#CriptoAgosto: Nuevos ataques al cifrado

Mientras la sociedad civil brasileña celebra por segunda vez el #Criptoagosto, una invitación a defender y promover el uso de las tecnologías de cifrado, parece ser que las figuras del poder hacen un esfuerzo significativo por atacarlo.

¿De dónde nacen todas estas amenazas? Si revisamos noticias, vemos que la pugna ocurre paralelamente ante tribunales, en la discusión legislativa, en la pretensión de vigilancia y hasta en los planes comerciales globales de un fabricante de teléfonos a sobreprecio.

Hace un año comentábamos que se acercaba el fin de dos importantísimas causas judiciales críticas para la supervivencia de comunicaciones cifradas de punto a punto, pese a los discursos gubernamentales que lo asocian a la actividad criminal o exigen herramientas para desactivarlo. Existen todavía esfuerzos legislativos en Brasil, a nivel federal, que reflejan ese discurso a favor de la seguridad nacional o del orden público, a costa de la seguridad de las comunicaciones.

Al mismo tiempo, se mantenía una presión importante por desactivar las peores provisiones del proyecto de «Ley de fake news», que exigían la trazabilidad de las fuentes de los mensajes vitalizados en mensajería privada, aun tratándose de comunicaciones cifradas. Esta última amenaza no ha desaparecido: el artículo 10 de la propuesta aún significaría la exigencia de que los proveedores de aplicaciones de mensajería mantengan registros de «reenvíos masivos» de mensajes por tres meses, con el fin de trazar el origen de posibles fuentes de desinformación en redes de mensajes cifrados. Registros que incluirían no solo datos del mensaje, sino de quienes lo han reenviado con fecha y hora y número de receptoras.

Aunque el proyecto mantiene resguardos a favor del contenido de los mensajes y restricciones al acceso a los registros, sigue tratándose de un arma de vigilancia masiva en manos privadas: implica mantener un registro de los reenvíos al menos por 15 días en caso de que puedan convertirse en «reenvíos masivos» y, si lo son, cada mensaje registrado estará vinculado a cada usuaria que lo haya enviado o recibido. Con ese nivel de acceso a la información sobre la circulación del mensaje, el cifrado mismo se vuelve inútil.

Adicionalmente, encontramos el avance del Código de Procedimiento Penal, también objeto de atención de la sociedad civil para asegurar una mejor protección de los derechos fundamentales en la persecución criminal. La amenaza al cifrado se produjo mediante propuestas para incorporar mecanismos de intercepción de dispositivos y la explotación de vulnerabilidades, como medios para generar evidencia, lo que generó inmediato rechazo: la reforma amenazaba así con requerir la creación de puertas traseras y con legalizar la rotura del cifrado.

Aun cuando todo lo anterior estuviera restringido al debate jurídico y técnico, los intentos reales por comprometer la seguridad de los equipos también son parte de la historia reciente: hace algunos años el Citizen Lab identificó a Brasil como posible cliente de NSO Group; ahora un reporte señala que durante 2021 la empresa israelí participó de un proceso de licitación del Ministerio de Justicia y Seguridad Pública para la adquisición de Pegasus, para luego retirarse cuando se reportó que el hijo del presidente intervino en la negociación con la aparente intención de crear un aparato de inteligencia (y de vigilancia) paralelo a la institucionalidad de inteligencia actual.

Todo eso ocurre en momentos en que la búsqueda de alternativas —es decir, puertas traseras—para el acceso a comunicaciones y datos cifrados es defendida por las propias compañías fabricantes de equipos, con el objetivo loable de prevenir la circulación de material audiovisual de abuso sexual infantil. Pero las puertas traseras no sirven: comprometen la privacidad y la seguridad de todas las personas sin hacerse cargo del abuso real que ocurre más allá de pantallas y nubes de almacenamiento. Esta es la clase de medidas que abre aún más el apetito de los Estados por conocer el contenido de las comunicaciones de las personas, probablemente bajo los mismos discursos falaces sobre seguridad que se usan hasta para las peores conductas de vigilancia.

Con un panorama global tan complejo y tantas discusiones en curso dentro de Brasil, se hace más necesario que nunca que en los niveles local, regional y global exista mayor coordinación, no solamente de sociedad civil, sino de todas las partes interesadas en la promoción y la defensa del cifrado, la seguridad y la privacidad. Que el #CriptoAgosto brasileño sirva como motivación para avanzar en ello.

Las puertas traseras no protegen la privacidad

Para frenar la difusión de material de abuso sexual infantil (CSAM), Apple ha anunciado importantes cambios y nuevas funcionalidades en sus sistemas, incluyendo el análisis de las imágenes enviadas y recibidas por parte del software instalado en los dispositivos, un mecanismo de clasificación de imágenes con contenido sexual para el control parental en cuentas familiares y cambios en algunas funciones de Siri y Search para bloquear términos de búsqueda que tengan relación con el abuso sexual infantil. Estas funciones, que inicialmente regirán para usuarios en Estados Unidos de las versiones más recientes de iOS, iPadOS, watchOS y macOS, sientan un peligroso precedente para la privacidad y la seguridad de las personas en todo el mundo.

El uso de sistemas de identificación de contenidos por medio de inteligencia artificial para levantar alertas supone un tratamiento por lo menos opaco del problema. Por último, aunque sea legítima la búsqueda de soluciones frente a crímenes como el abuso sexual infantil, cualquier funcionalidad técnica que permita que terceros accedan a contenidos privados pone en riesgo a todas las personas que utilizan dichos sistemas. En este caso, a quienes utilizan cualquier dispositivo conectado a internet.

Escaneo de imágenes en el dispositivo

Una de las funcionalidades presentadas consiste en la detección de imágenes que se capturan y comparten entre dispositivos Apple mediante un algoritmo hash, es decir, una cadena fija de caracteres que identifica de manera única cada imagen.

A partir de ahora los dispositivos analizarán todas las imágenes que pasen por ellos, generarán un hash para cada una y lo contrastarán con una base de datos dispuesta por el National Center for Missing and Exploited Children(NCMEC), organización estadounidense que colabora con la justicia en la persecución de delitos de abuso sexual infantil. Así, dentro de cada dispositivo el sistema se encargará de escanear y contrastar todas las imágenes con esa base de datos, para identificar cualquier coincidencia. Una vez las imágenes se suben a iCloud, se agregan los resultados del cotejo a través del hash. Si se supera un umbral predefinido en la cantidad de coincidencias, un humano dentro de la compañía revisará manualmente el caso, luego de descifrar el contenido. Vale decir que, hasta hoy, Apple ofrece cifrado e2e en todos los contenidos que se comparten en sus sistemas.

Esta implementación es problemática porque la base de datos de hash de imágenes preparada por el NCMEC no es auditable, y si es manipulada arbitrariamente no hay manera de detectar dicho cambio, por lo que podría utilizarse, por ejemplo, para fines de persecución política, cultural o de género. Una vez el sistema está diseñado para cumplir una función, los fines y medios para ejecutarla pueden fácilmente salirse de las manos de quienes la diseñaron.

Por otra parte, existe la probabilidad matemática de que dos imágenes totalmente distintas o lejanamente similares coincidan en el hash generado, provocando falsos positivos, que solamente serán verificados luego de la intervención humana de alguien afiliado a la compañía, y habiendo roto la promesa de cifrado e2e, esto es, la promesa de privacidad sobre la que sustenta su oferta de valor.

Aprendizaje automático para clasificación de imágenes

Otra funcionalidad es la implementación de un algoritmo de aprendizaje automático que se aplicará a las cuentas de iMessage para menores de 18 años y sus tutores, en el marco de una cuenta “Familiar”. El algoritmo clasificará las imágenes, enviadas o recibidas, en cuanto al contenido sexual explícito que puedan contener. El sistema enviará una alerta a las personas usuarias menores de 18 años sobre el tipo de contenido que están compartiendo. Si la persona es menor de 13 años, el sistema alertará también a sus tutores y la imagen quedará almacenada en el dispositivo del menor, sin posibilidad de remoción.

Como se ha demostrado muchas veces en el pasado, los algoritmos de aprendizaje automático, sin supervisión humana, presentan muchos problemas de funcionamiento en la clasificación de contenidos. Así, los tutores de niños, niñas y adolescentes que no estén compartiendo contenidos sexuales explícitos pueden recibir alertas y los menores pueden ser sujetos de vigilancia e intromisión a su privacidad. Además, frente a una definición vaga de “infancia” —como menores de 18 y 13 años—existe el riesgo de atentar contra la normal expresión sexual y corporal, así como al acceso a la información, por ejemplo, en el caso de personas LGBTQ+.

