jueves, 26 de julio de 2012

Oficiales de Protección de Datos: ¿Sobre Buenos Cimientos?



El consejero global de privacidad de Google, Peter Fleischer, ya ha sufrido en sus carnes lo que implica estar en primera línea de fuego en el mundo de la privacidad; un mundo donde las muy diversas leyes pueden encontrar como cabeza de turco a la persona que ostente el título de encargado de privacidad en una gran empresa multinacional. 

Traducción libre del post de Peter Fleischer 20111123

He trabajado en el campo de la privacidad desde hace lo bastante tiempo como para recordar una época en la que casi ninguna empresa en el mundo tenía oficiales de privacidad. Ahora, casi todas las grandes empresas los tienen. Y pronto las leyes europeas de privacidad seguramente van a ser modificadas para hacerlos obligatorios, o al menos proporcionar grandes incentivos para su nombramiento; lo cual conllevará un inmenso crecimiento de esta profesión.

Pero, ¿qué es un oficial de protección de datos? O ¿siquiera podemos ponernos de acuerdo sobre cómo denominarlos? “Oficial de Protección de Datos” o “DPO” [DPO = Data Protection Officers] es un título eurocéntrico, puesto que Europa hace mucho que inventó el concepto de “protección de datos” como alternativa (no sinónima) de “privacidad”. Personalmente hace mucho que uso el título de “Consejero Global de Privacidad”, puesto que pienso que es útil para expresar tres cosas que definen mi trabajo. esto es: el tema (privacidad); el ámbito geográfico (global), y la perspectiva funcional (es decir, consejero o abogado). Pero los líderes de privacidad a menudo no son abogados, de aquí que usen diversos motes, que van desde Oficial Jefe de Privacidad a Director de Ingeniería de Privacidad, o Director de Cumplimiento de Privacidad, o Jefe Evangelista de Privacidad, en cada caso enfatizando una perspectiva funcional diferente.

Para las compañías muy grandes, la privacidad tiene que ser un esfuerzo cros-funcional, implicando seguridad, ingeniería, legal, cumplimiento, política y comunicaciones. Personalmente, yo me enfoco hacia las facetas legales/regulativas y de políticas de la privacidad. En las compañías muy grandes de Internet basadas en la información, hay literalmente cientos de personas trabajando en privacidad a lo largo de estas diversas funciones. En las compañías más pequeñas debería haber, en mi opinión, al menos una persona que sea responsable de la privacidad, en cierta medida, aunque no fuera un trabajo a tiempo completo.

Puesto que Europa está a punto de imponer como obligatorios a los “oficiales de protección de datos”, necesitamos comprender las responsabilidades que tendrán estas personas. Primero es importante hacer notar que la propuesta europea seguramente va a seguir el modelo de las funciones existentes en Francia ("correspondent") y Alemania ("Datenschutzbeauftragte"). En estos países el DPO es responsable de supervisar la creación y uso de bases de datos que contengan datos personales por parte de sus empresas, actuando de enlaces con los reguladores gubernamentales de privacidad, y proporcionando buen asesoramiento y guía sobre privacidad. En la práctica, los DPOs en Alemania y Francia a veces están enfocados sobre la faceta legal, y a veces en el aspecto técnico y de seguridad.

En Estados Unidos los líderes de privacidad tienen una visión diferente. En la mayoría de las empresas americanas los abogados desempeñan este papel, así como yo entré en la privacidad por medio de la profesión legal. Y nosotros desempeñamos este papel por nuestra cualificación como abogados, es decir: proporcionar asesoramiento legal sobre privacidad a nuestras empresas. Como abogados de privacidad, proporcionamos asesoramiento, pero no tenemos poderes para adoptar las decisiones finales sobre si nuestras empresas siguen o no nuestros consejos. Los ejecutivos de la empresa son los decisores a fin de cuentas, no los abogados de privacidad. Por supuesto hay otros modelos en algunas empresas estadounidenses, pero todavía son una minoría.

Así que, cuando Europa institucionaliza el papel del DPO, va a ser importante definir cuáles van a ser exactamente las responsabilidades de estas personas, tanto a nivel interno como externo a sus compañías. Para las multinacionales, va a hacer falta algún tiempo hasta ajustar cómo apoyar a sus líderes de privacidad bajo estos diversos regímenes legales que abarcan diversas jurisdicciones. Y cuando a los DPOs se les haga responsables de ciertas áreas, ellos mismos necesitarán protección e indemnidad por parte de sus empresas respecto a su riesgo personal, al igual que en otras profesiones, como los delegados financieros en jefe que son obligatorios bajo diversas legislaciones con áreas específicas de responsabilidad.

