologías.

Junto a otras organizaciones, colaboramos en la investigación y denuncia del uso de tecnologías en el contexto del control de la pandemia como vía para acumular información de las personas y la gestión de los datos por fuera de estándares de derechos humanos.

También asistimos al trabajo de tribunales en la región. En Argentina participamos como amicus curiae en una acción que cuestiona constitucionalidad del “Sistema de Reconocimiento Facial de Prófugos” (SRFP) de la ciudad de Buenos Aires. En Perú el proyecto “Ni un examen virtual más” cuestionó la obligatoriedad de esos sistemas para la participación en exámenes de ingreso en universidades públicas. En Brasil y Paraguay la sociedad civil también se ha organizado para resistir la implementación del reconocimiento facial, y participamos en un amicus curiae en este último país en defensa de la transparencia en el uso de estas tecnologías. En Colombia, intervinimos dos veces en apoyo a organizaciones locales en el cuestionamiento del uso de datos personales para la pandemia, relevando la importancia de los estándares que la ley ya contempla.

La movilización no ha sido solo resistencia: en Ecuador se ha logrado aprobar finalmente una ley de protección de datos, donde fuimos activos partícipes; en Brasil se han presentado propuestas para la prohibición del reconocimiento facial; Nos sumamos también al movimiento global para cuestionar la forma en que una empresa con amplia base de usuarias en la región ha procurado cambiar sus reglas, con la reacción positiva de la autoridad de libre competencia en Chile.

Pasaron demasiadas cosas como para listarlo todo. Ello nos trae orgullo y satisfacción, pero a la vez nos muestra los desafíos hacia el futuro. Al mismo tiempo, nos mueve a observar nuestra acción hacia afuera, como también nuestra situación como grupo de personas. Las organizaciones de derechos humanos como Derechos Digitales no hemos estado excluidas de los impactos generados por la pandemia en los últimos dos años, que van más allá de situaciones nacionales y globales.

Mantenernos activas ha implicado también hacer una mirada hacia adentro y pensar cómo nos cuidamos y fortalecemos, cómo nos auxiliamos mutuamente para generar la fuerza que requiere nuestra labor. Y así, mantenemos nuestra convicción de cara al año que comienza. Ante los desafíos enfrentados, esperamos para 2022 no solo hacer, sino también recuperar nuestro derecho a imaginar.

Inteligencia artificial 2021: desarrollos importantes en el marco legal internacional

Versão em português disponível

Gran parte de lo que se discute sobre inteligencia artificial (IA) nos remite a películas y libros de ciencia ficción. Robots muy humanoides y brillantes están en las fotos de muchas páginas que hablan de este tipo de tecnología. Daniel Leufer señala este y otros mitos en el uso y discusión de la IA en un sitio web que vale la pena revisar. A este mito de la representación se suma una definición muy amplia, que serían tecnologías dotadas de súper inteligencia, cuyo uso puede ser objetivo, sin prejuicios y que no podrían resolver nada más que un montón de cosas.

Pero lejos de estar cerca de los robots como en las películas de Steven Spielberg o en las protagonizadas por Will Smith, muchas partes de nuestras vidas ya se ven afectadas por el uso de la IA: ya sea por su uso por parte del Estado para llevar a cabo las más variadas tareas y en su toma de decisiones, o incluso por empresas.

Dos elementos del mito de la «gobernanza de la IA» nos llevan a algunas preguntas. Es cierto que muchos países de América Latina, como Colombia, Chile, Brasil y Uruguay, ya están regulando estrategias nacionales para hacer frente a la IA, además de intentar aprobar proyectos de ley específicos sobre regulación, como estamos viendo en las discusiones actuales.

En el caso de Brasil, el proyecto de ley 21/2020 ha recibido una serie de críticas mordaces, como la de Coalizão Direitos na Rede en esta semana, por su aprobación en la Cámara de Diputados sin una discusión efectiva con la sociedad, que implican un debilitamiento de las garantías existentes. En Europa, las discusiones también son candentes y la sociedad civil organizada está pidiendo una Ley de Inteligencia Artificial (EIA) que dé prioridad a los derechos fundamentales.