Además, tal como está planteado el funcionamiento del sistema podría ocurrir la siguiente paradoja: en caso de que un menor que no tiene una cuenta Familiar enviare una fotografía calificada por el sistema como “sexualmente explícita” a un menor de 13 años que sí es parte de un plan Familiar, la fotografía del primer menor quedaría indeleblemente almacenada en el dispositivo del segundo menor y podría ser revisada por sus tutores, sin que el emisor original lo supiera. ¿En manos de quién queda definir la legitimidad de las imágenes compartidas en el marco de una comunicación que se garantiza como privada?

Finalmente, como hemos mencionado, el desarrollo de una tecnología con fines legítimos puede ser perfectamente aplicable a otros fines. Así, la modificación mínima de parámetros en el algoritmo de aprendizaje automático permitiría identificar, bloquear y perseguir, contenidos no solamente ilegales, sino que necesarios, con fines represivos.

Algunas conclusiones

Bajo la premisa de su compromiso en la lucha contra la explotación sexual infantil, y aunque defiendan la idea de que sus soluciones técnicas respetan la privacidad y el principio de cifrado extremo a extremo, la verdad es que Apple está abriendo una brecha de seguridad importante, con el potencial de atentar contra el derecho a la intimidad de niños, niñas y adolescentes, así como generando un precedente que podría facilitar la persecución política y la vigilancia a todo tipo de grupos vulnerables y emisores de discursos incómodos.

Cabe recordar que uno de los principales ganchos publicitarios de Apple ha sido precisamente ofrecer los más altos estándares de privacidad y seguridad en las comunicaciones, lo que sin duda ha llevado a muchas personas a preferirles. Un ecosistema cerrado, no interoperable era lo que había que transar en favor de dicha protección. Sin embargo, hoy, cuando la continuidad de esa promesa está en entredicho, a aquellas personas que confiaron en la marca les será muy difíciles migrar a alternativas más respetuosas de su privacidad. Así, el monopolio de los sistemas operativos (OS, iOS, iPadOS) genera una dependencia directa que ata a las personas a las arbitrariedades del fabricante.

Criptomonedas en América Latina: ¿hacia dónde ir… y por qué?

Hace unas semanas, el presidente de El Salvador, Nayib Bukele, anunció una nueva ley para regular el uso de la criptomoneda Bitcoin. La iniciativa generó críticas de manera inmediata, a nivel nacional e internacional, formuladas por economistas, la comunidad técnica y opositores políticos, entre otros comentaristas.

Pero antes de que la polémica permitiera asentar un mejor camino en la materia, la propuesta se había convertido en ley de la República, aprobada por un cuerpo legislativo particularmente favorable al Gobierno. El episodio ha dado un nuevo impulso al intento por participar del mercado de las criptomenodas y regular estos activos en América Latina, no sin una serie de preocupaciones importantes como demuestra el caso salvadoreño.

¿Criptomonedas?

Entendemos por “criptomonedas” a los sistemas de tokens que simbolizan unidades de valor, destinados al intercambio con poder liberatorio general (como el dinero de curso legal) o limitado, que constan de un registro digital (ledger) con uso de criptografía, mantenido de manera distribuida en lugar de centralizada por alguna institución financiera.

En la base de las criptomonedas está usualmente la tecnología de la cadena de bloques o blockchain: una lista de registros en forma de bloques, vinculados entre sí por medio de criptografía. Las transacciones se registran sin intermediarios, de manera cronológica y formando una cadena inmutable que permite la agregación de datos nuevos, pero no su alteración posterior. Cada nodo de la red guarda, de manera descentralizada, una copia de las cadenas de bloques. Con esto se busca superar problemas con la confiabilidad de registros centralizados de transacciones de distinto tipo, tales como la falsificación, el doble pago de un bien o el doble uso simultáneo. Por eso, según se reporta, se le promociona como un registro seguro, descentralizado e inmutable que guarde una copia de todas las transacciones realizadas sobre dicho activo digital.

Entonces, las criptomonedas son un tipo de activo digital que puede ser transado con registro en una cadena de bloques, tratándoselo como una moneda, en tanto se valorizan en unidades de ese activo, bienes o servicios, y fungiendo como activo de inversión especulativa si no se utiliza como moneda. Se caracterizan por su descentralización e independencia de intermediarios. Según alguna doctrina, las características propias les permitirían “tener aplicación universal y más extendida”.

Actualmente, la criptomoneda más conocida e importante es Bitcoin, que permite el intercambio de activos valiosos sin la intermediación o aprobación de una autoridad que ejerce control centralizado. Sin embargo, si bien Bitcoin es una criptomoneda popular, está sujeta a múltiples críticas: su valor como activo tiene una alta volatilidad, se cree que puede constituir una “burbuja especulativa” más que un sistema afín a las monedas de curso legal y la red Bitcoin presenta un problema de escalabilidad de la red para transacciones de pagos, lo cual representa altos tiempos de espera y elevadas tarifas por cada transacción, que debe ser verificada mediante complicadas operaciones matemáticas (proof of work) previo a incorporarse a la cadena de bloques. A la vez, el costo energético de cada una de esas operaciones conlleva posibles riesgos medioambientales ampliamente reportados. Estas y muchísimas otras críticas son parte habitual de la fuerte atención pública sobre el Bitcoin, sea tomado como oportunidad de inversión o como grave amenaza al ecosistema global en nombre de la codicia especulativa.

La “Ley Bitcoin” en El Salvador: el Decreto Legislativo Nro. 57

La Ley Bitcoin se convirtió en realidad tres días después de la viralización de un video en el que Bukele anunciaba en la Conferencia Bitcoin 2021 en Miami que la criptomoneda se convertiría en moneda de curso legal en El Salvador. La aprobación de la Ley Bitcoin tuvo una celeridad inusual: entre su presentación pública y su aprobación por la Asamblea pasaron apenas 5 horas. Más debate sobre el Bitcoin existe cualquier día en foros de Reddit o redes sociales. Mientras la Asamblea realizaba el proceso legislativo, el presidente Nayib Bukele, impulsor de la Ley, explicaba a inversionistas extranjeros la normativa en un chat virtual de Twitter, en inglés.

La aprobación de la Ley Bitcoin se da en un contexto particular. El Salvador vive un momento económico adverso, tal como el de otros países afectados por la pandemia. Pero además en un contexto político particular: la Asamblea Legislativa, dominada por el partido del presidente, ha aprobado gran cantidad de préstamos al Estado salvadoreño, que han incrementado en niveles históricos la deuda del país. Por otra parte, el contexto social en el que la Ley fue aprobada presenta dos caras: por un lado, la aun elevada popularidad del presidente y por otro, señalamientos de corrupción por parte del Departamento de Estado de Estados Unidos a una de sus principales funcionarias y la decisión de dar por finalizado el c onvenio con la Organización de los Estados Americanos que había creado la Comisión contra la Impunidad en El Salvador (CICIES). De acuerdo a los considerandos de la Ley Bitcoin, la misma pretende, entre otras cosas, facilitar la inclusión financiera de los ciudadanos, así como impulsar el crecimiento económico del país.

Sobre la aprobación de la Ley Bitcoin se han vertido críticas que abarcan el área jurídica, en particular sobre el proceso de formación de Ley, la obligatoriedad de la aceptación del uso de Bitcoin por “todo agente económico” (art. 7) y la ambigüedad de las disposiciones aparentemente redactadas por un interesado. En el área económica, se anotan críticas como la incompatibilidad respecto de la definición de Bitcoin como moneda y no como activo digital, así como de los inconvenientes de adoptar la criptomoneda como moneda de circulación legal a la par del dólar, la actual moneda de curso legal.

La Fundación Salvadoreña para el Desarrollo Económico y Social (Fusades) la calificó como una ley inconsulta e improvisada. De la misma forma se han pronunciado varios académicos y profesionales del país, quienes señalan, además, la carencia de un estudio técnico y la falta de debate parlamentario. Otro riesgo identificado es la posibilidad de que las Bitcoin que “ingresen” a El Salvador provengan de actividades ilícitas como el narcotráfico, la trata de personas o la venta de armas; y que, además, con la oferta del presidente Bukele de brindar facilidades migratorias y de adquisición de bienes en territorio nacional a los inversionistas, El Salvador pueda convertirse en un paraíso fiscal apto para el lavado de dinero.

