Don Quijote

Traducción del post de Peter Fleischer 20130217

Vuelve a leerte El Quijote mientras sigues el actual debate sobre la revisión de la legislación europea sobre Privacidad. ¿Es más noble aspirar a la gloria de la fantasía más que a las indignidades del mundo real? ¿Queremos defender un código caballeresco obsoleto, mientras que el resto del mundo contempla burlón? ¿Queremos una fuerte ley de privacidad que se pueda poner en práctica, o una gloriosa pieza de literatura?

 Las empresas americanas están empezando a ponerse nerviosas y a chillar contra las inminentes nuevas leyes europeas de privacidad. Por su parte, varios políticos europeos están haciendo pública su postura de que todo esto hace falta para meter en cintura a las empresas americanas; mientras fingen resentimiento porque las empresas americanas estén favoreciendo sus intereses mediante sus grupos de presión en Bruselas. En realidad, por supuesto, la nueva propuesta de legislación europea está plagada de fallos, en especial al imponer montones de costosas nuevas obligaciones burocráticas de cumplimiento, y al amenazar con imponer multas absurdamente altas, del orden del 2% del ingreso global de una empresa, por simples infracciones leves a la normativa. Pero no permitamos que la realidad mancille este relato. Don Quijote está defendiendo la privacidad contra los esbirros de las mega-empresas-americanas, matadoras de la privacidad. Don Quijote está defendiendo el Derecho al Olvido.  

Tristemente, las cosas no acaban bien para el noble caballero, inquietantemente y sin decirse..., las empresas americanas saldrán grandes vencedoras, comparadas con sus rivales europeas. Las empresas europeas están abocadas a décadas de parálisis innovadora bajo las nuevas leyes. Las empresas americanas sencillamente se reorganizarán y situarán ciertas operaciones fuera de Europa para mitigar riesgos.  

Como mucha otra gente en la profesión de privacidad, a lo largo de mi carrera, siempre he pensado que sería sensato aplicar las leyes de privacidad europeas a lo largo y ancho del mundo, en interés de mantener un único estándar mundial y coherente. Ahora estoy cambiando de opinión. Mientras las propuestas de revisar las leyes de privacidad en Europa se hacen más chifladas cada día, yo estoy empezando a pensar que “el mundo” tendrá que observar a Europa haciendo sus cosas en su propio jardín, mientras que en el “resto del mundo” se mantiene un ritmo diferente, más rápido, más innovativo. Vale, Europa es un mercado demasiado grande como para ignorarlo, pero eso no es razón para que sus especiales normativas de cumplimiento debieran exportarse globalmente. Nadie aplica las normas de censura china fuera de China, así que no sería esta la primera vez que las empresas aplican reglas especiales en una región o país concretos.

Las leyes propuestas en Europa acabarán costando un montón, si te preocupa la innovación en Europa. Yo soy un tecnófilo, en el sentido de que creo que la innovación rápida es la única esperanza para mantener unos altos estándares de vida en el mundo rico para nuestras sociedades occidentales que se hacen viejas en el futuro. Pero me preocupa la cantidad de obstáculos que se están colocando para aminorar la velocidad de innovación. No me entiendas mal, yo estoy por completo a favor de la ética de privacidad, y de sensibilidad de privacidad, y de la privacidad desde el diseño. Pero no soy un fan de la burocracia estorbadora de la privacidad. Europa, como podría esperarse, desarrolló la forma más extremada del mundo de estorbo burocrático, cuando inventó la noción de “aprobación previa” burocrática para las nuevas tecnologías. Eso significa que una nueva tecnología depende de la aprobación previa burocrática antes de ser lanzada. O aprobación previa para las transferencias internacionales de datos (qué absurdo, en la era del Internet). O aprobación previa para las Reglas Corporativas Vinculantes, y un millar de otros badenes y socavones burocráticos. La realidad es a menudo un asunto descorazonador.

