Publicado originalmente en El Universal, Mexico el 22 de enero de 2024 https://www.eluniversal.com.mx/opinion/eduardo-bertoni/tecnologias-y-derechos-humanos/

Tecnologías y Derechos Humanos

Hace un tiempo relataba ante colegas que las razones personales que causaban mi atracción por el estudio de ciertas tecnologías y cómo ellas podían impactar en nuestra vida cotidiana tal vez se debía por mi fascinación en una serie infantil de finales de los años 60 que conocimos como “Joe 90”. La serie mostraba una enorme máquina que permitía a Joe, un niño, incorporar rápidamente los conocimientos que necesitaba para realizar distintas misiones como espía. Si hacía falta que manejara un jet, en pocos minutos y conectado con electrodos en su cabeza, obtenía los conocimientos que se le transferían de un piloto avezado. Esa serie me impactó porque quería esa máquina para saberlo todo y rápidamente. Esa posibilidad tecnológica empieza a dejar de ser un cuento de ciencia ficción. Sin embargo, ello no significa derechamente que nos encontramos desprotegidos jurídicamente a cualquier abuso que las tecnologías puedan causarnos. En otras palabras, no hace falta “crear” nuevos derechos sino conocer y aplicar los que ya tenemos.

Una reciente sentencia de la Corte Suprema de Chile (Girardi v/s Emotiv), demuestra que estamos frente a una realidad. Guido Girardi Lavín, un exsenador Chileno, interpuso una acción constitucional de protección de derechos fundamentales en contra de la empresa Emotiv Inc., en razón de la venta y comercialización en Chile del dispositivo “Insight”. En la sentencia se puede leer que Insight consiste en un dispositivo inalámbrico que funciona como una vincha con sensores que recaban información sobre la actividad eléctrica del cerebro, obteniendo datos sobre gestos, movimientos, preferencias, tiempos de reacción y actividad cognitiva de quien lo usa.

Es justamente lo que decide la Corte en ese caso lo que habilita a mi segunda afirmación inicial en cuanto a que sí tenemos derechos que nos protegen del uso de estas tecnologías.

Además de la cita al derecho chileno, la decisión haciendo lugar al pedido del señor Girardi, se funda afirmando específicamente que “existen diversos instrumentos internacionales que reconocen la relación entre ciencia y Derechos Humanos.” Y entre esos instrumentos señala el Pacto Internacional de Derechos Económicos, Sociales y Culturales, la Declaración sobre la Ciencia y el Uso del Saber Científico y Programa en Pro de la Ciencia de la UNESCO, la Declaración Universal de Derechos Humanos, la Declaración Universal sobre el Genoma Humano y los Derechos Humanos, y la Declaración Universal sobre Bioética y Derechos Humanos también de la UNESCO.

Citados esos documentos, parecería errado afirmar que necesitamos crear nuevos derechos como impulsan algunos sectores bajo el nombre de “neuroderechos”, insinuando que incluso habría que ampliar el catálogo de derechos humanos porque no estarían protegidos. Aún más: pregonar que nuestros derechos humanos no están protegidos frente a las tecnologías que intervienen sobre nosotros como seres humanos, puede ser la razón de lo que está impulsando a un patrón de reformas legislativas, como en Mexico, Chile o Brasil, que dudosamente sean necesarias y que pueden contribuir a desdibujar y deslegitimar la protección que brindan los actuales estándares de derechos humanos.

Es posible sostener, en cambio, que los derechos humanos que impactan las tecnologías que trabajan sobre la actividad neuronal pueden estar vinculados con, por ejemplo, el derecho a la privacidad de la información producida por la actividad cerebral, a la cual es posible acceder a través de ciertas tecnologías. También se relacionan con el derecho a la identidad personal y la autodeterminación dado que la tecnología puede abrir la posibilidad para anular o alterar la identidad de las personas. Asimismo, se vinculan con el derecho a la igualdad frente al aumento de capacidad cerebral dado que algunos podrán acceder a estas tecnologías y otros no. Y, finalmente, y con el seguro riesgo de dejar otros derechos humanos involucrados, se vinculan también con el derecho a formar y mantener una opinión propia. Sobre esto último, es importante recordar lo que establece el art. 19.1 del Pacto Internacional de Derechos Civiles y Políticos, tratado de derechos humanos de obligatorio cumplimiento para todos los que lo han firmado: “Nadie podrá ser molestado a causa de sus opiniones.”

Incluso en marzo de 2023, el Comité Jurídico Interamericano -CJI- aprobó una “Declaración de Principios interamericanos en materia de Neurociencias, Neurotecnologías y Derechos Humanos”. Es claro que para este órgano de la Organización de los Estados Americanos -OEA- hay protección al uso de los “datos neuronales” cuando sin titubeos afirma en el principio 3 que esos datos son “datos personales”. En otras palabras, toda la normativa que protege y regula el tratamiento de datos personales, debería aplicarse también a lo que llama datos neuronales.

Asimismo es necesario advertir que en estos ámbitos debe avanzarse con cuidado: no es lo mismo regular las tecnologías invasivas, de las que no lo son. Otro ejemplo sobre particularidades a tener en cuenta: tampoco es lo mismo regular la tecnología que eventualmente permite recoger actividad neuronal de aquélla que eventualmente pueda modificarla. Y, finalmente, tampoco es lo mismo desde la mirada regulatoria, la regulación de tecnologías que puedan recoger o modificar actividad neuronal en el sistema nervioso central o en el sistema periférico.