También se habla del problema del fideicomiso que será constituido para respaldar el cambio de Bitcoin a dólares, considerando que ese dinero podría ser usado para otras áreas prioritarias como la salud y la educación; además, que dada la volatilidad del Bitcoin, los costos de esta deficiencia serían pagados por la población.

Otras de las preocupaciones de la ciudadanía incluyen la falta de transparencia sobre el funcionamiento y los niveles de seguridad informática de bases de datos, herramientas y medios que se utilizarán para la realización de transacciones en Bitcoin, y respecto del tratamiento que estas harían de datos personales sensibles y biométricos en un país que carece de regulación adecuada en materia de protección de datos personales y ciberseguridad.

Por otro lado, instituciones financieras han expresado su recelo ante la medida. El Fondo Monetario Internacional, con el que el gobierno de Bukele negocia un préstamo, ha señalado que esta medida requiere análisis más cuidadosos; por su parte, el Banco Mundial, a quien el gobierno solicitó ayuda técnica para la implementación de la criptomoneda, ha declinado dadas las deficiencias medioambientales y de transparencia que la medida contiene.

Cómo avanzar en América Latina

El caso de El Salvador ha reavivado el ánimo por, a lo menos, regular estos activos digitales. Así, en Paraguay ya hay un proyecto de ley con el propósito de regular el mercado de las criptomonedas y la minería de “criptoactivos”, que se suma a otras iniciativas de investigación, tributación o regulación. Entre el escepticismo y el entusiasmo, se mantienen desafíos importantes para la región.

La tecnología blockchain en general y las criptomonedas en particular se presentan a menudo como la tecnología del futuro para transacciones de toda clase. Sin embargo, sus características intrínsecas presentan retos, sobre todo, frente a la garantía de seguridad jurídica por la que deben velar los estados, en particular si se pretendiera implementar su uso como una moneda de curso legal. Tanto la desregulación, la descentralización y la volatilidad de su valor son elementos que restan seguridad jurídica frente a fraudes o a riesgos derivados de cambios bruscos de valor. De ello surgen tendencias a reconocer la validez de las transacciones mediante criptomonedas solo bajo supervisión estatal, regulación específica y fortalecimiento de las instituciones públicas, o bien a su prohibición. Desde un punto de vista económico, especialistas apuntan al desafío que plantea la trazabilidad de los ingresos en criptomonedas en un país para la creación de las políticas públicas monetarias.

Finalmente, tres puntos fundamentales para la adopción de la tecnología blockchain, y particularmente, las criptomonedas es que debemos aprender de las lecciones y desafíos que ha significado el desarrollo, gobernanza y apertura de internet. No recurrir al solucionismo tecnológico, motivar la innovación, y adoptar y regular las tecnologías desde un enfoque de respeto a los derechos humanos. Debemos valorar los logros alcanzados con internet, motivar la discusión inclusiva de los diversos sectores de la sociedad que contribuyan a brindar claridad sobre los desafíos y posibles efectos de la implementación de las criptomonedas y, principalmente, debemos considerar la deuda que aún tiene Latinoamérica respecto de las brechas en acceso a tecnologías digitales. Adoptar la más reciente moda de activos digitales está muy lejos de cumplir con esos objetivos.

El padrón del mal: irregularidades, inconstitucionalidad y vigilancia estatal de los datos telefónicos

Cómo en las películas de terror, el pasado 18 de mayo revivió de forma inesperada y con urgencia inmediata decretada por el presidente un proyecto de ley que dormía en el Congreso desde su nacimiento, en agosto de 2018.

Se trata del Boletín n° 12.042-15 que modifica la ley N° 18.168, General de Telecomunicaciones, en materia de individualización y registro de datos de los usuarios de servicios de telefonía en la modalidad de prepago. La idea del proyecto es la creación de un padrón de usuarios para combatir la delincuencia, imitando un método que ha fracasado a nivel mundial y que en algunos casos incluso ha empeorado la situación: en México el primer padrón tuvo que ser eliminado en 2011, después de la vulneración y venta en el mercado negro de la base de datos, lo que vino acompañado del aumento de los delitos de extorsión y de secuestro (+40% y +8% respectivamente. Para más información sobre el nuevo padrón en México, revisar aquí).

Una tramitación acelerada y desequilibrada

Tan pronto resucitó, el proyecto se puso en tabla para su discusión parlamentaria. Una semana después la Comisión de obras públicas de la Cámara de Diputados estaba sesionando para su votación, aunque finalmente se haya acordado postergarla con el objeto de escuchar previamente algunas exposiciones.

En sesión del 15 de junio expuso la Policía de Investigaciones, el Ministerio Público y la Subsecretaría de Telecomunicaciones, y se acordó gestionar la postergación de la Urgencia de discusión inmediata para escuchar también a la Subsecretaría de Prevención del Delito y al OS9 de Carabineros de Chile.

Hasta aquí, ningún representante de la academia o de la sociedad civil había sido invitada a participar de la discusión. Y como en pedir no hay engaño, los partidarios del proyecto aprovecharon la oportunidad para hacer particulares requerimientos.

En su primera exposición ante la Comisión, el Jefe Nacional de Delitos Económicos y Medio Ambiente hizo tres requerimientos, para su incorporación al proyecto de ley en discusión:

Uso de un sistema de autentificación biométrico en línea, proponiendo para ello el uso de las bases de datos del Registro Civil.
Un padrón de celulares, mediante el registro de su número IMEI (International Mobile Equipment Identity).
Reducir el tiempo dispuesto en el proyecto para su entrada en vigencia, de 2 años a 6 meses.

En cuanto a las dificultades económicas asociadas a propuestas de este tipo, señaló que ello se resolvía mediante el traspaso de sus costos y en cuanto al problema que se suscitaría para la población migrante que no cuenta con documentos de identificación, valoró que ello obligaría a los inmigrantes a acreditar su situación migratoria. De los problemas de proporcionalidad e inconstitucionalidad de este tipo de padrones y tecnologías de vigilancia, ni una sola palabra.

Un acto de fe

El 29 de junio se llevó a cabo una nueva sesión, la que por fin contó con la participación de una voz crítica. Daniel Álvarez Valenzuela, académico de la Facultad de Derecho de la Universidad de Chile, fue el encargado de mostrar la otra cara del proyecto.

El académico e investigador expuso sobre los problemas de ciberseguridad, proporcionalidad e inconstitucionalidad de la medida y sobre la ausencia de un marco normativo adecuado para asegurar que el pretendido registro termine sirviendo a intereses distintos a los tenidos en vista por el legislador en su proyecto. Además, y en caso de que la Comisión quisiera seguir avanzando con el proyecto a pesar de estas advertencias, planteó la necesidad de incorporar un sistema de responsabilidades y fuertes sanciones que prevengan y castiguen el mal uso de este tipo de medidas.

La reacción de las policías no se hizo esperar: criticaron la desconfianza, desmintieron la necesidad de contar con este tipo de sanciones y llamaron a confiar en las instituciones. Pero en un país donde el ejército espía a periodistas por investigar casos de corrupción y las policías realizan montajes burdos y vigilan sindicatos, organizaciones sociales como la Red Chilena Contra la Violencia hacia la Mujer, e incluso a la Agrupación Nacional de Empleados Públicos (ANEF), lo que piden, más que un acto de confianza, es un acto de fe.

Test de Proporcionalidad

Pero más allá de la confianza que podamos tener o no en nuestras instituciones, el proyecto no cumple con ninguno de los tres criterios del test de proporcionalidad que, conforme estándares internacionales, debiese cumplir cualquier medida susceptible de afectar derechos o garantías fundamentales: idoneidad, necesidad y proporcionalidad.

La medida no es idónea para alcanzar los objetivos propuestos, por cuanto existen otras formas de cometer delitos en el anonimato y la experiencia comparada ha demostrado que iniciativas similares no han logrado disminuir el tipo de delitos que se propone combatir. Tampoco resulta necesaria, según reconoció la misma PDI al señalar, en sesión legislativa del 15 de junio, que existen otros medios para lograr identificar a los delincuentes, pero que la medida en cuestión lo haría “mucho más fácil”. Y en ningún caso resulta proporcional, al implicar el sacrificio del derecho al anonimato de todos los chilenos, con la única finalidad de poder identificar —en el mejor de los casos—a un grupo de personas que representa el 0,05% de la población.

Así, el registro de usuarios de telefonía móvil que se discute en el Congreso tiene serios vicios de constitucionalidad y no cumple con ninguno de los tres criterios del test de proporcionalidad. Por si lo anterior no fuera suficiente, en el último tiempo se han registrado suficientes casos de vigilancia estatal como para comprender el peligro que significa una medida de este tipo en un país cuya infraestructura y normativa no entregan siquiera garantías mínimas para su uso restringido, seguro y adecuado.