Esta semana, se lanzó el “Índice global de inteligencia artificial responsable”, un proyecto de Research ICT Africa y la Red Data 4 Development. Este índice tiene como objetivo rastrear la implementación de los principios de IA responsable en más de 120 países, a través de una red internacional de equipos de investigación independientes, para evaluar en qué grado se están aplicando los principios. El nombre del evento de lanzamiento transmite el deseo de gran parte de la sociedad: pasar de los principios a la práctica, ante tantos potenciales riesgos y violaciones de los derechos humanos.

Aquí, queremos analizar los nuevos desarrollos en el tema de la regulación de la IA dentro de los organismos internacionales, a los que se agregaron, por ejemplo, los principios de la OCDE sobre IA, que habían sido aprobados en 2019.

Impactos negativos y catastróficos, con graves riesgos para la privacidad y exigiendo acciones urgentes

Michelle Bachelet, Alta Comisionada de las Naciones Unidas para los Derechos Humanos, publicó recientemente un importante informe sobre los graves riesgos para la privacidad derivados del uso de herramientas de IA (A/HRC/48/31).

Según Bachelet, la creación de perfiles, la toma de decisiones automatizadas y las tecnologías de aprendizaje automático (machine learning) tienen impacto en el derecho a la privacidad y varios otros derechos que asociados, en al menos cuatro sectores específicos. Para los sectores de aplicación de la ley —seguridad nacional, justicia penal y gestión de fronteras— las implicaciones son múltiples. Por mencionar algunas: amplias bases de datos que dañan o restringen la privacidad, alta probabilidad de predicción para búsquedas, investigaciones y enjuiciamientos penales, sumado a una alta opacidad de los sistemas que impiden la verdadera rendición de cuentas del Estado en áreas que históricamente han sufrido de falta de transparencia.

El uso de la IA en el reconocimiento biométrico remoto (reconocimiento facial y de emociones) también es severamente criticado por el informe, ya que perjudica “la capacidad de las personas para vivir sus vidas sin ser observadas y tiene como resultado un efecto negativo directo en el ejercicio de los derechos a la libertad de expresión, reunión pacífica y asociación, así como libertad de circulación”.

El informe había sido solicitado por la ONU en 2015, en la Resolución 42/15, y se basó en una reunión con expertos en mayo de 2020, así como los aportes recibidos de una convocatoria específica para tal fin en 2021. Analiza el tema principalmente con base en el artículo 12 Declaración Universal de Derechos Humanos y en el artículo 17 del Pacto Internacional de Derechos Civiles y Políticos (ICCPR).

Bachelet señala que el riesgo de discriminación derivado del uso de decisiones basadas en inteligencia artificial es muy alto. Enumera posibles enfoques para hacer frente a los desafíos, haciendo una serie de recomendaciones sobre el diseño y la implementación de salvaguardas para prevenir y minimizar los daños. Si bien las áreas de salud, educación, vivienda y servicios financieros necesitan un mayor escrutinio, según el informe, el área de identificación biométrica necesita con urgencia orientación para defender los derechos humanos.

Dos de las nueve recomendaciones de Bachelet a los Estados son muy significativas. En primer lugar, trata de prohibir expresamente las aplicaciones de IA que no respeten los derechos humanos. Asimismo, impone una moratoria en la venta y compra de sistemas de IA que representan un alto riesgo para los derechos humanos hasta que se adopten las protecciones adecuadas.

La segunda recomendación implica que los Estados prorroguen el uso del reconocimiento biométrico remoto en los espacios públicos, hasta que las autoridades puedan demostrar el cumplimiento de los estándares de privacidad, protección de datos y que no existen problemas de precisión e impactos discriminatorios. Es interesante notar que este tema de la moratoria del reconocimiento facial ya ha sido expresada en la narrativa 2020 producida por Bachelet sobre el impacto de las nuevas tecnologías en la promoción y protección de los derechos humanos en el contexto de las asambleas, incluidas las protestas pacíficas (A/HRC/44/24).

