Se admite a trámite Acción Popular de Hiperderecho contra secretismo de correos electrónicos de funcionarios

Hace varios meses, Hiperderecho presentó ante el Poder Judicial una demanda de Acción Popular contra el Reglamento del Decreto Legislativo N° 1353, que crea la Autoridad Nacional de Transparencia y Acceso a la Información Pública. Como ya lo habíamos mencionado a finales del año pasado, parte del contenido de este Reglamento creaba ilegalmente una nueva excepción al acceso a la información pública, afectando la transparencia y los derechos de todos los ciudadanos a conocer y fiscalizar la actividad del Estado. Hace unas semanas fuimos notificados con la resolución que admite a trámite nuestra demanda en la Primera Sala especializada en lo Constitucional de la Corte Superior de Justicia de Lima.

No se trata de que todos los correos de los funcionarios se declaren de acceso público, sino que su publicidad siga estando sujeta a un análisis de caso por caso (y solo limitada cuando comprometa su intimidad). Es decir, si un funcionario se comunica con otro para contarle un problema familiar, esa información debería de mantenerse en reserva. No obstante, si el mismo funcionario se comunica por la misma vía con otro para informarle de una reunión sobre un proyecto o darle parte de un suceso, no hay ninguna razón para no considerarla información pública.

Los principales argumentos de nuestra demanda son tres: (i) la ilegalidad manifiesta de la medida, (ii) la interpretación de la naturaleza de la información de acceso público, y, (iii) la lesión de los principios de transparencia en el Estado.

Ilegalidad Manifiesta

En el primer nivel de análisis, detectamos que la propuesta del Reglamento del Decreto Legislativo N° 1353 que crea la nueva excepción al acceso a la información contradice directamente a la Constitución, a la Ley de Transparencia a sus normas conexas. En el caso de la Constitución, se contradice el artículo 2, inciso 5 en donde se consagra el derecho fundamental a hacer solicitudes y recibir información de acceso público. En cuanto a la Ley de Transparencia, esta contradicción es aún más explícita pues en el Texto Único Ordenado de esta norma se señala claramente que cualquier nueva excepción solo puede crearse por ley (no a través de un reglamento).

Alcance de la información de acceso público

En un segundo momento, exploramos la posibilidad de hallar una interpretación “constitucional” del Reglamento y encontramos que efectivamente hay una, pero que solo funciona si se acepta que la información contenida en los correos electrónicos y servicios de mensajería (cuyo acceso se ha restringido en el reglamento) nunca había estado disponible como fuente de acceso público. Sin embargo, esta tesis no se sostiene pues la Ley de Transparencia es clara en que toda información pública producida debe conservarse no importa el formato en que se encuentre (físico o virtual), además de la abundante evidencia empírica de que muchas veces las entidades públicas envían información contenida en correos y servicios de mensajería (ver solicitud hecha a FIT por el caso de Wachitaxi).

Afectación de la transparencia en el Estado

Finalmente, como consecuencia de lo anterior, tenemos dentro de nuestro sistema a normas de menor rango que contradicen a otras de mayor jerarquía, lo que afecta gravemente el trabajo de los operadores de justicia y la coherencia de nuestro ordenamiento jurídico. Pero más allá de eso se encuentra también el menoscabo de un principio fundamental de la democracia que es la transparencia. Esto es quizás lo más grave pues, en el contexto actual, lo que menos queremos es reducir las herramientas que tienen los ciudadanos para fiscalizar a los funcionarios públicos.

Como parte de las acciones tomadas contra el Reglamento del Decreto Legislativo N° 1353, meses atrás enviamos cartas a diferentes entidades del sector público, entre ellos a la Presidenta del Consejo de Ministros (en ese entonces Mercedes Aráoz), a varios congresistas de diferentes bancadas y a la Defensoría del Pueblo. Esta última nos ha hecho saber hace poco que va a consultar a la Autoridad Nacional de Transparencia con el fin de saber su postura sobre este tema. También hemos recibido expresiones de interés de algunos despachos congresales y continuamos a la espera de mejores noticias. Hasta entonces, seguiremos peleando en el Poder Judicial el derecho de todos los peruanos a la transparencia y el acceso a la información pública.

Martes 21 de agosto: Conexiones con Milagros Olivera

Luego tomarnos un descanso durante julio, este mes continuamos con nuestro ciclo de Conexiones. El próximo martes 21 de agosto estaremos conversando con Milagros Olivera, periodista y miembro de diversos proyectos digitales y analógicos sobre feminismo.