Para terminar, y volviendo al comienzo con el relato de mi experiencia personal de cuando era un niño: la máquina que utilizaba Joe en la serie de hace cincuenta años hoy ya es parte de la realidad. En buena hora y oportuna la Sentencia de la Corte Suprema de Chile y los documentos que provienen del CJI que nos permiten concluir, como decía al comienzo, que no hacen falta “crear” nuevos derechos sino conocer y aplicar los que ya tenemos.

Derechos Humanos y Metaverso

Publicado en el diario La Nación de Costa Rica el 1 de junio de 2023

 

Nota a la Agencia de Acceso a la Información Pública en Argentina sobre reforma a la ley de protección de datos personales

 Montevideo, 16 de agosto de 2022

 

Mg. Beatriz Anchorena

Directora de la Agencia de Acceso a la Información Pública

S./D.

 

De mi mayor consideración,

 

Tengo el agrado de dirigirme a Usted a fin de agradecer su cordial invitación para participar en el espacio de diálogo convocado desde la Agencia de Acceso a la Información Pública -AAIP-vinculado a la elaboración de un proyecto de reforma a la actual ley de protección de datos personales de la República Argentina.

 

Durante mi gestión como titular de la Agencia que ahora Usted dirige, iniciamos un proceso similar que duró varios meses y que luego de consultas abiertas a distintos actores interesados en la materia, terminó con un proyecto de ley que entiendo es parte del material de referencia para el actual proceso iniciado por la AAIP. 

 

A poco más de dos años de que aquél proyecto perdiera estado parlamentario, sigo considerando fundamental que la República Argentina cuente con una ley que siga los lineamientos que los cambios tecnológicos y normativos a nivel internacional se han producido en los últimos años. En ese sentido felicito a la Sra. Directora por continuar impulsando la actualización de la normativa.

 

Sin perjuicio de mi participación en la sesión virtual a la que he sido invitado, me permito hacerle llegar algunas observaciones generales que podrán ser ampliadas a su requerimiento y en caso de considerarlo necesario. Debido a mi involucramiento temporalmente cercano en un proceso similar, Usted podrá advertir que mis sugerencias y observaciones expresadas en esta nota están muy relacionadas con el proyecto de ley que mencionara más arriba. Por razones de brevedad sólo incluiré las sugerencias que entiendo son más relevantes, aunque otras incorporaciones de aquél proyecto son también parte de lo que creo debería tenerse en cuenta. 

 

El proyecto de ley debería seguir los lineamientos más modernos en materia de protección de datos. Entiendo que en la actualidad el eje principal de una normativa como la que se está trabajando debe ser la protección del sujeto -el titular de los datos- antes que el lugar donde esos datos se encuentran -las bases de datos-. Ello sería un cambio importante respecto de la actual ley en Argentina. Es por ello que sugiero que la obligación de registro de bases de datos tal como dispone la legislación vigente sea dejada de lado pasando a la incorporación del principio de responsabilidad demostrada, contemplando la obligación del responsable/encargado del tratamiento de adoptar las medidas necesarias a fin de cumplir con la ley y que le permitan demostrar a la autoridad de control su efectiva implementación. 

 

Una cuestión que considero fundamental es aclarar cuando se aplicará la ley argentina, sugiriendo que ello ocurra también en supuestos donde el responsable de tratar los datos no se encuentre en el territorio. Podrían incluirse los casos de aplicación extraterritorial cuando las actividades del tratamiento se encuentren relacionadas con la oferta de bienes o servicios a titulares de los datos en la Argentina, o con el seguimiento de sus actos, comportamientos o intereses; excepto cuando la ley del lugar donde se encuentra el responsable del tratamiento sea más favorable para la protección del titular de los datos.

 

Otro tema general que considero relevante es establecer que la aplicación de la ley no podrá afectar al tratamiento de datos que realicen los medios de comunicación en el ejercicio de la libertad de expresión. Específicamente, en relación al derecho de supresión, es importante a mi criterio aclarar que este derecho no procederá cuando el tratamiento de datos persiga un fin público o sea necesario para ejercer el derecho a la libertad de expresión e información.

 

En la ley vigente los distintos supuestos de tratamiento lícito de datos personales se encuentran redactados como excepciones al principio general, que es el consentimiento. Mi sugerencia es cambiar esa aproximación, clarificando las razones que justifican el tratamiento de datos personales al incorporar distintos supuestos como bases legales que permiten el tratamiento de los datos antes que exponerlas como excepciones al consentimiento. Ejemplos de esas bases legales que no requieren consentimiento están mencionados en el proyecto de 2018, pero sugiero prestar particular atención a dos: a) cuando el tratamiento de datos resulte necesario para salvaguardar el interés vital del titular de los datos o de terceros, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos del titular de los datos, y el titular de los datos esté física o jurídicamente incapacitado para dar su consentimiento; b) cuando el tratamiento de datos sea necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos del titular de los datos, en particular cuando el titular sea un niño, niña o adolescente.

 

En relación con las bases legales para realizar transferencias internacionales, que actualmente se encuentran dispersas entre la Ley N° 25.326, su Decreto Reglamentario y la Disposición Nº 60 – E/2016 (consentimiento del titular del datos, mecanismos de autorregulación vinculante y cláusulas contractuales que contengan mecanismos de protección de datos acordes con las disposiciones de la ley), sugiero que el proyecto clarifique la cuestión incorporando las interpretaciones que ya se han hecho en la AAIP -incluso lo relacionado con normas corporativas vinculantes- y que considero están acordes con los estándares internacionales.

