¿Porqué Bing me llama "Google Criminal"?

Traducción del post de Peter Fleischer 20130204

Siempre es buena idea, de tiempo en tiempo, hacer una búsqueda de tu propio nombre. Cuando busqué por mi nombre, he aquí lo que Bing sugirió:

RELATED SEARCHES

·         Peter Fleischer

·         Google Criminal

·         Google Public Policy Blog

·         Google Location-Based Services

·         Google People Search Milan Italy

·         Location-Based Service Companies

Los motores de búsqueda como Bing ofrecen una función de autocompletado y de sugerencias de búsquedas similares. Esto ayuda a la gente a encontrar antes lo que están buscando. La función de autocompletado se determina algorítmicamente, basado sobre todo en las solicitudes de búsqueda que la mayoría de personas han mecanografiado durante el pasado. Si comienzas a buscar con las palabras "New York City", el autocompletado puede sugerir "New York City tiempo" o "New York City metro".  Las sugerencias de búsqueda relacionadas mostrarán términos de búsqueda que más probablemente ofrecerán contenido que sea pertinente al término de búsqueda original.

Los principios algorítmicos son los mismos para las búsquedas sobre apellidos concretos. Ponte a teclear tu propio nombre en un buscador, o cualquier apellido, y a menudo verás sugerencias de autocompletado que puede rayar en lo ofensivo. Por consiguiente es una reacción común que algunas personas digan: Les demando que el motor de búsqueda bloquee este término para las búsquedas que se hagan sobre mi nombre.

Pongamos mi propio ejemplo. Sé que un montón de gente y de sitios web han informado sobre mi condena penal en representación de Google en un juzgado italiano, de la que fui absuelto posteriormente en la apelación. Por supuesto, reconozco que los motores de búsqueda realmente no me están llamando “criminal”. No están ejercitando un control editorial sobre la asociación. Están usando unos algoritmos para asociar mi nombre con lo que otras personas han buscado en el pasado, o con la búsqueda relacionada que probablemente vaya a generar el número más elevado de resultados relevantes para la búsqueda. El contenido subyacente bien pudiera decir: su condena criminal fue absuelta en apelación. Así que yo no he solicitado a Bing que bloquee la palabra “criminal” de las búsquedas de mi nombre. No creo que deban hacerlo; y aunque debieran hacerlo estoy seguro de que Bing se negaría por más que yo se lo pidiera.

Una y otra vez, especialmente en Europa, veo que la “privacidad” se usa como justificación para censurar la libertad de palabra. El malamente definido “derecho al olvido” es un ejemplo muy debatido. No comprendo como podríamos proteger los conceptos de libertad de expresión, y la neutralidad de los motores de búsqueda, si la gente pudiera decidir por sí mismos qué términos no quieren que se asocien con sus nombres. En la práctica, ¿quién decidiría qué términos serían aceptables y cuáles no? Creo que es muy peligroso intentar usar los motores de búsqueda para censurar que las sugerencias de búsqueda reflejen contenido que está en la web, o para manipular los algoritmos para impedir que reflejen objetivamente lo que los usuarios estén buscando.

Hay un montón de gente que no quieren ver que los motores de búsqueda hagan sugerencias comunes detrás de sus nombres con términos como “judío” o “gay” o... “criminal”. En una palabra, esa es la cuestión: ¿Habría que filtrar sin más algunas palabras sensibles de tales resultados, o eso es un paso demasiado abajo en la resbaladiza cuesta de la censura?

o0o

Microsoft se compra el foro en...¡Luxemburgo!