Hablaremos con Milagros sobre los retos y oportunidades de hacer activismo sobre género en Internet. Además de conversar sobre cómo gestiona espacios feministas de debate en torno a las problemáticas que afectan a las mujeres y a las personas no heterosexuales. También hablaremos del proyecto Serena Morena, un espacio digital de información sobre aborto seguro y de acompañamiento a las mujeres.

El evento será el día martes 21 de agosto, a las 6:45 pm. en Fundación Euroidiomas (Calle Libertad 130, Miraflores). El ingreso es libre previa inscripción en este formulario.

Leer más

Este jueves participa de la presentación de Acoso.Online

Este jueves los invitamos a la presentación de Acoso.Online, el primer sitio web de América Latina que brinda información sobre cómo denunciar la difusión de imágenes sin consentimiento. Este fenómeno también es conocido como “pornovenganza” o “pornografía no consentida”, a pesar de que no es el mejor término para referirnos a esta modalidad de violencia. El evento se llevará a cabo este jueves 16 de agosto a las 6pm, en las oficinas de Comunal Coworking en Calle Orquideas 444 piso 7 San Isidro.

La “pornovenganza” o “pornografía de venganza” es la difusión por medios electrónicos de fotografías o videos de tono erótico o explícitamente sexual sin el consentimiento de las personas retratadas y con el objetivo de humillar, intimidar y/o extorsionarlas. Este acto es un tipo de violencia de género que busca castigar la libre expresión de la sexualidad en medios digitales, y también una violación a los derechos humanos que afecta desproporcionadamente a las mujeres heterosexuales y personas LGBTIQ+.

En Hiperderecho, estamos comprometidos a luchar contra la violencia de género en línea y como parte de este compromiso es que contribuimos con contenido local al proyecto regional de Acoso.Online, el cual incluye información legal y jurídica de siete países incluyendo a Perú. Esta página no solo buscan prevenir este tipo de violencia brindando recomendaciones de seguridad digital, sino sobre todo orientar y acompañar a quienes la hayan sufrido. En ella encontrarán la información necesaria para pedir la baja de contenidos en diversas plataformas intermediarias y para denunciar el ataque frente a los operadores de justicia.

Acoso.Online cumplirá un rol crucial para proteger a las víctimas de “pornografía no consentida sobretodo en el caso de Perú, donde aún no existe una ley para combatir este tipo de violencia. En Hiperderecho, le estamos haciendo seguimiento a los dos proyectos de ley que buscan combatirla (aquí el primero), uno de los cuales se ha aprobado pero aún no se ha implementado (aquí el segundo) y aunque celebramos estas iniciativas que buscan penalizar el acto y proteger a las víctimas, hemos enviado nuestros comentarios al congreso para que estos proyectos incluyan todas las variables que intervienen en esta problemática.

Mientras tanto, afortunadamente sí existen varias leyes que pueden ayudarte. En el evento realizaremos una explicación detallada del contenido legal actual con el que puedes denunciar este tipo de violencia y responderemos a cualquier pregunta que tengas sobre el tema.

Inscríbete aquí para participar. También puedes encontrar estos detalles en el evento oficial en Facebook. ¡Nos vemos el jueves!

Voto Electrónico: hackaton no basta para generar confianza

La Oficina Nacional de Procesos Electorales (ONPE) organizó el mes pasado la Hackaton: Desafiando la Solución del Voto Electrónico Presencial. Se trató de un concurso dirigido a estudiantes y público en general para invitarlos a encontrar errores en la solución de voto electrónico que usaremos en las próximas elecciones. Como les contamos hace poco, la página que se habilitó para la inscripción de participantes tenía una grave falla de seguridad que filtró los datos personales de millones de peruanos durante meses. Más allá de la anécdota, actualmente bajo investigación en la Dirección de Protección de Datos, la idea de una hackaton como solución a los problemas de transparencia es problemática y ONPE tiene todavía mucho por explicar.

Un problema antiguo

Desde el 2006, la ONPE viene desplegando progresivamente una solución de voto electrónico que consiste en usar tablets sin conexión a Internet para emitir votos y luego enviar los resultados consolidados por Internet. En el sistema que propone ONPE el acto de votar sigue siendo presencial, pero en lugar de marcar en una cédula de papel, se usa un tablet que tiene una representación visual de lo que hubiese sido la cédula tradicional. Es decir, es un «voto electrónico» pero «presencial», de ahí el nombre. El software que se usa en las tablets de votación y mesas de sufragio, así como el sistema de transmisión, ha sido desarrollado internamente por ONPE.