 

Sin perjuicio que es importante ampliar las bases legales de tratamiento de datos personales y que no se establezca únicamente al consentimiento y luego las excepciones tal como parece inferirse de la normativa actual, sugiero también flexibilizar las normas relacionadas al otorgamiento del consentimiento, con el fin de estar más acorde a la era digital. En ese sentido podría considerarse que la forma de otorgar el consentimiento dependerá de las circunstancias, el tipo de dato personal y las expectativas razonables del titular de los datos.

 

Si bien creo que cualquier proyecto en esta materia debe mantener una neutralidad tecnológica, esto es, no hacer especial referencia a ninguna tecnología que hoy podría ser la más común pero que en poco tiempo puede quedar en desuso, sugiero que un tema al que debe prestarse atención es a los servicios de tratamiento de datos personales por medios tecnológicos tercerizados.

 

Puede establecerse que el responsable del tratamiento en esos casos debe realizar esfuerzos razonables para elegir un proveedor de servicios que garantice el cumplimiento de la ley, y que el responsable del tratamiento responderá ante el titular de los datos y ante la autoridad de control por incumplimientos del proveedor. Incluso, puede considerarse que el derecho de acceso implica, en contextos de decisiones basadas en tratamiento automatizado, que los titulares de los datos que hayan sido objeto de decisiones basadas en este tipo de tratamiento tengan el derecho a conocer sobre la lógica aplicada en la decisión, sin que ello afecte derechos intelectuales del responsable del tratamiento.

 

Finalmente, otros temas que he entiendo son relevantes para el proceso de elaboración de un proyecto de ley son:

 

-        Incorporar parámetros especiales para el tratamiento de datos de niñas, niños y adolescentes, resaltando la importancia que para ello tiene el respeto a la Convención sobre los Derechos del Niño.

-        Inclusión de la obligación de notificar incidentes de seguridad. 

-        Incorporar nuevos derechos: el derecho a oponerse a ser objeto de una decisión basada únicamente en el tratamiento automatizado de datos y el derecho a la portabilidad de los datos personales.

-        Incorporar el principio de protección de datos desde el diseño y por defecto.

-        Incluir la obligación de realizar una evaluación de impacto cuando el responsable del tratamiento prevea realizar algún tipo de tratamiento de datos que por su naturaleza, alcance, contexto o finalidades, sea probable que entrañe un alto riesgo de afectación a los derechos de los titulares de los datos amparados en la ley. 

-        Crear la figura del delegado de protección de datos cuya designación podría ser obligatoria para algunos casos específicamente definidos en la ley: tratamiento de datos por parte de autoridades u organismos públicos, tratamiento de datos sensibles como parte de la actividad principal del responsable o encargado del tratamiento, y tratamiento de datos a gran escala.

-        Incluir la posibilidad de la autoridad de control de iniciar trámites de verificación de oficio.

-        Incluir la posibilidad de que la acción de habeas data sea iniciada en representación colectiva por la autoridad de control, siempre que su objeto se limite a la impugnación de tratamientos que conlleven violaciones generalizadas.

-        Aumentar el monto máximo de las multas y prever un mecanismo de actualización.

-        Incluir en el proyecto que la Agencia de Acceso a la Información Pública (AAIP), conforme los términos del artículo 19 de la Ley Nº 27.275, sustituido por el artículo 11 del Decreto Nº 746/17, es la autoridad de control de la ley de protección de datos personales, siendo la AAIP un ente autárquico con autonomía funcional en el ámbito de la Jefatura de Gabinete de Ministros.

Quedo atento para ampliar o aclarar cualquiera de las sugerencias aquí expuestas.

Saludo atentamente,

Eduardo Bertoni

Confianza y Protección de Datos Personales

 Nota publicada en La Diaria, Uruguay, el 1 de marzo de 2022.

La pandemia provocada por el virus COVID 19 disparó muchas discusiones sobre los beneficios de la “economía digital” y de la mutación de nuestras sociedades a lo que podemos llamar “sociedades digitales”. En verdad, estas discusiones se encontraban latentes. La emergencia sanitaria sólo aceleró procesos que ya se anticipaban. A modo de ejemplo, el teletrabajo era posible antes de la pandemia pero se transformó en algo necesario, y, a medida que transcurrió el tiempo, ahora está cada vez más incorporado a nuestras vidas. Procesos similares se dieron en ámbitos como la “telemedicina”, o las reuniones para discutir temas globales que hoy pueden hacerse a bajo costo convocando a personas de distintos países.

 

Todas estas actividades involucran de una u otra manera la utilización o procesamiento de datos personales. Si tal utilización o procesamiento se realiza sin reglas que nos den confianza para proteger nuestra privacidad se corre el riesgo de perder las enormes oportunidades que hoy nos brinda la tecnología. 

 

La pregunta que debemos responder, y que encierra un gran desafío para las “sociedades digitales” y la continuidad de la “economía digital”, es si las reglas que hoy existen son, en primer lugar suficientes para generar confianza en los usuarios y que gracias a esa confianza, puedan seguir desarrollando y aceptando actividades habituales en estas “sociedades digitales”. Mi respuesta es lamentablemente dubitativa.

 

La principal causa por la que las reglas que hoy existen para proteger los datos personales no generan confianza radica en que esas reglas no son aceptadas globalmente. Y ello es un problema porque los datos personales se desplazan a través de las fronteras de los países de manera constante. Impedir ese flujo, impide cualquiera de las actividades de las sociedades digitales. 

