En los últimos años, nuestra leyes sobre ciberseguridad han avanzado lentamente. Desde la última ley de delitos informáticos aprobada el 2013, el tema nunca había vuelto a encontrar un espacio propio en la agenda regulatoria. Hasta hace unos meses, cuando el Congreso presentó dos proyectos de ley sobre ciberseguridad y ciberdefensa que crean un nuevo punto crítico en el desarrollo de políticas públicas sobre el tema.
Pese a la expectativa, este primer momentum no duró mucho. A diferencia de otros espacios como la CODESI (Comisión para el Desarrollo de la Sociedad de la Información), que naufragaron por falta de voluntad política, el problema con la SEGDI es de tipo orgánico. La SEGDI es solo una de las cinco secretarías de la Presidencia del Consejo de Ministros, su presupuesto y personal son limitados, y no tiene autonomía o jerarquía suficientes para hacer todo lo que debe hacerse en materia de seguridad digital. No es que no lo intente, pero todo avanza más lento de lo que debería. Este es un escenario perfecto para que otros actores decidan tomar la iniciativa y así fue.
A inicios de agosto, se llevó a cabo la 12 Reunión Regional Preparatoria para el Foro de Gobernanza de Internet (LACIGF), en la ciudad de La Paz, Bolivia. Como todos los años, el equipo de Hiperderecho estuvo presente y participó del evento principal además de los eventos paralelos que se realizaron durante la semana. Igual que en las ediciones de 2016 y 2017 y 2018, este año también tenemos varios comentarios.
¿Qué es el LACIGF?
Si no están familiarizados con el término, LACIGF son las siglas de “Foro de Gobernanza de Internet de Latinoamérica y el Caribe”. Este evento reúne a los actores de esta región (sociedad civil, gobiernos, empresas, etc.) para discutir sobre temas de interés regional relacionados al desarrollo de Internet. Aunque no son espacios conectados, LACIGF es una especie de antesala del Foro de Gobernanza de Internet, que este año se realizará el Berlín.
De igual forma que el evento global, LACIGF está construido a partir de una serie de principios. Algunos de ellos son: poseer un esquema de desarrollo en donde participen las múltiples partes interesadas, que no tenga necesariamente un carácter resolutivo, que no exista ánimo lucrativo en su realización, entre otros. Desde el 2008, el evento se realiza en un país diferente de la región latinoamericana y caribe.
Existen actualmente diferentes excepciones a la ley de protección de datos peruana que impide a los ciudadanos ejercer su derecho a controlar la forma cómo se trata su información personal para fines de seguridad ciudadana.
1. ¿En qué consiste?
Las leyes de datos personales suelen ser creadas con el fin de establecer las condiciones bajo las cuales se recopila y almacena información de carácter personal, así como quiénes están autorizados para hacerlo y cuáles son los derechos que tienen los titulares de dichos datos. El objetivo es generar un ecosistema de confianza que permita el uso de esta información, sin que se vulnere el consentimiento o la privacidad de las personas. En algunos casos las leyes otorgan la posibilidad de que el tratamiento de los datos se realice solo con autorización previa, pero en algunos casos puede realizarse por mandato legal.
En el Perú, desde el año 2011 se cuenta con una ley de protección de datos personales que tiene como objetivo proteger el uso de la información de las personas. En ella se recogen los escenarios bajos los cuales se autoriza su recopilación y tratamiento, así como los derechos que tienen los titulares que son: Derecho de acceso, rectificación, cancelación y oposición (ARCO). Existe también una Autoridad Nacional de Protección de Datos encargada de supervisar el cumplimiento de esta norma. Sin embargo, también existen excepciones contempladas en dicha ley. Una de las más amplias es la que autoriza a las entidades públicas a tratar datos personales de los ciudadanos sin necesidad de consentimiento y con reglas poco claras sobre su tratamiento posterior.