A pesar de sus buenas intenciones, Europa también le está dando al mundo unas leyes desesperanzadoramente vagas, a veces forzándolas con sanciones penales. Por ejemplo, ¿qué significa el imponerle a alguien penas de cárcel por “procesar datos personales sensibles sin el consentimiento del titular de los datos”? ¿Justifica eso el imponer penas de cárcel por postear una foto en un sitio de una red social, puesto que una foto revelará la raza de una persona y a veces la condición de salud (todas ellas categorías “sensibles”)? Yo mismo he tenido que arrostrar juicios penales por supuestos de hecho de normativa de privacidad más endebles que eso; así que estos no son riesgos hipotéticos. En una palabra, Europa está convirtiendo en más arriesgada la investigación innovadora en el campo del Big Data en Europa.

Los cínicos realistas verán que las leyes de privacidad europeas que inhiben la innovación lo que van a hacer es simplemente que la innovación de Internet y del Big Data se traslade cada vez más fuera de Europa. ¿Veremos que las empresas escogen trasladar sus brazos de investigación a otros sitios, como Estados Unidos o la India o Singapur? Hazte la pregunta de si serán las empresas estadounidenses o las europeas las que más se vayan a lastrar por la normativa europea. La respuesta es obvia: las empresas europeas tendrán que tragarse estas nuevas reglas por completo, mientras que las empresas de fuera de Europa podrán simplemente acordonar sus operaciones más lentas y menos innovativas en Europa. Las empresas puede que acaben ofreciendo una serie de servicios más lentos y menos punteros en Europa, dados los importantes riesgos de que los servicios de tecnología puntera puedan ser aplastados con multas gigantescas.

Digo todo esto con tristeza, mientras el mundo sigue girando. ¿Quién soy yo para burlarme del sueño de Don Quijote? ¿Quién soy yo para celebrar el deceso de sus delirios?

o0o

El Mercado de los Programas de Cumplimiento de Privacidad

Traducción del post de Peter Fleischer 20121105

El establishment de la protección de datos, en todo el mundo, ha estado inventando un montón de nuevos programas de cumplimiento de privacidad. Todas estas diversas iniciativas, bien intencionadas, tienen la finalidad de servir al mismo propósito: mejorar las protecciones de privacidad. Todas ellas son, o probablemente pronto lo serán, obligatorias para la mayoría de las grandes empresas. A duras penas puedo seguir la pista de todas estas diferentes iniciativas, pero he aquí algunas que me he esforzado en tratar de entender:

• Responsabilización
• Privacidad desde el Diseño
• Evaluaciones de Impacto en la Privacidad
• Acuerdos Transaccionales
• Auditorías (internas y externas)
• Revisiones Regulatorias
• Documentación de Proceso de Datos
• Notificaciones/Inscripciones de Bases de Datos
• Reglas Corporativas Vinculantes (BCRs)
• Programas de Cumplimiento de Puerto Seguro

Muchos de mis conocidos en el campo de la privacidad me han preguntado qué es lo que pienso de todo esto: ¿Estos programas han de desarrollarse independientemente, por más que se solapen y cubran el mismo aspecto? ¿Tiene alguien idea de cuánto va a costar todo esto? ¿Cuándo has de solicitar ayuda para implementar estos programas? ¿Se podría ejecutar  un único programa de cumplimiento de privacidad que fuera lo bastante sólido como para alcanzar todas estas metas? Claramente, todos nosotros los profesionales de la privacidad estamos batallando para comprender esto.

Estoy seguro de que todos creemos que los programas de privacidad requieren un sólido cimiento de programa de cumplimiento para ser efectivos. La mayoría de nosotros seguramente cree que los diferentes actores deberían tener libertad para desarrollar programas que encajen en sus propias culturas. Las ágiles empresas de Internet tienen culturas muy diferentes a las de las burocracias gubernamentales; así que naturalmente estos mundos culturales diversos deben tener libertad de diseñar programas que funcionen en sus respectivas culturas. Claramente, una sola talla no vale para todos. Los programas han de ser adaptados al tamaño y la sensibilidad del procesamiento. Una base de datos gubernamental de registros de abusos infantiles es más sensible que una base de datos de unos logs analíticos de algún sitio web; así que sería erróneo intentar ejecutar el mismo programa de cumplimiento para ambas.