Traducción del post de Peter Fleischer 20130201

 Foto Ref:

Microsoft tiene en marcha grandes operaciones en toda Europa, especialmente en Dublín, Londres y París. Así que me sorprendió bastante cuando supe que Microsoft se ha comprado el foro de Luxemburgo como su lugar de ley aplicable y agencia líder para el desarrollo de su nueva política de privacidad, de lo cual se ha hecho eco el Bloomberg Businessweek.  Por supuesto, al ser abogado, yo intenté descifrar el Contrato de Servicios de Microsoft:

12. Entidad contratante de Microsoft

12.1 Europa. Si su lugar de residencia (o su sede social, si es una empresa) se encuentra en Europa, mantiene relación contractual con Microsoft Luxembourg S.à.r.l., 20 Rue Eugene Ruppert, Immeuble Laccolith, 1st Floor, L-2543 Luxemburgo, y la interpretación de este contrato se rige por la legislación de Luxemburgo y son de aplicación a las demandas por incumplimiento del mismo, independientemente de los principios de conflictos legales, salvo que resida o tenga su sede social en España, en cuyo caso son las leyes de España las que rigen la interpretación del presente contrato. Todas las demás demandas, incluidas las relacionadas con las leyes de protección del consumidor, la legislación relativa a la competencia desleal y en caso de responsabilidad extracontractual, se resolverán en virtud de las leyes del país al que Microsoft dirija sus servicios. Con respecto a la jurisdicción, usted y Microsoft pueden seleccionar el país al que Microsoft dirige sus servicios para resolver los litigios derivados de este contrato o relativos a él, o bien, si lo prefiere, usted podrá elegir el tribunal competente de Luxemburgo.

Esto contradice toda la premisa ética de un “establecimiento principal” en Europa, edificada sobre la idea de que las leyes/agencias de ese Estado Miembro Europeo serán las que deban regir las empresas allí donde tengan su establecimiento principal. Por eso Facebook funciona en Europa bajo la ley irlandesa, y por eso la Agencia de Protección de Datos irlandesa es la que está liderando las revisiones de privacidad europeas respecto a Facebook. Facebook claramente ha establecido su establecimiento principal en Irlanda, en términos de dirección, locales, empleados, etc., en otras palabras: en el mundo real, en vez de simplemente como una ficción legal de buzón de correos.

Así pues, ¿puede Luxemburgo ser el “establecimiento principal” de Microsoft en Europa? Por supuesto que no. Microsoft se ha mercado un diminuto país europeo, para cualesquiera ventajas de tipo legal, impositivo o regulatorio que haya pensado que podría obtener al “localizarse” allí, sin que por supuesto haya “localizado” allí prácticamente nada en absoluto.

Yo hace mucho tiempo que llevo apoyando la necesidad de crear el concepto de "agencias líder" y de “establecimiento principal”, para procurar más eficiencia y predictibilidad en la privacidad en Europa. Pero mi apoyo siempre ha estado basado en la creencia de que la selección de “establecimiento principal” debería estar basada en criterios objetivos, como el tener grandes recursos de personal y actividades del mundo real localizados allí.

Una compañía astuta como Microsoft se va de compras de foro y reivindica que sus tratos con casi quinientos mil millones de personas en Europa van a quedar regidos por las leyes y agentes del diminuto Gran Ducado de Luxemburgo. ¡Jobar!

o0o

Mis Decisiones del Día de la Privacidad

Traducción del post de Peter Fleischer20130129

El 28 de enero es el Día de la Privacidad.   Me encanta la profesión de la Privacidad. El Día de la Privacidad es un buen día para reflexionar un poquito, y enero es la época para hacer nuevas decisiones. He aquí las mías:

1)    Toma la autopista:  Yo he elegido una carrera edificada sobre las líneas de falla de la privacidad, y mi oficio es ayudar a las personas a arreglárselas con ellas. Este tema es importante de veras; la gente de verdad resulta herida cada día, y yo debo intentar estar a la altura. ¿Puedes imaginarte la angustia de una adolescente dispuesta a tirarse por un puente cuando su privacidad fue invadida?

2)  Respeta a los gobiernos:  Los gobiernos están llenos de contradicciones.  Con una mano regulan la privacidad mientras con la otra manejan vastos sistemas de vigilancia. Muestra respeto hacia los gobiernos mediante luchar cada día por el imperio de la ley, especialmente cuando el imperio de la ley es débil.

3)  Racionalizar:  La Privacidad es un campo que ha generado una complicada burocracia para su cumplimiento. Cumple tus obligaciones legales, pero el papeleo no es la misión de tu vida. No te quedes atrapado en ella como una tortuga en una red de pesca.