En síntesis, existen razones de sobra para sostener que un registro como el propuesto no debiese existir y mucho menos incorporar tecnologías que, lejos de protegernos, entrega al Estado capacidades que menoscaban nuestros derechos.

Vivir internet siendo queer: Autoexpresión, comunidad y problemáticas

En un grupo de Facebook cerrado alguien escribe para consultar por dudas legales. Cuenta que quiere cambiarse el nombre registral y que le gustaría acceder a una mastectomía. Comenta que se siente cómode con pronombres femeninos y masculinos, pero plantea lo siguiente: “¿Algune lo ha hecho siendo no binarie? ¿Cómo ha solucionado el tema con su nombre?”. Les participantes del grupo dan consejos amables.

Este tipo de situaciones se replica en otras redes, es un intercambio que ocurre en algunos barrios de TikTok cuando alguien muestra un binder –prenda de ropa interior usada para comprimir el pecho–, y en los comentarios se leen recomendaciones de cómo usarlos y dónde conseguirlos. A pesar de que internet es un espacio en que la comunidad LGBTQIA+ puede apoyarse para construir confianzas (a veces complejas de emular en el mundo físico), la estructura de los servicios web, es limitada porque no considera una diversidad más allá de lo binario y reproducen problemas de la vida offline. Tanto al llenar formularios de inscripción en las que se consideran género masculino o femenino únicamente, o al intentar editar tu nombre visible, entre otras.

Antes de reconocerme como una persona queer, sentía miedo de ser aceptada. Primero por mi familia, entre mis amigues, en mi trabajo y de igual modo en internet. ¿He sentido miedo de exponer que me identifico como parte de las disidencias sexuales y de género en redes sociales? Sí. ¿He temido por mi seguridad en la vía pública por expresar mi orientación de género o por manifestar mi sexualidad de forma libre? Sí. Con el paso del tiempo, aprendí a desenvolverme con más confianza, porque existo todo el año (no solo en junio) y estoy orgullosa de amar y ser amada.

Una vez que se toma conciencia de la interseccionalidad de las problemáticas que aquejan a la comunidad LGBTQIA+, es posible entender que el mundo online no está exento de una mirada heterocispatriacal, donde en términos género prima lo masculino y lo femenino, pero también la heteronorma obviando otras identidades. Lo vemos en las grandes compañías de servicios de internet, que acaparan la mayor cantidad de tráfico, como Facebook, Google y terminan dominando las interfaces y algoritmos de los dispositivos que excluyen otras experiencias.

Entonces, ¿qué podemos exigir a las tecnologías para visibilizar, incluir y proteger las experiencias de la comunidad LGBTQIA+? ¿qué problemáticas, riesgos, amenazas, existen? y ¿qué posibilidades ofrece internet para nuestras vivencias? Estas son algunas reflexiones.

Búsqueda de espacios seguros

Según un estudio de discriminación y violencia hacia personas LGBTQIA+ (2020) de la Dirección de Estudios Sociales (DESUC) para la Subsecretaria de Prevención del Delito de Chile, un 89% de les encuestades dijo haber sufrido algún tipo de discriminación en su vida. Más de un 38% de les encuestades ha sido víctima de algún “delito cibernético, como hostigamiento por redes sociales”, y más de un 22% declaró que este tipo de vulneraciones habría ocurrido en el último año.

En un intento por averiguar la visión de mis seguidores en Instagram, hice una encuesta a través de historias para conversar acerca de la forma en que las personas queer habitamos internet. Spoiler: la vida online no difiere mucho de la vida offline.

A pesar de las posibilidades de conectarnos y construir espacios seguros, hay quienes se enfrentan a violencias en el entorno digital, como acoso digital, doxing, la proliferación de discursos transodiantes, descalificaciones por lesbodio o biodio, cuestionamientos y ataques a la visibilidad a diario. En este contexto, es pertinente citar el estudio de la Agrupación Lésbica Rompiendo el Silencio, tras la agresión que sufrió Carolina Torres en Chile en 2019. En el caso de Estados Unidos, esta temática se advierte en el Índice de seguridad en redes sociales de la Alianza de Gays y Lesbianas contra la difamación (GLAAD). Es por eso que es relevante exigir la urgencia de la moderación de contenidos en las plataformas digitales, para combatir ejércitos de trolls, evitar que proliferen discursos odiantes, que se siembre la desinformación, o la viralización de mitos en torno a las disidencias.

Al momento de configurar las biografías de Twitter, Instagram, aplicaciones de citas o plataformas, incluir o no el emoji de la banderita LGBTQIA+, compartir fotos o usar ciertos hashtags puede involucrar lidiar con ansiedades debido a la exposición. En ocasiones, es una forma de autoexpresión, una reafirmación y, así mismo, una forma de encontrarse, pero también un riesgo que muches no quieren correr. Si bien la visibilidad puede ser una opción, pero no una obligación como pretenden las plataformas web. Es necesario entender el derecho al anonimato como una forma de tener control sobre esa visibilidad.

Entre los testimonios que recopilé (en su mayoría identidades lésbicas, no binarias y bisexuales), hubo una lesbiana que dijo que tras googlear “lesbiana”, la llevaron a una psicóloga para que se rehabilitara. Según su relato, encontrar espacios en internet antes de 2008 era complicado, pero logró dar con un foro en el conoció a sus primeras parejas. Otra persona, cuyos pronombres son ella/elle, aseguró que cuando era niña todas las actividades las realizaba en soledad. Escuchaba programas de radios gays a escondidas, antes que existieran los podcasts. “Ahora se pueden hacer redes de una forma muy sencilla y bonita. Es fácil encontrar a alguien que esté pasando por lo que tú, nunca estás sola”, escribió. Alguien bisexual comentó que se siente fuera del closet con amigues, en su entorno laboral, pero que no así con su familia. Aunque cree que en los últimos años gracias a infografías en Instagram, ahora hay más bi-visibilidad.

Otras problemáticas

Cuando hablamos de internet, las brechas de acceso y conectividad son una clara barrera. De acuerdo a cifras de la Alliance for Affordable Internet, a nivel mundial cerca de 4 mil millones de personas no cuentan con conexión. La dificultad para mantenerse conectade en algunas latitudes se suma a bloqueos de internet, a censura y respuestas desde violencias a multas por difusión de contenido LGBTQIA+ .

Así como hablamos de identidad y representación, también vale la pena mencionar otros obstáculos que tienden a la exclusión, relacionados al abordaje de políticas públicas. Así se documenta en “Sistemas de identificación y protección social en Venezuela y Bolivia: Impactos de género y otras formas de discriminación”. Este reporte de Derechos Digitales, plantea cómo los sistemas biométricos afectan de forma directa a mujeres y población LGBTQIA+, familias homoparentales y en mayor medida a personas transgénero. No solo en cuanto a derechos a la identidad, a la privacidad de datos, si no también afecta directamente el acceso a ítems de desarrollo social como el acceso a la alimentación, la salud, la integridad y la dignidad, entre otros.

No es un secreto que en lo que respecta al uso de tecnologías de reconocimiento facial, las que se vuelven más cada vez más cotidianas, solemos tenerlas a mano, pero también se utilizan a nivel de gobiernos e incluso en aeropuertos. El principal problema es que se construyen en base a sesgos de diseño, que discriminan a la población no hegemónica y entran en conflicto aspectos como género y raza, según reportes de Coding Rights en Latinoamérica.

En un mundo en que cada vez más la tecnología determina cómo se organiza la sociedad, los sesgos en los sistemas como tecnologías automatizadas, inteligencia artificial, o en base a algoritmos, moldean y disciplinan las identidades a partir de los cuerpos. Esto determina qué corporalidades están permitidas, y cuáles no, dejando fuera a personas trans, o no binarias. Así, la forma de subvertir las estructuras vigentes, es cambiarlo todo, o en palabras de Audre Lorde: “las herramientas del amo nunca desmantelarán la casa del amo”. Desde ahí, la concepción del diseño es la clave para abolir las desigualdades entre grupos excluidos, con el objetivo de co-crear herramientas y prácticas de transformación social, tal como explica Sasha Costanza-Chock en Design Justice.

Ante las diversas problemáticas vigentes, el escenario se vuelve complejo y desesperanzador. Pero a pesar de los obstáculos, decido creer en un futuro más auspicioso, que se construirá únicamente de la mano de una perspectiva feminista interseccional, que busque hackear los parámetros que limitan las posibilidades de ser de las personas.

