Los impactos de la vigilancia más allá de la privacidad

Mientras a nivel internacional avanza la demanda por prohibir el uso de las tecnologías de vigilancia hasta alcanzar estándares rigurosos en materia de derechos humanos, en América Latina observamos una nueva y silenciosa tendencia a adquirir y usar dichos sistemas para controlar el acceso a la protección social, es decir, a las políticas desarrolladas para disminuir la pobreza, la vulnerabilidad social y la exclusión.

Nuestra región —la más desigual del mundo— durante las últimas décadas se ha convertido en ejemplo internacional en la puesta en marcha de programas de protección social. Sin embargo, el aumento de las condiciones impuestas para acceder efectivamente a los beneficios, tanto explícitas como implícitas, atenta contra la finalidad de proteger y garantizar derechos básicos. Si sumamos la mediación tecnológica a través de sistemas biométricos, como el reconocimiento facial, la recolección de huella dactilar, aplicaciones web o registros digitales unificados, se corre el riesgo de profundizar las desigualdades que se intentan erradicar.

El relator especial de Naciones Unidas sobre la extrema pobreza y los derechos humanos ha identificado algunos usos de tecnologías en los sistemas de bienestar alrededor del mundo. El listado incluye la verificación de identidad, la evaluación de criterios para recibir ayudas, el cálculo y pago de prestaciones sociales, la prevención y detección del fraude, la clasificación de riesgo y necesidades, así como la comunicación entre autoridades y las personas destinatarias de las políticas de protección social.

Varios de los usos señalados ya existen en América Latina. En Venezuela, se han implementado sistemas biométricos para controlar la adquisición de productos de primera necesidad, lo que resultó en varias denuncias de discriminación hacia personas extranjeras y, especialmente, personas transgénero. Sumado a las discriminaciones prexistentes contra poblaciones históricamente vulneradas, este tipo de iniciativa implica el ejercicio de una vigilancia diferenciada, que agrava la desprotección de las personas en situación de mayor vulnerabilidad y que, por lo tanto, más dependen del apoyo del estado.

Medidas similares se han implementado en otros países de la región e incluyen el uso de reconocimiento facial para controlar el acceso de beneficios especiales en los sistemas de transporte de distintas ciudades de Brasil o, incluso, el ingreso a instituciones educativas; propuestas similares han sido presentadas en el marco del retorno a clases presenciales en Chile. En el contexto de la pandemia mundial por COVID-19, en El Salvador y Perú se han utilizado sistemas de reconocimiento facial para controlar potenciales fraudes en exámenes educativos realizados de manera remota, situación particularmente delicada al tratarse de personas menores de edad. 

En el caso de Bolivia, observamos como la digitalización, presentada muchas veces bajo la promesa de mayor eficiencia en la gestión pública, no solo es insuficiente para solucionar problemas estructurales de acceso a servicios básicos del Estado, si no que además abre espacios para nuevas formas de discriminación. Un análisis exploratorio sobre el rol de las tecnologías en la entrega de ayudas económicas a la población en el marco de la pandemia de COVID-19 evidencia las diversas capas de complejidad que implica tal uso.

Brasil y su programa de auxilio de emergencia es otro claro ejemplo. La decisión de utilizar aplicaciones móviles para que las personas puedan solicitar la ayuda tuvo como consecuencia un incremento en las dificultades de acceso a los beneficios. Quienes más necesitan apoyo no siempre disponen de un dispositivo con conexión a internet, un número de teléfono o incluso (y más grave aún) un documento de identificación. El sistema propuesto no consideró las necesidades de las destinatarias. En este sentido, organizaciones brasileñas presentaron preocupaciones en relación a la transparencia y garantías de seguridad ofrecidas por la aplicación respecto a los datos recolectados.

Además, la implementación de tecnologías agrega nuevas capas y agentes al procesamiento de datos personales, e implica un aumento de vulnerabilidades en términos de seguridad y protección contra usos abusivos. Lo mismo es válido para las propuestas de integración e interoperabilidad de bases de datos, identidad única, automatización y predicción. En nuestra región estas prácticas abundan, sea en formato piloto o en propuestas de acción, impulsadas muchas veces por entidades financieras internacionales.

La publicación “Sistemas de identificación y protección social en Venezuela y Bolivia. Impactos de género y otros tipos de discriminación” aborda algunos de estos temas a partir de análisis de casos en ambos países, donde se alerta sobre las implicancias de la mediación tecnológica en relaciones entre estado y ciudadanía. Además, propone una reflexión sobre los impactos que las tecnologías de vigilancia pueden tener en el acceso a derechos sociales y económicos, y en cómo la digitalización puede profundizar la desigualdad, en especial, cuando implica el acceso a datos por parte de agentes privados o la mediación algorítmica por medio de sistemas de clasificación.

Consideramos que estos son puntos centrales que deben ser discutidos. Más todavía cuando la pandemia no muestra señales de detenerse en la región, y la pobreza y extrema pobreza alcanzan niveles inéditos.


“Sistemas de identificación y protección social en Venezuela y Bolivia. Impactos de género y otros tipos de discriminación” será lanzada el próximo miércoles 14 de abril, junto a un grupo muy especial de expertas y expertos que comentarán los  casos presentados y aportarán sus propias perspectivas a la discusión. El evento se transmitirá en vivo. Si te interesa participar, toda la información la encuentras aquí.

Desentrañando la vigilancia que llegó junto a la pandemia

En marzo de 2020, en un par de semanas, varios países de América Latina confirmaron sus primeros casos de Covid-19 y adoptaron medidas para evitar la propagación. Luego de que la Organización Mundial de la Salud (OMS) declaró la pandemia del virus, comenzaron los esfuerzos de confinamiento obligatorio en la región, y también en Chile.

En el marco de la iniciativa “Sonríe #estamosvigilando”, coordinada por el Centro por la Justicia y el Derecho Internacional (CEJIL), el pasado 18 de marzo presentamos solicitudes de acceso a la información pública para conocer los aspectos asociados a las tecnologías utilizadas por el gobierno, CoronApp y el sitio web Comisaría virtual (comisariavirtual.cl). El objetivo es identificar las prácticas que busquen garantizar la transparencia y la protección de los derechos humanos frente a la ejecución de tecnologías de gestión de la información durante este periodo, además de saber cuánto se dirige a fines sanitarios, y cuánto a crear nuevas formas y mecanismos de vigilancia.

A medida que la pandemia ha avanzado, los Estados y los actores privados se han apresurado en implementar soluciones tecnológicas que prometen identificar y rastrear el virus para contenerlo. Pero, al mismo tiempo, estas soluciones recogen información que es útil para vigilar y seguir a las personas mediante datos telefónicos, reconocimiento facial, cámaras, georreferenciación, control de la temperatura y otros. En este proceso, las aplicaciones conservan datos personales y sensibles sin las suficientes garantías para su protección o tratamiento. Por esto, a raíz de los riesgos que presentan para los derechos humanos, resulta necesario saber las condiciones de diseño e implementación.

Tanto CoronaApp como el sitio web Comisaría virtual proponen varias funcionalidades sin dar a conocer cuál es su utilización real y, como Derechos Digitales ha destacado desde su activación, parecieran ser problemáticas. De acuerdo a la legislación vigente en Chile, los datos necesarios para activar la aplicación o para obtener permisos y salvoconductos en comunas con restricciones de movilidad, cada vez que dan cuenta del estado de salud o hábitos personales del usuario se trata de datos personales o datos personales sensibles.

Esto genera dudas respecto al uso de información recabada mediante CoronaApp, en tanto se solicitan datos que permiten identificar a las personas como el nombre, DNI y edad. Lo mismo sucede con la Comisaría Virtual, pues al no existir claridad acerca de sus condiciones de procesamiento, es posible que la herramienta administrativa se convierta en un mecanismo de perfilamiento y vigilancia. Asimismo, las políticas de privacidad de dichas tecnologías no precisan las medidas de seguridad y confidencialidad según las que serán guardados estos datos, y solo abordan de manera genérica las condiciones de almacenamiento, acceso y uso de la información recolectada. Tampoco se establecen con claridad las condiciones y periodos de almacenamiento de la información, ni un procedimiento para que los titulares puedan ejercer su derecho de acceso, rectificación, cancelación u oposición de esos datos de acuerdo a la Ley Nº 19.628.

A falta de mejores resguardos normativos, la transparencia sobre las condiciones de tratamiento de datos personales se hace más relevante. Por consiguiente, hemos solicitado a los distintos organismos involucrados tanto en la implementación de dichas plataformas, como en la fiscalización y promoción de las garantías fundamentales que podrían verse afectadas por estos sistemas de recolección y uso de datos personales. Además de una serie de requerimientos de información pública sobre el uso y el impacto de estas tecnologías, para garantizar que la vigilancia no viole otros derechos fundamentales, como la privacidad, el acceso a la información, la integridad personal, o los derechos a la igualdad y a la salud.

