Periodismo, libertad de expresión y seguridad digital

Tamara De Anda es bloguera del diario El Universal y locutora en otros medios de comunicación en México. En marzo de este año, fue víctima de acoso y hostigamiento a través de las redes sociales, luego de denunciar allí mismo haber sido víctima de acoso por parte de un taxista. Decenas de usuarios publicaron amenazas explícitas de muerte contra ella y expusieron sus datos personales, incluida la dirección de su casa. Según datos de la organización Artículo 19, que acompañó el caso, se acumularon alrededor de 250 mensajes por hora, pero este es apenas uno de los innumerables casos de acoso que a diario sufren periodistas a la hora de utilizar las redes como medio de visibilización y denuncia.

Un porcentaje importante de las amenazas en línea pueden convertirse en agresiones físicas a una persona o a su círculo cercano, pueden afectar sus dispositivos o la información que maneja. En muchos de estos casos, se trata de las mismas amenazas que antes se hacían offline, solo que trasladadas al mundo digital: las amenazas de muerte que antes se hacían en papel ahora llegan por Twitter, pero no por eso resultan menos peligrosas.

El creciente uso de las redes sociales para acosar y agredir periodistas puede explicarse por el bajo costo que esto supone. Pero los otros usuarios no son la única amenaza, pues también es creciente la vigilancia y el espionaje de las comunicaciones por parte de los gobiernos. En Argentina, por ejemplo, se confirmó que al menos 33 personas (jueces, fiscales, políticos y periodistas) fueron espiadas por la Agencia Federal de Inteligencia a través de un software malicioso instalado en sus dispositivos móviles.

Asimismo, se ha vuelto cada vez más frecuente la creación de cuentas falsas en redes sociales y las campañas de difamación contra periodistas, una práctica que atenta contra uno de los activos más valiosos para un comunicador: su capital social. La creación artificial de rumores para generar la pérdida de la confianza en un comunicador o en un medio de comunicación (o, como en Turquía, en las redes sociales como entorno para la obtención de información) es una práctica profundamente dañina para la libertad de expresión.

También los ataques distribuidos de denegación de servicio (DDoS) son usados cada vez con mayor frecuencia para impedir o entorpecer el acceso a ciertos medios de comunicación en línea: en 2015, los diarios argentinos Clarín y Página 12 sufrieron este tipo de ataques; en los últimos meses, los medios venezolanos El Pitazo, Correo del Caroní y Caraota Digital enfrentaron ataques similares, todos los cuales resultaron en la caída de estos sitios web durante al menos algunas horas. Este tipo de ataques pueden provenir de agentes estatales pero también de personas u organizaciones interesadas en causar daño, ya que es muy simple llevarlos a cabo, generando una cantidad de solicitudes artificiales al servidor donde se encuentra el sitio web, hasta que este ya no tenga capacidad de responder.

La colaboración efectiva entre los sectores tecnológico y periodístico siempre ha sido, cuando menos, problemática. Los expertos en seguridad suelen recomendar el uso de herramientas como el cifrado PGP, una herramienta excelente en términos de protección, pero compleja en términos de uso y aprendizaje, los cuales requieren una inversión de tiempo y esfuerzo que no muchos periodistas están dispuestos a hacer.

La adopción de herramientas y prácticas de seguridad digital requiere una inversión de tiempo, dinero y capacitación que, aunque es de suma importancia y puede evitar costos mayores al impedir que se materialicen ciertos riesgos, puede ser una dificultad para quienes se encuentran en situaciones de tensión, con restricciones de tiempo y altas cargas de trabajo. Además, a pesar de los innumerables y loables esfuerzos hechos por la comunidad tecnológica para el desarrollo de herramientas y guías que faciliten el acceso del público general a temas de seguridad digital, estos siguen apareciendo como oscuros y complejo para muchas personas.

Por otra parte, resulta al menos problemática la tendencia a desarrollar y utilizar aplicaciones o software especializados para solucionar problemas sociales concretos. La utilidad de este tipo de herramientas está directamente relacionada con la comprensión sobre cómo operan las amenazas en el entorno digital y qué hábitos debemos cambiar, instaurar o fortalecer.

Cada vez existen más mecanismos para la protección y defensa de periodistas; herramientas como Project Shield, de Google, o Deflect, de eQualit.ie, permiten que los medios de comunicación (y en especial los medios de comunicación independientes) se protejan de ataques de denegación de servicio. Pero estos ataques no ocurren en el vacío y no podemos permitir que los aspectos tecnológicos de la protección a periodistas y medios ocupen toda la conversación.

Es importante atender a las dimensiones legales, sociales, políticas y psicológicas de esta violencia y comprender, por ejemplo, la forma en que un ataque de difamación y hostigamiento puede afectar las redes de un periodista, su reputación, su estabilidad psicoemocional y a su entorno íntimo, desencadenando así un efecto de enfriamiento que perjudica la libertad de expresión y por ende, el libre desenvolvimiento de una sociedad democrática.

Por la libertad del acceso, la privacidad y el anonimato

El pasado 6 de Abril Dmitry Bogatov fue detenido en Moscú tras ser acusado de publicar mensajes extremistas en un sitio web ruso bajo los cargos de “incitar actividades terroristas o justificar terrorismo a través de Internet”. De acuerdo al dictamen, Bogatov debía permanecer en prisión al menos hasta el 8 de Junio a la espera del juicio en su contra. Hace un par de días se extendió dicho plazo hasta el 30 de Junio, rechazando la opción de cumplir arresto domiciliario. De ser encontrado culpable, Bogatov podría ser condenado a siete años de cárcel.

Lo cierto es que los mensajes en cuestión fueron publicados bajo un seudónimo a través de Tor. Como contexto, la red Tor está compuesta por miles de servidores distribuidos alrededor del mundo, y es mantenida principalmente por voluntarias y voluntarios que abogan por la privacidad, el anonimato y la evasión de la censura en línea. Al utilizar Tor para navegar, el tráfico pasa por tres nodos de la red antes de llegar a su destino, lo que permite ocultar la ubicación de origen de la usuaria. Estos nodos son elegidos de manera aleatoria y cada uno tiene un rol: entrada, intermedio y salida. El nodo de salida es el último punto en el circuito y está a cargo de acceder a internet como intermediario entre la red Tor y el sitio web de destino. Es decir, es un nodo puente entre la red Tor e internet.

