Autor: Miguel Morachimo

Director Ejecutivo

Abogado por la Pontificia Universidad Católica del Perú. Máster en Derecho, Ciencia, y Tecnología por la Universidad de Stanford (California, Estados Unidos).

Sentido común frente a la Convención de Budapest

Hace pocos días, el Pleno del Congreso aprobó la Resolución Legislativa que aprueba la adhesión de Perú a la Convención sobre Cibercriminalidad del Consejo de Europa o Convención de Budapest. En diferentes volúmenes, esta noticia ha sido presentada por diversas partes interesadas como la postergada atención de una apremiante necesidad nacional o la pieza que faltaba en la madurez de nuestro entorno digital. Personalmente, creo que esta decisión no es ni lo uno ni lo otro. No obstante, vale la oportunidad para reflexionar sobre lo que significa esta noticia y lo que estas reacciones nos dicen sobre la madurez del debate nacional acerca de la lucha contra los delitos informáticos en Perú.

Podría pensarse que Perú llega tarde con su adhesión a una Convención aprobada en el año 2001. En realidad, al tratarse de un acuerdo del Consejo de Europa, fue inicialmente negociado y firmado exclusivamente por estados europeos y algunos invitados como Estados Unidos y Canadá. Casi dos décadas después, menos del 15% de naciones que no pertenecen al Consejo de Europa han decidido adherirse a él. De hecho, en nuestra región, solo algunas lo han hecho y muy recientemente: Argentina (2018), Chile (2017), y Paraguay (2018). México y Colombia, aunque invitados ya, están todavía tramitando su adhesión. Por tanto, realmente Perú no llega tarde a la firma de este acuerdo cuya suscripción fuera de Europa parece más bien la excepción y no la regla.

La pregunta sobre si valía la pena adherirse al Convenio es compleja y ya varios la han intentado responder (incluyendo mis colegas Carlos Guerrero y Martín Borgioli en un informe que publicamos el año pasado). Es innegable que todo estado moderno necesita de reglas penales para perseguir y castigar ciertos actos ilícitos cuando se cometen a través de medios tecnológicos. Sin embargo, el esfuerzo de sumarse al estándar del Consejo de Europa parece importar más por lo formal que por lo sustantivo. Es decir, más que alentarnos a crear nuevos delitos (que ya teníamos) el Convenio ratifica que el marco legal de nuestro país se ajusta al estándar común entre los miembros. Esto habilita que peruanos que cometen delitos informáticos puedan ser juzgados en el extranjero o que extranjeros puedan serlo en Perú, siempre que sus países también hayan suscrito el Convenio. Eso es, en síntesis, lo que nuestro país ha obtenido tras la adhesión.

Leer más

¿Qué hacen las empresas de telecomunicaciones con nuestros datos?

Esta semana se habló mucho sobre cómo se almacena nuestra información dentro de las empresas de telecomunicaciones. A propósito del caso del registro de llamadas que Telefónica tendría de Keiko Fujimori, vale la pena entender qué tipo de información se encuentra bajo el poder de estas empresas y bajo qué reglas se trata.

A través de una nota periodística, supimos que hace unos meses Telefónica se negó a cumplir con dos órdenes judiciales que la obligaban a entregar la información del tráfico de llamadas de ciertas líneas de la ex candidata. La negativa de la empresa se sustentaba en que la información solicitada comprendía registros de un plazo mayor al que legalmente se debía conservar (tres años) y, por ende, no contaba con la misma. Sin embargo, una trabajadora de la empresa del área encargada de responder a las autoridades descubrió en su momento que esta información sí existía en el sistema y ahora denuncia que la empresa negó el acceso de forma deliberada. Posteriormente, en algo que Telefónica ha repetido esta semana, se supo que la empresa siempre tuvo la información solicitada.

Ante ello, caben hasta tres lecturas de los hechos. La primera, propuesta por la nota periodística, es que Telefónica tendría algún motivo político particular para negar el acceso a esta información. Esto significa que simplemente usó como excusa el plazo legal con un fin ulterior: encubrir a Keiko Fujimori. Aunque es posible, creo que esta teoría es la menos interesante para aprender más sobre nuestros derechos como usuarios. Sin descartarla, vamos a dejar esta lectura a un lado para explorar otras dos posibles explicaciones de los mismos hechos.

Leer más

¿Por qué deberíamos o no dar nuestro número de DNI al comprar?