4)  Sé abogado, no mártir:  no permitas que la gente te haga responsable de cosas sobre las que no tienes capacidad de control. Yo he tenido que arrostrar años de acusación penal por no haber impedido subir un único vídeo, en un mundo de billones de vídeos. Yo soy un abogado y un profesional de Privacidad; no un chivo expiatorio de los pecados de Internet.

5)  Sé pragmático:  Las leyes de Privacidad siempre han sido un tira y afloja entre dos escuelas: los realistas/pragmáticos y los aspiracionales/fundamentalistas. Sigue el liderazgo de los pragmáticos: échale un vistazo al liderazgo pragmático y eminentemente razonable que exhibe la Oficina del Comisionado para la Información británico en la nueva cláusula de cookies de su web.  Deja para los poetas la Privacidad como una bella ficción.  

6)  Ten agallas:  emula a la gente que tiene las agallas de oponerse a las peticiones de datos de usuarios con fines de cumplimiento de la ley, cuando esas agencias de cumplimiento de la ley no cumplen las reglas. Admira las agallas que hacen falta para hacer públicas estas estadísticas.  

7)  Ayuda a los tribunales a resolver los acertijos legales:  tú no eres un juez y no te dedicas a intentar resolver los conflictos en el mundo real entre el Derecho al Olvido y la Libertad de Expresión.  El mundo echará en tu regazo estos nudos gordianos y te pedirá que los desates. Échaselos de vuelta a los tribunales, que es su sitio.

8)  Sé funcional:  la privacidad es un terreno lleno de retórica divorciada de la realidad, y siempre lo ha sido. El  debate legislativo en Bruselas sobre la revisión de las leyes de Privacidad europeas está vagando por los absurdos y locos terrenos del País de las Maravillas. Como profesionales de la Privacidad nuestro trabajo consiste en hacer funcionales las reglas de Privacidad. Si los compositores de leyes en Bruselas están componiendo una partitura que no hay músico humano que la pueda tocar, ¿de qué vale?

9)  Cultiva tu zona zen privada:  Yo nado mucho. Me ayuda a concentrarme y permanecer calmado. Los asuntos de Privacidad se están volviendo más intensos, proliferando las leyes y las demandas; las leyes penales se invocan con más frecuencia. Yo suelo empezar el día con un intenso entrenamiento de natación. Después de 8 largos de piscina olímpica cada vez más rápidos, puedo encarar casi cualquier cosa que me venga.

10) Lo mejor está por llegar:  La tecnología va a evolucionar; antes de lo que piensas. Los servicios de Internet serán más personalizados. El Big Data se hará más grande. La vigilancia de los gobiernos está aumentando. Los ataques de seguridad se volverán más peligrosos y sofisticados. Las máquinas y la nanotecnología serán capaces de grabar y recordarlo todo.

Y tú, querido profesional de la privacidad, deberías templar tu acero para confrontar el luminoso rostro del futuro.

¡Feliz Día de Privacidad!  

o0o

Mi Apelación en Italia

Traducción del post de Peter Fleischer 20121206

Mis colegas en Google David Drummond, George De Los Reyes (ahora jubilado) y yo mismo resultamos condenados en Milán, Italia, en 2010 por infringir la ley italiana de privacidad. Hemos apelado frente a estas condenas. La primera vista de la apelación se celebró en Milán el 4 de diciembre. Yo asistí personalmente a la audiencia. La próxima audiencia tendrá lugar el 11 de diciembre. Quiero describir esta apelación, y las facetas más amplias que están en juego en esta apelación, desde mi perspectiva personal.

Ante todo, una revisión de los hechos: en 2006 unos estudiantes de un instituto de Turín filmaron y después subieron un vídeo a Google Video en el que aparecían acosando a un compañero de colegio que era autista. Google Video era el predecesor de YouTube. El vídeo era totalmente reprensible y violaba los terminos y condiciones de servicio de Google Video. Google lo quitó a las pocas horas de ser notificado por la policía italiana de la presencia de este vídeo ofensivo; congruentemente con su política de quitar cualquier contenido que viole los términos y condiciones del servicio. Por supuesto, Google tenía unas políticas claras y unos procedimientos instaurados para garantizar que el contenido objetable fuese tratado de manera expeditiva y efectiva. Google también colaboró con la policía local para ayudar a identificar a la persona responsable de la subida y ella fue posteriormente condenada a 10 meses de servicio a la comunidad por un tribunal de Turín. Varios otros compañero que estaban implicados, así como el profesor que no detuvo la conducta ofensiva, fueron disciplinados también.