Dada la naturaleza de Tor, quien mantiene un nodo de salida no posee control ni responsabilidad del contenido que pasa a través del mismo (aunque no se recomienda realizarlo desde casa). Probablemente cientos o miles de personas usaron el nodo de Bogatov para permanecer anónimas y anónimos, o para evadir la censura en sus países. En este caso, a Bogatov no se le está exigiendo responsabilidad como intermediario (y, de hecho, no la tiene); peor aún, se le atribuye autoría del contenido que pasó a través de su nodo de salida. Esto refleja un malentendido grotesco sobre cómo funciona la red Tor. Si también se considera que existen grabaciones de cámaras de seguridad confirmando que Bogatov no estaba en su hogar cuando los mensajes fueron publicados, y que la cuenta anónima continuó publicando mensajes después que Bogatov fuera detenido, se tiene un caso sin pies ni cabeza. Así y todo las autoridades decidieron que Dmitry debía permanecer tras las rejas por casi dos meses, como mínimo.

Esto presenta un grave atentado en contra de quienes luchan por el derecho a la privacidad y el anonimato en Internet. El caso de Bogatov sin duda puede producir efectos negativos sobre la percepción de la red Tor y amedrentar a quienes en defensa del acceso al conocimiento y el derecho a la privacidad y el anonimato en línea deciden contribuir con su tiempo, ancho de banda y hardware para mantener nodos de salida. Si bien son una excepción, existen casos de individuos que en el pasado se han visto en problemas por mantener un nodo de salida, pero nunca ha involucrado tiempo en prisión como en este caso. El proyecto Tor y otras organizaciones como Torservers, Debian, Access Now y la Electronic Frontier Foundation se han pronunciado al respecto y han condenado el hecho, pero sin duda es necesario un mayor esfuerzo y acciones por parte de la comunidad para revertir este tipo de situaciones, de lo contrario las voluntarias y voluntarios que mantienen nodos de salida podrían no encontrar el respaldo suficiente para seguir colaborando en pos de una Internet libre.

En Derechos Digitales creemos que no solo es importante denunciar este tipo de persecuciones sino que también abogamos por potenciar las herramientas que ayudan a proteger la privacidad y anonimato en línea. En este sentido nos parece de suma importancia masificar herramientas como Tor, ya sea fomentando el uso de Tor Browser entre las usuarias y usuarios que necesitan navegar de manera anónima, o aportando al crecimiento de la red con la instalación de más nodos de salida Tor en instituciones públicas, bibliotecas, universidades, colectivos u otro tipo de organizaciones que tengan los recursos para ello. Es por esto que en colaboración con organizaciones de la región buscamos promover el aumento de nodos de salida en América Latina como una manera más de expresar compromiso y aporte técnico a la defensa de los derechos humanos en Internet y como una forma de proporcionar diversidad e infraestructura desde el Sur. Desde principios de 2017 aportamos nuestro pequeño grano de arena a la red, y esperamos en breve comenzar con la documentación para reflexionar y compartir lo aprendido, con la esperanza de sumar a más organizaciones en la región y juntos generar conciencia en la comunidad y en las autoridades, sobre las implicaciones legales y técnicas asociadas a la mantención de nodos Tor, y sobre cómo el apoyo a esta red significa también un apoyo a los principios fundamentales de una Internet libre.

¿Quién y cómo controla lo que decimos en internet?

El domingo pasado, el periódico The Guardian publicó las guías y lineamientos que Facebook usa para “moderar” (y eliminar) los contenidos de su plataforma a través de contratistas externos. La empresa ha estado en el ojo del huracán recientemente porque mientras censura pezones femeninos, permite videos en vivo de actos tan violentos como un señor matando a su hija de once años. Los términos de uso nunca son del todo claros, y antes era imposible saber realmente cómo seguían los criterios que declaraban. Con esta filtración, ahora tenemos una idea de lo que implican.

Sin embargo, a cada duda respondida le siguen nuevas interrogantes. No es un problema nuevo: sus cientos de millones de usuarias y usuarios estamos en desprotección, sin reglas claras ni mecanismos de apelación o rendición de cuentas para responsabilizar a una de las empresas más poderosas del mundo, que además de manejar nuestra información privada controla también buena parte de nuestra expresión pública.

¿Qué solución podemos imaginar que respete derechos humanos? ¿Cómo hacer que Facebook sea más responsable? ¿Qué mecanismo es el ideal?

Los lineamientos publicados reflejan un estándar moral muy afín al norteamericano, que en los hechos funciona por encima de la ley de muchos países y que opera incluso al margen del derecho internacional de los derechos humanos. O bien, que se inclina por seguir la ley local solamente cuando puede existir una consecuencia legal real. Facebook es uno de los “soberanos de internet”, una de las empresas que median nuestros dichos y expresiones bajo sus propias reglas. La tensión es evidente. Por un lado, su posición “supraestatal” parece facilitar o fomentar el disenso en países autoritarios, como fue relatado a propósito de la propia Primavera Árabe. Por otro, elimina contenido de su plataforma bajo criterios arbitrarios y opacos, dejando otros contenidos nocivos intactos.

Para Facebook, frases como “alguien dispárele a Trump” deberían ser eliminadas porque el presidente de Estados Unidos es alguien “vulnerable”. Algo así bien podría ser una broma. Una expresión de frustración o sarcasmo sin intención de llevarlo a cabo. En este contexto, los criterios internacionales sobre libertad de expresión lo considerarían discurso especialmente protegido por referirse a un funcionario público. Sin embargo, instrucciones del tipo “para romperle el cuello a una perra, asegúrate de aplicar presión en el cuello” son permitidas, sin importar el contexto en que se dice.