Un reciente comunicado de la Asociación Peruana de Consumidores y Usuarios de Perú (ASPEC) invitaba a los peruanos a no proporcionar su número de Documento Nacional de Identidad (DNI) al comprar en establecimientos comerciales. La nota señala que dicha exigencia es ilegal, salvo cuando se busca deducir el gasto para fines tributarios o en transacciones mayores a 700 soles. A propósito de esto, nos parece que vale la pena pensar qué pasa cuando elegimos entregar nuestro número de documento.

La razón más frecuente por la cual alguien entrega su número de DNI a un comercio es para participar en programas de lealtad o de puntos. Para ello también podríamos usar una tarjeta con sellos, un código especial o cualquier otra credencial física o virtual, pero es probable que a veces la dejemos en casa u olvidemos el número y perdamos sus beneficios. En realidad, resulta más fácil usar un número que de todas maneras ya hemos memorizado y que se encuentra en un documento que es casi obligatorio portar cada vez que salimos. Pero entonces, cuando entregamos el número de DNI ¿a qué renunciamos en favor de esta conveniencia?

Leer más

LACIGF 11: cambios, retos pendientes y futuro de la gobernanza multistakeholder

Ha pasado un poco más de un mes desde la 11 Reunión Regional Preparatoria para el Foro de Gobernanza de Internet (LACIGF), que se realizó desde el 31 de julio al 2 agosto del presente año en la ciudad de Buenos Aires, Argentina. Como habíamos anunciado en julio, el equipo de Hiperderecho participó activamente de este evento además de otros que se realizaron antes, durante y después. De la misma forma que en las ediciones de 2016 y 2017, este año también tenemos algunos comentarios.

¿Qué es el LACIGF?

Para los no familiarizados con el término, LACIGF son las siglas de “Foro de Gobernanza de Internet de Latinoamérica y el Caribe”. Este evento reúne a los actores de este lado del mundo para discutir sobre temas de interés regional relacionados al desarrollo de Internet. Aunque no son espacios conectados, LACIGF es una suerte de antesala del Foro de Gobernanza de Internet. Una antesala en donde convergen ideas, propuestas y, por supuesto, conflictos.

Leer más

Únete a la lista de correo oficial del Foro de Gobernanza de Internet de Perú

Hace unas semanas inauguramos la lista de correos del Foro de Gobernanza de Internet de Perú (IGF Perú), que nace con el fin de crear un espacio virtual público de fácil acceso para conectar a toda la comunidad alrededor de este evento.

Puedes unirte haciendo click en el siguiente en la página del grupo de discusión sobre IGF Perú. No hay requisitos de ingreso y los contenidos no están moderados, no obstante los administradores revisarán regularmente las solicitudes de suscripción para evitar el spam.

¿Qué es el Foro de Gobernanza de Internet de Perú?

El Foro de Gobernanza de Internet es un espacio de diálogo sobre Gobernanza de Internet en el cual distintos representantes del Gobierno, la Sociedad Civil, la Academia, la Comunidad Técnica y el Sector Privado dialogan sobre el uso y desarrollo de Internet en Perú. Además, este espacio busca favorecer la participación informada de los actores del país en foros regionales e internacionales sobre el mismo tema como el Foro de Gobernanza de Internet (IGF) y el Foro Latinoamericano de Gobernaza de Internet (LACIGF).

Leer más

Voto Electrónico: hackaton no basta para generar confianza

La Oficina Nacional de Procesos Electorales (ONPE) organizó el mes pasado la Hackaton: Desafiando la Solución del Voto Electrónico Presencial. Se trató de un concurso dirigido a estudiantes y público en general para invitarlos a encontrar errores en la solución de voto electrónico que usaremos en las próximas elecciones. Como les contamos hace poco, la página que se habilitó para la inscripción de participantes tenía una grave falla de seguridad que filtró los datos personales de millones de peruanos durante meses. Más allá de la anécdota, actualmente bajo investigación en la Dirección de Protección de Datos, la idea de una hackaton como solución a los problemas de transparencia es problemática y ONPE tiene todavía mucho por explicar.

Un problema antiguo

Desde el 2006, la ONPE viene desplegando progresivamente una solución de voto electrónico que consiste en usar tablets sin conexión a Internet para emitir votos y luego enviar los resultados consolidados por Internet. En el sistema que propone ONPE el acto de votar sigue siendo presencial, pero en lugar de marcar en una cédula de papel, se usa un tablet que tiene una representación visual de lo que hubiese sido la cédula tradicional. Es decir, es un “voto electrónico” pero “presencial”, de ahí el nombre. El software que se usa en las tablets de votación y mesas de sufragio, así como el sistema de transmisión, ha sido desarrollado internamente por ONPE.