La información sobre las políticas de privacidad existentes no es suficiente y, del mismo modo, la forma en que los datos han sido manejados a lo largo del primer año de la pandemia se torna preocupante. Entre otras cosas, solicitamos información respecto a especificaciones técnicas de las tecnologías, las finalidades específicas de la recolección y tratamiento de las distintas categorías de datos recolectados, los mecanismos y plazos de almacenamiento, los datos que son objeto de transferencia y bajo qué condiciones, así como antecedentes y evaluaciones jurídicas que den cuenta de una evaluación previa a la puesta en marcha de los sistemas.

Cuando se despliegan herramientas tecnológicas con propósitos de interés público, las medidas adoptadas deben ser transparentes, y deben ser evaluadas para determinar su eficacia e impacto en los derechos fundamentales. Esto es importante, sobre todo cuando estamos frente a un patrón de adquisición o producción de tecnologías digitales susceptibles a convertirse en factores útiles para la vigilancia como parte de las funciones estatales.

La implementación de estas herramientas no puede llevarse a cabo afectando los derechos fundamentales. Cualquier persona debería tener derecho a acceder a toda la información relevante sobre las tecnologías de vigilancia desplegadas, incluyendo el alcance, el objetivo de los datos recogidos y los resultados.

Ley de datos personales: sin pausa, pero sin prisa y de cara a la sociedad

El Salvador es uno de los pocos países en la región que aún no cuenta con una legislación específica para la protección de los Datos Personales. A pesar de contar con algunas reglas dispersas, como un breve capítulo en la Ley de Acceso a la Información Pública (LAIP) y algunas normas en leyes sectoriales (Ley de Regulación de los Servicios de Información sobre el Historial de Créditos de las Personas, Ley de la Firma Electrónica, Ley de Partidos Políticos, por mencionar algunas), todavía no existe una ley general en la materia. El propio derecho de acceso a la información personal (Habeas Data) en el país constituye un destacado desarrollo de la jurisprudencia, formulado por la Sala de lo Constitucional de la Corte Suprema de Justicia.

Así las cosas, la necesidad de tener una legislación especializada y coherente con los estándares internacionales de derechos humanos, que abarque el ámbito público y privado, es primordial. No solamente por la necesidad de actualización frente al procesamiento manual de datos del pasado, sino por el crecimiento de la capacidad de procesamiento automatizado que atraviesa cada aspecto de la vida social, en el presente y el futuro, a nivel nacional y global. A pesar de la escasa protección en el ámbito preventivo, asistimos al uso cada vez más frecuente de herramientas tecnológicas, tanto en lo público como en lo privado, sobre las cuales pocas veces se reflexiona y sobre las que la ley tiene alcance limitado para proteger los derechos de las personas.

La ausencia de reglas expresas que permitan la protección de la información personal, tiene ejemplos concretos de riesgos, tanto de parte del Estado como de privados. Desde el año 2017 la Alcaldía del municipio de Santa Tecla ha desplegado cámaras con reconocimiento facial; en la misma línea, el gobierno central solicitó un préstamo para financiar su estrategia de combate a la delincuencia, en el que se incluía la compra de cámaras con tecnología de reconocimiento facial, la compra de drones para la Policía y para el Ejército, y la instalación de centros de monitoreo para ambas instituciones. La empresa privada no se queda atrás: en algunos centros comerciales, a raíz de la pandemia, se instalaron cámaras térmicas para medir la temperatura de los visitantes, sin que se sepa a ciencia cierta si están dotadas con tecnología para el reconocimiento facial o si se almacenan las imágenes captadas; todo sobre lo cual no se informa a los usuarios al ingresar.

En este contexto de uso de tecnologías susceptibles de almacenar datos personales como las descritas, se anunció la discusión en la Asamblea Legislativa de un proyecto de Ley de Protección de Datos Personales, lo que constituye en principio una excelente noticia. La propuesta se encuentra en discusión previa aprobación del articulado dentro de la Comisión de Economía donde, una vez obtenido dictamen favorable, el proyecto pasará a discusión en el Pleno Legislativo.

Si bien es cierto que tanto la información oficial como la de prensa dan cuenta de la participación de algunas instituciones de la sociedad civil en el proceso consultivo de las distintas propuestas de anteproyecto, no se tuvo una publicidad adecuada para que cualquier ciudadano pudiera expresar su opinión sobre la normativa y se produjera un debate más amplio en la sociedad acerca de aspectos que necesitan ser incorporados en esta regulación. Además, mucha de la discusión se dio en el marco de la emergencia por COVID-19, lo que distrajo naturalmente la atención de la ciudadanía. Sin embargo, por ser un tema de mucha importancia para el país, la discusión merece al menos una atención amplia, por lo determinante que resulta para el ejercicio de los derechos fundamentales de las y los salvadoreños. A continuación presentamos nuestra breves consideraciones geenerales sobre el Anteproyecto de Ley unificado, para contribuir a este debate, en la mira de involucrar a la ciudadanía con su atención a esta discusión.

Antecedentes sobre la protección de datos personales en El Salvador

La protección de datos personales en El Salvador tiene su mejor expresión no en la ley, sino en la jurisprudencia. Desde la sentencia de Amparo 934-2007, la Sala de lo Constitucional sostuvo que “… el derecho a la autodeterminación informativa tiene por objeto preservar la información de las personas que se encuentra contenida en registros públicos o privados frente a su utilización arbitraria —especialmente la almacenada a través de medios informáticos—, sin que necesariamente se deba tratar de datos íntimos”.

En la sentencia de Amparo 142-2012, la Sala desarrolló el contenido del derecho a la autodeterminación; señaló que la faceta material de este derecho permite a las personas definir la intensidad con que desea que se conozcan y circulen tanto su identidad como otras circunstancias y datos personales; combatir las inexactitudes o falsedades que las alteren; y defenderse de cualquier utilización abusiva, arbitraria, desleal o ilegal que pretenda hacerse de esos datos; que, para conseguir estos fines, se cuenta con la técnica de protección de datos, que se encuentra integrada por un conjunto de  derechos subjetivos, deberes, principios, procedimientos, instituciones y reglas objetivas. En esta sentencia se desarrollan los derechos de los usuarios, así como los principios de la protección de datos personales y algunas reglas para este fin.

Estas sentencias fueron el antecedente para la protección de datos personales. Algunas de estas consideraciones fueron incorporadas en la Ley de Acceso a la Información Pública (art. 31 a 39) y en los Lineamientos Generales para la Protección de Datos Personales en los Entes Obligados, emitidos por el Instituto de Acceso a la Información Pública (IAIP). Se trata de un reconocimiento todavía limitado, que el nuevo anteproyecto vendría a complementar.

El anteproyecto de ley de datos personales

La propuesta de Ley declara su objetivo en su artículo 1: la protección de los datos personales de las personas naturales “… para garantizar el derecho a la intimidad y el derecho a la autodeterminación informativa de las personas naturales”. Resulta muy positivo que se considere el derecho a la autodeterminación informativa como un derecho autónomo del derecho a la intimidad. Sin embargo, aunque en su articulado hay una lógica de interconectar la autodeterminación informativa con otros derechos como la libertad de expresión y el acceso a la información, hubiera sido provechoso dejar en claro esta relación en los considerandos o de manera más explícita en las disposiciones normativas.

El anteproyecto apunta a la regulación del tratamiento de datos personales en general. Sin embargo, al fijar su propio ámbito de aplicación, la propuesta contempla excepciones con algunos elementos que levantan alertas. Por ejemplo, se excluye de la aplicación de la ley a los datos del historial crediticio, hoy regulados en una normativa específica, impidiendo así parámetros comunes para la protección de datos. Por otro lado, excluye la recolección para fines familiares, referidos a los que carezcan de “utilización comercial”, dejando amplio margen de interpretación para excluir de la aplicación de la ley. Finalmente, se excluye el uso de datos con fines de “seguridad pública” o “seguridad del Estado”, sin suficiente precisión sobre el alcance de tales conceptos que permita prevenir las injerencias estatales arbitrarias en la esfera de la autodeterminación informativa, sobre todo mediante tecnologías de vigilancia. Se trata de exclusiones amplias, que restan protección a la información personal en una vasta cantidad de posibles usos por empresas y por el Estado.

Las definiciones del anteproyecto también muestran falta de claridad o precisión. Por ejemplo, el proyecto señala que, por el principio de legalidad, los datos “…deben ser procesados de manera legal”, una expresión circular que no conduce a nada. Por el contrario, la definición debería considerar que, por este principio, la información debe ser procesada en una base jurídica clara, con un propósito claro, y de una manera justa y transparente. Por otra parte, la redacción del principio de privacidad es confusa, mientras que la referida al principio de licitud está poco desarrollada. Y hay aun más ejemplos que demuestran la necesidad de un debate más robusto que auxilie a la redacción de la ley.