Leer más

Creative Commons y Start Ups: una guía de bolsillo

En Hiperderecho continuamos con el trabajo de generar productos que lleguen a un público con el que tenemos mucho en común, pero con el que no siempre nos encontramos en el trabajo del día a día: emprendedores digitales. Antes ya lo hemos hecho con una guía sobre Políticas Públicas, en la que queríamos mostrar la importancia de la participación de los emprendedores en la discusión de políticas que afectan su sector. En esta ocasión, queremos dar a conocer herramientas y metodologías de trabajo que pueden servir para impulsar sus emprendimientos.

Leer más

El desembarco de la Convención sobre Ciberdelincuencia de Budapest en Perú

El día 28 de setiembre del año pasado, el Poder Ejecutivo de Perú remitió al Congreso de la República los documentos relacionados al Convenio de Budapest con el fin de que sean revisados y puestos en agenda para su ratificación. A inicios de junio, esta iniciativa recibió el Dictamen favorable de la Comisión de Relaciones Exteriores y actualmente se encuentra pendiente de debate en el Pleno del Congreso.

Esta adhesión, que viene gestándose desde hace varios años, concluye el largo camino que recorre el país en materia de seguridad digital e impulsa otra agenda pendiente: la creación de un Plan Nacional de Ciberseguridad. Pero, ¿qué es este convenio y por qué es importante para nuestro país?

Antecedentes

A inicios de los años 90, diferentes voces en múltiples espacios de discusión internacional comenzaron a reclamar atención sobre la necesidad de encarar conjuntamente los problemas derivados del uso de las tecnologías de información y comunicación. Sobre todo en los países desarrollados, en donde estas tecnologías habían alcanzado un grado mayor de avance y penetración, el abuso por parte de los usuarios producía efectos negativos cada vez más relevantes para la economía y la sociedad.

Leer más

¿Cómo así RENIEC vende nuestros datos personales?

El mes pasado publicamos nuestro reporte Identidad Biométrica en Perú, una indagación legal y tecnológica sobre cómo funcionan los sistemas de identificación digital en nuestro país. Una de las cosas que investigamos fue cómo funcionaba el sistema de consultas en línea de Registro Nacional de Identificación y Estado Civil (RENIEC), la autoridad de identificación de Perú. Lo que descubrimos fue un negocio público y claro en torno a permitir el acceso a nuestra información personal. Un arreglo comercial que no necesariamente se traduce en más seguridad o trámites más simples para los ciudadanos.

Todos sabemos que RENIEC tiene nuestra información completa incluyendo nombres, fecha de nacimiento, sexo, domicilio, nombres de padres y madres, entre otros. Al mismo tiempo, hemos visto las fichas RENIEC en la televisión o los periódicos. Sin embargo, sabemos poco sobre quiénes pueden consultar la información del Archivo Nacional de Identificación, en qué casos y bajo qué condiciones.

Leer más

Hiperderecho estará en el Foro Latinoamericano de Gobernanza de Internet en Buenos Aires

Este año se llevará a cabo la 11 Reunión Regional Preparatoria para el Foro de Gobernanza de Internet (LACIGF), en la ciudad de Buenos Aires, Argentina. Este evento funciona como un espacio de encuentro y colaboración a nivel regional para impulsar el diálogo multisectorial entre gobiernos, sector privado, academia y organizaciones de la sociedad civil en torno a Internet.

Es por ello que Hiperderecho estará presente en los eventos del LACIGF comentando los avances y retos que el Perú enfrenta en temas de tecnología y Gobernanza de Internet. En esta edición, la agenda del evento se centrará en temas como brecha digital, amenazas a la libertad de expresión, economía digital, protección de datos desde una perspectiva de derechos, entre otros.

Leer más

ONPE filtró los datos personales de millones de peruanos durante más de medio año

La semana pasada la ONPE anunció públicamente una hackathon sobre el voto electrónico, pero en el formulario de inscripción acabó exponiendo el nombre, fecha de nacimiento y número de todos los DNIs del Perú.