Las recomendaciones para empresas y Estados enfatizan la necesidad de la debida diligencia en todo el ciclo de los sistemas de IA, desde el diseño, desarrollo, implementación, venta, adquisición y operación, con un fuerte enfoque en las evaluaciones de impacto sobre los derechos humanos.

Impacto en la privacidad, vigilancia masiva y otros derechos humanos

En octubre de este año, el Consejo de Derechos Humanos de la ONU revisó la Resolución sobre el derecho a la privacidad en la era digital (A/HRC/RES/48/4). Este es un paso importante, considerando que no solo actualizó, sino que también dejó en claro los riesgos y peligros de adoptar IA. El nuevo texto fue presentado por Brasil y Alemania, tuvo una serie de reuniones informales entre Estados con la participación de la sociedad civil y fue aprobado por consenso. Si bien la revisión de la Resolución no fue más incisiva, no hay duda de que la resolución exige mayores esfuerzos a los Estados, principalmente, a respetar de inmediato el derecho a la privacidad y otros derechos humanos afectados.

La Resolución 48/4 reconoció que la IA puede plantear graves riesgos para el derecho a la privacidad, «especialmente cuando se utiliza para identificación, seguimiento, creación de perfiles, reconocimiento facial, predicción de comportamiento y para establecer puntuaciones para individuos». También solicita a los Estados que adopten medidas preventivas y remedios para las violaciones y abusos del derecho a la privacidad, comprendido el deber de adoptar medidas preventivas y reparadoras para las violaciones y abusos, incluidos los relacionados con el derecho a la privacidad, que pueden afectar a las personas, pero que tiene efectos particulares contra mujeres, niños y niñas, y personas en situación históricamente vulneradas. También enfatiza en que los Estados desarrollen y fortalezcan políticas públicas sensibles al género que promuevan y protejan el derecho de todas las personas a la privacidad.

Había una gran expectativa respecto a que esta resolución dejaría algunas cuestiones mejor delimitadas, sobre todo debido a la fuerte posición de la Alta Comisionada para los Derechos Humanos al proponer una moratoria sobre ciertas tecnologías de reconocimiento biométrico y facial. En particular, por la recomendación más fuerte para que los Estados cumplan con la moratoria en la compra y venta de sistemas de IA.

No obstante, entendemos que aún habrá novedades de esta resolución, dado que ordenó a la Alta Comisionada para los Derechos Humanos a presentar un informe escrito, hacia el 51° período de sesiones del Consejo de Derechos Humanos. Se espera que informe contemple las tendencias y desafíos en el tema, identificar y aclarar principios, salvaguardas y mejores prácticas de derechos humanos, asegurando una amplia participación de múltiples partes interesadas para su producción.

Aproximación a las recomendaciones éticas en IA

El 24 de noviembre de este año, la Conferencia General de la UNESCO adoptó la recomendación sobre la Ética de la Inteligencia Artificial. El documento, avalado por 193 países, presenta un preámbulo con más de 20 consideraciones, definiendo su ámbito de aplicación, propósitos, objetivos, valores, principios y áreas de aplicación.

Como valores, la recomendación de la UNESCO enumera: el respeto, la protección y la promoción de los derechos humanos, las libertades fundamentales y la dignidad humana, el florecimiento del medio ambiente y el ecosistema, la diversidad y la inclusión, sociedades pacíficas, justas e interconectadas. Los principios rectores son: proporcionalidad y no causar daño, seguridad y protección, justicia y no discriminación, sostenibilidad, derecho a la privacidad y protección de datos, supervisión y determinación humana, transparencia y explicabilidad, responsabilidad y rendición de cuentas, conciencia y alfabetización, además de gobernanza de múltiples partes interesadas.