También merece atención la protección a una de las categorías especiales de información: los datos personales de niños, niñas y adolescentes. No basta con mencionar únicamente el interés superior de las personas menores de 18 años o las leyes y tratados internacionales pertinentes para considerar que se está prestando la atención requerida a esta categoría de datos. El tratamiento de estos datos debe ser lo más restrictivo posible y no puede permitirse su tratamiento libre, aunque estos sean de naturaleza pública. Esta carencia debe ser subsanada por la ley.

La propuesta de normativa desarrolla los derechos de las personas sobre los datos de los que son titulares, consagrando así los denominados derechos ARCO (acceso, rectificación, cancelación y oposición), siguiendo la tradición y la práctica de muchos países en la materia (Art. 6). Sin embargo, tanto la definición de estos derechos como su operatividad resultan problemáticos. Por un lado, el legislador está equiparando el derecho de cancelación o eliminación de datos con el “olvido”, y al derecho de oposición lo denomina derechamente “derecho al olvido”. Podría pensarse que es una confusión o que se trata de meros sinónimos, pero al momento de señalar las excepciones al derecho de supresión (art. 10), se incluye la hipótesis de que los datos sean necesarios para ejercer la libertad de expresión y prensa, algo que no podría ser congruente si se estuviera legislando sobre el derecho al olvido.

Por otra parte, las excepciones a los derechos ARCO (Art. 18) contienen disposiciones de interpretación muy amplia. Por ejemplo, puede negarse el ejercicio de los derechos en caso de lesiones a los derechos de un tercero, sin más desarrollo que permita saber cómo se acredita esa lesión o por quién; se menciona también la resolución de una “autoridad competente” sin especificar de qué autoridad se trata; finalmente, autoriza la denegación de los derechos de manera genérica en “los demás casos establecidos en la presente ley u otras leyes aplicables”, sin exigir el cumplimiento de estándares de legalidad, necesidad y proporcionalidad en la afectación del ejercicio de derechos fundamentales.

El artículo 56 autoriza el tratamiento de datos para la elaboración de perfiles con fines promocionales, comerciales o publicitarios. Aunque se señala que estos datos deben haber sido obtenidos con el consentimiento de los usuarios, más parece una “solución” para aquellos casos en los que las empresas recolectan datos sin que los usuarios lo sepan, que una obligación para cumplir con este requisito de consentimiento informado. Por otro lado, no se hacen exigencias adicionales para el consentimiento expreso para transferir a terceros los datos que ha recopilado de esta forma y para estos fines.

La necesidad de una autoridad de control

Como es habitual en las discusiones modernas sobre protección de datos personales, se intenta regular teniendo en mente la existencia de una autoridad de control de datos personales, es decir, un órgano estatal encargado de la fiscalización y la observancia de la ley. Esta discusión no está del todo zanjada en el proyecto de ley de datos personales, y es un debate legislativo complejo y con distintas posiciones dentro del país.

En las discusiones sobre la autoridad que debería encargarse de la protección de los datos personales, se han barajado al menos tres opciones: 1. Que asuma ese rol el Instituto de Acceso a la Información Pública, el ente que actualmente tiene bajo su competencia velar por el acceso a la información pública y la protección de los datos personales en el Estado; 2. Que la Dirección de Protección al Consumidor (DPC) tenga esa competencia; y, 3. Que se dé origen a un nuevo ente público. Los argumentos a favor de cada una de ellas varían entre la disponibilidad inmediata de personal capacitado en el IAIP, la visión más comercial de incluir a la DPC y la ventaja de formar desde cero un nuevo ente, autónomo, independiente, con capacidad técnica y con presupuesto propio. A esas opciones se suma una cuarta alternativa: la competencia en esta materia podría recaer sobre una Autoridad Nacional Digital, regulada por una ley especial bajo el mismo nombre, que, además, tendría atribuciones sobre el acceso universal a internet, el comercio electrónico, la economía del conocimiento, la firma electrónica y la ciberseguridad.

Consideramos que la multiplicidad de funciones puede generar controversias innecesarias cuando se trate, por ejemplo, de la protección de datos personales frente a injerencias de empresas que puedan ver esta protección como una limitante para el desarrollo de sus negocios en el ámbito del comercio electrónico. A la vez, la multiplicidad de funciones puede ser contraria a la especialidad técnica que la protección de datos personales requiere, en particular frente a los desafíos de la tecnología y a la creciente complejidad de los modelos de explotación de la información personal. La autoridad que proteja los datos personales debe estar disponible de manera especial para ese fin, con suficiente autonomía para garantizar una real independencia para aplicar la ley y velar por los intereses y derechos de los titulares de los datos personales, tanto a entes públicos como privados que colectan datos personales, con facultades fiscalizadoras y sancionatorias que hagan efectiva la protección.

Por cierto, no se trata de problemas insalvables. Pero creemos que partes relevantes de la capacidad operativa de la propia ley y el establecimiento de sus mecanismos de observancia no deberían ser dejados a una discusión posterior sobre la autoridad de control. Esta es la oportunidad de fijar no solamente los parámetros sustantivos para la protección de la autodeterminación informativa, sino también el marco para permitir su cumplimiento, tanto a petición de los titulares como por la intervención proactiva de una autoridad fuerte.

Próximos pasos hacia una ley de datos personales

Como Derechos Digitales, hemos acompañado varios procesos en la región para la discusión y desarrollo de normativa de protección de datos personales y nos ponemos a disposición de la discusión en El Salvador para poder aportar desde esa experiencia Latinoamericana. Sabemos que no es tarea fácil para los países que se ponen de cara a ese desafío, pero hemos visto cómo la participación de grupos amplios de sociedad civil con conocimiento técnico en la materia puede ser un aporte para perfeccionar la técnica legislativa, en una forma consciente de los desafíos y oportunidades de cada realidad nacional. Con los puntos aquí presentados buscamos llamar la atención sobre la necesidad de discutir en profundidad un tema que es de vital importancia para las y los salvadoreños: La recolección de datos se da en muchísimos ámbitos de nuestras vidas, desde acceder a un sitio web, caminar en una calle con cámaras de vigilancia, comprar en línea, usar aplicaciones bancarias, ingresar a centros comerciales, residenciales o sitios de entretenimiento. La tecnología avanza en la sociedad, y los derechos no pueden quedarse atrás. Esperamos que los legisladores salvadoreños asuman hoy la responsabilidad de modernizar la legislación de un modo sensible a las necesidades de protección de la ciudadanía sin pausa, pero sin prisa para un buen resultado de protección.

La persecución de Ola Bini: ¿el inicio del fin?

Hace casi dos años, cuando no había ni pandemia ni contagios por un nuevo y letal coronavirus, cuando varios países de la región parecían no ver venir protestas masivas en las calles, Ola Bini fue arrestado en Ecuador. Fue puesto en prisión por diez semanas y sus equipos tecnológicos fueron incautados, en busca de evidencia de los delitos que supuestamente justificaban el arresto. Casi dos años después, sin todavía lograr la libertad.

Recapitulando: el activista y desarrollador de origen sueco Ola Bini fue detenido en abril de 2019 en Ecuador, por su supuesta participación en una red de espionaje digital para desestabilizar al gobierno ecuatoriano. El arresto ocurrió muy poco después de la expulsión de Julian Assange de la embajada ecuatoriana en Londres, y después de que la ministra del interior alertara sobre intentos de «desestabilización del gobierno» por «hackers rusos» y gente afiliada a Wikileaks. Ataque del que aún no se conocen más antecedentes más allá de ese mismo anuncio.

Los (entonces) relatores especiales para la libertad de expresión de la ONU y de la CIDH solicitaron información desde el gobierno ecuatoriano, pero la persecución no cesó. Como hemos denunciado junto a otras organizaciones desde 2019, existe una serie de situaciones alarmantes en torno al arresto y la detención de Bini, siendo la más relevante la insistencia en la persecución penal en su contra, a pesar de la notoria falta de justificación suficiente. Es decir, no existen antecedentes suficientes ni para la inicial acusación de ser parte de una red de espionaje digital, ni de otras de “defraudación fiscal” o “tráfico de influencias”, manteniéndose hasta hoy una investigación con características de persecución política.

Una oportunidad de poner fin a las alegaciones surgió en diciembre de 2020, en una audiencia preparatoria al juicio por «acceso no consentido» a un sistema informático, con una única captura de pantalla. Sin embargo, tampoco ahí terminó la persecución. Es más, organizaciones como la Electronic Frontier Foundation y Amnistía Internacional fueron impedidas de participar como observadoras en la audiencia. El esfuerzo de la defensa por demostrar la violación de los derechos de Bini durante la investigación, en una exposición de cuatro horas de su abogado, tampoco fue suficiente en esa ocasión. El proceso fue así validado para continuar y la audiencia fue suspendida otra vez antes de la decisión de comenzar el juicio propiamente tal.