En estos raros pero desagradables casos, ahí acabaría normalmente la implicación de Google. Conforme a la ley europea, albergar plataformas que no crean contenido, como por ejemplo Google Video, YouTube, Bebo, Facebook, e incluso los tableros de noticias universitarios, no son legalmente responsables por el contenido que otros suban a estos sitios. Pero en esta instancia, un fiscal de Milán decidió acusarnos penalmente de difamación y de incumplimiento con el código de privacidad italiano. Ninguno de nosotros, sin embargo, tuvo nada que ver con este vídeo. No aparecíamos en él, ni lo filmamos, ni lo subimos ni lo revisamos. Ninguno de nosotros conoció a las personas implicadas y ni siquiera supimos de la existencia del vídeo hasta después de que fue borrado.

Sin embargo, en 2010 un juzgado de Milán nos declaró culpables a los tres de incumplimiento del código de privacidad italiano y nos sentenció a seis meses de cárcel en suspensión. Todos nosotros fuimos absueltos de difamación penal. Esta decisión judicial significa que los empleados como nosotros de las plataformas de albergue pueden ser responsables penalmente por contenido que los usuarios suban, por más que ellos no tengan el menor conocimiento de tal contenido. Ahora estamos apelando esta decisión extraordinaria tanto para limpiar nuestros nombres como porque esta representa un serio malentendido de la ley de privacidad online y una amenaza a la libertad en Internet. La ley de la Unión Europea da una protección a los proveedores de alojamiento frente a responsabilidad, siempre que borren el contenido ilegal una vez que sean notificados de su existencia; para proporcionar protección a los proveedores de alojamiento y sus empleados en exactamente esta circunstancia. Dejar de lado este importante principio y atacar las mismísimas libertades sobre las que se edifica Internet, amenaza la continua disponibilidad de sitios que acepten contenido generado por el usuario.

Aunque nosotros fuimos condenados por violar la privacidad del estudiante, fueron los acosadores los que grabaron el vídeo y lo subieron al sitio, infringiendo así las representaciones que habían hecho a Google sobre el contenido del vídeo. Son estos acosadores los que deberían ser vistos como responsables (y ya lo han sido) por incumplir sus obligaciones bajo la ley de privacidad.

La Directiva de Comercio Electrónico de la Unión Europea, promulgada en 2000, establece un marco legal claro para establecer la responsabilidad por el contenido ilegal en Internet. Impide la responsabilidad de quienes meramente proporcionan el foro para compartir vídeos generados por los usuarios, trazando una línea clara entre aquellos que desarrollan y controlan contenido para Internet, y quienes en su capacidad de intermediarios tecnológicos proporcionan los medios y las herramientas para hacer que este contenido esté disponible públicamente.

Mediante el establecimiento de una seguridad jurídica y la creación de un único estándar de ámbito europeo, la directiva de Comercio Electrónico posibilita el desarrollo de plataformas abiertas que promueven la libertad de expresión a una escala sin precedentes y ha jugado un papel crucial en acelerar el rápido crecimiento de Internet y el desarrollo de la nueva economía en Europa.

¿Cómo funciona la prescripción del Comercio Electrónico en la vida real? Pongamos que un usuario de Internet sube un vídeo repleto de violencia o de incitación al odio ilegal. Cuando se notifica este contenido ilegal a la plataforma de alojamiento esta está obligada a retirarlo. La plataforma de alojamiento, sin embargo, no está obligada a revisar e impedir la subida. El culpable es el usuario de Internet que postea ese contenido. En este caso, Google hico exactamente lo que requiere la directiva de Comercio Electrónico: retiró el contenido tras la notificación, y adoptó posteriores medidas para cooperar con las solicitudes de cumplimiento de la ley, ayudando a poner a los culpables a disposición de la justicia.