Sobre el coste: a pesar de todas las buenas intenciones que motivan estas iniciativas de cumplimiento, nadie ha comenzado siquiera a calcular lo que van a costar todos estos programas de cumplimiento. Por ejemplo, Europa: he leído algunas declaraciones de políticos sobre que las futuras leyes de privacidad europeas reducirán el coste de cumplimiento en las empresas. Esto sencillamente no es creíble. De un lado, bajo las nuevas regulaciones, las empresas en Europa se ahorrarán un dinerillo por cuanto que ya no tendrán que rellenar los formularios de solicitud de inscripción de ficheros en los diversos registros nacionales europeos. Pero puesto en perspectiva, eso es el chocolate del loro. Del otro lado, la imposición de nuevas obligaciones de cumplimiento (evaluaciones de impacto en la privacidad obligatorias,  Delegados de Protección de Datos obligatorios, notificaciones de brechas de seguridad obligatorias, documentación de proceso de datos obligatoria) costará un riñón. El problema es que nadie sabe cuánto va a costar todo esto. Yo estoy funcionando sobre la educada conjetura de que las actuales propuestas de cumplimiento de privacidad europeas van a multiplicar por diez los costes de cumplimiento de privacidad de las empresas de Europa, a partir de, digamos, 2.015. Sí: diez veces más. Eso no incluye los costes de las multas y sanciones por los incumplimientos, que ahora se propone que se eleven a ciertos porcentajes del volumen de ventas mundial de la empresa. Este aumento masivo de costes de cumplimiento es en gran parte el resultado de las sanciones que se están proponiendo en Europa para el hecho de no cumplimentar adecuadamente los programas de cumplimiento. Yo todavía tengo la esperanza de que se articulen unas obligaciones más realistas para las Pequeñas y Medianas Empresas, pero la gran tendencia va claramente hacia costosas nuevas obligaciones de cumplimiento en Europa.

Tengo la impresión de que mucha de la gente que está debatiendo las leyes de privacidad no tienen ni idea (y quizás ni les importa) de cuánto acaba costando esto. Tampoco he leído ningún clásico análisis de coste/beneficio sobre estas nuevas obligaciones. Como abogado entrenado en Harvard en el análisis de coste/beneficio de las regulaciones gubernamentales, estoy sorprendido de ver que ha habido absolutamente cero análisis académico o económico para determinar cuáles regulaciones de cumplimiento de privacidad son efectivas y cuáles son legajos burocráticos sin sentido.

En el momento de escribir este post no conozco en realidad cómo van a encajar juntas todas las citadas iniciativas de cumplimiento. No sé cuáles son superfluas. Todo esto todavía ha de ser desarrollado. Aunque cada uno de los programas citados se solapa con otros de algún modo, cada uno de ellos también es ligeramente diferente. Tendremos que solucionar cómo minimizar la duplicidad entre estos programas, o vamos todos a desperdiciar nuestro tiempo y dinero en re-inventar la rueda.

Las iniciativas de cumplimiento de privacidad hoy en día me recuerda a los días pioneros del ferrocarril, cuando cada línea ferroviaria tenía su propio ancho de vía, con lo que los trenes sólo podían viajar por una línea.  Al final todo esto se resolverá al igual que el ancho de vía acabó por estandarizarse; pero mientras tanto, me temo que todos vamos a estar dando vueltas en círculos. Como en los tiempos pioneros del ferrocarril, todavía estamos en los tiempos fronterizos pioneros, experimentales, ineficientes, no estandarizados, de los programas duplicados de cumplimiento de la privacidad.

o0o

Grecia: protege la libertad de expresión

Traducción del post de Peter Fleischer 20121102

Seguramente habrás leído sobre el caso ampliamente difundido del periodista griego que publicó la lista de 2.000 griegos que tienen cuentas en bancos suizos. El periodista sufrió un juicio penal por infracción de la legislación de protección de datos. Afortunadamente, los tribunales reconocieron que este periodista publicó los nombres en interés público. Así, el caso confirmó las fuertes sospechas del mundo entero de que los políticos griegos y las élites financieras se estaban protegiendo a si mismas de las investigaciones sobre evasión fiscal. En vez de investigar por qué las autoridades tributarias griegas dejaron de investigar esta lista de 2.000 nombres, después de que dos años antes el IMF le hubiera entregado la lista, las autoridades sometieron a juicio al periodista. Esto fue un intento diáfano de usar el sistema de justicia penal, y la “protección de datos”, como medio de enfriar los intentos de este periodista (y de otros) para revelar la evasión de impuestos y la connivencia política.

