El futuro de la privacidad

Con el mismo título, el conocido criptógrafo y experto en seguridad Bruce Schneier ha publicado un ensayo en el que realiza un estudio sobre uno de los temas más candentes en la actualidad: la privacidad de la información.

El objetivo de esta reflexión es ofrecer un punto de vista sobre la privacidad de más amplio espectro que el mostrado con gran acierto por Schneier, cuyo punto de vista animo a que leáis, y que comparto plenamente...

Los debates abiertos en la actualidad sobre privacidad son de toda índole: chips RFID, retención de datos, acceso a datos por parte de Administraciones Públicas, el inminente DNI electrónico, Protección de Datos Personales...

Es muy difícil situar un debate concreto sobre privacidad, ya que es un tema que por razones obvias, afecta a muchos estamentos y lo hace de diversos modos. Sin duda es un tema controvertido, puesto que la privacidad siempre lleva implícita asignaciones técnicas, en cuanto al tratamiento informatizado, así como éticas, esas barreras que delimitan qué hay que proteger y cómo protegerlo, así como la definición de roles dentro del marco para ver qué función ocupa cada actor.

La privacidad y la seguridad son dos conceptos que recorren su camino cogidos de la mano. A nadie se le ocurriría pensar en un concepto sin el otro. Están diseñados para convivir juntos, y es deseable que convivan juntos. Sin que los sistemas de la información proporcionen la más estricta seguridad, es inviable que los datos almacenados sean privados y confidenciales.

Partiendo de este pequeño axioma, lógico y elemental, pero no siempre tenido en cuenta, quizás deberíamos plantearnos el futuro de la privacidad no sólo como tal, sino englobando o teniendo en cuenta, de un modo paralelo, muchas más características de la información que deben coexistir con la privacidad: la información, como ya hemos visto debe ser tratada con seguridad, pero, ¿existen más condicionantes deseables que deberíamos contemplar en el tratamiento de la información?

Ciertamente, sí que existen. No basta sólo con que la información que retengamos sea confidencial y esté protegida de un modo seguro. Tenemos que exigir mucho más a la informatización de los datos. Por ejemplo, la información, y me refiero especialmente a la relativa a datos personales, debe ser suficiente. Es decir, hay un condionante ético que delimita la cantidad de datos que debemos almacenar para nuestro propósito. La información recopilada debe ser, por razones de todo tipo, adecuada y no excesiva, principalmente por motivos éticos, y adicionalmente, por razones técnicas, ya que el tratamiento de datos supérfluos es a todas luces improductivo. No es factible por tanto garantizar la privacidad y la seguridad de unos datos que han sido recabados para una finalidad, sobre los que nos han dado un consentimiento expreso y determinado, para que por muy privados que sean, acaben usándose para otro tipo de finalidades. Si yo utilizo mi correo electrónico y mis datos identificativos básicos para ponerme en contacto con el servicio de atención al cliente de una empresa, puedo exigir y exijo que además de confidenciales y seguros, mis datos sólo sean empleados para dicha finalidad, siempre y cuando otorgue de mi consentimiento para que por ejemplo, ese email sea pasto de una lista de telemarketing gestionada por un tercero. Entregué mis datos para recibir soporte, no para recibir publicidad. Tampoco confié mis datos a nadie para que para, para un proceso de atención básico, se acabe sabiendo en la organización que recopila información no útil para tales efectos, como por ejemplo, mis hábitos alimenticios, mi color de pelo o mi estado civil.

Esta aglutinación de pertinencia, proporción, adecuación se conoce como principio de calidad de los datos, y está perfectamente reconocido en la legislación española, concretamente, en la Ley 15/1999 de Protección de Datos de Carácter Personal (LOPD). Este mismo texto, así como el sentido común, obliga a que además, los datos estén actualizados, y que cuando no tengan vigencia o utilidad, sean desechados, de una manera segura. Así pues, en este contexto, la retención de datos debe estar siempre justificada a un propósito. Este punto tiene mucho que ver con un tema controvertido y reciente, sobre el que hemos podido leer largo y tendido, la Directiva Europea de Retención de Datos. El debate sobre las bondades o inconvenientes de la retención de información digital está muy estrechamente ligado a los sistemas de recopilación, los cuales se plantean, en numerosas ocasiones, como servicios ocultos que simple y llanamente, rastrean, captan y almacenan información de modo preventivo.

También podemos exigir que los datos que se almacenen sean almacenados sólo cuando hayan sido obtenidos de un modo legal. No es ético ni legal recoger datos a través de medios fraudulentos o ilícitos, por mucho que después estos datos sean conservados con privacidad y seguridad. Es nuestro derecho obtener toda la información previa sobre quién recoge nuestros datos, para qué finalidad y cómo serán tratados esos datos. La privacidad así lo exige: quiero confidencialidad y quiero que mis datos estén en manos de personas jurídicas o físicas identificables, que me puedan rendir cuentas cuando ejerza mis derechos, no sólo el de información, sino a los derechos que tenemos de cancelar la presencia de nuestros datos en los ficheros de las organizaciones, el poder rectificarlos, ampliándolos, corrigiéndolos o recortándolos, e incluso, volviendo a la LOPD, a oponerme al tratamiento de los mismos salvo que sean requeridos por instancias autorizadas, como las Fuerzas y Cuerpos de Seguridad del Estado o los Juzgados competentes, por citar dos meros ejemplos.

La información, además, debe comprender que quien la trata tiene claro que tiene deber de secreto, cuando sea aplicable. Hay datos públicos que como tales, no deben guardarse en secreto. Pero a veces los datos no son públicos y por tanto, aquel que los trate, debe comprometerse a que la información susceptible de secreto se conserve con las máximas garantías de no accesibilidad por terceros no autorizados. Es un pilar básico de la privacidad, que muchas veces se menoscaba y no se considera con la importancia que debiera.

Podemos exigir más cosas a aquellos que tratan la información. Podemos exigir que las condiciones físicas de almacenamiento y su seguridad física, sean las adecuadas. Es deseable también que si existen códigos tipo, estos se respeten. Podemos pedirle mucho a aquellos que custodian información. Incluso recomendarles que la información, en aras de la mejor privacidad, debe estar, además de disponible, íntegra, sin corrupciones y perfectamente ordenada y localizada por si es preciso emplearla en cualquier evento judicial con las máximas condiciones de asepsia.

Pero sobre todo, podemos y debemos exigirle a las Administraciones Públicas que velen por nuestros intereses, que nos den cobertura legal, que marquen unas reglas del juego acordes a las necesidades del cuidadano y que protejan lo que es nuestro, nuestra identidad y la información que sólo nos compete a nosotros, como ciudadanos inmersos en distintos sistemas. Todo eso podemos y debemos esperar de quienes tienen la responsabilidad de que las cosas se hagan bien, limpiamente y sin perjuicio de nadie. Por la misma regla, también contraemos obligaciones con quienes marcan las reglas, y por tanto, estas deben ser justificadas, lógicas, procedentes y claras.

Por tanto, el futuro de la privacidad pasa por respetar todo lo expuesto. Seguramente, haya más consideraciones que cada uno estime necesarias a la hora de que su información, o aquella que le cita o compete, acabe en un sistema informático. La sociedad en la que vivimos demanda y necesita Tecnologías de la Información para que la información que precisamos y que otros precisan, llegue a sus destinatarios no sólo de forma confidencial y segura, sino respetando todo lo que hemos expuesto.

La privacidad es muy importante, pero es sólo la punta del iceberg. Posiblemente el futuro de la privacidad pase por el respeto máximo de todas las condiciones de contorno de las que hemos hablado.