 

Una razón importante para dañar la confianza se debe a que la falta de globalización de las reglas impide a las entidades estatales encargadas de la protección de los datos personales -en los casos que existen y son independientes- tengan la capacidad de hacer cumplir sus decisiones. En otras palabras: si una empresa es sancionada en un país por violación a las reglas de protección de datos, es posible que esa empresa eluda la sanción por razones de jurisdicción o de ley aplicable. La consecuencia es que los usuarios en las “sociedades digitales” no tienen confianza en las instituciones estatales que los deberían proteger.

 

Es cierto que hay intentos que nos pueden hacer sentir cautelosamente optimistas: el impulso de la Unión Europea de procesos de adecuación a sus propias reglas (el Reglamento General de Protección de Datos de la Unión Europea) o el impulso del Consejo de Europa para la globalización de la Convención para la Protección de las Personas en Materia de Tratamiento Automatizado de Datos (Convenio 108) y la de su reciente reforma (Convenio 108+), son solo ejemplos de ese cauteloso optimismo. 

 

Sin embargo, en América Latina, son muy pocos los países considerados con legislación adecuada (sólo Argentina y Uruguay) o que son parte del Convenio 108 (Argentina, México y Uruguay, que incluso es el primer país fuera del Consejo de Europa que ratificó la Convención 108 +). 

 

En consecuencia, uno de los desafíos más grandes es trabajar para que exista un tratado internacional, con reglas claras, que se puedan cumplir, y que, lo más relevante, que en la práctica se cumplan. Un acuerdo que traiga a la mesa de discusión a los Estados, a las empresas, a los académicos y a los usuarios. 

 

Así como la pandemia aceleró las prácticas del uso de la tecnología que se encontraban latentes, tal vez, también sea la pandemia un factor para acelerar ese acuerdo global.

 

Increasing Trust In Our Digital Societies And Economies: A Key Factor To Improve Personal Data Protection

 Originally published at https://www.informationpolicycentre.com/cipl-blog/archives/09-2021

The pandemic caused by COVID 19 triggered many discussions about the benefits of “digital economies” and the mutation of our societies to what we can call “digital societies.” In truth, these discussions were latent. The health emergency only accelerated processes that were already in the works. As an example, teleworking was possible before the pandemic, but it has since become necessary, and as time passed, it became more and more incorporated into our lives. Similar processes took place in areas such as "telemedicine," or meetings to discuss global issues that today can be done at low cost by convening people from different countries virtually.

All these activities involve in one way or another the use or processing of personal data. If such use or processing is carried out without rules that we trust will protect our privacy, we run the risk of losing the enormous opportunities that technology offers us today.

The question we must answer is whether the rules that exist today are, in the first place, sufficient to generate trust in users and if, thanks to that trust, they might be useful for the continuation and development of what we now accept as usual activities in these “digital societies”. 

My answer is regrettably that they do not.

The rules that exist today to protect personal data do not generate trust because they are not accepted globally. And this is a problem because personal data is constantly moving across country borders. Preventing this flow makes it impossible for activities of digital societies to occur.

An important reason for the decrease in trust is that the lack of globalization of these rules prevents state entities in charge of protecting personal data -in the few cases that they exist and are independent- from enforcing their decisions. In other words, if a company is sanctioned in a country for violating data protection rules, it could evade the sanction for reasons of jurisdiction or applicable law. The consequence is that users in "digital societies" do not trust both in state institutions and rules that should protect them.

It is true that there are developments that can make us feel cautiously optimistic: the European Union’s push for processes to adapt its own rules (the GDPR) or the Council of Europe’s attempt to globalize Convention 108 are examples of measures that aim to globalize these rules. But, for instance, in Latin America there are very few countries considered to have adequate legislation or that are party to the Convention 108.

Consequently, one of the greatest challenges we face today is to work for an international treaty, with clear rules that can be followed in practice and enforced and ideally enforced globally. An agreement that brings States, companies, academics and users to the table for discussion is essential. Just as the pandemic accelerated the practices of the use of technology that were latent, the pandemic can also perhaps be a factor to accelerate the discussion and adoption of such a global agreement.

El ejercicio de derechos en contextos de excepción

 El 28 de septiembre se conmemora a nivel mundial el Día del Derecho a Saber y es la fecha en la cual la Agencia de Acceso a la Información Pública celebra un nuevo aniversario de su puesta en funcionamiento. Pero este año nos toca hacer un balance de lo logrado y una proyección de lo que queremos realizar en el marco de una situación inaudita: la pandemia del COVID-19 alteró todos los planes y nos sumergió en una emergencia sanitaria que aún no sabemos cuándo concluirá.

Esta emergencia trajo aparejados innumerables debates en torno al efectivo ejercicio de derechos humanos que son vitales, como es el acceso a la información pública y la protección de los datos personales, así como su garantía por parte de distintas instancias del Estado. En consecuencia, desde la Agencia publicamos en el mes de abril la Resolución 70/2020, que exceptúa de la suspensión de los plazos administrativos a los trámites vinculados a la Ley 27.275 de Acceso a la Información Pública y la Ley 25.326 de Protección de Datos Personales, ya que entendemos que el pleno ejercicio de estos derechos resulta fundamental en este contexto de excepción.