Afortunadamente, el tribunal griego desestimó las acusaciones contra el periodista de delito de protección de datos.

Como abogado de privacidad, observo varias cosas. Las leyes de protección de datos en Europa prevén explícitamente una exención de las leyes normales de privacidad, para los propósitos periodísticos, como por ejemplo “necesidad de reconciliar el derecho a la privacidad con las reglas que rigen la libertad de expresión” y por “sustancial interés público”. Los  Artículos 9 y 8 de la Directiva.   Sin duda, este ejemplo griego cumple ambos tests, y el tribunal fue rápido en alcanzar ese resultado.

Sin embargo, me preocupa mucho el alza en la criminalización de las leyes de privacidad, especialmente en el sur de Europa. Una vez que las leyes de privacidad se inscriben en los códigos penales, abren la puerta a los acusadores y jueces penales persiguiendo tales casos con la bruta maquinaria de la justicia penal, respaldados con la amenaza de cárcel. Muchos de tales casos, como este ejemplo griego, son casos con matices en que se equilibran derechos humanos fundamentales, como la privacidad y la libertad de expresión. Nada es más peligroso para la libertad de expresión que el empleo de vagas nociones de “privacidad” para amenazar a los periodistas, o a los periódicos o plataformas de Internet, o a los empleados de las plataformas de Internet, con tiempo de reclusión, cuando están ejerciendo sus derechos a la libertad de expresión o haciendo funcionar plataformas para que otros lo hagan. Hay ahora cientos de casos alrededor del mundo.

Afortunadamente, el sistema judicial griego fue rápido, y resolvió este caso en unos días. Pero muchos de los sistemas de justicia penales son notoriamente lentos. Como informó The Economist, por poner el ejemplo de Italia: “La justicia italiana tiene fama de moverse con mucha lentitud”. Mi propio  juicio penal en Italia  lleva arrastrándose desde hace años, y se espera que la fase de apelación comience pronto, el 4 de Diciembre 2012, después de casi 5 años desde que me “detuviera” la policía italiana en Milán. 5 años es mucho tiempo para poner a alguien a través de un infierno de justicia criminal, en un caso que constituye un hito donde se me intenta hacer responsable de forma indirecta por el contenido generado por un usuario que lo subió a una plataforma de video en Internet.

Albricias, Costa Vaxevanis, respeto tu coraje. Unas fuerzas muy poderosas intentan usar las regulaciones de privacidad penal para restringir la libertad de expresión. Gracias por mantener el tipo frente a ellas.

o0o

Pleitos de Privacidad: listos para una avalancha en Europa

Traducción del post de Peter Fleischer 20121026

Foto Ref:

Estados Unidos ha sido, de siempre, un país litigioso. Lo que es cierto en general en los EE.UU. es también cierto para la Privacidad. Los EE.UU. tienen una palpitante industria de pleitos sobre Privacidad, conducida por las acciones colectivas de privacidad. A las pocas horas de que se publique algún titular en los periódicos (ya sea veraz o no) donde se denuncie cualquier error de privacidad, comienza una carrera entre los abogados de acciones colectivas de privacidad para encontrar algún demandante y presentar una demanda colectiva. La mayoría de estas acciones colectivas son pronto desestimadas, o retiradas por acordarse que son demandas perjudicadoras, pues la mayoría de ellas no pueden demostrar la existencia de algún “perjuicio” resultante de la alegada infracción de privacidad. Pero un pequeño porcentaje de acciones colectivas de privacidad acaban en inmensas transferencias de dinero, primero y principalmente a los propios abogados de acciones colectivas, lo que es suficiente para mantener en marcha los engranajes de la máquina de pleitos.