Yo doy la bienvenida a las leyes europeas que ayudarán a fortalecer el papel de los DPOs en sus empresas, y contribuirán a hacer más prevalentes los DPOs en el sector. Esto en la práctica será un paso adelante para la privacidad. Pero al mismo tiempo, será importante definir nuestras responsabilidades, a nivel interno y externo, especialmente en un campo donde la propia noción de “privacidad” es altamente subjetiva; y donde las visiones sobre lo que un líder de privacidad debería hacer difieren dramáticamente, según el país, según el sector, y según la función.

o0o

domingo, 22 de julio de 2012

Marejada de Sanciones



Una vez más, el consejero global de privacidad de Google, Peter Fleischer nos ilustra con su visión a vista de pájaro sobre las tendencias mundiales de privacidad. 

Traducción libre del post 20120102 Peter Fleischer

Cuando Apolo decidió impedir que Laocoonte* advirtiese a los Troyanos de que el famoso caballo de Troya estaba repleto de soldados enemigos, envió a dos serpientes gigantescas para que acabasen con Laocoonte y sus hijos. ¡Hablando de sanciones¡ ¿Hemos considerado emplear serpientes asesinas para castigar las infracciones de datos personales y desalentar las futuras malas prácticas?

Puesto que 2012 acaba de empezar, aquí va una predicción sobre el futuro: va a haber muchas más acciones de ejecución en el terreno de la privacidad. Por parte de un montón de distintas autoridades administrativas, no sólo agencias de control. Y las sanciones y resarcimientos van a subir por las nubes. Por cierto, no es fácil determinar cuáles son los organismos encargados de ejecutar acciones de cumplimiento de protección de datos. Hay un montón de ellos.

Todos pensamos que las Agencias de Protección de Datos, y organismos similares, como la Comisión de Comercio Federal, son las responsables de hacer cumplir las leyes de privacidad. Estos organismos alrededor del mundo tienen unos poderes ejecutivos inmensamente diferentes; culturas investigativas y tradiciones sancionadoras; incluso dentro de Europa. Algunas, como la AEPD española, imponen un montón de sanciones grandes. Otras, como la CNIL francesa, imponen solamente 5 sanciones económicas en todo un año. La mayor multa que la CNIL ha impuesto en toda su historia es de 100.000 €. E incluso otras, como la DPA belga, ni siquiera tienen facultades de imposición de sanciones en absoluto. Otras Agencias de Protección de Datos casi nunca emplean sanciones, en el sentido clásico, aparte de notas de prensa y tácticas de “nombra y avergüenza”. Más aún, en años recientes, la Comisión de Comercio Federal de Estados Unidos se ha estado moviendo en una dirección diferente: negociar compromisos de consentimiento [consent decrees] a largo plazo; compromisos de 20 años para que las empresas concretas se obliguen a ciertos estándares de privacidad y queden sujetas a auditorías periódicas.

 Pero por si la plétora de Agencias de control, en sus variadas prácticas sancionatorias, no fueran lo bastante divergentes, el cumplimiento de la privacidad no está en absoluto limitada a estos organismos especializados. En Estados Unidos, los Fiscales Generales del Estado plantean a menudo procedimientos sobre privacidad. En Estados Unidos también existe toda una industria de acciones grupales de clase basadas en la privacidad que han surgido en los últimos pocos años.

Más aún, en muchos países, las leyes de privacidad se han abierto paso hasta los códigos penales. Consecuentemente, cualquier fiscal penal puede iniciar tales acciones penales de privacidad. Por ejemplo, mi procesamiento y condena en Italia por una “violación de privacidad” fue iniciado por un fiscal de Milán e impuesta por un juez penal.