Señala que la ley no aplica a los datos administrados por entidades públicas, siempre que su tratamiento resulte necesario para que estas cumplan con sus competencias, por motivos de defensa nacional o de seguridad pública. (Ley de Protección de Datos Personales, Artículo 3, inciso 2; Reglamento, Artículo 4)
3. Contexto
Las políticas públicas relacionadas al tratamiento de datos personal son una iniciativa importante en el marco del reconocimiento de la autodeterminación informativa, que consiste en el derecho de cualquier persona a ejercer control sobre su información personal contenida en registros públicos o privados. Durante los últimos veinte años, el desarrollo de este derecho, íntimamente ligado al de la privacidad, ha propiciado la aparición de leyes y entidades que buscan proteger el uso de los datos personales, entregando mayores herramientas para su fiscalización, en especial teniendo en cuenta el alto nivel de digitalización y automatización de la recolección de información.
Desde 2011, el Perú cuenta con su propia ley de protección de datos. Esto significa que cualquier entidad pública o privada que desee almacenar datos personales debe contar con autorización previa de sus titulares y realizar el tratamiento exclusivamente con los fines para los cuales solicita dicha información. No obstante, como dijimos, la ley peruana presenta tres excepciones: (i) cuando se trata del tratamiento de datos por parte de entidades públicas, (ii) con motivo del cumplimiento de sus funciones, o (iii) razones de seguridad pública o defensa nacional.
Empleando estas excepciones, diferentes entidades públicas no requieren solicitar permiso a los titulares de los datos para tratar o compartir su información. Esto implica a veces que tampoco puedan hacer uso de los derechos ARCO, especialmente cuando la información se almacena por motivos de seguridad pública o defensa. Esto último hace que se puedan llevar a cabo tareas de recolección y tratamiento muy intrusivas que no están sujetas a fiscalización. En los últimos cinco años, han aparecido diferentes leyes y disposiciones que crean nuevas situaciones en donde se utiliza esta excepción: Por ejemplo: las leyes que obligan a colocar cámaras de vigilancia, las que crean un mecanismo para obtener y almacenar datos de geolocalización, las que obligan a realizar autenticaciones biométricas, etc.
Pese a que existe una Autoridad de Protección de Datos que debe vigilar el cumplimiento de esta norma, existen tantos supuestos en donde se aplican las excepciones, que no es posible saber si en todos los casos se toman medidas de seguridad o se tratan los datos respetando los derechos de privacidad e intimidad de las personas. Las entidades públicas que se amparan en estas excepciones tampoco son muy transparentes a la hora de revelar cómo protegen la información que recolectan.
4. ¿Cuál es el problema?
Las leyes de protección de datos personales son positivas, pues representan un límite al uso de la información personal realizada por entidades públicas y privadas. El problema es que estas normas suelen incorporar excepciones, casi siempre pensadas para no obstruir el trabajo que realizan ciertas entidades públicas como las que llevan el registro civil, pero que terminan siendo empleadas también por las fuerzas de seguridad del Estado, que suelen operar de forma poco transparente, y sobre las cuales es muy difícil ejercer control alguno.
En el Perú, algunos de los problemas asociados a esta política pública son:
Afectan el derecho a la privacidad de todas las personas porque el almacenamiento de sus datos personales se realiza sin su autorización y no existen disposiciones para oponerse o fiscalizar que el tratamiento se realiza con estándares de seguridad y necesidad.
5. ¿Existen políticas públicas similares en la región y el mundo?