Las guías están hechas para orientar a más de 4.500 empleados subcontratados, que vienen principalmente de Filipinas y de Polonia (aunque algunas fuentes dicen que son más de 100 mil, no lo sabemos bien). Cada “moderador” tiene en promedio diez segundos para decidir si eliminan o no una imagen con base en las instrucciones escritas que Facebook les entrega, sin entrenamiento posterior. Les pagan aproximadamente un dólar la hora. Ven contenidos explícitos todo el día –decapitados, muertes, suicidios– y no reciben atención psicológica suficiente. ¿En qué mundo es este el mejor sistema para decidir qué contenido se queda y qué contenido se elimina de la plataforma?

Con todo, en la era del capitalismo digital, la premisa principal es rechazar cualquier intervención estatal. La autorregulación es la norma, y en este sentido los usuarios son el primer filtro. Cuando estos reportan o denuncian alguna imagen, video o contenido se va a uno de los distintos Comités (odio y acoso, contenido abusivo o seguridad) para ser revisado por uno de los “moderadores”. Esto en sí trae un problema adicional, pues los criterios mayoritarios ponen en riesgo el disenso y las expresiones controvertidas. En una sociedad machista, discursos de odio en contra de las mujeres no se denuncian y se normalizan, mientras insultos a grupos privilegiados se reportan rápidamente.

En los Estados, estas decisiones sobre límites discursivos son tomadas por jueces –idealmente después de cuidadosos ejercicios de ponderación de derechos-. Como en cualquier dicho, todo depende del contexto. No es lo mismo decir “te voy a matar, perra” a una ex novia, a una dirigente feminista o a un amigo gay. O incluso, algo como “fulanita parece embarazada” puede ser un cumplido, o un acto de bullying.

Es este mismo contexto el que no permite que las decisiones sean enteramente automatizadas. Los algoritmos y programas de computación no entienden grises, y además tienen fuertes sesgos culturales y de programación. Sin embargo, los moderadores –mal pagados y mal entrenados– tampoco lo hacen. Mucho menos en diez segundos.

No hay solución perfecta. Estamos atrapados en la naturaleza corporativa de Facebook.

Mark Zuckerberg insiste en que son una empresa de tecnología y no un medio de comunicación. Sin embargo –y como vemos en los lineamientos publicados por the Guardian- la compañía toma miles de decisiones editoriales todos los días al decidir qué contenido se queda y cuál se censura. ¿Acaso es hora de empezar a regularlos como un medio? ¿Bajo qué legislación? ¿Qué implicaciones tendría esto para internet?

Las respuestas no son claras. Lo más lógico –dado que Facebook gana dinero a costa de nuestros datos personales– es exigir como mínimo que la empresa dé muestras reales de su intención de mejorar, transparentando la forma en que toma decisiones que afectan a todo el mundo. Además, debería invertir parte de sus ingresos en investigar, prevenir y resolver este tipo de conflictos (en vez de gastar millones de dólares en desarrollo de inteligencia artificial para predecir las emociones de sus usuarios, por ejemplo). La libertad de expresión debe ser un tema prioritario; la integridad de los usuarios también.

Es inconcebible que nos enteramos de esto porque el documento de Facebook se filtró a medios de comunicación. Porque era privado. Como usuarias y usuarios debemos exigir más transparencia sobre este tipo de decisiones. Ahora que los lineamientos son (un poco más) conocidos por el público, podemos tener un debate amplio sobre el tema y evaluar si estamos de acuerdo con lo que la plataforma permite, y por consiguiente si elegimos seguir usando sus servicios al estar o no de acuerdo.

El ransomware que paralizó al mundo

El pasado viernes 12 de mayo, más de 200 mil computadoras en 150 países alrededor del mundo fueron afectadas por una agresiva campaña de ransomware llamada WannaCry, WannaCrypt0r o WCry. Se le llama «ransomware» porque cifra los documentos de una computadora y exige el pago de una suma de dinero para devolver los archivos a su estado original. Es decir, los archivos quedan inaccesibles hasta que se paga el rescate. Lo que ha hecho famoso al ransomware WannaCry es la capacidad y métodos utilizados para propagarse: fue demasiado rápido, desatando una crisis cibernética. Cuando empresas como Deutsche Bhan, Telefónica España y el Sistema Nacional de Salud (NHS) de Inglaterra recibieron el virus, los trenes se detuvieron, las líneas telefónicas dejaron de funcionar y los hospitales no pudieron tomar rayos X.

¿Qué pasó? ¿Se podía prevenir? ¿Y qué rol juega Estados Unidos en esta crisis?

Como contexto, el año pasado un grupo llamado “Shadow Brokers” hackeó a la National Security Agency (NSA) e hizo públicas todas sus “ciberarmas”. Se les dice “armas” porque, mediante ellas, la agencia más poderosa de espionaje del gobierno estadounidense explota vulnerabilidades y errores en plataformas comerciales de Apple, Microsoft o Android -comúnmente utilizados- para saber todo lo que sucede en sus sistemas. No es necesario dar clic: es un defecto de fábrica que nadie conoce, y que permite a la NSA entrar a teléfonos o computadoras.

WannaCry aprovechó una de las vulnerabilidades hechas pública por Shadow Brokers para atacar Windows. Técnicamente, se trataba de un fallo en SMBv1, que se utiliza para acceder de manera remota a un computador e intenta infectar a más computadores, generando una cantidad de direcciones IP públicas aleatorias y escaneando los computadores vulnerables de la red local en que se encuentra (de la oficina o de la casa donde está conectado el computador infectado).

En su momento, las preguntas más importantes fueron: ¿se puede prevenir infección? ¿conviene pagar para recuperar la información? Sin embargo, lo primero era corregir las vulnerabilidades. En Marzo de 2017 Microsoft hizo pública una actualización que corrige la vulnerabilidad utilizada por WannaCry para infectar nuevos computadores, por lo que la medida básica para prevenir cualquier infección del ransomware es mantener actualizado Windows. Esta es una responsabilidad que tenemos los usuarios y usuarias en el mundo: es importante actualizar.