A la espera de que la audiencia se retome, para continuar la preparación hacia un juicio y la evidencia admisible, nuestra preocupación por el caso sigue vigente. Porque no está en juego solamente la situación judicial de una persona, sino la noción misma de debido proceso. Está en juego la confianza en los procesos institucionalizados para determinar con imparcialidad. Y, mirando con cuidado a antecedentes con componentes técnicos complejos, si es que hay sustento para la persecución de una persona, por encima de cualquier presión política. Está en juego la superación de los discursos que asocian la seguridad digital a la sospecha y la criminalidad. Está en juego el ejercicio de los derechos fundamentales en línea, incluidos no solo la privacidad y la libertad de expresión, sino también la investigación de seguridad y la promoción de herramientas de protección de comunicaciones y dispositivos. Seguimos observando el caso, porque queremos que liberen a Ola Bini.

Pagar por enlazar

Esta semana, Australia aprobó una ley que exige a las plataformas digitales —como Facebook y Google— pagar a los medios de comunicación locales para enlazar su contenido en los feeds de noticias o en los resultados de búsqueda. Según ha declarado el Ministro de Comunicaciones australiano, la ley tiene por finalidad asegurar que los medios de comunicación sean remunerados de manera justa por el contenido que generan y proteger la sustentabilidad del negocio.

Antes de la aprobación de la ley, y como respuesta a la propuesta, Facebook había bloqueado todo el contenido noticioso en Australia, al mismo tiempo que Google amenazó con remover su motor de búsqueda en el país. Una amenaza que no llegó a concretarse, en la medida en que Google ha ido cerrando acuerdos comerciales con diferentes empresas de medios, tal como está pautado en la nueva ley. En caso de no alcanzar dichos acuerdos, el costo del enlace será decidido por un árbitro

La iniciativa australiana no es la primera que apunta en este sentido. En España, el canon AEDE, también conocido como la “tasa Google”, surgió de la exigencia de los medios de comunicación de que Google les pagara por enlazar y culminó con el cierre de Google News España en 2018. De tal modo, el canon AEDE, aunque aprobado, nunca fue desarrollado en reglamento ni aplicado. No obstante, el viraje de timón es claro: en 2020, Google anunció “un programa de licencias para apoyar a la industria de las noticias”, con acuerdos cerrados para Alemania, Australia y Brasil y, más recientemente, con Francia. Este nuevo impulso podría, sin duda, sentar un precedente para la forma en que otros países regulan las tecnologías. Así, países como Canadá y el Reino Unido están considerando las posibilidades de regulación. En Chile, el senador Guido Girardi anunció que presentará un proyecto de ley para forzar a compañías como Google y Facebook, a pagar por tener o compartir “datos y contenidos digitales”.

Independiente de que las leyes sean aprobadas y los acuerdos alcanzados, las críticas originales que generó el canon AEDE siguen vigentes: por un lado, la capacidad de enlazar a contenido es la base misma de la existencia de la red: una red donde no es posible enlazar deja de ser una red para convertirse en fragmentos aislados de información dispersa.

Por otro lado, la inclusión de fragmentos o resúmenes de noticias en los motores de búsqueda y en los feeds de noticias es una actividad protegida por el derecho de cita. En un ímpetu por regular conductas desde la necesidad comercial, los medios de comunicación parecen olvidar cómo podrían estar perjudicándose a sí mismos, en el contexto de un ecosistema en el que los usuarios ya no acuden directamente al medio, sino que obtienen sus noticias mediante las redes sociales que son, en la práctica, la puerta principal del tráfico a los medios.

Un ecosistema de noticias donde la sobreabundancia de información es un problema real, donde los medios han perdido la confianza de los usuarios, y donde los usuarios dependen de terceros o de las propias plataformas para que le sirvan de curadores de contenido, tiene problemas mucho más serios que no pueden resolverse con la fijación de pagos obligatorios, que están destinados a mantener vivo el ecosistema actual, no a resolver sus problemas. En mi pueblo, eso se llama “correr la arruga”, y no ha funcionado jamás.

El proyecto de regulación de redes sociales en México: La receta para un sinsabor de la expresión

A principios de febrero, la Comisión Interamericana de Derechos Humanos (CIDH) y su Relatoría Especial para la Libertad de Expresión (RELE) deploraban el “deterioro generalizado del debate público”, atendiendo a la relación entre la violencia en línea y la violencia física, con las posibles consecuencias letales de esta misma. A la vez, desatacaban el desafío para su regulación y sus procesos políticos. Se trata de una preocupación con exceso de ejemplos a nivel regional y global. El caso mexicano es especialmente llamativo: la discusión política parece querer avanzar con una regulación simplista y sin claridades, que no se hace cargo de la complejidad de la problemática.

En enero, el presidente mexicano Andrés López expresó su crítica a las redes sociales por sus decisiones de moderación adoptadas en otras jurisdicciones en torno al deterioro del debate. Varias figuras políticas se sumaron a los comentarios, algunas de ellas anunciando proyectos de ley, incluyendo al gobierno federal, que también se sumo al impulso regulador.

Fue el senador Monreal el primero en hacer pública su iniciativa y ofrecer rápida tramitación parlamentaria, con una fuerte reacción en contra de la sociedad civil, como también de políticos de oposición y representantes de las industrias. Son varias las falencias sustantivas y procedimentales que se acusan, pero hay un punto en común entre esas visiones: aunque el proyecto se plantea como un intento por defender la libertad de expresión, sus propuestas arriesgan convertirse en mecanismos de censura y control.

A quiénes se regula cuando se regula a las redes sociales

Por décadas, activistas y académicas han desmentido que internet sea un espacio sin regulación. Por el contrario, las leyes que gobiernan la expresión fuera de la red aplican también en internet, incluyendo las que rigen sobre los contenidos: la incitación a la violencia, el acoso, o la infracción de derechos de propiedad intelectual son formas de expresión también reguladas en espacios digitales. No obstante, los mecanismos para hacer valer esas reglas —cuando existen empresas que facilitan aquellas expresiones— resultan problemáticos y difíciles de establecer de manera consistente con los estándares de derechos humanos.

El proyecto de Monreal, planteado como una modificación a la Ley Federal de Telecomunicaciones y Radiodifusión, pretende no solo definir el ámbito de ejercicio de la libertad de expresión en las redes sociales, sino dotar al Instituto Federal de Telecomunicaciones (IFT) de facultades para controlar el funcionamiento de las redes en México, supervisando el ejercicio de la moderación de contenidos.

El proyecto propone definir a sus sujetos regulados, distinguiendo entre “servicio[s] de redes sociales” y de “redes sociales relevantes”. Entre los primeros se considera como red social al servicio “ofrecido a través de Internet cuya funcionalidad principal es difundir dentro de la plataforma información generada por sus propios usuarios como texto, datos, voz, imágenes, videos, música, sonidos o combinación de las anteriores, con la finalidad de informar, entretener o educar”. En tanto, son “redes sociales relevantes” aquellas que cuenten con un millón o más de suscriptores o usuarios, y sobre las cuales pesan obligaciones especiales de conformidad con la iniciativa.

Las definiciones son, como mínimo, ambiguas y cuestionables. La definición de los servicios de redes sociales es suficientemente amplia como para abarcar demasiadas formas distintas de comunicar contenidos a través de internet. Sitios, foros y aplicaciones, abiertas al público y cerradas a sus miembros, gratuitas y pagadas, accesibles desde la web abierta o a través de software dedicado —es decir, sin pasar por un navegador—, disponibles para cualquiera o como servicios de mensajería privada cifrada, estarían igualmente cubiertas. ¿Debería cualquier operador de servicios en línea ceñirse a las reglas propuestas?

Los mayores deberes y controles se imponen sobre las “redes sociales relevantes”, las del millón o más de usuarios, y que pueden ser personas naturales o jurídicas (Art. 175 Bis).

¿Cómo se cuenta ese millón? ¿Se trata de cuentas solamente inscritas o que estén activas? ¿Cómo se consideraría entonces la actividad? ¿Se cuenta solamente a las usuarias en México o aplican las reglas también a VK y WeChat? ¿Cómo se verificaría ese número y cómo varían las obligaciones si el número fluctúa con el tiempo?

No obstante, el verdadero problema sobre este punto no radica en cómo se define aquel sujeto que se propone regular. El problema de la propuesta, en este punto y a lo largo de su articulado, es la falta de comprensión de los ecosistemas digitales de comunicación, en constante flujo, con actores que varían en distintos lugares del mundo. Aunque el poder de un puñado de empresas en la red es notorio, la experiencia en línea es mucho más rica y diversa, y quienes participan en sus distintas capas de funcionamiento son también muy distintos. Tratar a todas las plataformas por igual es errado. Pretender regularlas por igual, es peligroso. 

