Trabajar con cuestiones jurídicas en el campo de la ciberseguridad, del género de las presentadas por el caso FBI vs. Apple (derechos fundamentales vs . seguridad ) o, en el caso Facebook / Cambridge Analytics , es un proceso del tipo descrito por Dan Ariely como «sisífico». Nosotros, los juristas construimos, pieza a pieza, una arquitectura legal de protección de datos y de la intimidad, los gobiernos la destruyen pieza a pieza….y volvemos a reconstruir.
Por un lado tenemos un ciberespacio en manos de estafadores -grandes proveedores con controles mínimos internacionales- que seguirán dominando a los usuarios hasta que sean derrotados una y otra vez en las cortes. Por otro lado, una deriva cibertotalitaria con la emergencia de contornos securitarios de un nuevo espacio- hiperconectado, transfronterizo , cibervigilado, difuso- con nuevas formas de represión individual y colectiva, cuya columna vertebral es Internet, y que potencian las capacidades de los estados totalitarios, de los regímenes autocráticos para avanzar para estructuras orwellianas.
La privacidad es un elemento fundamental de la democracia, incluso en la era digital. Sin embargo, durante los últimos años, el derecho a proteger nuestra intimidad, nuestros datos personales , la privacidad de nuestras comunicaciones ha sido atacado impunemente por grandes corporaciones, por los estados y por los individuos.
Incluso sin estar necesariamente registrado en Facebook o en otra red social, los usuarios de Internet no están protegidos, las técnicas actuales permiten a las empresas recopilar mucha información sobre ellos, muy a menudo con el fin de orientar las campañas publicitarias que generarán ingresos, manipular la construcción de mayorías políticas con fines electorales, etc, etc.
El grande combate de los últimos años ha sido ( y continuará) el combate por la protección de datos personales en Internet . La intimidad debe ser protegida, la vida privada permanecer, incluso en Internet, privada.
Ni el estado ni los gigantes de la red deben tener estatutos de excepción frente a los principios y derechos fundamentales a la intimidad, a la privacidad y a la protección de datos en Internet. No nos engañemos , cuando un gobierno quiere abrir todos los correos de sus ciudadanos, cuando pretende intervenir nuestros teléfonos celulares en el cuadro de una investigación, sin que exista para tal un mandato judicial, raramente atrapa a los “mafiosos”, siempre atrapa a los oponentes, a los críticos del sistema.
Le corresponde al legislador imponer estos principios e instalar mecanismos eficientes de vigilancia y, en su caso, el acceso a la reparación de las violaciones de nuestra intimidad . Imponer a los gobiernos y a los proveedores de servicios en Internet el respecto por la autodeterminación informativa del individuo, facilitando el acceso de los ciudadanos a su información personal – incluyendo herramientas para control de la recolección,
almacenamiento, flujo y utilización de su información personal – y, estar plenamente en el cumplimiento de los derechos constitucionales a la privacidad y a la protección de datos personales .
Si la tecnología incrementa la capacidad de acumulación, procesamiento y comunicación de información sobre terceros y facilita las transacciones y operaciones administrativas, es esencial que también esté configurada y empleada para garantizar que los interesados, tanto si son ciudadanos como consumidores, disfruten de un beneficio proporcional de estos avances.
La solución tecnológica existe: se llama encriptación. Las tecnologías de encriptación de extremo a extremo, que hacen que un mensaje sea ilegible, incluso para su proveedor de servicios o proveedor de servicios y, solamente accesible para el remitente y el destinatario, existen y son eficaces. Seamos concretos, en la era de la datificación (Big Data) el control del usuario final sobre su privacidad en red y sobre sus comunicaciones no es posible sin la aplicación del principio de encriptación y anonimización .
