Las ISP colombianas no defienden a sus usuarios: EFF

Las cinco principales proveedoras de acceso a internet en Colombia están en pañales en lo que se refiere a la protección de datos de sus usuarios. Un estudio de la Electronic Frontier Foundation (EFF) y la Fundación Karisma, llamado ‘¿Dónde están mis datos?’, revela que estas empresas tienen malas prácticas –si tienen alguna en absoluto– a la hora de proteger la privacidad y los datos personales de sus usuarios.

El informe califica a Claro, Movistar, Tigo, ETB, Une y Directv –que tienen al 91% de los usuarios, según el Ministerio TIC– de acuerdo con cinco variables:

1- Si publican informes de transparencia. Estos informes revelan cuántas solicitudes de información sobre sus usuarios reciben del Gobierno.
2- Si notifican a los usuarios cuando el Gobierno pide sus datos.
3- Si sus políticas de protección de datos son claras y los usuarios pueden acceder fácilmente a ellas.
4- Si dejan claro cómo cumplen sus obligaciones legales, cuando estas obligaciones involucran la entrega de información de sus usuarios. “Es decir, si tienen manuales que indiquen cómo cumplen con la obligación […], por cuánto tiempo retienen esos datos y cómo los eliminan, si es el caso”, dice un documento de la EFF.
5. Si sus políticas y procedimientos para filtrar, retirar o bloquear contenidos son claros, y si los usuarios pueden recurrir las decisiones que tomen las ISP en ese sentido.

Los resultados son los siguientes:

El informe fue realizado con la colaboración de los operadores, y más que castigarlos por sus malas políticas, busca iniciar una conversación sobre la importancia de proteger a los usuarios en un entorno digital en el que su privacidad está en riesgo.

“Esto no implica que los operadores no estén cumpliendo la ley”

“Esto no implica que los operadores no estén cumpliendo la ley”, señaló Carolina Botero, de la Fundación Karisma. “Solo que nos gustaría que hicieran algo más que eso”.

Un estudio similar será realizado por la EFF y fundaciones similares de México, Brasil, Paraguay y Perú. Puedes consultar todo el informe en dondeestanmisdatos.info.

¿Por qué importa esto?

El principal diagnóstico que se puede hacer es que a las ISP colombianas les falta transparencia. A pesar de que tienen diversas obligaciones legales, ninguna les informa a sus usuarios de que eso es así, y mucho menos de cómo cumple con esas obligaciones y de qué manera sus datos están expuestos gracias a esas regulaciones.

Esas obligaciones van desde entregar datos a la Policía cuando se les requiera, hasta abrir una ‘puerta trasera’ que permita acceder a las autoridades al tráfico de datos –un proceso que es la columna vertebral del sistema Puma–.

Por eso, casi ninguna informa a sus usuarios si alguna autoridad pide sus datos. En muchos casos las ISP no pueden hacer eso, pero en los que sí lo pueden hacer, esos usuarios están doblemente desprotegidos: por una parte, no pueden recurrir la entrega de la información por parte de la empresa, y por otra parte, las empresas no se los comunican.

Las ISP tienen responsabilidad en que no sepamos el alcance de la vigilancia masiva en Colombia

En el mundo análogo, sería necesario que un policía mostrara una orden de un juez para realizar un allanamiento e investigar información en los espacios privados de las personas, como sus hogares u oficinas. Que las autoridades no tengan un procedimiento análogo en el mundo digital pone en riesgo serio los derechos de los ciudadanos.

Además, el hecho de que ninguna de las ISP publique informes de transparencia contribuye al secretismo sobre la escala y el alcance de los procesos de vigilancia masiva que llevan a cabo las autoridades colombianas.

Otro aspecto que debe mejorar son los procedimientos de bloqueo de contenidos. Muchos usuarios conocen historias de que, por una demanda de pornografía infantil, se bloquean servicios completos como Twitter y Facebook, o páginas de empresas o particulares. Los mecanismos para apelar estas restricciones no son conocidos, ni los procedimientos para hacerlos son suficientemente claros.

El único avance que se ve es que las empresas ya comenzaron a abordar el tema de la protección de datos personales. Desde 2008, la legislación colombiana obliga a las empresas y negocios que usan datos personales a contar con una política de protección de datos y a cumplir con unos requisitos mínimos para utilizarlos.

Hay esperanza

A pesar de todo esto, algunas prácticas de las empresas muestran que puede haber un punto de partida hacia la construcción de mejores políticas. Une, por ejemplo, revisa las peticiones del gobierno antes de acceder a ellas, o Directv tiene un procedimiento para informar a sus usuarios en el caso de que el gobierno pida sus datos.

“El objetivo no es castigar a las empresas”

Como dice Katitza Rodríguez, directora internacional de derechos humanos de EFF, “el objetivo no es castigar a las empresas” sino iniciar una conversación sobre estos temas, ”hacer presión para que mejoren sus políticas” y lograr que que “los usuarios puedan tomar decisiones informadas” a la hora de escoger sus proveedores de telecomunicaciones.

En Estados Unidos, la EFF hace informes similares desde 2011, y las empresas han comenzado a mejoras sus políticas desde entonces. Por eso, no sorprende que el resultado del primer informe en Colombia sea este. Si no es por otra razón, es importante que las empresas comiencen a atender estos temas porque “su credibilidad es importante para su negocio”.

Imágenes: EFF, asharkyu (vía Shutterstock).