Si el propósito es proteger la libertad de expresión del efecto deletéreo del bloqueo en plataformas especialmente dominantes, si efectivamente la moderación conlleva un perjuicio a la libertad de expresión porque se pierden canales significativos de difusión, las herramientas legales deben apuntar a esa condición como empresas dominantes y establecer reglas que tengan suficiente flexibilidad para no dañar y, al contrario, promover modelos alternativos de moderación que hoy existen.

Licencia para funcionar

La propuesta entrega al IFT la facultad de autorizar el funcionamiento de “redes sociales relevantes” en México. El IFT debe establecer los lineamientos generales de los requisitos para cumplir la solicitud de funcionamiento. Esta autorización previa es afín al régimen de concesiones propio de los servicios de telecomunicaciones que se sirven del espectro radioeléctrico, según ordena el artículo 27 de la Constitución Federal. Pero el funcionamiento de las plataformas de internet no requiere de ese uso para existir, ni depende del espectro radioeléctrico para funcionar. El requisito constituye una barrera evidente no solo a la creación de un ecosistema digital rico y diverso, sino un freno a la innovación y la participación en la economía digital. Según la industria, es también una infracción de obligaciones comerciales internacionales, se trata del cierre administrativo de la posibilidad de ser parte de la red abierta y global desde México.

Por otra parte, la entrega de estas facultades al órgano de telecomunicaciones trastoca la función del mismo órgano y crea justificadas sospechas sobre su capacidad técnica e imparcialidad para cumplir esa función. En parte, por el hecho de que sus comisionados son funcionarios designados por el poder político, pero más aún, porque se trata de autoridades respecto de las que no se pide una formación específica asociada a las funciones que se entregan a través de la propuesta. Así, se le entrega a funcionarios propuestos por el ejecutivo, y confirmados por el legislativo, poderes de control previo sobre plataformas en que se ejercen derechos fundamentales, sin el ejercicio de ponderación propio de la potestad judicial.

Está en tela de juicio el nivel de comprensión del rol del regulador en el ecosistema de la comunicación en México. Como relata Artículo 19, hay un largo historial de iniciativas con el mismo senador como impulsor, en que se subvierte la función del Estado en el resguardo de los derechos fundamentales para garantizar el pleno ejercicio de la libertad de expresión en condiciones de pluralismo y diversidad. Equiparar a las redes digitales a otras formas de difusión de la expresión de muy distinta fisonomía, constituye un error con peligrosas consecuencias.

Moderación según indique el Estado

El permiso previo para funcionar está asociado a otros poderes de control entregados al IFT: el control del contenido, los términos y condiciones de las plataformas y el control del ejercicio del poder de moderación.

En la propuesta (Artículo 175 Ter), los términos y condiciones del servicio de redes sociales, para las relevantes, deben ser autorizados por el IFT. Las modificaciones a esos términos deben también ser aprobadas por el IFT. En cualquier caso, debe haber consistencia entre los términos y los artículos 6º y 7º de la Constitución Federal, que consagran y regulan derechos vinculados a las libertades de expresión, información y comunicación.

El contenido de esos términos y condiciones puede incluir (Artículo 175 Ter) un mecanismo de suspensión o cancelación de cuentas y de eliminación de contenidos. No obstante, se limitan las causales de procedencia para la operación de esas acciones a que se acredite que el contenido ataca la moral y el orden público, la vida privada, los derechos de terceros, o los derechos de las y los menores de edad; o bien, que se acredite la difusión de mensajes de odio o que mediante el contenido se revelen datos personales en contravención a la ley.

Se establece que el uso de herramientas automatizadas está permitido para la eliminación de contenidos y la suspensión de cuentas, pero prohibido para la cancelación definitiva de cuentas o perfiles. Cada una de las “redes sociales relevantes” debe contar con un área compuesta por personas naturales, especialistas en derechos humanos y libertad de expresión, que deben tomar la decisión respectiva.

Según la propuesta (Artículo 175 Quáter) los términos sometidos a autorización deben también contar con contenidos mínimos. Estos son: limitaciones consistentes con reglas constitucionales y el marco normativo internacional, la protección de derechos de menores de edad, la eliminación de difusión de mensajes de odio, que se evite la propagación de noticias falsas, que se protejan los datos personales y otras que establezcan lineamientos dictados por el IFT.

Finalmente, la propuesta obliga a establecer un procedimiento para la impugnación de las decisiones de moderación (Artículo 175 Quinquies), regulando su procedencia y fijando que personas naturales resuelvan las impugnaciones en un máximo de 24 horas. Contra esa decisión o en caso de no cumplirse el plazo, puede recurrirse ante el IFT (Artículo 175 Sexies).

Todo lo anterior conlleva una serie de dudas y problemas difíciles de ignorar. Por un lado, se establecen obligaciones operativas de muy difícil cumplimiento, como el reclutamiento de personas expertas o la operación de mecanismos con decisiones humanas para todas las redes sociales relevantes, desconociendo sus modelos de funcionamiento o la escala de las decisiones que podrían adoptar. Esto limitaría seriamente la operación de varios servicios en México, cuando no la impediría. Por otro lado, las exigencias están repletas de expresiones ambiguas, amplias, vagas, o sin definición normativa vinculante, como la idea de “noticias falsas” o las exigencias de acción contra “mensajes de odio”. Todo lo cual conlleva niveles crecientes de incertidumbre sobre la capacidad de operar. Todas decisiones adoptadas directamente por la plataforma y sin intervención jurisdiccional, a pesar de tener claras implicancias para el ejercicio de derechos fundamentales. La experiencia previa de imposición de obligaciones vagas a las plataformas muestra que, en general, el resultado es una más frecuente censura de contenidos, en perjuicio de la libertad de expresión y de la diversidad de voces en internet.

La propuesta también deja de lado otras dos cuestiones relevantes. Respecto de los contenidos, limita la capacidad de moderación de las plataformas que hoy operan para fijar sus propios parámetros, de una manera consistente con los intereses de las personas que son usuarias de las mismas, impidiendo que ciertos contenidos nocivos pero legales sean también parte de la moderación aceptada. A la vez, impide agregar causales de cancelación de cuentas que son relevantes para hacer factible una discusión valiosa en línea: la detección y eliminación de spam, phishing o de bots que distorsionan o interrumpen una discusión pública, que quedan fuera de lo que permite la iniciativa.

Por último, la propuesta deja de lado la existencia de distintos modelos de moderación, en especial aquellos que operan mediante la colaboración o la decisión comunitaria, como ocurre en numerosos y diversos foros populares como los que componen Reddit o con la creación colectiva en Wikipedia. Ejemplos que no solo expresan formas convenidas de decisión, sino también causales aceptadas y concordantes con los propósitos comunes de esas comunidades.

En la práctica, nos encontramos frente a una propuesta que es reactiva a casos concretos de decisiones con las que hubo algún desacuerdo, tratando de limitar las distintas facultades de las plataformas que les permitieron adoptar esas decisiones. De forma contraria a lo que se presenta en la propuesta, una regulación de la moderación respetuosa de la libertad de expresión y de los intereses de las usuarias requiere de elementos totalmente distintos que sí serían útiles para tales objetivos, tales como el vinculamiento directo de sus reglas de moderación de contenido a estándares internacionales de derechos humanos (no a un puñado como hace la propuesta); la exigencia de mecanismos específicos de rendición de cuentas de las plataformas; obligaciones de transparencia activa desagregada geográfica y sustantivamente sobre sus decisiones de remoción de contenido; obligaciones de debido proceso y mecanismos de apelación razonables que ofrezcan garantía de protección y reparación efectiva de las usuarias en caso de toma de decisiones erróneas.

Propósitos nobles, mecanismos equivocados

La paradoja de la propuesta de Monreal es que parece tener intenciones correctas, como se refleja en la larga discusión sobre libertad de expresión que antecede a la propuesta concreta de reforma legislativa. No obstante, termina limitando la libertad de expresión, estableciendo obligaciones estrictas sobre términos vagos e imprecisos. Lo que genera uno de los problemas que más se busca evitar desde la defensa de los derechos humanos: que las plataformas, en tanto intermediarios, tengan más incentivos para controlar y limitar la expresión, en lugar de favorecerla.

La seriedad de los posibles efectos de la propuesta a nivel local y su influencia en la región requiere aquello que la sociedad civil local exige: un debate serio, abierto y participativo, digno de la complejidad del problema.

Donald Trump, Nayib Bukele y la moderación de contenidos en las plataformas

Hace unas semanas fuimos testigos de la suspensión de las cuentas de Twitter y Facebook del ex presidente estadounidense Donald Trump tras el asalto al Capitolio, que fue ejecutado por sus seguidores y que terminó con cinco fallecidos y decenas de heridos.