Otras medidas para prevenir el ataque son deshabilitar SMBv1, y aplicar reglas de firewall para bloquear el acceso por defecto al puerto 445, pero si el computador ya está infectado con el ransomware, lo más importante es revisar si existen respaldos de la información. En general, WannaCry infectó redes institucionales o corporativas que debiesen tener respaldos de la información de las estaciones de trabajo, en cuyo caso los encargados deben volver a instalar el sistema operativo y restaurar los respaldos previos a la infección. De cualquier manera, no era recomendable pagar, dado que de ningún modo garantizaba la devolución de la información en su estado original.

Es importante resaltar que la NSA jugó un rol crucial en esta crisis. Como agencia de inteligencia no solo se ha encontrado con estos fallos sino que los ha buscado activamente para obtener ventajas competitivas ante conflictos que se desarrollan en el espacio virtual, además de utilizarlos en contra de los usuarios. Es decir, que además de violar la privacidad, ha dispuesto dichas vulnerabilidades para su uso arbitrario e indiscriminado. Si la NSA hubiera hecho públicas las vulnerabilidades en lugar de intentar tener una ventaja a partir de ellas, la crisis de WannaCry nunca se hubiera desatado. Su deber como organismo estatal es proteger y respetar derechos humanos, pero en este caso lograron todo lo contrario.

Las vulnerabilidades en sistemas operativos y programas siempre van a existir, y quien las explote tiene una ventaja competitiva en términos de poder de coacción sobre otros [así como tener una pistola o una bomba nuclear] o de inteligencia [recolección de información]. Los países no renuncian nunca a tener ese poder, por eso es urgente y necesario regularlo mediante políticas de control de «armas digitales» para que los gobiernos más poderosos estén obligados a hacerlas públicas, en vez de usarlas en contra de las personas. Además, las políticas de prevención y mitigación de ataques a infraestructura «básica» (estaciones de trabajo de instituciones públicas, sistemas de manejo y control de información, sistemas financieros o de salud, etc) son vitales.

Con respecto a las empresas, es obvio que deben «parchar» o «arreglar» las vulnerabilidades de sus productos. Sin embargo, parte del problema en este caso fue la dificultad para actualizar los sistemas, ya sea porque no son originales, porque no se les da la importancia necesaria o simplemente por falta de personal capacitado. En última instancia, los y las usuarias también jugamos un papel importante en la prevención y respuesta ante situaciones como esta. En el caso de América Latina -como ocurre en muchas otras regiones del mundo-, el uso extendido de software privativo sin licencia resulta, más que un problema de legalidad, una barrera en el acceso a una internet segura. Ante casos como estos, vale la pena invitar una vez mas a la reflexión sobre la importancia de utilizar sistemas libres, que permitan la actualización periódica, a la vez que son sistemas auditables.

La crisis de WannaCry deja algo claro: a medida en que la tecnología permea nuestra vida un problema similar se puede volver a presentar en cualquier momento. Lo importante es que existan políticas y medidas para prevenir el daño que puedan causar, además de presionar para que los estados se hagan responsables por las «armas digitales» que desarrollan: no pueden invadir nuestra privacidad arbitrariamente, y no pueden desatar crisis en infraestructura básica para la sociedad.

Organizaciones mexicanas reclaman “mucho ojo” en campaña sobre el sexting

“Mucho ojo en la red” es una campaña de la Fundación Televisa y la Alianza por la Seguridad en Internet (ASI) que pretende alertar a padres y madres de familia acerca de los riesgos de ciertas prácticas en línea como el sexting y el ciberbullying. Sin embargo, su enfoque e imágenes promocionales estigmatizan al sexting y culpan a las víctimas de la difusión no consentida de material íntimo.

“Respétate. Cuidado con lo que compartes” es una de las frases promocionales de la campaña, usada como respuesta a la amenaza, recibida por la víctima, de difundir su fotografía desnuda a toda la escuela.

Es así que la propuesta de la Fundación Televisa falla al no centrar la responsabilidad de la agresión en los perpetradores que atentan contra el consentimiento y la privacidad de las personas en internet, ni en los cómplices que recirculan las imágenes. Por el contrario, culpa a las víctimas y responsabiliza abiertamente a una menor de edad por ser amenazada. Esta manera de excluir de responsabilidad la conducta del agresor/a perpetúa la práctica de violencia en línea contra las juventudes.

La campaña refuerza el estereotipo machista de que las mujeres son las responsables de los actos de violencia que reciben (por cómo se visten, por cómo actúan, por sus prácticas sexuales), al mismo tiempo se asigna una responsabilidad errónea hacia quien genera la imagen, y desvanecen a quienes ejercen la violencia al distribuirlas por represalia e incluso con fines comerciales.

El concepto de sexting se refiere a la realización de fotografías, vídeos o mensajes de contenido erótico o sexual y su intercambio de manera consensuada y libre entre las personas involucradas. Sin embargo, es criminalizado y descalificado sin matices desde un punto de vista moral conservador a través de un llamado a “respetarse”. Se estigmatiza el cuerpo al insinuar que erotizarlo por elección propia es “una falta de respeto”, lo que refuerza una educación sexual basada en miedo, culpa y rechazo a la propia sexualidad. Esta postura paternalista asume que las y los jóvenes son incapaces de ser responsables y de respetar a las otras personas.

La campaña ignora el derecho de autonomía progresiva de las juventudes, reconocido en instrumentos internacionales de los que México es parte. En este sentido, estigmatiza a aquellos que ejercen libremente su sexualidad. Una educación sexual basada en miedo o abstinencia no previene ni reduce conductas de riesgo; hace falta una educación sexual centrada en la toma responsable y segura de decisiones basadas en la información, así como el cuidado de uno/a mismo/a y de las y los otros.

La Fundación Televisa y la Alianza por la Seguridad en Internet deben informar con responsabilidad y no confundir a las niñas, niños y jóvenes. El Código Penal Federal no criminaliza tomarse una imagen y mandarla de forma voluntaria a un tercero dentro de un ambiente de confianza y bajo la presunción de que existe privacidad. Lo que constituye un delito es:

“procurar, obligar, facilitar o inducir, por cualquier medio” a una o varios menores de edad “a realizar actos sexuales o de exhibicionismo corporal con fines lascivos o sexuales, reales o simulados, con el objeto de video grabarlos, fotografiarlos, filmarlos, exhibirlos o describirlos a través de anuncios impresos, transmisión de archivos de datos en red pública o privada de telecomunicaciones, sistemas de cómputo, electrónicos o sucedáneos” así como “revelar, divulgar o utilizar indebidamente o en perjuicio de otro, información o imágenes obtenidas en una intervención de comunicación privada” (artículo 211 BIS, Código Penal Federal).