Si Google y similares compañías fueran responsables de cada una de las piezas de contenido de la web, el Internet como lo conocemos hoy en día, y todos los beneficios sociales y económicos que comporta, no podría continuar. Sin una protecciones apropiadas ninguna empresa ni sus empleados estarían inmunes: cualquier texto potencialmente difamatorio, o imagen inapropiada, mensaje de acoso, o vídeo en el que aparezcan terceros, tendrían la capacidad potencial de cerrar la plataforma que inadvertidamente lo hubiera albergado.

Google y otras plataformas de alojamiento de Internet requieren seguridad jurídica respecto a su responsabilidad. Al crear retroactivamente nuevas obligaciones para las plataformas de alojamiento, y conexionando responsabilidades penales a los empleados como nosotros, esta condena desestabiliza la seguridad jurídica.

El razonamiento de la sentencia sujeta a los proveedores de alojamiento y sus empleados a unos estándares imprecisos y progresivamente más altos conforme avance la tecnología. ¿Qué nuevas obligaciones legales podrían imponerse en el próximo caso ante un tribunal penal? Es esta incertidumbre la que amenaza la libertad en Internet. En sus líneas finales el propio juez aborda esta peligrosa posibilidad: “No hay duda de que la asombrosa velocidad con la que la tecnología está avanzando permitirá a los administradores de los sitios web controlar la subida de contenidos”. Y continúa “La existencia de filtros de pre-pantalla cada vez más sofisticados conllevará una gran responsabilidad para los operadores. La responsabilidad penal (negligente o dolosa según el caso) por omitir la ejecución de los chequeos será mucho más fácil de establecer”. Por bien que esto pueda ser el punto de vista del juez, no era esta la visión del Parlamento Italiano cuando implementó las directivas comunitarias que proporcionan protección a los intermediarios de alojamiento como Google. No compartimos la visión del juez de un futuro Internet donde las empresas supervisan y visionan todo el contenido subido por sus usuarios y determinan unilateralmente lo que vaya a estar disponible para compartir con otros.

Al perseguir penalmente a personas como nosotros que no estábamos relacionados con el vídeo en cuestión, este caso supone un precedente peligroso. Pretender condenas penales contra los empleados simplemente porque trabajen para una compañía que proporcione una plataforma de alojamiento es una perspectiva heladora, y amenaza tener un impacto sustancial sobre el futuro desarrollo de Internet.

Los verdaderos culpables, los adolescentes que acosaron a su compañero y subieron el vídeo de eso, y el profesor que permitió que ocurriera ya han sido identificados y castigados. El asunto entero debería acabar ahí.

o0o

¿Deberías borrar tus huellas frente al espionaje gubernamental?

Traducción del post de Peter Fleischer 20121126

La mayoría almacenamos un montón de cosas en la nube. Por ejemplo, la mayoría guardamos montones de viejos emails en la nube, por cuanto el almacenaje es gratis, son fácilmente recuperables, y siempre es posible que esos viejos correos puedan sernos útiles algún día. De hecho, hay un montón de razones prácticas para conservar para siempre cosas como viejos correos. Pero vale la pena emplear un momento para considerar el riesgo de los gobiernos puedan acceder a datos que tú has elegido conservar.

 Los gobiernos son una categoría especial, puesto que pueden sencillamente aprobar leyes para otorgarse el derecho de acceder a los datos. Algunas de estas leyes están salvajemente desfasadas, y simplemente ya no son adecuadas para su propósito; en concreto la ley estadounidense de 1986 denominada Ley de Privacidad de las Comunicaciones Electrónicas.  Desde hace ya algunos años, ha habido muchas peticiones al Congreso para que actualice estas leyes. Quizás el escándalo Petraeus dará a este movimiento un nuevo ímpetu, puesto que el debate sobre la privacidad suele avanzar solamente cuando a los abstractos conceptos de privacidad se les da un rostro humano y una historia con la que la gente pueda simpatizar.
Como usuario normal del E-mail, es justo que me pregunte si existe algún riesgo razonable de que un gobierno pudiera estar interesado en acceder a mis emails. Al fin y al cabo la mayoría de nosotros nos somos el Director de la CIA ni cibercriminales. Desde el punto de vista de la libertades civiles es importante para todos tener algún sentido del equilibrio entre la privacidad y la inspección que el gobierno ha elegido. Como usuario, quiero saber cuáles son los gobiernos que están accediendo a los datos, y con qué frecuencia. Sé que las mediciones que se publiquen serán imperfectas, pero quiero tener más trasparencia, de modo que yo pueda tomar mis propias decisiones, como usuario y como ciudadano.