En la mayoría de países del mundo existen leyes de protección de datos personales, que son más o menos garantistas con el derecho de autodeterminación informativa. En ese sentido, queremos comparar el caso del Perú con el de otros países. Para ello vamos a tomar dos ejemplos:
a) Chile
Chile fue uno de los primeros países en implementar leyes de protección de datos. Su norma principal, la Ley N° 19.628 de 1999, disponía la necesidad de inscribir los bancos de datos personales a ser tratados y exigir autorización de sus titulares. De forma similar que la norma peruana, la ley chilena contempla dos excepciones: Cuando la información se trata con fines de “Seguridad Nacional” o en “Interés de la Nación”. Hasta hace muy poco, Chile no contaba con una autoridad encargada de vigilar directamente el cumplimiento de esta norma y analizar los casos en disputa, pero desde 2018 se han encargado estas funciones a su Autoridad de Transparencia.
b) Unión Europea
A partir de 2016, entró en vigencia la política europea para la protección de datos: El Reglamento General de Protección de Datos (GDPR por sus siglas en inglés), una norma que obliga a todas las empresas que tratan datos personales en países europeos o de ciudadanos europeos a obtener siempre autorización expresa de sus titulares. Además de los derechos ARCO, incorpora también otros derechos como el “derecho al olvido” (desindexación o eliminación de contenidos caducos o inexactos) y el derecho a la portabilidad de los datos personales. Así mismo, incorpora obligaciones nuevas para las entidades privadas, como que estas deben informar si han sufrido incidentes de seguridad. No obstante, igual que en Perú, persisten las excepciones destinadas a permitir el funcionamiento de entidades de registro y de las fuerzas públicas.
Durante la investigación de casi cualquier delito, la Policía y el Ministerio Público pueden acceder al contenido de nuestras comunicaciones mediante autorización judicial
1. ¿En qué consiste?
La intervención de las comunicaciones y sus datos derivados forman parte de las políticas públicas implementadas con el fin de facilitar la prevención e investigación de los delitos. Las normas de este tipo sirven para crear un marco legal bajo el cual, en determinadas circunstancias y con límites previamente establecidos, entidades como la Policía Nacional o el Ministerio Público pueden solicitar el acceso a las comunicaciones, incluso en tiempo real, así como el almacenamiento de sus datos derivados para consulta posterior.
En el Perú también existen normas que permiten la intervención de las comunicaciones en el transcurso de la investigación de un delito, recogidas en el Código Procesal Penal. Estas medidas, que tienen carácter de extraordinarias, deben ser solicitadas al juez competente, quien determina de qué manera y por cuánto tiempo se permite la intervención a una o varias personas.
Hoy en día es casi imposible encontrar un país que no cuente con una estrategia de Seguridad Nacional, que está destinada a prevenir la interrupción del gobierno nacional, combatir las amenazas internas o externas y asegurar la prestación de servicios públicos para la población. Dentro de este esquema, las leyes de inteligencia son herramientas muy útiles pues permiten a las fuerzas públicas , recabar información de forma lícita, aún cuando para ello se empleen medidas que en otros casos podrían resultar ilegales.
En el Perú existe un marco legal de acción de los servicios de inteligencia, tanto a nivel de la Policía como de las Fuerzas armadas. Por regla general, estas normas solo se aplican en casos muy específicos, todos ellos relacionados a la Seguridad y la Defensa Nacional. Para los demás casos, como la investigación de delitos comunes, las normas de inteligencia no deberían ser aplicables. Sin embargo, en el caso peruano las reglas no son tan claras, lo que permite un rango de acción muy amplio.
Adquirir una línea de teléfono, tramitar el DNI electrónico o hasta vender un auto a través de una Notaría requieren verificación biométrica obligatoria
1. ¿En qué consiste?
El empleo de la identificación biométrica es una práctica que busca incrementar la eficacia de la identificación de personas con diferentes fines: desde la prestación de servicios, hasta la investigación criminal. Desde el punto de vista de las políticas públicas, son una herramienta que añade una capa tecnológica a un proceso ampliamente utilizado por entidades públicas y privadas a la hora de ofrecer productos y servicios.
En Perú, la implementación de la biometría inició con el propósito de servir a los procesos de identificación de personas liderados por RENIEC. Posteriormente la identificación biométrica pasó a formar parte central de diferentes esquemas de registro y verificación con fines de seguridad ciudadana, especialmente para evitar los delitos contra el patrimonio y la fe pública, como el robo, el hurto, los fraudes, etc.