En lugar de buscar inhibir o disuadir el ejercicio de la práctica del sexting, la campaña de Fundación Televisa debería centrarse en educar a las y los jóvenes sobre cómo practicarlo de manera consciente, segura y responsable, así como invitar a no compartir con terceros imágenes, vídeos y otro tipo de materiales sin consentimiento.

* Este comunicado fue publicado originalmente en el sitio de Internet es Nuestra, coalición por una red libre de violencias.

Ciberseguridad en Chile: una oportunidad que no se puede desaprovechar

En abril de 2015, el gobierno de Chile estrenó el Comité Interministerial sobre Ciberseguridad (CICS), encargado de elaborar y proponer ante la presidenta de la república, la Política Nacional de Ciberseguridad (PNCS), una serie de medidas para proteger la seguridad y la libertad de los usuarios en internet, al mismo tiempo que promueve un ciberespacio libre, abierto, democrático y seguro.

Esta Política crea una hoja de ruta que permitiría abordar de manera coordinada y armónica distintos desafíos tales como las vulnerabilidades de seguridad tecnológica, los delitos informáticos, la protección de infraestructura crítica, entre otros asuntos. También incluye la elaboración de medidas congruentes de corto, mediano y largo plazo, que sean capaces de afrontar el desafío de la ciberseguridad desde distintos ángulos, lo que a su vez requiere la coordinación de distintos organismos públicos y otros actores involucrados.

En febrero de 2016 el Comité abrió un proceso de consulta pública cuyo objetivo era que los distintos actores de la sociedad civil, las empresas, otros organismos públicos y la comunidad técnica pudiesen aportar sus comentarios, críticas y recomendaciones al borrador de la PNCS (PDF). Proceso del cual fuimos parte como Derechos Digitales.

Este proceso, así como las audiencias temáticas con los actores involucrados, fueron particularmente relevantes puesto que mostraron un genuino interés por parte del CICS, de construir la Política de manea participativa. Esta realidad contrasta fuertemente con los anteriores procesos de elaboración de políticas públicas digitales, cuyos procesos participativos han sido superficiales o se han visto truncados a medio camino. Basta recordar que la Agenda Digital 2020 terminó siendo una vaga lista de deseos y la consulta pública convocada por el Consejo de la Sociedad Civil de Protección de Datos Personales nunca llegó a buen puerto.

Y es que a nivel internacional se ha generado un consenso en torno al necesario carácter abierto, participativo y transparente de los procesos de elaboración de políticas públicas, lo cual no solo mejora su calidad sino que genera procesos democráticos y de consenso, lo que a su vez facilita la implementación de las medidas.

En este sentido, y justamente porque la PNCS efectivamente contó con un proceso participativo efectivo, es preocupante que haya transcurrido un año desde la finalización del proceso de consulta pública y aún no se haya publicado la versión con los diferentes aportes. La PNCS se presenta como una oportunidad para enmendar errores pasados en los procesos de elaboración de políticas públicas digitales y puede servir como ejemplo futuro para la incorporación de diversas voces en la elaboración de políticas públicas.

Por lo mismo, y teniendo en consideración que ya está finalizando el periodo de gobierno, es necesario que de publicarse la versión final de la PNCS, se establezcan mecanismos que permitan consolidar esta hoja de ruta más allá de los resultados de la próxima elección presidencial. De lo contrario, se corre el peligro -como ha ocurrido con los sucesivos proyectos de reforma a la ley de protección de datos personales- de que el proceso se pierda y haya que volver a empezar desde cero.

Hoy el futuro de la PNCS está en manos del gobierno, a quien corresponde decidir si existe la voluntad política necesaria para generar una hoja de ruta que nos permita enfrentar de forma sistemática y coordinada los desafíos de la ciberseguridad. De ser así, la PNCS puede convertirse en un ejemplo para futuros procesos participativos de elaboración de políticas públicas, o de los contrario, se sumará a la lista de procesos que solo tuvieron la apariencia de participación o fueron abandonados a medio camino.

Los bloqueos de internet y la defensa de la democracia

El 29 de marzo pasado, luego de 14 meses de estado de excepción constitucional, el Tribunal Supremo de Venezuela suspendió las funciones de la Asamblea Nacional y delegó las funciones legislativas al presidente Nicolás Maduro, alegando su desacato por aceptar la investidura de tres parlamentarios de oposición acusados de fraude electoral.

Este hecho es resultado de meses de tensiones entre el ejecutivo y el legislativo, luego que el partido de gobierno perdiera su mayoría en la Asamblea Nacional. Con esto, la noticia del que ha sido denominado un auto-golpe de Estado se diseminó rápidamente a través de redes sociales y medios de comunicación en línea, llevando incluso a convertir el tema en tendencia mundial.

Desde la pérdida de control de la Asamblea Nacional por parte del oficialismo, y en medio de diversas manifestaciones, se ha vuelto central la participación de los medios en línea para acceder a información, ya que desde 2014 la Comisión de Telecomunicaciones emitió una resolución que amenazaba con multar y clausurar a los medios tradicionales que cubrieran “incitaciones a la violencia”, tales como manifestaciones críticas del gobierno venezolano.

La mañana del viernes 7 de abril, cibernautas venezolanos comenzaron a reportar que no podían acceder al canal de televisión web Vivoplay desde dentro del país. Luego, la denuncia se expandió a que VPITV y El Capitolio TV también se encontraban bloqueados de acceso. Los medios online afectados por el bloqueo eran los únicos que transmitían en directo las actividades de la oposición y tenían equipos en la primera línea de las manifestaciones. Según informó luego Ipys, pruebas técnicas conducidas por Venezuela Inteligente, demostraron el bloqueo de contenidos por DNS, esto es, que se impidió a los venezolanos acceder a estas web desde el servicio de Internet de Cantv, Movilnet (proveedores estatales), Movistar, Inter, y Digitel (proveedores privados).