En este contexto, el argumento de las redes sociales se basó en que permitir al ex presidente usar sus plataformas representaba un riesgo mayor de incitación a la violencia. En un comienzo, el bloqueo duraría 12 horas en Twitter y 24 horas en el caso de Facebook, pero se volvió permanente.

Esta decisión reactivó el debate sobre la responsabilidad de los intermediarios y la moderación de contenidos, además de la inevitable colisión entre quienes consideran que estas acciones constituyen una suerte de censura privada y quienes defienden la implementación de estas medidas para salvaguardar la democracia.

Sin la necesidad de referirse de forma directa a estos hechos, la Comisión Interamericana de Derechos Humanos (CIDH) y su Relatoría Especial para la Libertad de Expresión, convocaron recientemente a la audiencia pública “Moderación de contenidos en internet y libertad de expresión en las Américas”, que se realizará el 25 de marzo. 

Sin embargo, en este debate también surgen otras interrogantes relacionadas a la uniformidad con la que las plataformas aplican sus términos de uso alrededor del mundo. En este escenario se sitúa el caso de Nayib Bukele, presidente de El Salvador, debido al contenido de sus redes sociales.

Bukele y el reflejo de Trump 

El presidente de El Salvador ha utilizado sus redes para atacar a sus opositores políticos, insultar a funcionarios, burlarse de la prensa –que ha revelado numerosos casos de posible corrupción de su gobierno–, hostigar a defensores de derechos humanos y, en general, a todo quien manifieste descontento con su gestión. Así, funcionarios y seguidores reproducen una narrativa de confrontación en las redes sociales, que contribuye al estado de crispación que Bukele mantiene desde el inicio de su mandato.

Esta situación ha generado importantes reacciones, tanto en el ámbito nacional e internacional, que van desde llamadas de atención por parte del Procurador para la Defensa de los Derechos Humanos y la Asamblea Legislativa, hasta el establecimiento de medidas cautelares dictadas por la CIDH, para proteger la integridad física de periodistas afectados por la narrativa de confrontación que surge desde el Estado. 

A raíz del asesinato de dos militantes del partido izquierdista de oposición Frente Farabundo Martí para la Liberación Nacional (FMLN) a fines de enero –que fue perpetrado por el Jefe de Seguridad del Ministro de Salud y afiliado al partido de Bukele, según información de la Fiscalía General de la República–, el debate se ha centrado en la influencia de la narrativa del presidente y sus funcionarios. Además de la importancia de este hecho y la vinculación con el discurso presidencial, cabe la posibilidad de que se trate de un asesinato político, como no se había visto desde la firma de los Acuerdos de Paz en 1992.

El actuar del presidente de El Salvador recuerda a las acciones ejecutadas por Trump hace algunas semanas, por la valoración de su bagaje comunicacional, que incluye expresiones ofensivas a quien le contraría y arengas directas a sus seguidores. Hace un año exacto, Bukele incitó a sus seguidores a la insurrección, el día en que invadió con fuerzas militares y policiales el recinto de la Asamblea Legislativa. Aunque este suceso no tenía sustento jurídico alguno, sus seguidores asistieron para acompañarlo en la toma de la Asamblea.  

https://twitter.com/nayibbukele/status/1225868839927402497
https://twitter.com/nayibbukele/status/1225842779475075072?s=20

Si bien en el caso de la invasión militar a la Asamblea existió una arenga explícita para realizar un acto violento contra una institución del Estado, no fue hasta el asesinato de los militantes del FMLN que algunas personas han comenzado a pedir que Twitter actúe sobre la cuenta de Bukele, motivadas por la forma en que esta red social reaccionó el 6 de enero en Estados Unidos.

De esta manera, la duda planteada en los primeros párrafos de esta columna, cobra una dimensión mayor: si Twitter y Facebook vetaron a Trump por relacionar su discurso con el asalto al Capitolio, ¿por qué a Bukele, con la toma de la Asamblea y las expresiones de violencia y degradación consiguientes, no se le han aplicado siquiera las medidas previas a la suspensión que se le aplicaron a Trump (advertencias en sus tweets o retiro de contenido específico)?

Esto no debe interpretarse como una petición de “deplatforming” contra el presidente de El Salvador. Cualquier medida de moderación que aplique alguna plataforma debe guiarse por estándares de derechos humanos, para garantizar el derecho a la libertad de expresión, evitar la censura y evitar que el contenido ilegal –o que incite a la violencia–, no sea difundido en línea. 

Lo expresado aquí sirve únicamente para ubicar en contexto la expectativa que podría estarse generando en El Salvador, considerando la forma en que podría actuar Twitter con Bukele y su discurso confrontativo, así como ocurrió en Estados Unidos. 

Hoy, a pocos días de iniciar el proceso de elecciones de alcaldes y diputados en El Salvador, y a pesar de que es probable que el partido de Bukele consiga una buena cantidad de representantes, el presidente continúa instalando una narrativa de fraude, sedición y golpe de Estado en torno a estos comicios a través de su Twitter. 

Política de inteligencia artificial: Ciudadanía al centro, no al margen

El pasado 27 de enero finalizó el plazo para participar de la consulta pública, que busca elaborar un borrador de la Política Nacional (chilena) de Inteligencia Artificial. El proceso comenzó en 2020, con una serie de encuentros que contaron la participación de diversas organizaciones públicas, académicas y de la sociedad civil, Derechos Digitales entre ellas. Habiendo tomado rol activo en el proceso, nos parece relevante establecer algunas consideraciones críticas al borrador de la política propuesta y al mecanismo elegido para llevar a cabo su discusión.

Uno de los componentes centrales para la aplicación exitosa de cualquier política pública es la legitimidad que la ciudadanía atribuye al actuar estatal. Desde ahí es posible articular una dinámica que expanda la acción estatal más allá del ámbito de la coacción y se oriente en favor de la configuración de un horizonte que movilice a diversos actores sociales hacia objetivos comunes. De este modo, tras cada política pública subyace una promesa de mejora o desarrollo. En esta línea, es esperable que exista también un diagnóstico que justifique la promesa que articula la política en cuestión. Tomando en consideración el horizonte normativo propuesto, lo razonable es que esta nueva reglamentación sea explícita respecto de los agentes, instituciones y articulaciones requeridas para conducirla en los plazos comprometidos.

En el caso de la Política de Inteligencia Artificial, no sería exagerado mencionar que gran parte de estos elementos no se pueden identificar de forma clara en el documento propuesto. Uno de los primeros problemas que se identificó contempla la dificultad para definir el propio concepto de “inteligencia artificial” (IA), así como anticipar sus eventuales ámbitos de aplicación.

Sobre la inteligencia artificial se manejan algunas cosas: que supondrá una nueva forma de establecer relaciones entre seres humanos y máquinas, entre ellas mismas y entre los propios humanos, gracias al desarrollo maquínico. Pero vaya que resulta costoso afincar el concepto en una definición funcional y que sea capaz de identificar los riesgos asociados al surgimiento de tal desarrollo tecnológico. Sabemos también que “inteligencia artificial” se asocia a eficiencia y rapidez, pero al mismo tiempo resuena en la reproducción de patrones de discriminación.

Resulta lamentable verificar que la política propuesta no descansa sobre un diagnóstico sistemático de las capacidades y articulaciones existentes en el país, además de aquellas brechas que podrían ser subsanadas mediante la aplicación de tecnologías de inteligencia artificial. La falta de un diagnóstico acucioso muestra una comprensión deficitaria de la economía política que subyace al desarrollo de estas tecnologías. En particular, respecto al desbalance existente entre el norte y el sur globales, y nuestra posición relativa como país en este contexto.

Pese a coquetear con la comprensión de la inteligencia artificial como una articulación socio-técnica, esta aproximación no articula la estructura del borrador. Así lo anticipaba la investigadora Carolina Gainza en octubre pasado, pues hasta ahora no se tiene en cuenta las implicancias de tales desarrollos, ni cuál es el rol de las humanidades y las ciencias sociales en esta discusión.

Antes bien, el borrador propuesto se plantea como una declaración bastante optimista sobre los desarrollos en inteligencia artificial y asume la permanente ampliación del ámbito de aplicación de estas tecnologías. No solo carece de una visión crítica respecto de para qué promover tales tecnologías, la mayoría de las veces menciona una perspectiva en torno a la gestión de las tecnologías desde una lógica de intervención vertical que omite futuros cambios en la estructura del Estado (cuestión que resulta relevante ante el proceso de discusión constitucional en la que se encuentra Chile).

Otro problema serio se presenta en la configuración de la estructura del documento, ordenado en torno a tres ejes: (1) factores habilitantes, (2) desarrollo y adopción y (3) ética, aspectos legales y regulatorios e impactos socioeconómicos.