En el futuro, la proliferación del número de autoridades que puedan iniciar procedimientos sancionatorios sobre privacidad seguramente va a aumentar. Primero, más y más países están constituyendo autoridades de protección de datos; por ejemplo, como una docena de ellas se han creado en el último año en Latinoamérica y Asia. Y en Europa, donde por lo general no existen las acciones de clase y no encajan dentro del marco jurídico existente, ahora hay serias propuestas de crear mecanismos para el “resarcimiento colectivo” de las reclamaciones de privacidad. Y, por supuesto, siempre han existido los canales judiciales normales, en los que cualquiera puede demandar por privacidad frente a alguien si le parece que se ha violado su privacidad. El número de estos casos también está explotando en todo el mundo, especialmente conforme más y más datos sobre la gente se recopilan, intercambian y publican.

 Frecuentemente escucho la queja de la gente de que no existe suficiente cumplimiento forzoso de la privacidad. En algunos sitios, en la práctica, eso puede ser cierto. Pero no hay escasez de autoridades que se solapan con la facultad de iniciar o resolver reclamaciones de privacidad. Curiosamente, en círculos de privacidad, el enfoque tiende a recaer sobre las acciones sancionatorias de las Agencias de control. Pero en la práctica, las Agencias son solamente una de las muy diversas autoridades que pueden llevar a cabo acciones de cumplimiento de privacidad. Y la tendencia está subiendo claramente, tanto en términos del número de leyes que se pueden infringir, en términos de la severidad de las sanciones, en términos del número de reclamaciones interpuestas, y en términos de la gama de autoridades que están implicadas en hacer cumplir la privacidad.

La Comisión Europea ha propuesto establecer nuevas multas por infracciones de protección de datos que llegarían hasta ¡el 5% del ingreso bruto! Para una empresa global, eso seguramente da más miedo que las serpientes asesinas.

* El sacerdote troyano Laocoonte, durante el asedio de Troya, pronunció la famosa frase Timeo Danaos et dona ferentes (Desconfío de los dánaos (griegos) incluso cuando traen regalos), alertando a los troyanos de que podría ser una trampa; que dentro del caballo podía haber tropas aqueas; y sugirió quemarlo, pero los troyanos no le hicieron caso.

o0o

viernes, 20 de julio de 2012

¿Tuitear o Borrar?


El Consejero Global de Privacidad de Google hace honor al título de su puesto observando las implicaciones mundiales que van a tener las dos corrientes prevalentes sobre la manera de entender la privacidad. ¿Cuál de ellas se impondrá?

20100415 Peter Fleischer

¿Cómo resolverías el conflicto entre el imperativo cultural de archivar conocimiento humano y el imperativo de privacidad de borrar parte de ello? Para poner esto en perspectiva, compara el enfoque de la Librería del Congreso de los Estados Unidos y el del Senado Francés.

Como publica el periódico The New York Times: “La Biblioteca del Congreso, el veterano guardián del conocimiento y la historia cultural desde hace 210 años, va a proceder a archivar las obras compiladas de Twitter, el servicio de mensajería cuyos usuarios actualmente envían una riada diaria de 55 millones de mensajes de un máximo de 140 caracteres”.

Mientras tanto el Senado Francés se está moviendo en la dirección opuesta, conforme explora una ley para legislar el “Derecho a ser Olvidado”. El Senado Francés ha estado considerando una propuesta de ley que modificaría la actual legislación de protección de datos, para incluir, entre otras cosas, un derecho más amplio de los individuos a insistir en el borrado de su información personal. La propuesta de ley en Francia obligaría a las empresas a borrar información personal después de un periodo de tiempo especificado o cuando sea requerido por el individuo afectado.

Por poner otro ejemplo, esta vez desde Alemania: un tribunal de allí ha recibido la solicitud de considerar una acción legal, por parte de dos asesinos convictos (ahora liberados de prisión) que pretende obligar a Wikipedia a borrar sus nombres de un artículo que documenta su pasado criminal. Mientras el caso está todavía en marcha (por lo que sé), la versión de Wikipedia en idioma alemán ha acordado borrar los nombres del artículo en cuestión. Los dos hombres están ahora intentando obligar a la Fundación Wikipedia a borrar sus nombres también de la versión en idioma inglés.
Bueno, creo que estaremos posteando y tuiteando sobre este dilema durante algún tiempo; sabiendo que nuestros tuits van a ser archivados. Hace poco testifiqué ante los Senadores franceses que yo nunca podría apoyar un derecho de privacidad “a ser olvidado” que equivaliese a una censura. Me pregunto si ellos tuitean en el Senado Francés, y si saben que sus tuits se están archivando en la Biblioteca del Congreso de Estados Unidos.
o0o

lunes, 9 de julio de 2012

Pensamiento Nebuloso sobre el Derecho a Ser Olvidado


Una vez más, el consejero global de privacidad de Google, Peter Fleischer nos aporta su opinión personal sobre el candente tema del Derecho al Olvido. Si bien Google es parte interesada en esta controversia, sus argumentos no dejan de ser lúcidos y clarificadores.

