Los datos digitales deben ser protegidos

Las revelaciones sobre una masiva filtración de datos de los ecuatorianos muestra un país desprotegido ante las filtraciones. ¿Qué debe hacer el Estado? Aquí algunas respuestas.

Atrás quedó la forma en que la mayoría de los registros de datos personales del ciudadano, en servicios públicos o privados, se consolidaban en el papel. Sin embargo, la mayoría de esta información ya ha sido digitalizada para trasladarla a grandes bases de datos que son sus nuevos repositorios.

Esto significa también que todo soporte en  físico de información que no cuente  ahora con  la protección debida ante cualquier tipo de riesgo es vulnerable de caer en manos no autorizadas, o simplemente desaparecer por descuido, robo, o desastre. Entonces: ¿conocemos todos  los sitios físicos o virtuales en donde están nuestros datos personales?

Desde el momento en que  cualquier ciudadano del  mundo facilita su información por cualquier medio, se vuelve vulnerable. Especialmente si a quien entregamos esos datos hace un uso inadecuado de estos. “Mi cédula es”, “mi correo es”, “mi teléfono es”, “estudio en”, “vivo con”,  hasta el popular  “me gusta” de las redes  sociales,  sumados a una gran variedad de  información personal, es entregada segundo a segundo en el mundo digital interconectado.

En los últimos cinco años, el número de usuarios de teléfonos inteligentes  a escala mundial ha pasado de 1500 millones en el 2014 a 2 600  millones en el 2019; y los sistemas operativos que administran estos dispositivos están dominados por dos grandes marcas: Google y Apple. El primero, a través de los más de 1300 fabricantes alrededor del mundo ha conseguido que casi nueve de cada 10 smartphones usen Android; y el segundo, con el sistema operativo iOS, y a otros sistemas operativos, tiene  una participación estadística insignificante.

Entonces, es prácticamente imposible para el usuario común de estos aparatos llegar a estimar la enorme cantidad de información personal que ha entregado a estas marcas. ¿Cómo? Gracias al clic en el botón o advertencia que indica “Acepto términos  y condiciones”, que  pocos leen antes de continuar. Esta terrible  práctica también se repite con cada app que se descarga e instala en los móviles, en donde, por ejemplo, la aplicación “gratuita”, gracias a las letras pequeñas -que tampoco se lee- sí recibe un pago, pero en la moneda futurista del presente: “te entrego esta aplicación, y a cambio compartirás tus datos con  mi empresa”; y en algunos casos los datos se comparten a “terceros”, socios del propietario de la app. Por este y otros motivos se recomienda leer cualquier texto que contenga “políticas, términos y condiciones” que nos establecen por default las marcas, los desarrolladores de apps, las redes sociales, las declaraciones tributarias electrónicas, los acuerdos de uso de servicios públicos, el contrato de emisión de una firma digital, etc.

¿Qué son los datos personales?
No  solamente lo que se puede considerar información íntima o propia, sino toda información como  persona física identificada o identificable. Esto incluye, por ejemplo: su nombre, domicilio, número de tarjetas de crédito, número de seguro social, RUC, historia clínica, correo electrónico personal, número de celular, placa vehicular, imágenes, compras, consumos, gustos, ingresos, etc. Y cada uno se considera dato personal.

Dentro de estos, también podemos encontrar datos que  deberían estar especialmente protegidos,  ya que son sensibles, ya que su mal uso podría generar discriminación. Podemos citar aquí: la filiación política, condición  migratoria, pasado judicial, religión, orientación sexual, origen racial, y los datos llamados biométricos y genéticos, ya que todos estos sólo pueden recopilarse y tratarse bajo ciertas condiciones, sea por consentimiento explícito, o el mandato de la ley así lo permita.

Todo teléfono inteligente guarda internamente o en una nube, una gran parte o todos estos tipos de datos personales; por tanto, cada aplicación instalada sea esta de origen confiable o no, tiene acceso a aquella información que esté disponible a través del celular. Una situación similar sucede con los sistemas o plataformas del e-gobierno, en donde la información se almacena en algún lugar que suponemos seguro, bajo estricto control, libre de intromisión, exento de fugas de información, con planes de contingencia, etc.; o al menos, eso nos han hecho creer.