Para ello, es vital construir espacios seguros, en el mundo online y en el offline, que nos permitan aprender y encontrarnos. Identificando problemas, documentando violencias, visibilizando nuestras vivencias y liderando conversaciones, a fin de descolonizar el impacto de las estructuras que han sido gestadas desde la mirada del hombre blanco y heterocis.

La protección social debe incluir a los datos personales

El pasado 22 de abril, se publicó en el Diario Oficial de Chile la Ley Nº 21.322, que crea un Sistema denominado “Red Integral de Protección Social”, el cual consiste en un modelo de gestión intersectorial, dependiente del Ministerio de Desarrollo Social y Familia, cuyo propósito es coordinar intersectorialmente la oferta programática relacionada a eventos adversos que podrían conducir a personas, grupos y/o familias a una situación de vulnerabilidad, entregar información clara, oportuna y personalizada para así simplificar su acceso.

Pero dentro de ese objetivo, la reforma entrega un poder muy peligroso: crea una habilitación legal muy amplia al Ministerio de Desarrollo Social y Familia para recolectar información en general, de fuentes públicas y privadas. Naturalmente, esto incluiría datos personales, posiblemente datos sensibles, sin requerir de la manifestación expresa de voluntad de sus titulares, sin expresar con precisión el tipo de datos ni su finalidad, y sin el resguardo de una nueva legislación de protección de datos robusta y rigurosa.

En medio de las consecuencias económicas y sociales que ha ocasionado la pandemia COVID-19, surge la necesidad de un Estado capaz de asignar eficientemente los recursos para la entrega de beneficios y ayudas directas a las familias. En este sentido, el objetivo del proyecto, tal como señala el mensaje de la iniciativa, es asegurar una orientación eficaz, una derivación oportuna hacia otros servicios especializados del Estado y un seguimiento de casos complejos, cuando sea necesario, con foco en las familias de clase media.

Sin embargo, pareciera ser que esta nueva normativa –en particular, el Título IV de la “Solicitud de Datos y su Uso y Tratamiento”– entrega al Ministerio de Desarrollo Social y Familia, facultades muy amplias y poco definidas para solicitar información a organismos privados y públicos y tratar los datos. Por ejemplo, puede requerir antecedentes contenidos en el Registro de Información Social (RIS), así como en la caracterización socioeconómica, sin mediar un consentimiento previo, expreso e informado, y sin mediar una habilitación legal de los titulares de dichos datos personales. En un momento en que el gobierno insiste en las ayudas focalizadas, esto significa concentrar mucha información sobre personas y familias, incluso sin que ellas se enteren.

Como si lo anterior no fuera grave, la publicación de esta ley es especialmente riesgosa, al menos, en los siguientes dos sentidos: primero, se realiza mientras se encuentra pendiente en el Senado la discusión de una nueva ley de datos personales. Existe la necesidad imperiosa que nuestro país fortalezca su nivel de protección y resguardo de la autonomía informativa de las personas, pues la actual Ley Nº 19.628 es insuficiente para hacer valer obligaciones de transparencia, seguridad, custodia y eliminación de datos personales. Por otra parte, no basta con reglas sustantivas: se requiere la creación de un organismo público especializado, una autoridad pública de control capaz de fiscalizar su cumplimiento. En consecuencia, no se explica la amplitud de las facultades otorgadas al ministerio, sin un marco normativo que resguarde una serie de aspectos que hoy se encuentran en una nebulosa, y que ordene la actuación de los servicios públicos en materia de intercambio de datos personales.

Mediante la administración del RIS, el Ministerio de Desarrollo Social consigna, almacena y procesa información de los atributos sociales, civiles y socioeconómicos de la población del país, susceptible de participar de la red de servicios y beneficios de la protección social. Con esto, el RIS contiene información de potenciales beneficiarios que quizás no han solicitado o no han declarado su intención de integrarlo, por ejemplo, pero que igualmente tendrían acceso a beneficios. Así se plantean diversos conflictos que van más allá de la eficiencia del sistema. Por un lado, se diluyen los límites y los alcances que puedan tener el tratamiento de dichos datos personales, así como la proporcionalidad y legitimidad social del sistema. Sin ir más lejos, en el ámbito de las ayudas sociales, se vislumbran los mismos riesgos que los casos de Alerta Niñez en Chile y de Auxilio al Empleo en Brasil. Especialmente, con las problemáticas asociadas al uso de datos y algoritmos para perpetuar políticas publicas potencialmente discriminatorias o “focalizadas”.

Según el Ministerio de Desarrollo Social y Familia, Alerta Niñez es un instrumento preventivo que “identifica el conjunto de condiciones individuales, familiares, del entorno y de los pares de los niños y niñas y adolescentes, que tienden a presentarse cuando existe un riesgo de vulneración de derechos”. El sistema se basa en el procesamiento estadístico de grandes cantidades de datos provenientes de organismos públicos para calificar a la población menor de 18 años, ordenando a las personas según su probabilidad de sufrir vulneraciones. Nuevamente se trata de una iniciativa invasiva de recolección de datos sensibles, que conlleva el gran riesgo de profundizar situaciones de prejuicio e implican la transferencia de datos personales a terceros y la posibilidad de que esos datos sean usados para fines distintos a los que permitieron su recolección. Estos mismos peligros se profundizan mediante las facultades otorgadas al Ministerio de Desarrollo Social y Familia mediante la Ley Nº 21.322.

Cabe hacer presente que el Estado es el mayor recolector, almacenador y procesador de datos personales, no solo en términos de cantidad; también es el que maneja más datos de carácter sensible. Esto crea importantes desafíos de seguridad de la información. Aumenta así la posibilidad que por fallas de seguridad se vulneren los derechos de los titulares de los datos, o incluso que sean objetos de filtraciones o fugas. Son amenazas reales, ya que muchas veces el Estado ha sido muy negligente en el resguardo y manejo de esos datos.

En definitiva, una vez más estamos frente a un diseño de política pública que facilita la acción del Estado vigilante, comprometiendo el respeto de los derechos de las personas que se verán afectadas por la recolección y uso de su información personal, sin las suficientes garantías. Sí: necesitamos un Estado capaz de asignar bien las ayudas sociales, de manera rápida y oportuna. El problema que esta ley no incluye condiciones explícitas que restrinjan el acceso y la transferencia de datos a terceros, exponiendo a la población a nuevas formas de discriminación, en favor de un supuesto bien mayor.

La educación digital en los países centroamericanos durante la pandemia

Más de un año después de declarada la pandemia Covid-19 por parte de la Organización Mundial de la Salud y de las medidas tomadas por los gobiernos para enfrentarla, es imposible ignorar su enorme impacto. Desde los primeros meses de la emergencia comenzamos a leer algunos estudios que evaluaban las repercusiones en los diversos ámbitos de desarrollo de las personas, en esta columna nos detendremos en la educación.

Como sabemos, una de las medidas que muchos gobiernos implementaron para intentar frenar la expansión de la enfermedad fue la suspensión de las clases presenciales, en todos los niveles, en el ámbito público y privado. Así ocurrió en los países que conforman el Sistema de la Integración Centroamericana (SICA), a excepción de Nicaragua, a medida que sus gobiernos iban declarando el estado de emergencia.

Para minimizar los efectos de la suspensión de clases y continuar con el proceso de enseñanza-aprendizaje, sobre todo en la niñez y adolescencia, los países del SICA implementaron alternativas, algunas de las cuales involucraron el uso de tecnologías, como son los casos de la educación en línea o a distancia.

Las medidas incluyeron el uso de plataformas en internet para el aprendizaje, franjas con contenido curricular en televisoras y radios nacionales, así como el uso de guías impresas para estudiantes que no podían acceder a internet; en varios casos también se incluyó la dotación de equipos informáticos para estudiantes que no tenían acceso a estos aparatos, así como la entrega de paquetes de datos para quienes no poseían acceso a la red.

Tal como lo señala la CEPAL (2021), en la región, la salud, el empleo, la cobertura de protección social, el acceso a servicios básicos y el saneamiento ambiental como aspectos clave para enfrentar en mejores condiciones la crisis, sufrían serios déficits antes de la emergencia, debido a problemas estructurales no resueltos como la pobreza y la desigualdad, el estancamiento económico, la baja inversión en salud y educación, etc. Ante la llegada de la COVID-19, en el caso de la educación, los sistemas educativos tuvieron que enfrentarse a una situación para la que no estaban preparados.