Traducción libre del post 20110309 Peter Fleischer

PENSAMIENTO NEBULOSO SOBRE EL DERECHO  A SER OLVIDADO

La privacidad, como justificación para la censura, ahora despunta en debates diversos pero relacionados: “le droit a l'oubli”; la idea de que el contenido (especialmente contenido generado por el usuario en servicios de redes sociales) deberían auto-expirar; la idea de que la toma de datos por las empresas no debería retenerse más tiempo del necesario; la idea de que los ordenadores deberían ser programados para “olvidar”, al igual que el cerebro humano. Todos estos son movimientos para censurar los contenidos en nombre de la privacidad. Si no hubiera serias implicaciones en ambos lados del debate, ni siquiera estaríamos hablando de esto.


He tenido la suerte de pasar unos días en Suiza trabajando en Street View; y también me permití un fin de semana de esquí. El tiempo no ha sido muy bueno, tuvimos mucha niebla de montaña, pero es que también el mundo entero de la privacidad parece estar neblinoso estos días.
En círculos de privacidad todo el mundo está hablando del Derecho a ser Olvidado. La Comisión Europea incluso ha propuesto que el “derecho a ser olvidado” sea incluido en la próxima revisión de la Directiva de privacidad.

Originalmente, un “derecho universal” francés bastante curioso que ni siquiera cuenta con una traducción adecuada al inglés (¿Derecho a ser Olvidado? ¿Derecho al Olvido? ¿Derecho a Borrar? “Le Doit a l’Oubli” está muy de moda. Pero... ¿qué demonios es? Creo que para la mayoría de la gente es un intento de dar a las personas el derecho de lavarse de la mugre digital, o borrar cosas embarazosas, o simplemente comenzar de nuevo. Pero desgraciadamente es más complicado que eso.

Cada vez más la privacidad se está usando para justificar la censura. En un sentido, la privacidad depende de mantener algunas cosas en privado, en otras palabras, oculta, restringida, o borrada. Y en un mundo donde cada vez más contenido está saliendo online, y donde cada vez más contenido es encontrable y compartible, también es natural que el contra-movimiento de privacidad esté ganando fuerza. La privacidad es el nuevo negro en las modas de la censura. La gente solía invocar el libelo o la difamación para justificar la censura de cosas que herían su reputación. Pero invocar libelo o difamación requiere que el discurso NO sea veraz. La privacidad es mucho más elástica, porque se pueden interponer reclamaciones de privacidad sobre discursos que son ciertos.



 La mayoría de las conversaciones sobre el derecho al olvido mezclan todas estas cosas. No puedo imaginarme cómo tener una conversación que tenga sentido (mucho menos redactar una ley) sobre el Derecho al Olvido sin tener algún esquema para desenredar conceptos que son completamente inconexos, con implicaciones completamente inconexas. He aquí mi sencillo intento de recordar los diferentes conceptos que algunas personas quieren olvidar:

1)    Si yo pongo un post en internet, ¿debería tener el derecho a borrarlo otra vez? Creo que la mayoría de nosotros está de acuerdo en esto, como el caso más sencillo y menos controvertido. Si subo una foto a mi álbum, debería poder borrarla más adelante si tengo otras ideas sobre ello. Prácticamente todos los servicios en línea ya ofrecen esto, así que no es problemático, y esto es el núcleo de lo que el gobierno francés patrocinó en su reciente Charter on the Droit a l'Oubli. Pero hay un gran salto entre que un usuario borre contenido de su propio sitio, y que el usuario de hecho pueda borrarlo de Internet (que es lo que los usuarios usualmente quieren hacer), véase más abajo.