Entre los meses de enero y agosto de 2020, la Administración Pública Nacional recibió 2.990 solicitudes de acceso a la información pública, mientras que ante la Agencia se presentaron 194 reclamos. Además realizamos nueve encuentros con los Responsables de Acceso a la Información Pública de los distintos sujetos obligados, en su mayoría en formato virtual, lo que nos permitió seguir garantizando el derecho de acceso a la información pública por parte de la ciudadanía. También convocamos en el mes de junio a una sesión virtual del Consejo Federal para la Transparencia, órgano constituido por un representante de cada una de las provincias y un representante de la Ciudad de Buenos Aires, cuyo fin es la cooperación técnica entre las distintas jurisdicciones y la concertación de políticas en materia de transparencia y acceso a la información pública. En ese marco pudimos conocer a los nuevos miembros y avanzar en la elaboración de diagnósticos de las realidades provinciales, de cara a la próxima reunión a celebrarse a finales de septiembre.

Por otra parte, en el mismo período del 2020 se realizaron ante la Agencia 149 denuncias por incumplimientos a la Ley de Protección de Datos Personales y 34 consultas de diversos organismos, iniciamos seis investigaciones de oficio e impusimos 14 sanciones. Asimismo, publicamos guías con recomendaciones sobre tratamiento de datos personales ante casos de coronavirus, en el uso de herramientas de geolocalización para el seguimiento de contactos y en el registro de temperatura corporal. Adicionalmente, desarrollamos contenido sobre la protección de datos personales en operaciones online y videollamadas, el cuidado de la privacidad en la niñez y el derecho de acceso a las historias clínicas.

Estos tres años recorridos por parte de la Agencia nos encuentra, entonces, como un organismo nuevo pero consolidado, referente a nivel nacional e internacional en materia de acceso a la información pública y protección de datos personales, que a pesar de las dificultades propias del contexto que nos toca hoy atravesar hemos podido llevar adelante una tarea enorme y, desde cada uno de nuestros hogares, continuar trabajando para que estos derechos no sean meramente una declamación, sino que estén llenos de vitalidad.

Privacidad vs. salud, otra falsa disyuntiva

Publicado originalmente  en Infobae -Argentina- el 8 de mayo de 2020.

Los gobiernos de los distintos países alrededor del mundo están realizando esfuerzos denodados para reducir la propagación del coronavirus COVID-19. Muchas de las medidas para enfrentar la pandemia involucran el tratamiento de diversas categorías de datos personales. A través de tecnologías y aplicaciones, algunas de ellas de uso voluntario y otras de uso compulsivo, se procura recolectar y procesar información con finalidades asociadas a la mitigación del virus. En este contexto, ya son varios los países que implementan o planean implementar medidas de tracking o seguimiento de la ubicación geográfica de las personas con el fin de hacer cumplir regulaciones de aislamiento social y confinamiento, como así también asociar patrones de movilidad con posibles casos de contagios. Sin duda que todo ello causa temor a convertirnos en sujetos permanentemente controlados con la consiguiente pérdida de nuestro básico derecho a la privacidad, o como lo definió a principios del siglo XX Louis Brandeis, nuestro derecho a estar solos.

Para citar algunos ejemplos europeos, donde la regulación para protección de datos personales es de las más recientes y va camino a ser universalmente aceptada, hace poco se anunció la iniciativa de “Rastreo Paneuropeo de Proximidad para Preservar la Privacidad”, que permitiría mapear contagios e informar a los usuarios de una aplicación si han estado en contacto con alguien que ha resultado positivo por coronavirus. Esta iniciativa cuenta con el apoyo de numerosas instituciones y gobiernos europeos. Asimismo, la Junta Europea de Protección de Datos, en su Declaración sobre el Procesamiento de Datos Personales en el Contexto de la Epidemia de COVID-19, del 19 de marzo del 2020, sostuvo que “algunos gobiernos de la Unión Europea se encuentran evaluando si utilizar la georreferenciación de teléfonos celulares es un medio posible para monitorear, contener o mitigar la propagación del COVID-19”. Tal visión fue refrendada por el Parlamento Europeo en su Resolución 2020/2616 del 17 de abril, en la que se promovió el uso de aplicaciones de rastreo de contactos, en la medida en que se tomen medidas y recaudos que salvaguarden los derechos de las personas. Por su parte, el 10 de abril del 2020, las empresas Google y Apple han anunciado, a su vez, el lanzamiento de una plataforma de rastreo de contactos basada en Bluetooth.

Por su parte, en la Argentina el Ministerio de Salud ha lanzado la aplicación CuidAR COVID-19, disponible en los sistemas iOS y Android. Esta aplicación permite que las personas puedan diagnosticarse a través de una plataforma y, luego, recibir recomendaciones de los pasos a seguir en caso de tener síntomas coincidentes con el coronavirus. Recientemente, se ha incorporado una función adicional para tramitar el certificado único de circulación. Para las personas que ingresan al país desde el extranjero, el uso de la aplicación es obligatorio por el término de catorce días de acuerdo a lo dispuesto por la Dirección Nacional de Migraciones en su Disposición 1771/2020.

A este respecto, cabe aclarar que ni la Ley de Protección de Datos Personales 25.326 ni el Convenio para la Protección de las Personas con respecto al Tratamiento Automatizado de Datos de Carácter Personal (Convenio 108) del cual Argentina es Estado parte, prohíben expresamente el monitoreo de la ubicación de las personas. Teniendo en cuenta ello, la emergencia sanitaria nos obliga a pensar soluciones inéditas para un problema que es, a la vez, inédito. No es casual, como vimos antes, que esta sea una discusión global y no solo nacional.

Sin embargo, ello no significaría, sin más, que esas soluciones puedan implementarse de cualquier manera, pues tienen el potencial de afectar los derechos a la autonomía y la privacidad que están protegidas en los convenios internacionales de derechos humanos. En tal sentido, resulta indispensable que las medidas de tratamiento de datos que cualquier gobierno implemente mantengan un equilibrio entre todos los derechos y libertades en juego.