Además, la Recomendación reúne 11 áreas principales de política pública y, entre ellas, una específica sobre evaluación de impacto ético (ethical impact assessment). A pesar de parecer un avance, entendemos que este punto puede ser preocupante y necesita mayor explicación. Primero, porque la evaluación de impacto ético antes mencionada tiene como uno de sus elementos la evaluación de impacto en derechos humanos. En este sentido, existe una posible superposición errónea de las dos herramientas, ya que la evaluación de los impactos sobre los derechos humanos es más amplia y profunda que la evaluación del impacto ético.

En segundo lugar, porque la herramienta de evaluación del impacto en los derechos humanos y la diligencia debida en materia de derechos humanos ya están presentes en los instrumentos jurídicos internacionales y “se han convertido en la herramienta más recomendada de la ONU para que las empresas comiencen el proceso continuo de debida diligencia en materia de derechos humanos”, según CELE, mientras que las directrices éticas carecen de «mecanismos de aplicación y definición: qué instituciones invocan y cómo empoderan a las personas», como sostiene la organización Artículo 19.

Aunque se trata de un gran comienzo, no basta con establecer recomendaciones éticas para el uso de tecnologías de IA. Como ya lo destacó María Paz Canales, “la ética no es suficiente, en Estados democráticos donde existe un compromiso normativo para promover y proteger los derechos humanos”. Es necesario darle más normatividad al uso de la IA, pues ya tiene efectos desastrosos para una parte de la población que ya es vulnerable.

Como señaló Daniel Leufer, citado al comienzo de este artículo, a pesar del auge de la ética de la IA cuando nos enfrentamos a peligros muy graves, un equilibrio entre beneficios y daños puede llevar a cuestionar un enfoque utilitario de la ética. Sin embargo, un enfoque centrado en los derechos humanos simplemente comienza con el punto de partida de que ciertos daños son inaceptables.

Si bien la recomendación de UNESCO proporciona un importante marco ético compuesto por valores y principios, debe entenderse como un complemento a las obligaciones internacionales de derechos humanos para orientar las acciones de los Estados en la formulación de su legislación, políticas u otros instrumentos relacionados con la IA, en conformidad con el derecho internacional ya vigente.

Cuerpos y datos: Las tecnologías de identificación biométrica aumentan en América Latina

Si has caminado por el centro de Santiago de Chile durante los últimos meses, probablemente los has visto afuera de algún centro comercial, a la entrada de un parque o frente a un semáforo concurrido: dos personas con una esfera metálica, ofreciéndote dinero a cambio de una imagen de tu ojo. O algo así. El dinero no es dinero per se, sino el equivalente a 20 USD en Worldcoin, una criptomoneda. Y la imagen de tu ojo no es una simple imagen de tu ojo, sino un escaneo de tu iris, dato biométrico utilizado para identificarte. Todo con un aire a pacto faustiano muy de película sci-fi de bajo presupuesto. El propio Edward Snowden salió a criticar la iniciativa, que en Chile contabiliza alrededor de 10 mil inscritos. 10 mil iris escaneados.

Una cifra como esa es preocupante y un poco desmoralizante, la verdad. Pero a pesar de ello, comprensible: en un país con una ley de protección de datos personales del siglo pasado, donde el cliché de los-datos-son-el-nuevo-petróleo se repite como mantra, pero donde no se hace nada al respecto (al menos, para proteger mejor esos datos) y donde la información personal parece pasar de un lado a otro con absoluta promiscuidad, no es raro que para algunas personas entregar el iris a cambio de una cantidad potencial de dinero, por poco que sea, no es la gran cosa.