2)    Si yo posteo algo, y algún otro lo copia y lo re-postea en su propio sitio... ¿tengo yo derecho a borrarlo? Este es el clásico caso del mundo real. Por ejemplo, digamos que me arrepiento de haber posteado esa foto de mí mismo cubierto de barro, y después de haberlo posteado en mi propio sitio y de haberlo borrado más adelante, descubro que alguna otra persona lo había copiado y lo ha re-posteado en su propio sitio. Claramente, yo debería poder pedirle a la persona que re-posteó mi foto que la quite. Pero si se niega, o simplemente no responde, o no le puedo localizar, ¿qué puedo hacer? Puedo iniciar acciones judiciales, pero son caras y lentas. Puedo acudir directamente a la plataforma que hospede ese contenido, y si el contenido viola sus términos de servicio o infringe flagrantemente la ley, puedo pedirles que lo quiten. Pero en la práctica, si yo solicito a una plataforma que borre una foto de mí del álbum de otra persona, sin el consentimiento del propietario del álbum, y con única base en mi petición, ello pondrá a la plataforma en la muy difícil o imposible posición de tener que arbitrar entre mi reclamación de privacidad y la libertad de expresión del dueño del álbum. También es debatible si, como asunto de política pública, queremos que las plataformas arbitren tales dilemas. Quizás como mejor se resuelve esto es permitiendo que las plataformas definan sus propias políticas sobre esto, puesto que ambas opciones son legítimas para ellas.

3)    Si alguna persona postea algo sobre mí, ¿debería yo tener derecho a borrarlo? Prácticamente todos nosotros estaríamos de acuerdo en que esto suscita difíciles puntos de conflicto entre la libertad de expresión y la privacidad. La ley tradicional tiene mecanismos, como la ley de difamación y libelo, que permiten a una persona demandar reparación contra quien publique información no veraz sobre él. Bien es verdad que esos mecanismos con caros y lentos, pero los estándares legales son bastante claros y largamente sostenidos. Pero una reclamación de privacidad no está basada en la falta de veracidad. Yo no soy capaz de ver cómo se podría introducir tal derecho sin infringir severamente la libertad de expresión. Por esto es por lo que pienso que la privacidad es el nuevo negro de la moda de la censura.

4)    Todas las plataformas de internet habituadas a albergar y transmitir información, recopilan rastros, algunos de los cuales son datos personales o parcialmente identificativos. ¿Deberían tales plataformas tener la obligación de borrar o anonimizar esos rastros tras un cierto periodo de tiempo? Y en tal caso, ¿cuánto tiempo? Y ¿qué razones ampararían que tales rastros fueran retenidos o procesados? Este es un asunto muy debatido; por ejemplo, el debate de las cookies; o el debate de los logs; el debate de la retención de datos; todos los cuales son también parte del debate del “Droit a l'Oubli”. Pero estos son completamente distintos de las categorías de más arriba, pues estas se centran en los datos de tráfico de la plataforma más que en contenido del usuario. Yo creo que las leyes existentes abordan bien esto, si bien con ambiguedad, pues permiten tal retención “en tanto sea necesario” para “propósitos legítimos”. Una regulación hiper-específica simplemente no funciona, puesto que los casos son sencillamente demasiado diversos.

5)    ¿Debería Internet simplemente aprender a “olvidar”? Dejando aparte los debates mencionados, ¿debería el contenido de Internet simplemente auto-expirar? O alternativamente, ¿conceder a los usuarios el derecho de utilizar configuraciones de auto-expiración? Filosóficamente, yo estoy a favor de darle a los usuarios el poder sobre sus propios datos, pero no a costa de los datos de alguna otra persona. Me encantaría ver un esquema técnico creíble de herramientas de auto-borrado, pero he oído de muchos problemas técnicos para llevarlos a cabo. Los ingenieros describen la mayoría de las funcionalidades de auto-borrado como soluciones al 80%, indicando que nunca funcionan al completo. Dicho en términos de debate, en un extremo, las leyes promovidas por los gobiernos sobre auto-caducidad serían tan sensatas como meterle fuego a una biblioteca cada 5 años. Incluso aunque existieran tales herramientas de auto-caducidad no podrían evitar los usuales problemas de privacidad cuando alguien copia contenido de un sitio (que tenga herramienta de auto-caducidad) y lo mueve a otro (sin la función de auto-caducidad). Así que en mundo real, sospecho que una funcionalidad de auto-expiración (sin importar que fuera opcional u obligatoria) proporcionaría pocas protecciones practicas de privacidad en un mundo real a los usuarios; pero daría lugar a la pérdida de inmensas cantidades de datos y de todos los beneficios que los datos pueden procurar.