Pero, además, resulta de gran importancia que, quien decida voluntariamente utilizar cualquier aplicación que pudiera surgir, tenga en cuenta a lo que autónomamente se presta consentimiento. En el caso de CuidAR COVID-19, es positivo que la aplicación haya incluido un apartado especial sobre el uso de los datos personales en sus Términos y Condiciones. Ser conscientes de lo que consentimos cuando usamos cualquier aplicación es lo que las autoridades de protección de datos proponen como una buena práctica desde hace tiempo, dado que hoy en día la protección de la privacidad requiere no sólo de acciones de los gobiernos, sino, también, de nuestras propias acciones.

Hace pocos años, en un contexto global diferente pero que también que generaba temores, se enfrentaba la seguridad pública versus la privacidad. Hoy se enfrenta la privacidad con la salud. Estos debates son estériles y, además, cuando de derechos fundamentales se trata, equivocados. Vale un simple ejemplo para reflexionar: si perdemos nuestra privacidad relativa a nuestros datos de salud por el hecho de hacer consultas, difícilmente hagamos esas consultas y posiblemente, por esa razón, nuestra salud se perjudique.

En conclusión, es clave que al implementar las políticas públicas frente a la pandemia se respeten los derechos fundamentales al mismo tiempo que la salud y que quienes utilicen herramientas tecnológicas para hacerlo sean conscientes de las ventajas, pero también de los riesgos que se corren y que, en caso de sentirse afectados por la violación de su privacidad, alcen la voz denunciando los hechos que así lo hicieren. Todo ello es de la mayor importancia en el momento en que vivimos: no podemos dejar que la obra de George Orwell 1984 deje de ser un relato de ciencia ficción para convertirse en una descripción de la realidad.

Proteger los datos es tarea de todos

Publicado originalmente en diario Clarin -Argentina- el 24 de septiembre de 2019.

Juana es dueña de un hotel con vistas al lago Lacar. Hace tiempo advirtió un aumento del turismo extranjero, pero no de la ocupación de su hotel.

Un día una agencia multinacional de turismo le ofreció promocionar su hotel. Cuando aceptó la oferta, comenzaron las preguntas sobre la transferencia de los datos personales de sus huéspedes. Juana respondió que los datos llegarían de afuera y ella los almacenaría en su sistema. Le explicaron que no es tan sencillo: para transferirle datos su país debe tener garantías mínimas para proteger datos personales, sino se infringirían normas de la Unión Europea (UE). Pero Juana no se preocupó.

Sabe que Argentina, desde 2003, es considerado un país con legislación adecuada.Sin embargo, Juana no sabe que por las nuevas reglas de la UE vigentes desde 2018 se están revisando las condiciones para ser país adecuado ni que esas reglas podrían cambiar por el acuerdo entre el Mercosur y la UE.

Por suerte, Juana está bien asesorada y le explican que la transferencia internacional de datos personales desde y para Argentina puede garantizarse de distintas formas: por ejemplo, a través de un contrato entre la empresa local y la europea que prevea garantías adecuadas. Tras entender la regulación vigente, Juana avanza con el negocio y, en pocos meses, experimenta un marcado incremento en sus ganancias.

Esta historia no es real, pero podría serlo. Y podría aplicarse a distintos sectores de negocios que requieren la transferencia internacional de datos personales. En Argentina existe poco conocimiento -y poco respeto- de las reglas que rigen esta materia. Aun cuando la multa por no cumplir las reglas sea algo menor para el negocio, lo importante es que, si no se cumple con ciertos requisitos, el negocio podría caerse.

Para estar acorde con la legislación vigente, la transferencia de datos personales desde Argentina tiene que dar garantías mínimas. Si es hacia un país que provee garantías similares a las nuestras, la transferencia de datos es relativamente sencilla. Ese estatus de “país de legislación adecuada” lo brinda una resolución de la Agencia de Acceso a la Información Pública, la autoridad de protección de datos en Argentina.

¿Y si los datos van a un país que no está en la lista de la Agencia, la transferencia puede hacerse? Sí, pero habrá que asegurarse con un contrato entre las partes -u otros instrumentos- que se protegerán adecuadamente los datos transferidos al exterior de argentinos.¿Y qué ocurre cuando los datos entran en Argentina?

Cada país puede tener sus propias reglas. En el caso de la UE, existe el nuevo Reglamento General de Protección de Datos, cuyo objetivo es garantizar que los datos de los europeos que viajen afuera estén protegidos. También tienen una lista de países de legislación adecuada. Argentina está en la lista, pero la situación podría cambiar ya que está en curso una revisión – en el cual participamos activamente hace un año – para ver si nuestro país se adecúa con las nuevas normas.

Además, desde la Agencia se impulsó un proyecto de reforma para modernizar la legislación nacional sobre datos personales, que se encuentra en el Congreso desde septiembre de 2018 que espera su tratamiento.Globalmente, se imponen cada vez más las transferencias internacionales de datos personales para hacer negocios.

El Estado debe preocuparse de que ese tráfico ocurra de acuerdo con las reglas que nos protegen y, a su vez, beneficie el mundo de los negocios. Pero nosotros debemos ser más conscientes que proteger nuestros datos es proteger nuestro derecho fundamental a la privacidad y no deberíamos reclamarlo solo cuando nos roban nuestros datos o identidad.