Para poder adquirir el servicio de telefonía móvil, ahora es obligatorio acudir a un centro de atención y colocar la huella dactilar en un identificador biométrico
1. ¿En qué consiste?
El registro de datos personales de quienes adquieren una tarjeta SIM o chip telefónico generalmente se implementa para establecer un control que permita regular diferentes aspectos relacionados a las comunicaciones. Por ejemplo: asegurar la calidad del servicio, conocer el número de usuarios de una compañía, prevenir el fraude o suplantación de personas, etc. También es una herramienta utilizada para prevenir y perseguir los delitos pues abre la posibilidad de que el Estado atribuya a una persona cada línea telefónica móvil y tenga acceso a los metadatos o al contenido de las comunicaciones.
En el Perú, desde el año 2004 es obligatorio que los operadores de servicios de telecomunicaciones registren los datos personales de sus usuarios, cuando estos adquieren sus servicios. Esto incluye a los que adquieren el servicio de telefonía móvil, con lo que los sim card o chips que reciben están asociados a sus datos. Progresivamente dicho registro ha ido incorporando cada vez más información y actualmente exige que también se recolecten datos biométricos que son exigidos a la hora de registrar líneas nuevas o recuperar las perdidas, salvo excepciones.
La lista de equipos móviles y la identidad de sus titulares de todo el país está en poder del Estado y la Policía Nacional puede acceder a ella sin contar con una orden judicial que lo permita.
1. ¿En qué consiste?
El acceso a registros o listas creadas por mandato legal por parte de entidades del Estado es una práctica común en muchos países. Como política pública, esta es una herramienta que sirve con diferentes propósitos. Por ejemplo: fiscalizar una actividad regulada, asegurar el funcionamiento de un servicio, ofrecer seguridad jurídica para las transacciones, etc. En algunos casos, también sirven con el propósito de prevenir y perseguir los delitos, como es el caso de los registros relacionados a las comunicaciones.
En el Perú existen diferentes leyes y disposiciones reglamentarias que aprueban registros y listas de todo tipo, incluyendo también los registros de las comunicaciones. Una de estas listas es el RENTESEG, un registro nacional de celulares asociados a los datos personales de sus titulares. Además de permitir el bloqueo en caso de robo o pérdida, este registro virtualmente puede permitir el acceso a esta información a la Policía aun sin contar con las garantías de un mandato judicial.
Todos los equipos móviles que van a ser utilizados en el país tienen que estar registrados junto con los datos de sus dueños en una lista controlada por el Estado o serán bloqueados
1. ¿En qué consiste?
La creación de registros o listas suelen servir al propósito de dar seguimiento a diferentes elementos: actividades, comportamientos, transacciones, etc. Desde el punto de vista de las políticas públicas, son una herramienta ampliamente utilizada en muchos campos (el comercio, la seguridad, la identificación) para ejercer control sobre estos elementos con el fin de fomentarlos, restringirlos o prohibirlos. Así mismo, la forma en que se almacenan y operan estos registros o listas puede recaer tanto en entidades públicas como privadas y ser de acceso público o restringido.
En Perú existen diferentes leyes y disposiciones reglamentarias que aprueban registros y listas de todo tipo, desde los registros públicos de propiedad hasta las listas de beneficiarios de programas sociales. Si bien existe un legítimo interés en que algunos de estos registros estén disponibles y sean públicos, también hay otros cuya existencia compromete seriamente la privacidad. Entre estos últimos destacan especialmente los registros de objetos de uso cotidiano, como los teléfonos móviles, que se implementan con varios fines, entre ellos la seguridad ciudadana.
Las compañías que ofrecen servicios de telecomunicaciones deben almacenar los metadatos durante tres (3) años
1. ¿En qué consiste?