6)     ¿Debería recablearse Internet para que fuera más como el cerebro humano? Este parece ser un tema popular en el círculo de comentadores de privacidad. Me imagino que esto quiere decir que Internet debería tener gradientes entre recuerdo, y una especie de recuerdos neblinosos, y olvido. Bueno, los ordenadores no funcionan de ese modo. Esta parte del debate es sociológica y psicológica, pero no veo espacio para ella en el mundo de los ordenadores. Los cerebros humanos también se adaptan a la nuevas realidades, bastante bien, de hecho, y los cerebros humanos pueden olvidar o ignorar contenido, si el propio contenido prosigue existiendo en el ciberespacio.  

7)    ¿Quién debería decidir lo que se debe o bien recordar o bien olvidar? Por ejemplo, si los tribunales alemanes deciden que los Asesinos alemanes tienen derecho a borrar todas las referencias a sus condenas después de un cierto periodo de tiempo, ¿se tendría que aplicar este estándar alemán a la Web? ¿Se aplicaría sólo a contenido que fuera nuevo en la Web o también a los archivos históricos? Y si sólo se aplicase en Alemania, o digamos en el dominio .de ¿tendría cualquier impacto práctico en absoluto, puesto que el mismo contenido seguiría existiendo y sería encontrable por cualquiera desde cualquier parte? O, por hacerlo más personal, la Web está ensuciada con referencias a mi condena penal en Italia, pero yo respeto el derecho de los periodistas y de otros a escribir sobre ello, sin hacerme ilusiones de que en algún punto en el futuro tendré un “derecho” a borrar todas las referencias. Pero toda mi empatía por querer dejar a la gente editar fuera algunas de las cosas malas no cambia mi convicción de que la historia debe ser recordada, no olvidada, incluso aunque sea dolorosa. La cultura es memoria.

8)    A veces la gente no está intentando borrar contenido, sino solo haciendo que sea más difícil de encontrar. Esto motiva diversas iniciativas contra los motores de búsqueda, por ejemplo, para borrar enlaces a contenidos web legítimos, como artículos de periódicos. Esto no es, en términos estrictos, "droit a l'oubli", sino una especie de darle vueltas, intentando hacer algún contenido inencontrable más que borrarlo. Esto seguramente va a generar desafíos legales, y contradesafíos, antes de que este debate se resuelva.

La próxima vez que oigas a alguien hablar del Derecho al Olvido, pregúntale a qué se refiere exactamente. El pensamiento nebuloso no nos llevará a parte alguna.
o0o

sábado, 7 de julio de 2012

El "Derecho al Olvido", visto desde España


El consejero global de privacidad de Google, Peter Fleischer nos aporta su opinión personal sobre el candente tema del Derecho al Olvido. Si bien Google es parte interesada en esta controversia, sus argumentos no dejan de ser lúcidos y clarificadores.
Traducción libre del post de Peter Fleischer 20110905
 
El "Derecho al Olvido", visto desde España

Me gustaría compartir algunas reflexiones personales sobre una interesante serie de casos judiciales que están pendientes en España, enfrentando el “Derecho al Olvido” contra el derecho a la libertad de expresión. El New York Times se hizo eco de este debate hace poco. En dos palabras: estos casos suscitan la cuestión de si la gente puede exigir que los motores de búsqueda borren contenido de sus índices, incluso aunque el contenido sea veraz y el sitio web de un tercero que lo publicó tenga derecho a publicarlo (por ejemplo, los periódicos).

Prácticamente todo el mundo emplea motores de búsqueda para encontrar información en la web. Existen hoy en día más de un billón de páginas en internet. Para ayudar a que la gente encuentre lo que están buscando en la inmensidad de la web, los motores de búsqueda crean unos índices gigantescos de la web. Los motores de búsqueda son intermediarios, puesto que no crean, seleccionan ni editan el contenido de los sitios web que indexan. Los motores de búsqueda intentan emparejar la consulta de búsqueda de un usuario con los resultados de búsqueda que sean relevantes con más probabilidad, usando unos complicados algoritmos para ordenar la probable relevancia de un página web concreta. La inmensa mayoría de los sitios web desean aparecer en los índices de los motores de búsqueda, pero si no quieren resultar incluidos en el índice pueden usar una simple herramienta denominada “robots.txt”, para excluirse de ser indexados por todos los principales motores de búsqueda.