Por otra parte, el reciente proceso electoral en Ecuador convirtió a internet en un campo de batalla donde, según denuncias, se intentó restringir el acceso a la información sobre el proceso. La organización ecuatoriana Usuarios Digitales denunció el bloqueo de su cuenta de Twitter, durante la tarde del 30 de marzo pasado, motivado por la publicación de información tributaria del candidato presidencial oficialista. Al día siguiente, los servidores web de Usuarios Digitales sufrieron lo que se consideró un ataque DDoS (Denegación de Servicio Distribuido). Esto ocurrió poco después de que publicaron un tuit informando que el sitio web del partido del principal candidato de la oposición, Guillermo Lasso, parecía estar fuera de línea.

El 2 de abril, investigadores de Usuarios Digitales realizaron pruebas técnicas que mostraron que en los proveedores de servicios locales de internet, incluidos Movistar, CNT y Netlife, hubo una interrupción del tráfico en toda la red desde las 18:05 hasta las 19:20. Luego de la interrupción, los investigadores vieron una disminución repentina de tráfico de los sitios web conocidos por sus opiniones contrarias al candidato oficialista. Por último, Usuarios Digitales informó sobre la caída, por cerca de dos horas, del enlace oficial de los resultados de las elecciones. Esta denuncia forzó al saliente presidente Correa a ordenar una auditoría para verificar el funcionamiento del sitio del CNE.

Como se aprecia en estos dos ejemplos, las organizaciones de la sociedad civil en estos dos países están haciendo un llamado público a los operadores de telecomunicaciones, así como a las autoridades involucradas, a informar a la ciudadanía de forma clara y precisa sobre las afectaciones técnicas que han sufrido las redes de Internet, lo cual supone una forma de censura que erosiona el acceso a la información por parte de la ciudadanía y con esto, el ejercicio democrático.

Los actos de bloqueo a Internet ejecutados sin garantías de debido proceso (como una orden judicial), violan los principios de acceso, pluralidad y neutralidad de la red, los cuales se consideran una extensión de la promoción y protección del derecho a la libertad opinión y de expresión, comprometida en el artículo 13 de la Convención Americana de Derechos Humanos.

En los casos descritos no parecen cumplirse los requisitos de la Declaración conjunta sobre Libertad de Expresión e Internet, para que pueda ser excepcionalmente aceptable un bloqueo en Internet: “el bloqueo obligatorio de sitios web enteros, direcciones IP, puertos, protocolos de red o ciertos tipos de usos (como las redes sociales) constituye una medida extrema—análoga a la prohibición de un periódico o una emisora de radio o televisión— que solo podría estar justificada conforme a estándares internacionales, por ejemplo, cuando sea necesaria para proteger a menores del abuso sexual”.

Celebramos y apoyamos el trabajo de las organizaciones de la sociedad civil poniendo en alerta al público en general acerca de los atentados al correcto funcionamiento de internet. El acceso libre a internet es una herramienta esencial para la discusión democrática, para exigir transparencia y responsabilidad en los procesos políticos.

¿Combatirá Facebook la pornovenganza?

Es una buena noticia porque, contrario a lo que afirmó su director ejecutivo, Mark Zuckerberg, la iniciativa no se centra solamente en el desarrollo de tecnología de inteligencia artificial y reconocimiento facial para la identificación de las imágenes, sino que incluye apoyo emocional, asesoramiento técnico e información a las víctimas.

Por eso se sumaron a la Guía de eliminación en línea y además lanzaron una guía propia. Sin embargo, es una lástima que la organización especializada en el tema, aún en asocio con la red social más grande del mundo, solamente ofrezca soporte en idioma inglés y acompañamiento en territorio estadounidense, lo que sin duda excluye a muchas de las víctimas.

Ante esta limitación parece que, en efecto, el esfuerzo de esta compañía sí está centrado en el desarrollo de tecnologías para probar la coincidencia de las fotos que sean reportadas como “sin consentimiento”, con el fin de evitar que sean compartidas nuevamente en Facebook, Messenger e Instagram. Si alguien trata de compartir la imagen después de que ha sido reportada y eliminada, la plataforma enviará una alerta de violación a las políticas y detendrá el intento de compartirla.

Si bien la iniciativa de Facebook no es suficiente para combatir este tipo de agresión, que es expresión de problemas sociales más allá de la interacción a través de una u otra plataforma, es necesario cuestionar si esta herramienta, efectivamente, protege a las víctimas. Como se sabe, en muchas ocasiones las políticas de la red social han derivado en la censura de imágenes de importante contenido cultural y político, así como de perfiles, tanto personales como no personales, por la difusión de imágenes que contienen cuerpos desnudos, femeninos.

La llamada “pornovenganza” es un tipo de violencia que se ejerce principalmente contra las mujeres, por eso es necesario alertar sobre las soluciones técnicas que, antes como ahora, no han contribuido a hacer de Facebook un espacio más seguro sino más restrictivo para nosotras. Aunque resulta muy útil una herramienta para eliminar las copias de una imagen íntima compartida sin consentimiento, y a pesar de que es imposible controlar que la imagen se difunda en otras plataformas, ¿cómo garantiza Facebook que la selección de las imágenes se hará con criterios justos? ¿Cómo garantiza que no se convertirá en un herramienta de censura? ¿Está dispuesto Facebook a rendir cuentas sobre el uso de inteligencia artificial? ¿Sobre el uso de las imágenes que eliminará de la plataforma?

Reconociendo el modelo de negocio en que está basado Facebook, cuesta imaginar una tecnología desarrollada por ellos que apoye efectivamente a las víctimas de “pornovenganza” y es preocupante que las estrategias de protección estén basadas en el desarrollo de tecnologías intrusivas como el reconocimiento a través de inteligencia artificial que, aunque de hecho ya son utilizadas por la plataforma, contribuyen mejorar los sistemas de monitoreo a usuarios y usuarias.