En tal sentido, en esa intersección entre la educación y el mundo digital, vale la pena cuestionarse si, más allá de procurar paquetes de datos y equipamiento tecnológico como un esfuerzo aplaudible para no interrumpir el proceso de educativo el derecho de acceso a la educación en este contexto fue efectivamente garantizado.

No pretendemos contestar esta compleja cuestión en esta columna, pues para hacerlo necesitamos evidencia robusta que nos permita evaluar desde los diversos componentes de este derecho y la exhaustiva revisión de los indicadores en cada país, el grado de tutela efectiva. Sin embargo, sí podemos adelantar alguna cuestión como punto de partida.

En particular, nos referimos a las consideraciones hechas en el Informe del Relator Especial del derecho a la educación, de abril de 2016, quien recordó los componentes esenciales del derecho a la educación, como derecho fundamental, que deben ser considerados a la hora de implementar las tecnologías. Y, aunque dicho documento fue producido en los años previos a la pandemia, dichas consideraciones son perfectamente aplicables al escenario que vivimos actualmente.

En ese sentido, es válido apuntar que el acceso dispar al internet y a la tecnología digital, así como las limitaciones de infraestructura y los problemas de exclusión y marginación, presentes desde antes del inicio de la pandemia y evidenciados en las respuestas dadas a la emergencia, limitan el acceso universal a la educación y la igualdad de oportunidades, condiciones esenciales para un efectivo goce del derecho a la educación.

Con estos antecedentes, toda vez que se puedan cruzar los indicadores de la brecha digital con las categorías del derecho de acceso a la educación, podría estimarse con mayor certeza si los gobiernos fueron capaces de tutelar efectivamente este derecho o si solo se quedaron en dar a los estudiantes la posibilidad de acceder a cierto nivel de instrucción, condición insuficiente para afirmar una tutela amplia del derecho a la educación.

Los peligros de los certificados de vacunación digital, pases de movilidad y pasaportes de inmunidad

Si bien las devastadoras consecuencias económicas y sociales que ha traído para la población el extendido período de pandemia son el aliciente para que los gobiernos busquen en este tipo de instrumentos una herramienta para “premiar” el comportamiento de la ciudanía responsable que ha cumplido con su deber de inmunización, hay un problema severo en esta estrategia desde la perspectiva de la comunicación del riesgo primero, y luego respecto del ejercicio de derechos fundamentales.

A inicios de mayo, la prensa anunciaba que seis países de América Latina y el Caribe, entre ellos Chile, estaban desarrollando una iniciativa para impulsar proyectos que incentiven la transformación digital de la salud en la región y cuya primera iniciativa sería el desarrollo de un certificado de vacunación digital e interoperable para Covid-19. Se trataría de una iniciativa patrocinada por el Banco Interamericano de Desarrollo (BID), alineados con la Organización Mundial de la Salud (OMS) y la Organización Panamericana de la Salud (OPS)

La digitalización del expediente médico es un proceso en curso en muchos países de la región, entre ellos Chile. En los últimos años ha sido conducido de la mano de evaluaciones de cómo implementarse en una forma que proteja la seguridad y la privacidad de los datos de salud, y que no impacte negativamente el ejercicio de otros derechos fundamentales. La pregunta aún sin respuesta es si el anuncio sobre certificaciones digitales interoperables de vacunación en la región va a satisfacer tales estándares y cómo. Los riesgos de avanzar en certificaciones de vacunación e inmunidad digital o pases de movilidad se extienden a la inadecuada comunicación de riesgo y al impacto en el ejercicio de derechos.

Los certificados de vacunación tienen dos propósitos principales: generar un registro que facilite la continuación de las prestaciones de salud para la persona que ha recibido un tratamiento de inmunización, y entregar información acerca del tipo de inmunización recibida para hacer seguimiento a sus resultados o validez. A nivel mundial existe una larga historia de programas de inmunización que en el último siglo se han desarrollado sin problemas, entregando la información a sus beneficiarios en papel.

Todo evento de prestación de salud requiere del acceso a datos personales y datos sensibles que se configuran a partir de la prestación de salud recibida. Tales datos normalmente residen en la ficha médica, a la cual solo la paciente y sus prestadores de salud tienen acceso, y no son consignados en forma detallada en las certificaciones recibidas, que solo contemplan la información mínima para identificar a la paciente y su evento de inmunización. La digitalización de los certificados de vacunación va acompañada de un aumento de la cantidad de datos recogidos e incrementa la posibilidad de generar eventos de acceso no autorizado a esa información para propósitos que pueden ser completamente distintos a los originales, es decir, información de continuación de prestaciones de salud y prueba de inmunización. Creado el antecedente digital, y al forzar a la población a circular con esta información en sus dispositivos digitales, el riesgo de pérdida de control, derivado de usos no relacionados al tratamiento de salud, se extiende exponencialmente.

Los pases de movilidad proponen un caso de uso tanto más problemático, ya que intentan asociar a un episodio (o varios) de inmunización a un diferencial en cuanto a las posibilidad de ejercer la libertad de movimiento sin restricciones, en comparación de aquella limitada para las personas no inmunizadas. Los pases de movilidad se basan en una inferencia de riesgo menor de infección y contagio basado en el episodio de inmunización. Para que esa inferencia sea sólida, debe sostenerse en evidencia científica de cuál es el nivel de disminución de riesgo de contagio y de propagación del virus que la inmunización genera. En Chile, la Universidad de Chile ha indicado que ese riesgo se sitúa en el 56,5% como promedio para las vacunas en actual utilización en Chile. Mientras, el Ministerio de Salud declara que la vacuna SINOVAC (con la que mayoritariamente ha sido inmunizada la población nacional) tiene 67% de efectividad para prevenir Covid-19 sintomático. Es decir, incluso en la cifra más optimista, 3 de cada 10 personas vacunadas aún se encuentran en riesgo de contraer y transmitir COVID-19.

Avanzando en la trilogía, los pasaportes de inmunidad buscan generar un grado de certeza que permita la circulación de la población y la reactivación de las actividades económicas y sociales, incluso en el tránsito internacional. Su emisión depende de la existencia de métodos de medición de los grados de inmunidad desarrollada por la población frente a una enfermedad infectocontagiosa. Su objetivo es precisamente discriminar entre aquellos que cuentan con inmunidad y quienes carecen de ella, asignando consecuencias de movilidad y oportunidades de empleo a esa clasificación. Así, buscan imponer una restricción artificial sobre quién puede participar en actividades sociales y económicas, y quién no. Es por ello que las expertas llaman la atención acerca del riesgo de que los pasaportes de inmunidad creen un incentivo perverso para que las personas busquen infectarse, especialmente las más vulnerables, que no pueden permitirse un período de exclusión de la fuerza laboral, agravando las desigualdades sociales preexistentes. La OMS expresó en 2020 su preocupación por el desarrollo de pasaportes de inmunidad, advirtiendo la información insuficiente acerca del desarrollo de anticuerpos para el SARS-CoV-2, con los riesgos de errónea clasificación de los niveles de inmunidad de la población que ello podría implicar. En la actualización provista en mayo de 2021, la OMS vuelve a repetir que la evidencia sobre la respuesta inmune y su duración respecto de la infección de Covid-19 o su inmunización no se encuentra suficientemente comprendida a la fecha, con lo cual la correlación de su efecto de protección no puede ser aún establecida.

Para evitar las críticas internacionales a que han sido sujetos los pasaportes de inmunización, como el renombrado pase verde de la Unión Europea, en Chile las autoridades han optado por la nomenclatura de “pase de movilidad” que como vimos más arriba se encuentra sujeto a las mismas incertidumbres en la comunicación de riesgo que los pasaportes de inmunidad: ambos hacen inferencia hasta ahora no asentadas en evidencia científica de nivel de riesgo de contraer y contagiar el SARS-CoV-2.

Problema con la comunicación de riesgo

Tal como lo ha destacado el European Data Protection Board (EDPB) al emitir su opinión sobre la propuesta de certificado verde para la Unión Europea, “parece haber poca evidencia científica que respalde el hecho de que haber recibido una vacuna COVID-19 (o haberse recuperado de COVID-19) otorga inmunidad y por cuánto tiempo dura. Por lo tanto, el Certificado Verde Digital debe entenderse simplemente como una prueba verificable de una solicitud o historial médico fáctico con sello de tiempo que facilitará la libre circulación de los ciudadanos de la UE debido a su formato común en todos los Estados miembros. Sin embargo, advertimos derivar conclusiones sobre inmunidad o contagio, ya que una opinión científica consolidada aún está pendiente”.