Y, sin embargo, debería ser una gran cosa. Más allá de lo anecdótico del caso, la creciente normalización del uso, recolección y exigencia de datos biométricos es una tendencia preocupante. De muestra un ejemplo: esta semana nos enteramos de que una administradora de fondos de pensión (AFP) está exigiendo validar la identidad de sus clientes a través de biometría facial. La excusa es siempre la misma: seguridad. ¿Pero la seguridad de quién? Saber que mis datos sensibles, relativos a mi cuerpo, están siendo almacenados y procesados quién sabe dónde, bajo quién sabe qué condiciones, por quién sabe quién, no me transmite ninguna seguridad. Al contrario, me da escalofríos.

Si una empresa dedicada a la gestión de dinero no es capaz de encontrar otras maneras de asegurar la recaudación que no impliquen generar y almacenar un modelo algorítmico de mi rostro, quizás a esa empresa no debería confiársele tal tarea. Porque el día de mañana, cuando esa base de datos se filtre, no hay nada que puedan hacer para devolverme el control sobre mi cara. Ese es el gran tema con los datos biométricos: una vez entregados, no hay vuelta atrás.

En la práctica, la identificación biométrica requiere ceder control sobre el propio cuerpo.

Reconocimiento facial

Cualquier discusión sobre identificación biométrica quedaría incompleta sin hablar de reconocimiento facial. Recientemente, las organizaciones reunidas en el consorcio Al Sur publicaron “Reconocimiento facial en América Latina: tendencias en la implementación de una tecnología perversa”, una investigación colectiva que identifica 38 sistemas de reconocimiento facial desarrollados en la región, al alero de distintas políticas públicas.

Alguna de la información recopilada, aunque poco sorprendente, constata sospechas fundadas: el número de sistemas de reconocimiento facial se ha incrementado de manera importante durante los últimos años, su finalidad principal es la vigilancia del espacio público y los procesos de auditorías externas para fiscalizar el funcionamiento de los sistemas casi no está considerando en ninguna parte, ni hablar de estudios de impacto en derechos humanos. Tampoco sorprende la dificultad para acceder a información básica respecto a las tecnologías utilizadas y sus proveedores, que ha sido la tónica en la mayoría de los esfuerzos realizados en la región a la hora de lidiar con este tipo de políticas públicas. Por ello es destacable el esfuerzo por recopilar información sobre proveedores y los países en los que operan. Una cuestión llamativa es una tendencia a la adopción de tecnologías por medio de donaciones, característica de algunas empresas chinas.

Pero más allá de la información recogida en el estudio (disponible además en un sitio web especialmente dispuesto para ello, que pueden visitar aquí), llama la atención cómo la región parece ir a contrapelo de la tendencia mundial, donde se parece haber alcanzado algún consenso respecto de la necesidad de tomar medidas contra este tipo de tecnologías, al menos hasta tener mayor certeza de sus efectos negativos y cómo sopesarlos desde una perspectiva de derechos humanos. Pero a pesar de la declaración de la Alta Comisionada de la ONU para los Derechos Humanos, las distintas localidades que han impuesto moratorias o prohibiciones de utilizar sistemas de reconocimiento facial hasta incluso el anuncio de Facebook de dejar de utilizar el sistema de reconocimiento facial en su plataforma, parece ser que esas noticias no han llegado a los oídos de los tomadores de decisiones en América Latina.

La pregunta es qué es lo que se requiere para poder hacer entender tanto a las autoridades como a la población en general sobre la necesidad de tomarnos este asunto en serio, cuando parece haber conciencia de los riesgos, existe experiencia internacional relevante, declaraciones de organismos internacionales y, sin embargo, la región parece un campo cada vez más fértil para la implementación de este tecnologías de identificación biométrica para cualquier cosa.

Coronavirus, tecnología y privacidad

El 11 de marzo del año 2020, la Organización Mundial de la Salud declaró la pandemia de COVID-19, originada por el coronavirus SARS-CoV-2. A medida que la enfermedad se iba expandiendo, saturando los sistemas de salud, los gobiernos declararon estados de emergencia, restringiendo algunos derechos e implementaron diversas medidas para intentar contener la expansión del virus, incluyendo el cierre de aeropuertos y fronteras terrestres, de escuelas y de los lugares de ocio, llegando incluso al confinamientos de la población.