No estoy en contra de la tecnología, pero

“No estamos en contra de la tecnología”. Fuera de contexto, es una oración difícil de comprender. Dado que el concepto de tecnología abarca desde una piedra tallada para cazar hasta lo que sea que la NASA esté diseñando para mandar gente a Marte, presentarse a uno mismo como “contrario a la tecnología” parece ser una postura difícil de sostener. Probablemente existan entusiastas de ciertas formas radicales de primitivismo, pero dudo que alguna de las personas a las que iba dirigida la aclaración tuviese en mente una acusación de este tipo. Y, sin embargo, la aclaración se hizo.

“No estamos en contra de la tecnología, pero” fue una frase que se repitió varias veces en el marco de una discusión celebrada algunas semanas atrás en Santiago de Chile, ante la posibilidad de que una alcaldía comience a utilizar drones para vigilar los espacios públicos.

¿De dónde nace la necesidad de aclarar que no se es tecnofóbico a la hora de dar un argumento contra un uso particular de una tecnología particular en un contexto particular? Básicamente, para no quedar como loco. Lo que se desprende de esa frase es que la imposición por mantener una fe ciega en el progreso tecnológico ha calado tan hondo, que interfiere con nuestra capacidad para mantener una saludable distancia crítica, a riesgo de ser tildados de demente o extremista.

A nivel de políticas públicas, esto es particularmente delicado. “La tecnología es capaz de resolver cualquier problema, incluso aquellos que ella misma genera” parece ser el axioma. Aunque lejos de la verdad, es un discurso potenciado por autoridades que buscan soluciones vistosas a cambio de prensa fácil y por compañías ansiosas de hacer negociosos vendiendo soluciones, sin importar lo propicio que sean, ni los impactos negativos que podrían tener.

Los peligros del tecnoptimismo

“Ponen a prueba nueva versión de la TNE con reconocimiento facial” anuncia un portal de noticias; “Concepción es el lugar elegido para poner a prueba una nueva tecnología que otorgaría a la Tarjeta Nacional Estudiantil mejores medidas de seguridad” agrega.

¿Mayores medidas de seguridad? ¿La seguridad de quién exactamente? ¿Qué problema están tratando de resolver que requiere la creación de una base de datos biométricos del rostro de los estudiantes beneficiados con la rebaja del pasaje en el transporte público?

“Nos permite controlar que se presten las tarjetas entre los estudiantes, que se presten las tarjetas entre amigos, que haya tarjetas falsas” explica Mauro Moreira, administrador de una línea de buses penquista. A juzgar por esa explicación, el problema no es de seguridad, sino incrementar los mecanismos de control sobre los usuarios.

Por el contrario, la creación de una base de datos de ese tipo no solamente parece ser desproporcionada y contraria al concepto de minimización de datos, sino que genera potenciales riesgos adicionales a los usuarios del sistema de transporte.

Existen al menos dos problemas prácticos que probablemente no se están analizando debidamente:

El primero de ellos es que el sistema que administra los datos contenidos en las tarjetas de transporte estudiantil ha demostrado ser inefectivo protegiéndolos. Una investigación realizada por Derechos Digitales durante 2016 demostró que era posible acceder a todo el historial de movilización de cualquier estudiante chileno tan solo conociendo su nombre. Este no es un caso aislado y se suma a una lista de situaciones en las que las autoridades chilenas no han sido capaces de proteger la información que manejan: le ocurrió al Registro Civil, al Registro Electoral y también al Ministerio de Salud. Muchos de esos datos hoy circulan libremente a través de internet y pueden ser accedidos por cualquier persona.

En segundo lugar, esto es problemático además porque no hay manera de asegurarle a los estudiantes de qué maneras se están usando los datos, con qué otros datos se cruzan y con qué fines, como se tranza esa información. Tampoco hay mucho que decir respecto a eventuales soluciones o sanciones frente a un uso indebido de la información, porque la ley actual es increíblemente permisiva al respecto. Recordemos además que muchos de estos datos corresponden a menores de edad.

Pero lo que subyace acá es una postura política: no solamente se trata de pasar por alto las consideraciones de proporcionalidad y riesgos potenciales, se está partiendo del supuesto (casi hegemónico) de que la tecnología es siempre deseable e ideológicamente neutra.

Información proporcionada recientemente al Congreso estadounidense señala que el software de reconocimiento facial utilizado por el FBI falla el 15% de las veces y tiende a reconocer erróneamente a personas negras con mayor frecuencia que a personas blancas. Un software de etiquetamiento automático desarrollado por Google clasificó como gorilas a una pareja de afroamericanos. Estos no son los únicos casos conocidos de racismo en torno a esta tecnología; tampoco se trata de un simple error de programación, sino una demostración de cómo los prejuicios de los programadores se traslada al código del software, posiblemente de forma inconsciente incluso. Un recordatorio de que la tecnología es producida por personas que impregnan en ella sus ideas y defectos.

Bases de datos y poder

Por su parte, parece ser que la discusión sobre las bases de datos necesita un contexto mayor desde el cual ser abordado, porque tal como señalan las investigadoras Anja Kovacs y Nayantara Ranganathan sobre su proyecto de investigación “Gendering Surveillance”, las bases de datos son una forma en la cuál un grupo puede ejercer poder sobre otro; en palabras de Kovacs “las relaciones de poder deben ser examinadas para evaluar el valor de cualquier tecnología”.

En relación al uso de tecnologías de reconocimiento facial en el transporte público, particularmente de estudiantes que acceden al beneficio de tarifa rebajada, hay que comprender que no solamente se trata de los datos que se colectan, sino sobre la posibilidad de someter a un grupo social a un control de estas características. ¿Quiénes quedan libres? Los sectores más acomodados, que no usan el transporte público o no acceden a la tarifa rebajada.

Hay que constatar además que esta relación asimétrica no termina necesariamente cuando la persona deja de ser estudiante, de recibir el beneficio o de usar el transporte público: una vez dentro de la base de datos, no hay nada que impida estar ahí para siempre ni nada que asegure que el dato podría haber sido removido o que no ha sido copiado.