Leer más

¿Cómo así RENIEC vende nuestros datos personales?

El mes pasado publicamos nuestro reporte Identidad Biométrica en Perú, una indagación legal y tecnológica sobre cómo funcionan los sistemas de identificación digital en nuestro país. Una de las cosas que investigamos fue cómo funcionaba el sistema de consultas en línea de Registro Nacional de Identificación y Estado Civil (RENIEC), la autoridad de identificación de Perú. Lo que descubrimos fue un negocio público y claro en torno a permitir el acceso a nuestra información personal. Un arreglo comercial que no necesariamente se traduce en más seguridad o trámites más simples para los ciudadanos.

Todos sabemos que RENIEC tiene nuestra información completa incluyendo nombres, fecha de nacimiento, sexo, domicilio, nombres de padres y madres, entre otros. Al mismo tiempo, hemos visto las fichas RENIEC en la televisión o los periódicos. Sin embargo, sabemos poco sobre quiénes pueden consultar la información del Archivo Nacional de Identificación, en qué casos y bajo qué condiciones.

Leer más

RENIEC negó que haya existido un filtrado de datos personales. Nosotros lo confirmamos.

Como parte de nuestra investigación sobre Identidad Biométrica en Perú, reportamos que hace unos meses habíamos descubierto y reportado un filtrado de datos personales que exponía las fotografías del documento de identidad de todos los ciudadanos peruanos. La vulnerabilidad, que fue solucionada luego del reporte inicial de Hiperderecho en abril, estaba contenida en el Sistema Padrón Nominal desarrollado por el Registro Nacional de Identificación y Estado Civil (RENIEC) para uso del Ministerio de Salud.

En una nota de Hernán Medrano aparecida en diario El Comercio días después de nuestro reporte, se recoge la respuesta de Danilo Chávez, gerente de Tecnología de la Información del RENIEC. Quiero dedicar esta entrada a responder objetivamente a sus declaraciones, que se refieren concretamente a nuestros hallazgos y la veracidad de lo reportado. Creemos que este es el tipo de conversaciones públicas sobre seguridad digital que nuestra comunidad necesita.

En sus descargos, el funcionario señala que RENIEC solo creó la plataforma Padrón Nominal pero que quien la maneja es el Ministerio de Salud. Esto no contraviene el reporte de Hiperderecho porque el error que encontramos y denunciamos es un error en el diseño del sistema informático, no en su operación. La razón por la cual cualquier persona podía descargar la fotografía del DNI de millones de peruanos digitando una dirección web era porque cuando se programó la plataforma se dejó abierta por error esa ruta. En su calidad de operador del sistema, no hay nada que el Ministerio de Salud pudo haber hecho para cambiarlo. Afirmar lo contrario es el equivalente a decir que una falla estructural en una vivienda es responsable de sus habitantes y no de sus constructores porque ellos son quienes viven ahí.

Leer más

¿Qué está haciendo el Congreso con las aplicaciones de viajes compartidos?

Las aplicaciones como Uber, Beat o Cabify están bajo la mira del Congreso. La Comisión de Transportes y Comunicaciones aprobó la semana pasada un Dictamen que busca introducir nuevas reglas al funcionamiento de las aplicaciones para solicitar vehículos en Perú. Todavía no sabemos qué dice ese Dictamen porque no ha sido publicado en la página web del Congreso. No obstante, sí sabemos que está basado en tres proyectos de ley anteriores de Miguel Elías, Roy Ventura y Octavio Salazar. Lamentablemente, lo que trasciende de ellos es una falta de comprensión sobre cómo funciona la tecnología y cuál es el rol del Estado en la innovación tecnológica.

Leer más

¿Qué pueden hacer los gobiernos locales y regionales en gobierno electrónico?

Queremos que nuestro trabajo no sea solo reactivo a lo que hace el gobierno sino también propositivo. Desde nuestras primeras campañas, hemos entendido que el rol que juegan organizaciones como nosotros no se agota en criticar desde la tribuna.

Por eso, estamos muy contentos de participar en la iniciativa #UnBuenPlan, promovida por un grupo de las más importantes organizaciones de la sociedad civil de Perú. Se trata de un esfuerzo por brindar insumos accionables e ideas concretas sobre áreas temáticas específicas a los próximos candidatos a alcaldes y gobernadores regionales de todo el país. Gracias a la invitación del grupo impulsor de la iniciativa, en Hiperderecho hemos contribuído con una sección sobre Gobierno Electrónico y Modernización Estatal.

Leer más