Visto desde una perspectiva global, es importante darse cuenta de que la mayoría de los gobiernos alrededor del mundo están accediendo a datos de usuarios. No es sólo uno o dos gobiernos. No puedo contar las veces que abogados de privacidad en Europa han advertido a los usuarios que el gobierno estadounidense podría potencialmente acceder a sus datos en la nube; sin mencionar el riesgo de que sus propios gobiernos podrían hacer lo mismo. De hecho, por poner el ejemplo de Francia, el gobierno francés está tratando de lanzar una “nube francesa”, explícitamente para intentar evadir la inspección del gobierno estadounidense, a pesar de que esta iniciativa financiada con dinero de los contribuyentes está basada en “asunciones erróneas sobre la computación en la nube y la Ley Patriota”, y también a pesar de que, como se ha informado en ZDNet: la propia ley antiterrorista francesa “hace que la Patriot Act parezca a su lado como un simple juego de niños”. Yo creo que es justo asumir que la mayoría de la gente estaría mucho más incómoda si los que accedieran a sus datos fueran gobiernos extranjeros en vez de los suyos propios. Eso apunta a uno de los temas más peliagudos en la nube; esto es, que múltiples gobiernos puedan tener poder (y lo tienen) para exigir acceder a los datos de usuarios, si siguen los procedimientos legales apropiados.
A la luz de todo esto, creo que es un imperativo ético que las empresas que tengan confiados datos de usuarios publiquen estadísticas sobre las solicitudes gubernamentales de acceso a datos de usuarios. Muchas empresas de internet están ahora publicando datos sobre todo esto, además de Google que fue la que comenzó esta tendencia de informar sobre solicitudes gubernamentales de acceso a datos. Yo te animo encarecidamente a que le eches un vistazo a estas estadísticas, que podrían sorprender algunas de tus antiguas intuiciones sobre cuáles gobiernos son los más activos intentando acceder a datos de usuarios. Otras empresas también han comenzado a publicar estadísticas:  Dropbox, LinkedIn, Sonic.net y Twitter. Pero la mayoría de las empresas todavía no están publicando tales estadísticas.

Muchas empresas están fallando a sus usuarios ahora. La Fundación Frontera Electrónica presentó un ranking de empresas: “Cuando el gobierno aporrea en tu puerta, quién te respalda?”  Hay un montón de grandes nombres en esa lista que están haciendo muy poco para proporcionar transparencia a sus usuarios.

Mientras tanto, como usuarios, todos nosotros tenemos que decidir si queremos conservar miles de viejos emails en nuestras bandejas de entrada en la nube. Es gratis y conveniente conservarlos. Las estadísticas publicadas por algunas empresas parecen confirmar que el riesgo de que los gobiernos intenten acceder a nuestros datos es extremadamente remoto para la “gente normal”. Pero las leyes, como la citada Ley de Privacidad de Comunicaciones Electrónicas, que tienen la intención de proteger la privacidad de nuestros antiguos emails, son obsoletas y están llenas de agujeros. Tú decides: conservar o borrar. Yo soy pragmático, no soy un paranoico, pero personalmente he adoptado el hábito de borrar casi todos mis emails diarios, excepto aquellos que deseo conservar para el futuro. Como la regla de mi club de tenis: “Barrer la cancha después de jugar”.

o0o

Quema de Libros, actualizada a la Era Digital

Traducción del post de Peter Fleischer 20121114

Hoy en día somos mucho más ilustrados que las predecesoras Generaciones de Quema de Libros, ¿verdad? La quema de libros tiene una larga e ignominiosa historia. La historia también nos enseña que los quema-libros por lo general acaban siendo quemados ellos mismos.