Por su parte, el Ada Lovelace Institut ha advertido que los pasaportes digitales no deben implementarse mientras se desconoce tanto sobre COVID-19, particularmente el efecto de diferentes vacunas (y regímenes de vacunación) sobre la transmisión, la duración de la protección y la generalización de esos efectos. En otras palabras, el pasaporte de vacunación se basa en la premisa de que el estado de “vacunada” dice algo sobre el riesgo que una persona representa para otros, no simplemente el riesgo que cada persona enfrenta de contagiarse. “En la actualidad, el estado de vacunación no ofrece evidencia clara o concluyente sobre el riesgo de un individuo para otros a través de la transmisión. El estado de vacunación nunca puede ofrecer evidencia absolutamente concluyente del riesgo de un individuo para otros (o su propio riesgo), ya que ninguna vacuna será 100% efectiva para el 100% de los receptores”.

La consecuencia más grave sobre este error en la comunicación de riesgo, el incremento en la circulación del virus y el aumento en el nivel de contagios consecuente, fue denunciada en Chile por el Colegio Médico y un número relevante de Asociaciones Médicas al realizarse el anuncio de despliegue del pase de movilidad por el gobierno de Chile. Dos semanas luego de su implementación, la evidencia del aumento de casos a nivel nacional, con alrededor de 50 mil casos activos, parece respaldar que un relajamiento de la movilidad no se justifica ni siquiera con un programa de vacunación exitoso.

No se trata de poner en cuestión la utilidad de las vacunas que indudablemente reducen el riesgo de contraer la enfermedad o de presentar sus síntomas más severos. El cuestionamiento a los pases de movilidad o certificaciones de inmunidad no tiene nada que ver con la defensa al “derecho a no vacunarse” que algunos individuos han intentado enarbolar, de lo que se trata es de entregar información adecuada a la población que evite el relajamiento de las medidas sanitarias de distanciamiento social, uso de mascarillas e higiene de manos que siguen siendo esenciales para contener la pandemia.

Tristemente, aquí nos encontramos no solo frente a un problema de oportunidad que ha sido el ángulo enfatizado desde la comunidad científica, sino que, junto a la falta de certeza científica acerca de la predicción de riesgo que acompaña a la inmunización, se sitúa un problema social relacionado con cómo los pases de movilidad, los certificados de vacunación digital o los certificados de inmunidad pueden terminar transformándose en instrumentos de discriminación en el ejercicio de derechos, cuyos impactos negativos se extiendan a los ya dolorosos efectos económicos y sociales que afectan a sectores más vulnerables.

Discriminación en el ejercicio de derechos

No es casualidad que al inicio de la pandemia la Comisión Interamericana de Derechos Humanos (CIDH), a través de su Resolución 1/20 “Pandemia y Derechos Humanos en las Américas”, recomendó a los Estados de la región “adoptar de manera inmediata e interseccional el enfoque de derechos humanos en toda estrategia, política o medida estatal dirigida a enfrentar la pandemia del COVID-19 y susconsecuencias, incluyendo los planes para la recuperación social y económica que se formulen. Estas deben estar apegadas al respeto irrestricto de los estándares interamericanos e internacionales en materia de derechos humanos, en el marco de su universalidad, interdependencia, indivisibilidad y transversalidad, particularmente de los DESCA”.

Desde un punto de vista individual, un pase de movilidad registra datos de salud privados, ¿cómo se protege esta información? ¿Cómo se previene el riesgo de fraude o falsificación? ¿Cómo se previenen violaciones de la privacidad? Desde un punto de vista social, la adopción de pases de movilidad tiene impactos concretos en el ejercicio de la libre circulación, el derecho a reunión e incluso sus impactos pueden extenderse al acceso a las oportunidades de empleo. Estos pasaportes no deberían resultar en una herramienta de control social que restrinja la movilidad de la población en contextos de disidencia política o en una herramienta adicional para imponer restricciones abusivas a la migración, por nombrar solo algunos de los potenciales impactos negativos de estas implementaciones.

La creación de un pase de movilidad genera una indudable tentación para las empresas de condicionar el acceso a oportunidades de empleo a la titularidad de estos, en el marco de una campaña de vacunación que aún no alcanza la universalidad y, repetimos, cuyas condiciones de duración de inmunidad no se encuentra científicamente determinada aún. Un uso de este tipo tendrá consecuencias indudables de discriminación, pero también desafíos logísticos en torno a cómo se realizan las verificaciones de los pases y cómo se vigila que continúe la adopción de otras prevenciones sanitarias como el distanciamiento social y uso de mascarillas. El pase de movilidad puede fomentar una falsa sensación de seguridad, ya sea en su titular o en otras personas (como su empleador) y aumentar, en lugar de disminuir, los comportamientos de riesgo. Existe vasta experiencia previa desde la normativa de protección de los derechos de los trabajadores acerca de los riesgos de permitir decisiones de empleo atendidas a condiciones de salud, o de riesgos de salud derivados de condiciones de trabajo inadecuadas. Y esa experiencia será útil para calibrar los derechos en juego.

Otra forma palpable de discriminación que presentan las certificaciones de vacunación e inmunidad o los pases de movilidad digital está precisamente asociada a su carácter digital. Nuevamente, sin condiciones de conectividad universal a internet aseguradas para la población general, habilidades digitales limitadas en algunos segmentos o baja disponibilidad de dispositivos inteligentes, grupos de la población con acceso limitado a la tecnología por cualquiera de estos factores quedarán excluidas de su uso.

Estos riesgos fueron claramente anotados además en una recomendación específica emitida el año pasado por la CIDH en su Reso l ución 4/20 sobre los “derechos humanos de las personas con Covid-19”: “los Estados deben abstenerse de utilizar los datos sobre el estado de salud de las personas con COVID-19 para expedir certificaciones de inmunización que generen una diferencia de trato injustificada en el disfrute y ejercicio de otros derechos”.

Entonces avanzando un paso más en el análisis de necesidad, proporcionalidad y legalidad que exigen los estándares interamericanos de derechos humanos, ¿cuál es el marco de legalidad que acompaña al pase de movilidad en Chile? Sin una ley de protección de datos personales actualizada, con pocas certezas de como se manejan los datos de comisaría virtual y la opaca implementación de CoronApp previamente criticada por Derechos Digitales, la política pública desplegada tampoco ha sido acompañada de ningún tipo de certeza acerca de cómo los datos que son recogidos para generar el certificado digital serán procesados, accedidos (y por quién) o cómo será limitado su uso para otros fines.

Por último, las certificaciones de vacunación e inmunidad digital o los pases de movilidad pueden ser una distracción tentadora. Su desarrollo implica costos de oportunidad importantes desde una perspectiva de recursos públicos, lo que implica dejar de usar esos mismos recursos en otras intervenciones. Sin embargo, su utilidad específica para la pandemia se encuentra temporalmente limitada, ya que es esperable que con los programas de vacunación y la circulación del virus se alcance más temprano que tarde la inmunidad de grupo. ¿Vale la pena sacrificar derechos y libertades si una vez que haya inmunidad colectiva estos instrumentos de discriminación no tendrán sentido sanitario? ¿Qué haremos entonces con estas infraestructuras de control puestas en marcha? ¿Serán ellas desmanteladas? ¿Cómo aseguramos que los datos por ellas recogidas no sean extendidos a otros usos secundarios de control social?

¿Se han violado los derechos humanos en internet en Colombia? Necesitamos explorar esa posibilidad

Desde el pasado 14 de mayo, y a partir de las denuncias sobre presuntas violaciones a los derechos humanos en el marco de las protestas que se desarrollan a nivel nacional desde el 28 de abril, la CIDH solicitó al gobierno colombiano una visita urgente de verificación, la cual fue reiterada el 25 de mayo luego de que el gobierno propusiera hacerla después de la audiencia programada para el 29 de junio.

La visita será la próxima semana y no incluye en su agenda la revisión de afectaciones a los derechos humanos utilizando herramientas tecnológicas y en el ámbito digital. Por eso, la Fundación Karisma con apoyo de otras organizaciones locales ha enviado una carta a la CIDH, pidiendo que se incluyan estos temas durante las jornadas de verificación.

Incidentes en la red

El 28 de abril estallaron en Colombia una serie de protestas, primero contra el proyecto de reforma tributaria propuesto por el gobierno, pero también contra el proyecto de reforma a la salud y la crisis generalizada de derechos humanos, que durante la pandemia se ha intensificado. Las protestas se han mantenido por más de un mes y han convocado a los más diversos sectores sociales.