El aspecto más complejo se encuentra en el tercer punto y es de articulación lógica: en el mismo eje se consideran los elementos normativos —orientaciones éticas y ordenamiento legal—, junto a los impactos previstos de la aplicación de tecnologías de inteligencia artificial. Es fundamental distinguir ambos elementos. Mientras el primero señala el marco desde el cual se desarrollarán las innovaciones tecnológicas, el segundo se refiere a sus consecuencias e incluye la variable de género. A nuestro juicio, esta mención debería ser un elemento primordial en la estructura del planteamiento de la política, así como la comprensión de estas tecnologías más allá de su estricta dimensión tecnológica.

En este sentido, cabe preguntarse, ¿qué es el orden normativo sino uno de los propios factores habilitantes para el desarrollo de cualquier tipo de empresa?

Cabe destacar que las orientaciones éticas ­—por sí solas— no serán capaces de ordenar el despliegue de este tipo de dispositivos. Es necesario contar con un marco normativo explícito, vinculante, que establezca los límites para la acción estatal y privada ante los riesgos de su implementación. Este marco normativo no parte de una hoja en blanco, si no por el contrario, es necesario tomar en cuenta las obligaciones vigentes para Chile en la promoción y protección de derechos humanos, que están igualmente vigentes con respecto a las tecnologías que el Estado y las empresas implementen.

Los riesgos no son pocos, pues hablamos de potenciales usos inadecuados de datos personales, que incluso pueden llevar a la exclusión en el acceso a bienes públicos o a discriminaciones arbitrarias en las relaciones entre privados.

La semana pasada se conmemoró el Día internacional de la protección de datos personales, una efeméride que enmarca la discusión sobre inteligencia artificial, pues los datos personales son una condición para el despliegue de la mentada inteligencia. ¡Y vaya que tenemos mucho por avanzar en esta tarea! Sobre todo, antes de abrazar el despliegue de la próxima tecnología de moda sin mediar mayor crítica.

Es por esto que es necesario revisar el mecanismo mediante el cual se ejercerá la participación pública del documento en cuestión. Así, un espacio de comentarios de tan solo 1.500 caracteres es a todas luces insuficiente, por tanto se requiere un formulario que evalúe el nivel de acuerdo con los objetivos y principios propuestos. No se está midiendo qué tan de acuerdo se puede estar entre afirmaciones polares, como si fuese una encuesta de opinión; lo que se busca es analizar de manera crítica una propuesta de política pública. Así, las potenciales bondades de la participación ciudadana se diluyen en un mecanismo de consulta mezquino, que además justifica la existencia de esta columna y los comentarios ampliados que Derechos Digitales ha enviado esta semana al Ministerio de Ciencia y Tecnología.

De todas formas, es rescatable la existencia del procedimiento de consulta pública, ya que da pie al enriquecimiento de la discusión por parte de la ciudadanía.

Es de esperar que la reflexión de la comunidad de investigadoras e investigadores —así como de activistas de distintos sectores de la sociedad civil y personas naturales—, nos permita contar con una mejor Política Nacional de Inteligencia Artificial. Una política capaz de identificar con claridad los riesgos, ámbitos de desarrollo, las instituciones y agencias responsables; las normas necesarias para su gobernanza, y los plazos de cumplimiento, habilitando el seguimiento, participación y ejecución de estas acciones por parte de la ciudadanía y con ella al centro, no al margen.

Llorar sobre la leche derramada: El problema cultural del manejo de los datos personales

Hace pocos días se hizo público que los exámenes médicos y la información de salud de miles de personas habían sido expuestos debido a fallas de seguridad de los prestadores chilenos de servicios médicos RedSalud y Bupa. Sin embargo, el manejo de la noticia vino dado con un enfoque de peso en los datos de salud de diputados, senadores y otras autoridades, como si esta información sensible fuera la que originara la gravedad del fallo. 

A principios de la pandemia mundial por COVID-19 se publicó la información georreferenciada de personas que habían dado positivo al test de diagnóstico de la enfermedad; el medio responsable señaló que no los había publicado con detalle “para evitar peleas entre vecinos o actos de discriminación”. 

Este nivel de indolencia y lassez-faire en el manejo de la información privada es endémica: basta prestar atención por cinco segundos para notar cómo en América Latina nuestros números de identificación personal (llámese cédula, RUT, carnet o como prefieran) están esparcidos por las bases de datos más diversas, públicas, privadas, gubernamentales, bancarias y de retail, que se los intercambian como fichas de bingo. En Venezuela, a más inri del sistema de vigilancia omnipresente, el propio gobierno ha inventado mecanismos de phishing para obtener datos sobre la conducta política de sus ciudadanos.

Es fácil en este punto culpar a los ciudadanos por la facilidad con la que estamos dispuestos a entregar nuestros datos a cambio de un poco de comodidad, a dar nuestro número de identificación para obtener un descuento o a iniciar sesión con nuestra cuenta de Google para evitar crear una nueva contraseña.

Lo cierto es que estamos jugando con cartas marcadas: pretender que sea el ciudadano el que cargue con el peso de la desigualdad económica y social que implica proteger sus datos. Perderse ese descuento que puede, hacer una diferencia a fin de mes; o tener el tiempo y el conocimiento necesario para comprender cuál es el trasfondo de usar una red social en lugar de otra menos privada. Eso es trasladar responsabilidades a quien menos debería acarrear con ellas.

Si nuestros propios gobiernos no son capaces de enfrentar el problema de la protección de los datos personales con la seriedad que merece, si manejan bases de datos centralizadas e inseguras que son vulnerables ante cualquier ataque y tampoco toman las medidas necesarias para sancionar a las empresas privadas que llevan a cabo las mismas prácticas, entonces de nada vale que nos pongamos el sombrero de papel aluminio y nos alejemos de la vida en sociedad. 

¿Tendrá sentido que —de aquí a una década o quizás antes— tengamos que inventar nuevos mecanismos de verificación porque los patrones de nuestras huellas digitales se han perdido en una tras otra filtración de datos y ahora se requieren para hacer trámites bancarios, para comprar cosas, para entrar a nuestra casa o para desbloquear nuestro teléfono?

¿Valdrá la pena llorar sobre la leche derramada una vez que nuestra privacidad haya sido vulnerada hasta el punto de no retorno? ¿O quienes no tienen “nada que ocultar” publicarán finalmente la contraseña de su cuenta bancaria? 

Hasta que no comprendamos la gravedad de un problema que nos afecta a todos y todas, no solo a diputados y ministros, nuestros datos personales seguirán siendo fichas de intercambio en un juego en el que la casa siempre gana.

Protección de datos personales en Ecuador: El momento es ahora

A mediados de septiembre de 2019, la prensa internacional reportaba “la mayor filtración en línea de información personal en la historia de Ecuador”, con los datos de la casi totalidad de la ciudadanía expuestos. Se trataba de 18 GB de datos distribuidos en múltiples archivos, que incluían nombres, información financiera y otra información personal de 20 millones de personas.

Al comienzo de la pandemia, la declaración de Estado de Emergencia en Ecuador dispuso que “[p]ara el cumplimiento de las restricciones del presente Decreto se podrán utilizar plataformas satelitales y de telefonía móvil para monitorear la ubicación de personas en estado de cuarentena sanitaria y/o aislamiento obligatorio, que incumplan las restricciones dispuestas, a fin de ponerlas a disposición de las autoridades judiciales y administrativas competentes”. La sociedad civil de la región reaccionó con preocupación a este anuncio, planteando que esta medida revistía gravedad en un contexto en que, a pesar de la garantía de la privacidad consagrada en la Constitución, el Ecuador carece de una normativa legal y de una autoridad técnica e independiente que permita una adecuada protección de datos personales conforme a estándares internacionales de derechos humanos.

Como vemos, Ecuador sufre de una paradoja: reconoce la protección de datos personales como derecho fundamental, basado en su Constitución, así como en tratados internacionales de derechos humanos que protegen la privacidad, pero carece de una estructura legal interna para garantizar dicha protección, lo que deja a ecuatorianas y ecuatorianos en la práctica en la indefensión, ante situaciones y medidas como las descritas.

En efecto, Ecuador es uno de los pocos países de América Latina que no cuenta con una Ley de Protección de Datos Personales, mientras otros países de la región lo hacen desde más de 20 años, o la han aprobado recientemente. Para remediarlo, el 19 de septiembre de 2019 el presidente de la República presentó ante la Asamblea Nacional el Proyecto de Ley Orgánica de Protección de Datos Personales.

La iniciativa ha concluido su primera revisión por la Comisión de Soberanía, Integración, Relaciones Internacionales y Seguridad Integral, la cual ha presentado un texto consolidado a consideración del pleno de la Asamblea Nacional.

El proyecto está actualmente en tabla para su discusión y es crucial que las ecuatorianas y ecuatorianos se mantengan atentos a este desarrollo legislativo y movilicen a sus representantes de todo el espectro político para asegurar que esta ley —esencial para la efectividad del ejercicio de los derechos fundamentales de la ciudadanía en el siglo XXI— sea aprobada.