Muchos sitios web publican información sobre personas, y a veces esta información puede herir el sentido de privacidad o reputación de una persona. Por ejemplo, sitios web gubernamentales o periódicos pueden publicar información sobre condenas penales o acusaciones o malas prácticas médicas. Las personas que sientan que esa información acerca de ellas fue publicada equivocadamente por estos sitios web siempre pueden solicitar que se rectifique o se cancele. Pero los periódicos y los sitios web gubernamentales por lo general habrán publicado esta información de manera legal, e incluso puede que vengan obligados a publicarla, o puede que estén ejercitando su derecho a la libertad de expresión. Los motores de búsqueda intermediarios, Google y otros motores de búsqueda, no juegan ningún papel en lo que estos sitios web publican, ni deciden sobre si deberían revisar o quitar contenido basado en una reclamación de privacidad de alguien contra ellos.

Por eso creo que está mal que la Agencia Española de Protección de Datos haya lanzado más de cien diferentes acciones legales de privacidad contra Google, demandando que Google borre sitios web de su índice, a pesar de que los sitios web originales que publicaron la información (incluyendo a periódicos españoles y a boletines oficiales gubernamentales españoles) publicaron esa información legalmente y continúan ofreciéndola. La cuestión legal es importante: ¿Deberían ser responsables los motores de búsqueda como Google del contenido de los sitios web que indexan? ¿Debería ser obligado Google a quitar enlaces de su índice de búsqueda, en nombre de la privacidad, incluso aunque los sitios web que los publicaron deseen ser incluidos en su índice de búsqueda y su contenido sea legal? ¿Deberían ser empleados los motores de búsqueda para hacer más difícil encontrar información, por más que la información esté publicada legalmente?

Yo siento una gran simpatía hacia la gente que siente que su privacidad ha sido invadida por un sitio web que publique información sobre ellos. Pero no se debería solicitar a los motores de búsqueda que borren enlaces a contenido legal que ha sido publicado por un sitio web de un tercero. A estos casos se les ha aludido dentro del “derecho al olvido”. En realidad, estos casos no versan sobre borrar o “olvidar” cierto contenido, sino sobre hacer más difícil encontrar ese contenido. Estos casos harían imposible para los usuarios emplear motores de búsqueda para encontrar contenido que de todas formas continúa existiendo en la web.

No es difícil imaginar las consecuencias negativas sobre la libertad de expresión, si a los motores de búsqueda se les pudiera ordenar que borrasen enlaces a cualquier sitio web que publicase contenido sobre una persona que se considere que ha invadido la privacidad de alguien. El debate sobre Privacidad versus Libertad de Expresión es un debate importante e intemporal, que se está volviendo más urgente en la era de internet. Pero es incorrecto el intentar usar los motores de búsqueda para tratar de hacer más difícil de encontrar una información que es legal. Es incorrecto emplear a los motores de búsqueda como una herramienta indirecta de censura, puesto que las leyes europeas sostienen correctamente que el que publique algún material es responsable de su contenido. Obligar a unos intermediarios como los motores de búsqueda para censurar material publicado pos otros tendría un profundo efecto paralizador sobre la libertad de expresión.  

Existen mejores maneras de proteger la privacidad online, teniendo presente que debería ser el publicador de contenido quien es responsable de él. Interesantemente, la propia Agencia Española de Protección de Datos parece estar arribando a esta conclusión. Recientemente publicó una resolución en la que ordena a un sitio web a usar el protocolo robots.txt para excluir algunas de sus páginas de los índices de los motores de búsqueda. Ese es exactamente el enfoque correcto. Ahora, el debate el debate se dirigirá hacia los sitios web que reciban tales órdenes: ¿Deberían excluir algunas de sus páginas de los índices de los motores de búsqueda, en nombre de la privacidad, o bien deberían oponerse, en nombre de la libertad de expresión? Los periódicos de todo el mundo, y en particular sus archivos online, pronto estarán en el ojo de este debate. Creo que los periódicos españoles, como El País, ahora están respetando tales órdenes. Me inclino a pensar que The New York Times no lo haría; a juzgar por su reportaje sobre Dos Asesinos Alemanes exigen Anonimato en una Demanda contra la central de Wikipedia.

Este es un debate difícil y estoy seguro de que diversos publicadores llegarán a diversas conclusiones sobre él. Así es como debería ser.
o0o