Proteger los Datos Personales

Publicado originalmente en el diario La Nación -Argentina- el 3 de junio de 2019
Los debates sobre los beneficios, desafíos y peligros de la  inteligencia artificial han llegado a los medios de difusión masiva. Ya no es un tema que se discute solo en ámbitos especializados. Cualquier lector medianamente atento lo habrá notado. Y también habrá notado que la información generalmente está muy relacionada con cuestiones tales como si es positivo o no que las máquinas "piensen" y tomen decisiones sobre nuestra vida, sobre las ventajas y desventajas de dejar a un robot actuar por nosotros, sobre el impacto en el mercado del trabajo, y un largo etcétera. Pero hay un tema que aparece, al menos por ahora, poco resaltado: la relación entre la utilización de nuestros datos personales y la inteligencia artificial. Poner sobre la mesa esta relación es clave y, además, necesaria.
Podría empezar tratando de dar una definición clara sobre la o las tecnologías que encierran lo que comúnmente llamamos inteligencia artificial. De acuerdo a mi propia experiencia, hay bastante confusión al respecto: unas veces se llama inteligencia artificial a la recolección masiva de datos; otras se entiende que inteligencia artificial son los algoritmos que utilizan los programas de computación para que gracias a ciertos datos de entrada produzcan datos de salida, y también, otras veces se interpreta que la inteligencia artificial tiene que ver con el mecanismo que, programas de computación mediante, utilizan las máquinas para "aprender" frente a ciertas eventualidades cotidianas y, a partir de ese aprendizaje, tomar decisiones. No quiero profundizar en el concepto, todo lo antes dicho sin duda está vinculado con algo de lo que llamamos inteligencia artificial. Pero se distingue que, sea cual sea la aproximación, hay un denominador común: inteligencia artificial y datos personales van de la mano.
Es por esa razón que las autoridades de protección de datos personales a nivel global nos venimos ocupando de este tema. En octubre del año pasado, por ejemplo, al final de la 40» Conferencia Internacional de Protección de Datos y Comisionados de Privacidad se aprobó la Declaración sobre Ética y Protección de Datos en Inteligencia Artificial. La Agencia de Acceso a la Información Pública de nuestro país, como autoridad nacional de protección de datos personales, además de haber participado en el grupo de trabajo que redactó la declaración, fue cosponsor de ella. En este documento, por ejemplo, se destaca que la ética debe estar presente desde el primer momento del desarrollo de un sistema de inteligencia artificial, aplicando los principios de "privacidad por defecto" y "privacidad en el diseño". O sea, teniendo siempre presente el resguardo de los datos personales.
Otro ejemplo: la República Argentina recientemente se ha incorporado como Estado parte del Convenio 108 para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal y su Protocolo Adicional, único tratado a nivel global que se ocupa de la protección de datos personales. Ello es beneficioso para nuestro país no solo por el aumento de cooperación internacional para investigar eventuales violaciones a los datos personales de quienes residen en la Argentina, sino también porque nos habilita a tener voz en las discusiones que a nivel global están sucediendo. En el tema que nos ocupa, a principios de este año el comité consultivo del Convenio 108 aprobó las Directrices de Inteligencia Artificial y Protección de Datos, en las cuales se explica que los desarrolladores de servicios de inteligencia artificial deben rendir cuentas sobre los algoritmos que utilizan con el fin de garantizar el cumplimiento de la protección de los datos personales, brindando los recursos suficientes que permitan su monitoreo a las autoridades de control.
Regresando a nuestro país, se ha anunciado la elaboración de un "plan nacional sobre inteligencia artificial", en el marco del cual se vienen realizando reuniones multisectoriales bajo la coordinación de la Secretaría de Planeamiento y Políticas en Ciencia, Tecnología e Innovación Productiva. Es auspicioso que la agencia, como autoridad de protección de datos, haya sido invitada a participar de esos debates para que, en el desarrollo y diseño de ese plan, quede claro un tema clave: el tratamiento de los datos personales debe realizarse con pautas éticas y de conformidad con las leyes vigentes, aun cuando ello se vincule con cualquier tecnología relacionada a la inteligencia artificial. Así se está sosteniendo a nivel global y así debemos encarar cualquier discusión en la Argentina.

Datos personales, al amparo del Estado*

La reciente discusión generada a partir de un convenio para el intercambio electrónico de información, suscripto entre la Anses y la Secretaría de Comunicación Pública, dependiente de la Jefatura de Gabinete, puso sobre la mesa un tema que en nuestro país estaba invisibilizado: la importancia del tratamiento adecuado de los datos personales como una herramienta para la protección de la privacidad. Esta discusión es auspiciosa, dado que puede contribuir al impostergable proceso de reflexión sobre las reformas necesarias en la legislación sobre protección de datos personales.

Este proceso ya había sido iniciado por la Dirección Nacional de Protección de Datos Personales (Dnpdp), del Ministerio de Justicia y Derechos Humanos, y se lleva adelante principalmente a partir de la plataforma del programa Justicia 2020, el espacio de participación institucional y ciudadana para la elaboración, implementación y evaluación de políticas públicas en el ámbito de la Justicia. Pero para llegar a buen puerto es importante destacar los enormes desafíos que tenemos para contar prontamente con una mejor legislación sobre datos personales.

El principal motivo del debate alrededor del convenio se centró en la legalidad para que dos órganos del Estado compartan datos personales. Este debate es importante, dado que alerta sobre los problemas que podría generar una cesión de datos si se recolectaran o usaran fuera de la competencia de los organismos. Sin embargo, es un debate insuficiente y no agota los desafíos que tiene la discusión sobre la modernización de la ley.