Para entender la relevancia de esta moción para el Ecuador hoy, y por qué no puede seguir siendo postergada su discusión, es necesario comprender la transversalidad del objeto regulado por la ley de protección de datos personales. Este derecho no solo garantiza la autodeterminación informativa y la privacidad, si no que posibilita el libre ejercicio de otros derechos como la libertad de expresión, la no discriminación, la participación ciudadana, el derecho a reunión pacífica, el acceso al empleo, la salud, la educación, entre otros.

El objetivo de la ley general de protección de datos personales es establecer reglas para el desarrollo de actividades que involucren la recolección y procesamiento de datos, por parte de agentes públicos y privados. Así como prevenir injerencias arbitrarias en el normal desarrollo de la vida de los ciudadanos y ciudadanas, de donde sea que tales injerencias vengan.

En un mundo cada vez más tecnologizado, la protección de los datos personales es indispensable, en especial para grupos vulnerables o históricamente marginalizados, para prever que la utilización de tecnología basada en el uso de esos datos pueda amplificar y replicar la dicriminación tradicionalmente sufrida. Esto aplica a la hora de postular a un crédito bancario comercial, recibir beneficios sociales del Estado o entrar en relación con una aseguradora de salud.

Hoy, los datos personales —cualquier información referida a una persona identificada o identificable— se entregan en todas las interacciones sociales, ya sea con el aparato público o entes privados que operan en todos los ámbitos de la economía, el quehacer social y cultural.

Sin embargo, por esa misma frecuencia y cotidianidad con que los datos personales se tranzan, muchas veces se pierde de vista que son una puerta a nuestra vida y nuestra posibilidad de interacción social. Una regulación de protección de datos personales permite que como ciudadanas y ciudadanos podamos contar con herramientas concretas para exigir límites en el uso de la información. Ese control es esencial para garantizar nuestra libertad, autonomía y dignidad como personas, frente al Estado y las empresas, donde las desproporciones de poder y potenciales impactos en ejercicio de derechos resultan más evidentes.

Actividades tales como tomar una cita médica, comprar alimentos, visitar sitios web, realizar búsquedas en internet, monitorear nuestros hábitos de sueño con dispositivos inteligentes, entregar información para acceder de una wifi pública y caminar por calles que cuentan con cámaras de seguridad, se traducen en un rastro de datos personales que puede ser recolectado en forma constante y que permite analizar nuestros hábitos, nuestras relaciones personales, nuestros gustos y necesidades, nuestras preferencias personales o políticas. Conocer esa información otorga un poder único para tomar decisiones sobre nuestra vida: ya sea ocupar un determinado puesto de trabajo, acceder a una oportunidad de educación, ser atendido preferentemente o no en la sala de urgencias, obtener un crédito bancario, recibir un beneficio social, ser cuestionado o no por participar en una manifestación pública, etc.

Una ley de protección de datos personales es precisamente el instrumento a través del cual las sociedades democráticas, comprometidas con la protección y promoción de los derechos humanos, establecen un marco que permite delimitar aquello que puede ser legítimamente conocido, analizado y utilizado para tomar decisiones a través nuestro.

La digitalización y automatización del tratamiento de datos personales propia del siglo XXI solo vuelve más evidente el problema y la necesidad urgente de su regulación, por la mayor capacidad técnica de recoger, almacenar y analizar datos personales. Pero una ley de protección de datos personales permite proteger a las personas de todo tipo de uso de sus datos —automatizados, o no, digitales o físicos— y de donde sea que provengan las amenazas entes públicos o privados.

Es indispensable que la ley de protección de datos personales que actualmente se discute en el Ecuador contemple los derechos que componen el núcleo esencial del derecho a la autodeterminación informativa, de lo contrario tal protección será ilusoria. Para eso la ley debe referirse a qué información personal puede recogerse, cómo se autoriza esa recogida, para qué puede usarse, por cuánto tiempo, cómo se resguarda, etc. En materia de protección de datos personales estas preguntas se traducen en determinados derechos que componen el núcleo esencial del derecho a la autodeterminación informativa, los famosos derechos ARCO: acceso, rectificación, cancelación y oposición. También, en principios tales como el de juridicidad, lealtad, transparencia, finalidad, pertinencia y minimización de datos personales, proporcionalidad del tratamiento, confidencialidad, calidad y exactitud, conservación, seguridad de datos personales, responsabilidad proactiva y demostrada, aplicación favorable al titular, e independencia del control.

Aquellas personas interesadas en proteger la habilidad de empresas o del Estado de tener control sobre la vida de las y los ciudadanos, intentarán decirles que este debate excede la sofisticación tecnológica, o la realidad económica y social del Ecuador. Algunos de esos puntos fueron levantados durante el debate registrado en algunas de las mesas de trabajo abiertas por la Comisión de Soberanía, Integración, Relaciones Internacionales y Seguridad Integral.

Sin embargo, afirmaciones de ese tipo no se avienen a la realidad, en la cual las y los ecuatorianos a diario experimentan los impactos del uso de sus datos personales (Sí, estamos pensando en ese llamado que recibiste el otro día de una empresa que ni conocías, ni eres cliente, pero que de forma misteriosa sabía lo que necesitabas).

Aquí no se trata de copiar modelos foráneos o adoptar instituciones que son de naturaleza controversial en el sistema interamericano de derechos humanos —como puede ser el derecho al olvido—. Se trata de no perder la oportunidad de dotar al Ecuador de una regulación moderna, para que se actualice en cuanto a las necesidades de una economía digital al servicio de la ciudadanía y, de paso, acorte su rezago respecto de otras naciones de la región que cuentan con este tipo de regulación hace dos décadas. Como compartió la Unidad de Flujos Internacionales y Protección de Datos de la Comisión Europea en sus contribuciones durante la tramitación de la Ley Orgánica de Protección de Datos, esta debe ser concebida “para establecer un sistema moderno de protección con características propias de un régimen moderno de protección de datos”.

Al inicio del debate legislativo de Ley Orgánica de Protección de Datos, en conjunto con la Asociación para el Progreso de las Comunicaciones presentamos a la Comisión de Soberanía, Integración, Relaciones Internacionales y Seguridad Integral un documento que ahonda en aspectos que consideramos indispensables para una buena política de protección de datos personales en el Ecuador. No se trata de estándares inalcanzables, ni de quedar entrampados en tecnicismos. Ecuador necesita definiciones claras respecto a lo que constituye un dato personal y un dato sensible (de manera no taxativa) y establecer niveles de protección acorde; principios vinculantes que hagan eco de la experiencia internacional —porque está demostrado que funcionan— y permitan orientar el régimen de protección de datos personales; una lista de derechos vinculantes de los titulares de los datos para garantizar que tengan control sobre su información personal; establecer obligaciones de los responsables de bases de datos, señalando con precisión a los sujetos obligados y los estándares de cumplimiento, en particular la seguridad; establecer un régimen sancionatorio de multas que sean disuasivas. Además, la creación de una autoridad de control que tenga la independencia necesaria y los mecanismos apropiados para garantizar la aplicación de la ley a todo ente público o privado.

Las excepciones al ámbito de aplicación de la ley y al consentimiento deben ser limitadas a casos excepcionales y establecidos con claridad. Para fortalecer las oportunidades de comercio del Ecuador con el exterior, la ley debe considerar la protección a los flujos transfronterizos de los datos, mediante mecanismos sometidos a una supervisión estricta y transparente, e incluir medidas de reparación para garantizar que los derechos de los usuarios viajen junto con sus datos. Los aspectos descritos en estos últimos dos párrafos son esenciales si se quiere garantizar la protección de los datos personales y, con ello, cumplir el estándar exigido por la Unión Europea para declarar a Ecuador un país adecuado en materia de protección de datos personales, cuya protección se ha transformado en el estándar global y cuyo cumplimiento es cuestión indispensable para el comercio digital.

Limitar la aplicación de la ley al flujo transfronterizo de datos o solo al contexto de relaciones comerciales y de consumo, o flexibilizar las normas sobre intercambio de datos personales bajo la excusa de que una ley proteccionista de los derechos de las personas significaría una traba para el desarrollo comercial del país, son falsos dilemas con los que algunos participantes del debate legislativo han intentado convencer a la Asamblea Nacional. Sin embargo, retrasar la discusión no deja ni los intereses económicos del Ecuador, ni el ejercicio de los derechos de su ciudadanía en mejor posición: solo mantiene en el rezago de alcanzar los beneficios de hacer exigibles sus derechos.

La atención de la ciudadanía al debate de la Ley Orgánica de Protección de Datos que se estará produciendo en la Asamblea Nacional en las próximas semanas es esencial para que sus representantes entiendan la necesidad de que se apruebe una legislación adecuada, que permita la plena protección de los derechos de las y los ecuatorianos: el momento es ahora.