Desde el primer día de protestas las redes sociales se llenaron de denuncias sobre abuso de la fuerza, uso de armas no convencionales y de fuego por parte del Escuadrón Móvil Antidisturbios (ESMAD) de la Policía Nacional, y también sobre bloqueos de contenido y de cuentas que estaban haciendo estas denuncias en plataformas como Instagram, Facebook y Twitter. En aquel entonces, por unas horas, el sistema de tendencias en Twitter dejó de funcionar, lo que fue percibido como un acto de censura, aunque luego se reportó una falla técnica en varios países.

Además, el 6 de mayo muchas personas empezaron a reportar que las historias en Instagram relacionadas con #ParoNacional desaparecían. A las pocas horas, la plataforma informó que se trataba de una situación global y generalizada, no relacionado con algún tema en particular.

Una vez solucionado el problema, que afectó los destacados, historias y archivos de la plataforma, especialmente los contenidos compartidos, Instagram nuevamente comunicó que los reportes provenían principalmente de Colombia, comunidades indígenas en Estados Unidos y Canadá, y Palestina. Sin embargo, los lugares con mayor afectación fueron Estados Unidos y Brasil. Como manifestó Carolina Botero, directora de Karisma, la explicación de Instagram requiere mayor análisis dada la afectación particular sobre poblaciones que se encontraban en crisis sociopolítica por esos días.

Por otra parte, el 3 de mayo en la ciudad de Cali se transmitió en vivo el asesinato de un manifestante; esa misma noche, se denunció la muerte de al menos tres personas en el sector de Siloé, al occidente de la ciudad. En medio de la tensión, la noche del 4 de mayo muchas organizaciones de derechos humanos y medios alternativos denunciaron en redes que en los puntos de concentración en Cali (especialmente en Siloé) se estaba bloqueando completamente la conexión a internet, mientras la policía atacaba a les manifestantes.

En la mañana del 5 de mayo, Netblocks publicó un reporte que confirmaba la interrupción parcial del servicio en Cali. En respuesta a las denuncias, tanto el Ministerio TIC, como la Comisión de Regulación de Comunicaciones (CRC) y las empresas EMCALI y Movistar, emitieron comunicados donde se concluyó que sí hubo fallas técnicas en el servicio de internet fijo debidas al robo de un cable, y que por la situación de orden público no fue posible repararlas de inmediato; pero definitivamente “no hubo una interrupción deliberada del servicio”.

Esta conclusión, que corresponde con el reporte técnico, abrió otras interrogantes, dado que las denuncias de desconexión se estaban haciendo desde un sector al occidente de Cali y principalmente en internet móvil, mientras que el daño técnico se reportó al oriente de la misma ciudad, afectando principalmente conexiones fijas.

De acuerdo con Carolina Botero, si bien es posible que la red se haya saturado esa noche, también se podrían estar utilizando inhibidores de señal, los cuales están prohibidos en todo el territorio nacional, excepto para organismos de seguridad del Estado, quienes podrían utilizarlos sin autorización del Ministerio TIC, en casos relacionados con la seguridad pública. Además, también se denunció el uso de estos inhibidores el 12 de mayo, en los alrededores del Estadio Romelio Martínez de la ciudad de Barranquilla, donde se jugaba un partido de fútbol en medio de las protestas.

Teniendo en cuenta los cuestionamientos sobre la autonomía de la CRC y su falta de incidencia sobre la gestión del espectro, desde hace tiempo Karisma ha insistido en la necesidad de que existan mecanismos transparentes para regular y escrutar, no solo al sector privado, sino también al sector público. Esto se evidencia en la denuncia sobre el bloqueo de los dominios archive.org y ghostbin.co por parte de las empresas EMCALI y Avantel, en respuesta a una resolución expedida por la Superintendencia de Industria y Comercio, y vigilada por el Ministerio TIC.

Como también señaló Karisma, esta resolución podría ser legítima, pero desconoce el funcionamiento de internet y la imposibilidad de bloquear solamente una URL, lo que la hace completamente desproporcionada. Vale decir que la resolución surge en respuesta al filtrado de da t os personales de altos mandos militares, realizado por Anonymous como forma de protesta el 4 de mayo.

Estas acciones, cuya legitimidad no es tema de discusión aquí, junto a otras como el saboteo a ciertos hashtag por parte de K-poppers, han servido al gobierno para alimentar una campaña de estigmatización a la protesta digital que, a través de lo que el Ministerio de Defensa ha denominado “ciberpatrullajes”, amenaza a libertad de expresión, según ha señalado la Fundación para la Libertad de Prensa (FLIP).

Este panorama es especialmente preocupante si recordamos las “medidas preventivas” desplegadas en Colombia previo a las manifestaciones del 21N de 2019, que supuestamente incluían la adecuación de aeronaves con sofisticados sistemas de reconocimiento facial, sobre los cuales no hemos tenido noticias durante estas jornadas de protesta.

Preocupante además, porque luego del escándalo sobre perfilamiento a periodistas, activistas y opositores al gobierno por parte del Ejército Nacional a principios de 2020, se denunció que la Policía planeaba comprar un sistema completo de “ciberinteligencia” por alrededor de un millón de dólares. Si bien esta compra fue cancelada, Karisma analizó sus características técnicas, que incluían no solo la capacidad de analizar información sino de infiltrarse en actividades a través de medios digitales.

Esperamos que la CIDH atienda al llamado que hacen las organizaciones locales en Colombia y que apoyamos en América Latina, para reconocer las graves afectaciones a los derechos humanos en el entorno digital durante las protestas en Colombia, que hoy cumplen 38 días consecutivos.

¿Quién defiende tus datos? Cómo protegen la privacidad de sus clientes las compañías proveedoras de internet

En una sociedad hiperconectada, donde gran parte de nuestras vidas transcurre en línea (y más todavía en un contexto de pandemia y cuarentena), la manera en que las empresas de telecomunicaciones protegen nuestra privacidad es un condicionante para nuestro desarrollo, conforme a un sistema democrático y respetuoso de los derechos humanos.

En este contexto, ¿Quién defiende tus datos? cobra especial relevancia. Se trata de un estudio realizado por Derechos Digitales con apoyo de la Electronic Frontier Foundation, que analiza las prácticas de las principales compañías proveedoras de internet en Chile.

En la cuarta edición del reporte, el balance es positivo: nos alegra ver cómo ha subido el estándar de la industria, a pesar de que ello dependa en gran medida de su autorregulación. Este año mantuvimos los criterios de evaluación utilizados en la versión pasada del informe, optando por analizarlos desde un estándar más crítico, lo que por un lado nos permitía ver si las empresas que ya cumplían optaban por continuar mejorando, así como darles tiempo a las empresas más atrasadas para ponerse al día.

Afortunadamente, la tendencia general ha sido a la mejora de las prácticas de las compañías en comparación a años anteriores. Por tercer año consecutivo, Claro Chile es la empresa mejor posicionada y es la que cuenta con el mejor informe de transparencia entre las empresas estudiadas. Le siguen WOM y Entel. El criterio más estricto de evaluación hizo que algunas empresas disminuyeran su puntaje a pesar de tener un grado de cumplimiento similar al del año anterior, como en el caso de WOM.

Resulta gratificante también ver la evolución de compañías como GTD Manquehue, que pasaron de no tener política de privacidad, informe de transparencia ni protocolos, a elaborar y hacer públicos dichos documentos. Situación similar a la de Movistar, que progresa de tener 1 estrella en la versión anterior a tener 3,25 este año, donde se destaca su transparencia, al ser la única que da a conocer públicamente las alianzas públicas y privadas que tiene en materia de investigación y los términos en que se desarrollan dichas iniciativas.

El caso de VTR nos parece preocupante, pues la compañía ha demostrado escaso interés por mejorar sus prácticas de transparencia y protección de derechos hacia sus clientes. VTR no ha hecho eco de cuestiones básicas como fechar su política de privacidad y es la única empresa que no cuenta con un informe de transparencia actualizado, además de otorgar los datos personales de los clientes para efectos de publicidad o comunicaciones comerciales.

Con todo, la mejora generalizada mostrada por el resto de las empresas de telecomunicaciones demuestra que ¿Quién defiende tus datos? ha resultado ser una valiosa herramienta para incentivar a los proveedores de internet a perfeccionen sus estándares de protección y transparencia, además de ser una buena instancia para la discusión académica acerca de los desafíos en la autoregulación de estas empresas en la oferta de sus servicios, más allá del marco regulatorio que fija la línea de base en la materia.

Puedes revisar el reporte aquí. El video del lanzamiento se encuentra disponible acá.