Europa, en comparación, no es ni de cerca tan litigadora como los EE.UU. Lo que es cierto en general en Europa es también cierto para la Privacidad. En Europa, la privacidad se lleva sobre todo como un asunto administrativo, por las Agencias de Protección de Datos, que tienen la facultad de investigar quejas, interponer acciones de ejecución e imponer sanciones por incumplimientos.

En teoría, cualquier resolución de una Agencia puede ser recurrida ante los tribunales ordinarios de esa nación. En la práctica esto raramente se hace. ¿Por qué? Porque las sanciones de las Agencias en Europa tienden a ser muy pequeñas. ¿Sería racional contratar un caro bufete de abogados para interponer un recurso contra una resolución sancionatoria de una Agencia de 100.000 €, sabiendo que los costes de tal consejero externo para esa apelación van a ser superiores a esa cifra? Incluso sabiendo que ganarías el juicio, seguramente no recurrirías, aunque solo fuera por sentido común.

Una de las consecuencias desafortunadas del actual modelo sancionatorio de las Agencias europeas es que muy pocas de sus resoluciones se ponen a prueba o se validan ante los tribunales. Si se apelaran más de estos casos, estoy absolutamente seguro de que muchos de ellos serían desestimados por razones jurídicas. Así pues, Europa está formando un cuerpo de “precedentes administrativos”, lo cual nunca ha tenido realmente la disciplina de una revisión judicial, tal y como entenderíamos ese concepto en EE.UU.

A partir de 2015, probablemente, cuando entre en vigor el nuevo Reglamento de Privacidad de la Unión Europea, todo esto va a cambiar. Las nuevas leyes casi con seguridad van a introducir amplias nuevas sanciones y niveles de multas por infracciones de privacidad, expresadas en un porcentaje (digamos un 2%) del ingreso total de una empresa. Sí, lo has leído correctamente. Compara el panorama actual, cuando la multa más grande impuesta por la Agencia de Protección de Datos francesa en toda su historia asciende a 100.000 €, con el panorama que se avecina, cuando las multas podrían ascender teóricamente a muchos millones. Puedes hacer las cuentas.

Una vez que está en juego dinero de verdad, todo cambia. Las empresas que hoy en día se encogen de hombros y pagan pequeñas multas, en vez de molestarse en contratar abogados y meterse en largos pleitos, en el futuro tendrán que encarar el riesgo de multas inmensas; con lo que tendrán que contratar abogados caros, afrontar intensas batallas legales y, en general, manejar los pleitos de infracciones de privacidad con toda la batería de procesos legales y herramientas. Las empresas ya hacen esto en muchas otras áreas legales, así que ampliar tales prácticas a la legislación de protección de datos no será difícil.

Las Agencias, por otro lado, no están en absoluto preparadas para este futuro cercano. Muchas agencias funcionan hoy en día mediante “juicio mediante nota de prensa”, lo que realmente no tiene la intención de soportar un proceso legal,  sino generar un cierto impacto sobre la reputación en la prensa. Pero las Agencias están completamente desorganizadas y faltas de personal para afrontar serias acciones legales, con una base legal sólida, y un sólido respeto al proceso legal, de manera que salieran airosas de un estrecho escrutinio legal y de las apelaciones judiciales. Una cosa es lanzar una acción de ejecución cuando el importe en juego son 100.000 €, y otra cosa enteramente diferente es cuando el dinero en juego son 100.000.000 euros.

En este post, no estoy comentando sobre si crear elevadas sanciones por incumplimientos de privacidad en Europa tiene o no tiene sentido. Solo estoy diciendo que todo el juego legal/procedimental cambia cuando hay montones de dinero en juego. La litigiosidad de Privacidad se va a convertir en un área de asesoramiento externo con gran auge en Europa. Las empresas manejarán la privacidad en Europa cada vez más como un asunto contencioso, más que como un asunto administrativo. Y las Agencias van a tener que planear cómo van a resistir la artillería legal pesada de los recurrentes, algo que pocas de ellas  han encarado anteriormente.

Los juicios de Privacidad ya son un gran negocio en EE.UU. En unos pocos años, también en Europa tendrá gran auge este tipo de litigios de Privacidad, una vez que se pongan en juego grandes sumas. ¡Finalmente hemos encontrado una industria en alza en una decadente Europa!

o0o