El almacenamiento datos derivados de las telecomunicaciones o “metadatos” es un elemento constituyente de las políticas públicas de recolección de datos derivados de las comunicaciones. Estas normas se implementan con el fin de emplear la información almacenada para facilitar la investigación de los delitos, aunque también se pueden emplear para la ubicación de personas desaparecidas, el seguimiento de actividades posiblemente delictivas, la represión de activistas y líderes de movimientos sociales, entre otros.
En Perú existen diferentes leyes y reglamentos que hacen obligatorio el almacenamiento de datos y metadatos derivados de las comunicaciones, lo que incluye: el contenido mismo de las comunicaciones, su origen geográfico, frecuencia, los datos de navegación, etc. Por regla general, cuando se necesitan durante la investigación de un delito, esta información solo es accesible para la Policía Nacional del Perú y/o el Ministerio Público luego de haber obtenido un mandato judicial. Sin embargo, también existen normas que permiten un acceso excepcional sin mandato judicial.
2. ¿Dónde está reconocida?
Agosto 2000: Ley 27336, Ley de Desarrollo de las Funciones y Facultades del Organismo Supervisor de Inversión Privada en Telecomunicaciones – OSIPTEL
Hace obligatorio para todas las empresas supervisadas por OSIPTEL el conservar por un período de al menos 3 (tres) años los registros fuentes del detalle de las llamadas y facturación de los servicios que presta. 1
Otorga al Juez la facultad de autorizar la recolección de datos y metadatos de las comunicaciones de personas investigadas, exclusivamente cuando se trate de los delitos mencionados a continuación: secuestro, trata de personas, pornografía infantil, robo agravado, extorsión, tráfico ilícito de drogas, tráfico ilícito de migrantes, delitos contra la humanidad, atentados contra la seguridad y traición a la patria, peculado, corrupción de funcionarios, terrorismo, delitos tributarios y aduaneros, lavado de activos y delitos informáticos. 2
Julio 2004: Nuevo Código Procesal Penal (NCPP), Artículos 230 y 231: “La intervención de comunicaciones y telecomunicaciones”:
Otorga al Fiscal la potestad de solicitar al Juez la grabación de comunicaciones cuando sospeche la comisión de un delito cuya pena sea superior a 4 años de prisión y dicha intervención sea absolutamente necesaria para proseguir la investigación. El mandato del juez puede recaer sobre los investigados o personas de su entorno. 3
Otorga al Fiscal la potestad de conservar las grabaciones hasta que culmine el procesal penal o, al finalizar la investigación si esta no se judicializa, previa autorización del juez. 4
Hace obligatorio notificar a el o los investigados sobre todo lo actuado (grabaciones, geolocalización, etc.), solo si el objeto de la investigación lo permite y en tanto esto no ponga en peligro la vida o la integridad corporal de terceros. Para que la intervención se mantenga en secreto será necesario una resolución judicial motivada y con plazo determinado. 5
Hace obligatorio para las empresas que ofrecen servicios de telecomunicaciones, almacenar los datos derivados de las telecomunicaciones de todos los usuarios de estos servicios durante 12 meses, tiempo durante el cual las autoridades podrán acceder en tiempo real con mandato judicial previo. Adicionalmente, los datos se almacenarán durante 24 meses adicionales, pero el acceso a los mismos será diferido y también previo mandato judicial. 6
3. Contexto
Las políticas públicas relacionadas al almacenamiento de datos derivados de las comunicaciones se caracterizan por ser particularmente intrusivas para la privacidad, pues son generales y aplican a todos los usuarios de estos servicios, no solo a los que las autoridades se encuentren investigando. Dependiendo de la regulación de cada país, dicho almacenamiento puede ser amplio o restringido, pero casi siempre se le encarga su ejecución a las empresas de telecomunicaciones que suelen ser entidades privadas. En todos los casos, se señala que estas políticas son necesarias para mejorar la seguridad ciudadana, específicamente respecto de la investigación de delitos.