La solución jurídica, también, misma que debería ser establecida en oposición a intereses “mayores” de la “razón” de Estado. En términos jurídicos, los principios de la encriptación y de anonimización de datos no son nuevos. Desde finales del siglo pasado e inicio de este siglo, por ejemplo en la a recomendación núm. R (99) 54 del Comité de Ministros del Consejo de Europa se ha establecido que “el acceso y uso anónimo de servicios y medios anónimos de realizar pagos son las mejores protecciones de la privacidad”. Principio, reforzado por la Directiva Europea 2001/31/CE (la Directiva de E-Comercio), que incluye previsiones electrónicas anti-spamming y, de forma similar, por el artículo 5.3 de la Directiva 2002/58/CE sobre comunicaciones privadas y electrónicas y, recientemente por el nuevo reglamento europeo, REGLAMENTO (UE) 2016/679 DEL PARLAMENTO EUROPEO Y DEL CONSEJO de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la directiva 95/46/CE. Reglamento general de protección de datos.
A nivel mundial, esta cuestión también ha sido abordada por la ONU , en documentos generales tales como el informe del 2014 “Right to Privacy in the Digital Age” por el Alto Comisionado para los Derechos Humanos de las Naciones Unidas, sobre la cuestión de la recolección masiva de datos vista desde el derecho a la privacidad. No obstante, en México, en el Decreto Ley publicado en el DOF el 26/01/2017 , por el cual se expide Ley General de Protección de Datos Personales en Posesión de Sujetos Obligados, no existe una explicita obligatoriedad de aplicación del principio de encriptación de nuestros datos personales , limitándose a algunas referencias, muy generales (ver art. 29) sobre la observación de “la Constitución y los Tratados Internacionales en los que el Estado mexicano sea parte; en lo que no se contraponga con la normativa mexicana podrá valerse de estándares o mejores prácticas nacionales o internacionales para tales fines”. Pero, en el título tercero, “Derechos de los titulares y su ejercicio, Capítulo I, “De los Derechos de Acceso, Rectificación, Cancelación y Oposición” , se mantiene inalterada la arquitectura básica de los principios ARCO, sin mención del Principio de encriptación ni del principio de anonimización. Misma laguna legislativa en la Ley y en el Reglamento de Protección de datos en manos de particulares. Es bien verdad que, la laguna legislativa se encuentra ( de una forma poco clara
e inoperativa) hasta determinado punto subsanada en el capítulo III, “ De las medidas de seguridad” , art, 14, de la Ley de Protección de Datos del Distrito Federal . Sin embargo, vimos cómo, recientemente, la SCJN , por unanimidad de votos de los Ministros de la Segunda Sala, negó la protección de la justicia federal a la Red en Defensa de los Derechos Digitales R3D, quienes demandaban amparo contra el Congreso de la Unión; Cámara de Diputados y Senadores- y el Presidente de los Estados Unidos Mexicanos, encargados de la aprobación, expedición, refrendo, publicación y aplicación, en el ámbito de sus respectivas atribuciones, de los artículos 189 y 190, fracciones I, II y III, de la Ley Federal de Telecomunicaciones y Radiodifusión.
O sea, hasta el momento, gobierno y aparatos de seguridad del estado, se han asegurado principalmente de desarrollar la paranoia securitaria , tratando de hacer creer que el derecho a la privacidad en redes, a la intimidad de nuestras comunicaciones , es un “mal” en la era de la (in)seguridad internacional y de los miedos colectivos exacerbados por una comunicación social histérica. El usuario, el ciudadano, se transforma, bajo esta narrativa, constantemente en un “potencial” enemigo o, en el mejor de los casos, es presentado como un niño bajo “tutela” que necesita de ser “protegido” de sí mismo y de su “adicción” a lo digital.
Ahora bien, es altura de dejar de lado estas dos visiones altamente negativas para el individuo (y, para el buen funcionamiento de las democracias) y exigir al legislador que implemente de forma clara y sin ambigüedades una agenda de reformas legislativas para redefinir el principio general ( que en cuanto principio general solo tiene una función de soft law) en seis principios reguladores ( hard law) : 1.- Principio proactivo; 2. Principio de privacidad por defecto; 3. Principio de privacidad objetiva; 4. Principio de plena funcionalidad; 5. Principio de privacidad en el ciclo de vida de la información; 6. Principio de información y formación; 6. Principio de información y formación.