La Dnpdp expresó claramente que el acuerdo era acorde con la ley de datos personales vigente, sobre todo teniendo en cuenta que la normativa mencionada permite expresamente este tipo de cesión de datos entre organismos públicos, aun sin el consentimiento de su titular, cuando esa cesión se realice para el tratamiento de datos exclusivamente necesarios para el ejercicio de la competencia de esos organismos públicos.

La cuestión que parece haber pasado inadvertida en el debate es que estamos frente a un único recolector y tratante de los datos, el Estado, que lo hace a través de distintas oficinas. En otras palabras, hemos cedido la información al Estado para el cumplimiento de sus funciones y es por ello que la ley no ha previsto la necesidad de requerir nuestro consentimiento cuando ocurra la cesión.

Por supuesto, también son entendibles las dudas que pueden generarse por la utilización de esos datos que, insisto, ya están en manos del Estado. Pero son las mismas dudas que nos genera el posible mal uso de nuestros datos personales por parte de empresas privadas que también tratan una inmensa cantidad de datos personales y que podrían hacer un uso de ellos fuera de los términos y condiciones que en general se aprueban, pero que muy pocas veces se leen. En ambos casos, la violación de la ley sobreviene tanto si lo hace un órgano del Estado excediendo su finalidad y competencia como si lo hace una empresa privada excediendo el consentimiento preestablecido.

Los desafíos para pensar en una mejor y más moderna ley de datos personales no pueden terminar en esta discusión. Un tema clave será cómo legislar sobre la protección de datos personales sin que ello se enfrente o impida el desarrollo de la tecnología. Además deberemos ser cuidadosos para que una nueva ley de datos personales no genere conflictos con otros derechos fundamentales. Específicamente, tendremos que reflexionar sobre la reformulación de conceptos hoy vigentes y la incorporación de nuevas definiciones como por ejemplo "dato biométrico", "dato genético", "tratamiento transfronterizo de datos" y "consentimiento del interesado", entre otros.

Es importante pensar en un diseño institucional del organismo de control acorde con los estándares internacionales y la posibilidad de incluir criterios de lo que se conoce como "responsabilidad demostrada", como una obligación de reportar a la autoridad de aplicación sobre las medidas implementadas por una organización para cumplir con los requisitos de tratamiento de datos personales. La "privacidad desde el diseño" es otro enfoque que podría tenerse en cuenta en una nueva regulación, apuntando a que desde el origen mismo del diseño de un sistema, aplicación o dispositivo se contemple la protección de la privacidad.

La ley 25.326 fue sancionada en octubre de 2000 y reglamentada un año después. Resulta una obviedad destacar los cambios de la tecnología operados en los últimos 15 años, muchos de los cuales tienen impacto en la protección de los datos personales y las posibles vulneraciones al derecho a la privacidad. Asimismo, es importante considerar el nuevo contexto internacional, particularmente las regulaciones europeas recientemente aprobadas (Reglamento UE 2016/679) que entrarán en vigor en 2018. La oportunidad y necesidad de la reforma aparecen como indiscutibles, y las recientes discusiones, aunque enfocadas sólo en un aspecto, prometen un debate vibrante.

* Publicado originalmente en La Nación disponible en http://www.lanacion.com.ar/1924166-datos-personales-al-amparo-del-estado

Los avances de la tecnología deben ir junto con la protección de los derechos

Los avances de la tecnología deben ir junto con la protección de los derechos 

• Imprimirjueves, 19 de mayo de 2016

La Dirección Nacional de Protección de Datos Personales participó del ciclo de charlas “Actualidad en materia de Protección de Datos Personales” durante la jornada del día de hoy en la Universidad de San Andrés.

En el marco del "Programa de Derecho de Internet y Tecnología de las Comunicaciones", Eduardo Bertoni, titular de la Dirección Nacional de Protección de Datos Personales (DNPDP), expuso sobre los nuevos desafíos de la dirección en el actual contexto nacional e internacional.

En el marco de la exposición de los ejes centrales sobre los que la dirección abordará su trabajo futuro, Bertoni propuso iniciar un proceso de reflexión sobre la modificación de la ley 25.326, sancionada en el año 2000, cuando todavía no existían muchas de las aplicaciones que hoy en día son muy controvertidas en relación con el tratamiento que hacen en  materia de datos personales.

Asimismo, indicó que el organismo a su cargo se propone llevar adelante cambios importantes en el proceso de realización de las inspecciones y de los sistemas de sanciones que se deben imponer cuando se detectan infracciones a la ley de protección de datos personales. Finalmente, destacó que la DNPDP se ha fijado el desafío de ampliar su rol en distintos foros internacionales para que nuestro país tenga una voz vinculada con la visión que tenemos de la protección de datos personales.

A su vez, Bertoni afirmó que "La Dirección Nacional fue concebida primordialmente como un órgano de control de quienes tratan datos de las personas para que no se vulneren los derechos fundamentales". Y finalmente destacó: "La protección que hacemos del derecho a la privacidad no debe ser interpretada como un obstáculo para los avances tecnológicos."

La presentación de Eduardo Bertoni estuvo a cargo Pablo Palazzi, Director de Programa de Derecho de Internet y Tecnología de las Comunicaciones (DITC) de la Universidad de San Andrés. La actividad contó también con la participación de la Dra. María Verónica Pérez  Asinari, Jefa de Unidad, Supervisor Europeo de Protección de Datos y de la Dra. Paula Vargas, Coordinadora DITC y IAPP co-Chair de Buenos Aires.

• Subir
• Imprimir
• Compartir