¿Es justo estar obligado a estar en una base de datos solamente por ser estudiante y pobre? ¿Qué va a pasar cuando la policía quiera acceder a esta base de datos para identificar a los asistentes a una marcha estudiantil? ¿Y si la gente deja de ir a las marchas por temor a quedar en un registro policial? ¿Qué pasará cuando el sistema no reconozca el rostro de una persona que está haciendo un uso legítimo del beneficio? ¿Y qué pasa si eso ocurre con mayor frecuencia con gente de ascendencia mapuche? ¿Qué va a pasar cuando el contenido se filtre, las fotografías se asocien al RUT y se ponga a disposición de cualquiera en internet? ¿Y cuando las quiera comprar una empresa privada? ¿Y cuando las quiera comprar una entidad de cobranza de deudas por concepto de estudios?

Que el temor a parecer tecnofóbicos no le impida a los tomadores de decisiones plantearse estas y otras preguntas pertinentes.

Proteger los derechos del agresor. Un peligroso precedente judicial

En días recientes, un tribunal paraguayo ordenó a la organización de derechos humanos TEDIC censurar un contenido publicado en su web, donde se evidenciaban los ataques violentos de parte de un conocido youtuber hacia una periodista, a través de un chat grupal de Facebook. En este chat, entre otras cosas, se hablaba de violar a la periodista para «corregir» su orientación sexual. Tras la difusión de estos mensajes por parte de la periodista, el youtuber solicitó un amparo ante la corte, alegando que la publicación de este contenido afectaba su reputación. El amparo fue acordado por la corte, considerando que dicho chat podía «seguir siendo objeto de malas interpretaciones por parte de los usuarios de la red“, y calificando como «insustanciosa» la discusión generada en torno al tema en las redes.

Más allá de sentar un peligroso precedente judicial, este caso trae de nuevo al debate público el tema de la violencia en redes por razón de género, circunstancia que constituye un problema mundial, pero que en América Latina resulta particularmente ubicuo debido a las desigualdades subyacentes. La violencia no es intrínseca a la tecnología sino que reproduce estructuras sociales, como pone particularmente de manifiesto el caso paraguayo. En lugar de convencer, el razonamiento detrás de la lamentable decisión judicial solo evidencia la importancia social y de orden público del problema del acoso en línea por razones de género y orientación sexual. Al descartar el caso como si se tratara de una mera rencilla entre amigos, en lugar de un patente ejemplo de la cultura de la violación prevalente en las sociedades latinoamericanas, la justicia falla en aplicar los principios de derechos humanos que llaman a la protección de las personas discriminadas.

La discusión en torno a las prácticas de violencia de género en línea, descartada por la corte paraguaya como innecesaria, reviste una importancia enorme para permitir a las sociedades avanzar en la resolución de este grave problema. Hace unos meses, la organización mexicana Versus presentó una plataforma sobre la violencia de género en línea, relacionada con el periodismo deportivo. En esta plataforma se evidencia que en este tipo de ataques, el género determina las formas que toma la violencia: se busca restablecer los sistemas que fijan a hombres y mujeres en determinados roles y comportamientos considerados como «propios» de su sexo. Es así como las mujeres, cuyas conductas se salen de los roles tradicionales (ya sea por sus intereses, actitudes, apariencia u orientación sexual) son agredidas en un intento de hacerles replegarse dentro de la conducta permitida.

Así, la tecnología no puede considerarse una causa sino una herramienta. El peligro del acoso en el ámbito digital (comparado con las prácticas de acoso offline de toda la vida) radica en que facilita el acceso a la persona objeto de los ataques, abarata el costo y permite masificar la agresión. Del mismo modo, raramente somos conscientes de la cantidad de información que acumulamos sobre nosotras mismas en línea, información que posibilita ataques de doxxing, o la práctica de recopilar y revelar información sobre una persona con la finalidad de exponerla públicamente.

Este tipo de amenazas, que tienden a ser descartadas como irrelevantes por personas que no son vulnerables a ellas, presentan dos factores de riesgo fundamental: la primera, el impacto que pueden tener en la seguridad y el bienestar emocional de las víctimas, y en su capacidad de expresarse y participar libremente en la sociedad. ¿Se atreverá una mujer a denunciar prácticas de acoso en Paraguay con el precedente judicial de considerar que estas denuncias «afectan la reputación» del agresor? Si expresar nuestras opiniones nos lleva a ser acosadas, ¿nos atreveremos a seguir hablando? Un reporte del instituto Data & Society señala que solo en Estados Unidos, cuatro de cada diez mujeres se han censurado a sí mismas en línea para evitar el acoso.

En segundo lugar, el límite entre lo online y lo offline es cada vez menos preciso. En casos como los del gamergate, los agresores revelaron la identidad y la dirección de las mujeres acosadas y utilizaron plataformas en línea para hacer envíos no solicitados a sus domicilios. Las formas que toma el acoso en línea contra las mujeres, además, suelen ser profundamente más perversas: amenazas de violación y de homicidio, imágenes sexuales y violentas. Al ser legitimadas por la sociedad, estas amenazas pueden materializarse u ocasionar graves daños psíquicos que lleven a las víctimas a causarse daño o incluso al suicidio.

Por otra parte, a la (en el mejor de los casos benévola) ignorancia de los órganos de justicia se suman las (frecuentemente dañinas) prácticas de las compañías que administran estas plataformas. Ofrecer mecanismos un poco más efectivos para lidiar con el acoso tomó años a una red social de las proporciones de Twitter, y aún hoy en día plataformas como Facebook conservan sus políticas de nombre real, exponiendo a diversos tipos de riesgos a las poblaciones LGBTI.

Considerar, como argumenta la jueza en el caso paraguayo, que denunciar prácticas de acoso quebranta la «paz social» es una postura que en sí misma contribuye a fortalecer estructuras de discriminación y agresión contra las mujeres. Es urgente que los órganos de administración de justicia latinoamericanos se pongan al servicio de la justicia, y no de la preservación del statu quo, adoptando medidas que permitan proteger a las víctimas de la violencia y la discriminación. La discusión que se genera a raíz de los casos de violencia de género e identidad sexual es de alta relevancia para el colectivo, y no puede el ejercicio irregular de un derecho anteponerse a la protección de una garantía constitucional, ni del interés público de la sociedad en avanzar la protección a los derechos humanos.