¿Pérdida, descuido, o robo  de datos?
En un escenario bastante familiar, usted reserva un taxi a través de una aplicación para móviles, su forma de pago es con tarjeta de crédito, ha agregado lugares favoritos como casa, trabajo y el colegio  de los hijos. Tiempo más tarde, esta empresa de taxis sufre una violación masiva de los datos, en la que se roban los datos de los conductores y los usuarios. Una semana después, aparecen consumos con su tarjeta de crédito que no se han hecho,  al correo llega sinfín de promociones de productos que  le gustan, y recibe por SMS un mensaje de números desconocidos indicando que conocen los movimientos  de sus hijos, y que, si no cancela una fuerte suma de dinero, ellos serán secuestrados. ¿A quién acudir?, ¿en dónde reclamar?, ¿a quién le corresponde la sanción? A pesar de que exista una investigación policial, el Ecuador no cuenta con un marco jurídico para este tipo de hechos. ¿Exageración? No. ¿Lamentable? Sí.

Recordemos, se conoció de la detección de un servidor en Miami utilizado por una empresa ecuatoriana, que  gracias a una falla grave, permitía descargar archivos que contenían información personal. Fueron más de 20 millones de archivos. Nombres completos,  números de cédula, lugar y fecha de nacimiento, dirección de residencia, números telefónicos, registros laborales, historial académico, estado civil, fechas de matrimonio, registros familiares y más datos personales sensibles contienen los 18 GB de datos encontrados.

También se incluía algunos registros  financieros que contaban los saldos de las cuentas de los clientes del Biess. Ese archivo descargable fue construido  gracias a la nula seguridad en los sistemas informáticos públicos y a la venta descarada de funcionarios corruptos  y coludidos para comerciar con la información exportada en formato Excel a sus socios criminales. El vacío legal  que  existe con  relación  al  tipo de  delito cometido producirá ruido,  pero no sanción. Ya los diagnosticadores han planteado sus teorías y los solucionadores han dicho que  se han tomado los contingentes frente  a este hecho, pero ninguno ha sido lo suficientemente certero en informar sobre cuántas veces pudo ser descargada esa información, desde qué país, para quién y con qué fin. Esto último es lo que importa.

Ni hablar de las redes sociales. Cada segundo se publican imágenes y textos que van desde el plato de comida de la fiesta de la compañera que acaba de ganar un ascenso, el look que la vecina cambia cada semana, los paseos y salidas del equipo de fútbol, la relación sentimental, las causas que  le importan, el diploma del curso que acaba de culminar, y miles de asuntos más. Toda la información se regala a marcas y corporaciones, e incluso a la próxima primera dama digital conocida como inteligencia artificial, y por la que esas mismas empresas cobran prohibitivas cantidades de dinero a quien puede pagar por perfiles e información. Tomando en consideración lo expuesto hasta aquí, la protección  de datos personales en todos los países del mundo debería ser un derecho fundamental, como lo es en la Unión Europea.

La protección de los datos
Frente al exponencial crecimiento de todo tipo de datos, las posibilidades de qué hacer con ellos también se expande, por lo que es fundamental contar con una norma que garantice protección en todas las instancias de la vida digital. Frente a la filtración de datos de ciudadanos se necesita de  forma urgente y prioritaria una Ley de Protección de Datos, que bien puede tomar como punto de referencia el Reglamento General de Protección de Datos RGPD (GDPR en inglés), donde están claramente definidos los responsables de recoger, almacenar, conservar, y/o tratar los datos personales. Es lamentable que tenga que suceder  un hecho de este impacto, para que la Asamblea Nacional desempolve el proyecto de ley para la regulación de los datos personales, y lo trate.

Esta ley permitirá, por ejemplo, obligar a quienes dan el tratamiento a los datos a notificar a la autoridad competente si sucede  una violación a la seguridad de estos; así como garantizar que se  nombren personas físicas  responsables  de la información. Pese a que este proyecto de ley busca un estándar similar al RGPD europeo, ya que  incluye derechos de acceso, rectificación, oposición, cancelación, no incluye un derecho que es particularmente útil: el Derecho  al Olvido. Es decir,  que  el dueño del dato retire el consentimiento para tratar la información de carácter personal, y que esta, bajo ciertas condiciones, incluso sea eliminada de los servidores donde está almacenada.

Ecuador merece una ley sobre privacidad basada en garantías sólidas, derechos individuales exigibles y autoridades de supervisión independientes; gracias a esta convergencia se brindarán nuevas oportunidades para promover los flujos de datos basados en la confianza y la seguridad.

Los ciudadanos son dueños de su información y todos tienen derecho a saber con qué fin se utilizará, a exigir privacidad y seguridad, y a borrarlos en el momento en que así lo decida. En la misma vía, el Estado debe exigir que todas las plataformas y repositorios que conforman y gestionan el e-gobierno, cuenten con medidas de seguridad y protocolos que restrinjan el acceso a delincuentes virtuales y físicos; que la información allí almacenada goce  de integridad y respaldo; y que, en caso de llegarse a presentar una vulneración, jurídicamente se pueda determinar responsables de la infracción y se repare el daño, de haberse producido.