La hackathon de la ONPE

El 7 de junio, la ONPE anunció la organización de su hackathon 2018 con el título «DESAFIANDO LA SOLUCIÓN DEL VOTO ELECTRÓNICO PRESENCIAL». Según las bases del concurso, el objetivo es «…aportar en el mejoramiento de la gestión pública a través del desarrollo de soluciones tecnológicas electorales.», pero según la nota de prensa el objetivo es «fomentar soluciones tecnológicas en la gestión pública, el intercambio académico y cultural bajo un enfoque de ideas innovadoras en beneficio de los ciudadanos y la difusión de mecanismos de seguridad del Voto Electrónico Presencial, como una solución tecnológica electoral confiable.»

Sin embargo, el video de difusión parece describir un evento exclusivamente de seguridad, para poner a prueba la implementación del voto electrónico presencial:

Confundidos por estos mensajes contradictorios, decidimos investigar los requisitos de inscripción para aprovechar lo que parecía ser una oportunidad de interactuar con los equipos técnicos de ONPE y del voto electrónico.

El problema de seguridad en la inscripción

Para inscribirse en el evento es necesario escoger un nombre de equipo y luego registrar a tres integrantes para ese equipo. Lo interesante es que el formulario no pide nombres, edades, de hecho no pide ningún ingreso de información personal. Lo único que pide es el número de DNI de los participantes.

El formulario de inscripción de la hackathon de ONPE. Como ejemplo, nuestro primer integrante es el DNI del Presidente Vizcarra.

Luego de ingresar el DNI de un integrante, el sistema indica que presionemos «VALIDAR» para cargar los datos de la persona, en este ejemplo hemos usado el DNI del Presidente Vizcarra. Curiosamente, alguien ya ha registrado el DNI del ex presidente PPK.

Al presionar «VALIDAR», el sistema carga el nombre, sexo, y si la persona es mayor de edad.

Luego de presionar el botón de «VALIDAR», el sistema carga los datos del DNI ingresado.

Si han leído nuestro blog recientemente ya deben estar sospechando cómo acaba esto. Especialmente si han leído nuestro reporte sobre cómo RENIEC expuso la fotografía de todos los DNIs del Perú.

Este formulario de inscripción carga (o cargaba) la información desde una dirección de la siguiente forma:

http://hackathon.pe/hackathon_ve/person/04412417

En esa dirección, el sistema respondía con la información de dicho DNI en el formato de datos JSON:

Los datos del Presidente Vizcarra en JSON, un formato de intercambio de datos muy usado en programación web.

Esta dirección puede (o podía) ser consultada sin necesidad de identificarse con algún tipo de usuario, ni romper algún tipo de seguridad, ni nada por el estilo. Es una dirección públicamente accesible, sin ningún control de acceso, repeticiones, ni nada por el estilo.

La descarga masiva de datos

Tal como la última vez que reportamos este tipo de problemas, decidimos revisar si era posible abusar de este error de manera automatizada y de esa forma descargar la información de cientos de personas sin mayor esfuerzo, y potencialmente la de millones de personas.

Confirmamos rápidamente que no había ningún tipo de limitación o seguridad asociada a esta dirección web, así que decidimos crear una prueba de concepto, es decir, un programa sencillo que demuestre la vulnerabilidad de forma sencilla.

Luego de una mañana de trabajo y pruebas, desarrollamos una aplicación que demostraba cómo era posible descargar automáticamente estos datos y convertirlos en un archivo de Microsoft Excel, o sea, una hoja de cálculo, una base de datos con nombres, fechas de nacimiento y números de DNI.

Una pequeña muestra del archivo Excel generado en unos segundos.

En el siguiente video pueden ver cómo en menos de treinta segundos logramos descargar la información de cincuenta personas, y archivarla en formato Excel, todo esto sin intervención humana, es decir, de manera completamente automática.

VIDEO JSON

Nuestro reporte

HISTORIA DE COMO LO REPORTAMOS

Preocupación permanente

Nuestra preocupación sobre cómo se usan nuestros datos en el Estado vuelve a confirmarse. Este tipo de aplicaciones, hechas sobre la marcha y sin mayor cuidado, parecen muy simples pero acaban generando vulnerabilidades y agujeros de seguridad que exponen información de todos los peruanos.

Nos preocupa que con el objetivo de aparentar modernidad, este tipo de problemas sigan apareciendo. En el caso concreto de esta inscripción, quizá un formulario de Google Forms hubiese sido suficiente, pero sin duda menos «impresionante».

Seguiremos vigilando este tipo de iniciativas y sus inevitables errores.