En el Perú, hasta la fecha de publicación del Decreto Legislativo N° 1182 en 2015 durante el gobierno del presidente Ollanta Humala, no existían normas que hacían obligatoria la recolección de datos y metadatos de las comunicaciones con fines de investigación criminal. Sin embargo, previamente, sí existían obligaciones de conservación con motivos de aseguramiento de calidad del servicio y rendición de cuentas frente a los usuarios. No obstante, desde la entrada en vigencia de este Decreto Legislativo se amplió la obligación de conservación a otros elementos más allá del detalle de llamadas, como tráfico de navegación o datos del origen geográfico de la llamadas. El protocolo bajo el cual se realizan las tareas de recolección actualmente no son públicos, por lo que no se conoce bajo qué estándares se almacena la información y cómo se mantiene segura frente a posibles intrusiones de terceros, dado que algunos de estos datos son particularmente sensibles.
4. ¿Cuál es el problema?
El almacenamiento masivo y obligatorio de metadatos representa diferentes problemas para la privacidad. El más grave es que la recolección se realiza no en base a requerimientos individuales sino que se aplica al universo total de usuarios de los servicios intervenidos. Eso significa que todos los ciudadanos, sin excepción alguna, están sujetos a este mecanismo de vigilancia y control. El derecho internacional de los derechos humanos ha señalado que el mero hecho de sentirse observado ya es una afectación a la privacidad.
Así mismo, la implementación de estas medidas suponen también costos adicionales a las empresas, los cuales suelen trasladarse a los usuarios. En el Perú, algunos de los problemas asociados a esta política pública son:
Afectan el derecho a la privacidad de todas las personas porque el almacenamiento es sobre todos los metadatos derivados de las comunicaciones y no en base a requerimientos específicos.
Afectan el derecho a las personas a que sus datos y metadatos almacenados se mantengan fuera del alcance de terceros, pues por el tiempo en que estos deben conservarse son vulnerables a intrusiones de todo tipo. Dada la sensibilidad de esta información, es especialmente crítico que no se sepa cuáles son las medidas de seguridad que se han tomado para resguardarlos.
Afectan la economía de los usuarios finales, pues los costos que asumen las compañías de telecomunicaciones al recolectar estos datos y metadatos y almacenarlos se refleja finalmente en la contraprestación que estos tienen que pagar para acceder a los servicios de telecomunicaciones.
5. ¿Existen políticas públicas similares en la región y el mundo?
Efectivamente, el almacenamiento de datos y metadatos existe en diferentes partes del mundo, siendo empleadas con fines de seguridad nacional y para la persecución de delitos, especialmente aquellos considerados graves como el terrorismo, la pornografía infantil, etc. En ese sentido, queremos comparar el caso del Perú con el de otros países. Para ello vamos a tomar dos ejemplos:
a) Unión Europea
En 2006, la Unión Europea adoptó una directiva de retención de datos, que habilitaba a los países miembros a crear regulación que permitiera retener diferentes tipos de metadatos como la ubicación, el origen, los dispositivos empleados, el tráfico IP, entre otros, de las comunicaciones por un plazo de entre 6 meses y 2 años. El objetivo era crear un marco legal común que permitiera la investigación y persecución de delitos considerados graves. Sin embargo, pese a su implementación en diferentes países, en el año 2014, la Corte Superior de Justicia de la Unión Europea declaró inválida dicha directiva pues consideró que esta violaba los derechos humanos de los ciudadanos europeos.
b) Rusia
Del otro se encuentra Rusia, que en 2016 implementó una norma que permite la retención de datos y metadatos, que incluyen también el contenido mismo de las comunicaciones, los cuales se almacenan por un período de 6 meses hasta 3 años. Así mismo, dicha ley creaba la obligación de ciertas empresas que ofrecían comunicaciones con cifrado punto a punto como WhatsApp, a instalar puertas traseras y ofrecer acceso privilegiados para acceder al contenido de las informaciones. Pese a la oposición de cierto sector de la sociedad civil, el gobierno mantiene vigentes estas normas como parte de su estrategia contra el terrorismo.