La emergencia sanitaria obligó a los gobiernos de todo el mundo a buscar soluciones para contener la expansión del virus. Y la tecnología jugó un papel importante en el afán por minimizar el contagio y mantener vigilada a la población en los momentos de las restricciones de movilidad. En América Latina y el resto del mundo se desarrollaron una gran cantidad de aplicaciones que ofrecían información oficial sobre el desarrollo de la enfermedad, realizaban test de autodiagnóstico, intentaban hacer rastreo de contagios, entre varios otros usos. Se utilizaron técnicas de Big Data para monitorear las aglomeraciones y los movimientos de la población a través de datos de conexión de teléfonos celulares a torres de telefonía, datos de geolocalización y datos del bluetooth de los dispositivos celulares.

Uno de los principales puntos de debate se centra en la tensión entre el derecho a la salud y el derecho a la privacidad, en relación al uso que han dado los gobiernos a distintas tecnologías que capturan datos personales y sensibles, en el marco de estrategias para contener la enfermedad; cuando solicitan a las empresas privadas la entrega de los datos que recolectan, y cuando esas tecnologías se emplazan sin un ejercicio de prudencia sobre los impactos que pueden causar en los derechos humanos de la población

Con el objetivo de conocer cómo fue implementado este abordaje en la región, particularmente con relación al uso y protección de los datos personales, Derechos Digitales juntó a la Global Network Initiative realizaron un estudio para conocer de qué manera fueron usadas las tecnologías y si se puso en riesgo la privacidad de las personas. El objetivo era realizar también un primer acercamiento a los casos en los cuales los gobiernos solicitaron datos a las empresas de telefonía móvil, para entender el modo en que se realizó esa colaboración, desde una perspectiva de derechos humanos.

El estudio, titulado El uso de tecnologías para el combate de la pandemia: Datos personales en Latinoamérica, está disponible en inglés y castellano, y analiza los casos de 6 países de Latinoamérica: Argentina, Bolivia, Brasil, Colombia, Ecuador y El Salvador.

De las respuestas tecnológicas estudiadas salen a la luz algunos problemas que deben ser revisados si las futuras estrategias de salud echarán mano nuevamente de ellas. Problemas de seguridad y riesgos a la privacidad en el diseño de aplicaciones; idoneidad frente a la realidad socioeconómica de los países de la región; problemas de apego irrestricto a la normativa de protección de datos personales y ausencia de normas especializadas en algunos países; limitada transparencia respecto del desarrollo y la implementación de las soluciones tecnológicas, así como en los convenios firmados entre empresas privadas y administración pública; y falta de coherencia en el uso de aplicaciones con una estrategia general de salud, son algunas de las falencias que se han podido constatar a través de la función de contraloría que ejercen numerosas organizaciones en la región.

Queda claro que el derecho a la privacidad no es absoluto y que, en el marco de la emergencia, algunas intrusiones a este derecho, cuando está en juego la salud de la población, son tolerables. Sin embargo, eso no quiere decir que estas intromisiones deban socavar la privacidad y el derecho de autodeterminación informativa de las personas. Para ello, es necesario que cualquier respuesta en el combate a la pandemia y a cualquier futura emergencia, sea adecuada, proporcional, con una finalidad clara, delimitada en el tiempo, consentida y necesaria. Aunque parezca evidente, debe también contar con habilitaciones legales suficientes, en respeto del principio de legalidad.

Algunas de estas recomendaciones adquieren una mayor importancia para países con situaciones sociopolíticas convulsas en desarrollo, como Colombia y El Salvador, por el riesgo que representa la recolección desproporcionada de datos personales en un contexto en el que estos pueden utilizarse para la persecución de rivales políticos, defensores de derechos humanos o para mantener el control de la libertad de expresión de la población en general.

Esta columna resume parte del contenido de la investigación, que puedes revisar aquí.