 Pensemos en Savanarola en 1497, en la famosa Hoguera de las Vanidades, donde se quemaban libros y objetos que se consideraba que eran tentaciones para pecar. Dos años más tarde el propio Savanarola fue quemado en la hoguera.

Pensemos en los Nazis en 1933, quemando libros “anti-alemanes”. Doce años más tarde dejaron ardiendo a Alemania, junto con gran parte de Europa.

La quema de libros nos ha acompañado en todas las épocas. Se quemaban libros para proteger la fe, o para proteger a la nación, o para proteger al régimen. Ahora, para proteger la “privacidad”, Europa está creando un “Derecho al Olvido” malamente definido, malamente concebido; sobre el que he posteado anteriormente.  ¿Estamos volviendo a encender la larga tradición de la quema de libros?

En la era digital, no quemamos libros físicos. En vez de eso borramos datos.

El Derecho al Olvido es más pernicioso que la quema de libros. El Derecho al Olvido trata de dar a los individuos los derechos legales para obliterar[1] elementos que no le gusten de sus datos personales, publicados en fuentes terceras, ya sean sitios de redes sociales, o periódicos, o libros, o archivos online. En el mundo real, esto pueden ser cosas como un informe de que un político aceptó un soborno. O que un médico fue juzgado por una mala práctica médica. O una persona que solicita suspensión de pagos. Puedes ver fácilmente que la persona en cuestión puede tener un interés en obliterar cualquier referencia a estos hechos embarazosos, al tiempo que otras personas puede que tengan un interés muy legítimo en conocerlos.

Históricamente la quema de libros era por lo general un acto simbólico, de protesta política. Ningún quema-libros tuvo la ilusión de destruir el texto de un libro que se estuviera quemando. Solo se quemaba la copia física del texto. El texto sobreviviría en alguna otra parte. Pero el Derecho al Olvido está intentando obliterar el texto, la fuente, los propios hechos, y no meramente alguna copia de esos hechos que circulen en un libro físico o periódico o sitio de Internet.

Borrar datos en nombre del “Derecho al Olvido” es solo la punta del iceberg de la ideología de privacidad. Uno de los principios centrales de esta ideología es que todos los datos personales deberían ser borrados en cuanto “ya no sean necesarios”. Esta ideología está basada en el temor de que cualquier dato personal pudiera ser mal empleado para invadir la privacidad de alguien; y que el riesgo de una invasión de privacidad debería inclinar la balanza automáticamente frente a cualesquiera beneficios potenciales del retener los datos. Esta es una ideología profundamente pesimista, que concluye que retener los datos puede dar lugar a riesgos futuros y a beneficios futuros, pero puesto que todavía no conocemos cuáles son, debemos actuar por defecto borrando los datos para prevenir los riesgos, en vez de retenerlos para posibilitar los beneficios.

Como podría decir Savanarola, en un arranque de demagogia de borrado de datos, quememos todas esas “vanidades”, esas bases de datos de datos personales, que no son sino tentaciones para pecar contra la privacidad de alguien. Pero lo opuesto podría revelarse cierto: que estas vanidades son bases de datos de gran valor y belleza, y que algún día aprenderemos que sería un pecado obliterarlas. Se cree que Botticelli quemó algunas de sus pinturas, cuando fue arrollado por la fiebre Savanarolista. Pocos años después Botticelli renunció a la cosmovisión de Savanarola.

Yo puedo entender que las bases de datos deberían estar protegidas, aseguradas, analizadas de manera responsable, sí, pero... ¿obliteradas? ¿Sólo porque algo podría salir mal? Si adoptasemos ese enfoque en el resto de nuestras vidas, ¿qué quedaría? Es extraño que esta filosofía pesimista y destructiva sobre el borrado de datos haya llegado a convertirse en sabiduría convencional, al menos en Europa. Bueno, de momento. A largo plazo, la quema de libros nunca ha sido una estrategia ganadora. Si crees que nuestra época está más ilustrada que la eras anteriores de quema-libros, ¿por qué piensas que quemar libros en nombre de la privacidad es más legítimo que quemar libros en nombre de la raza, la religión o el régimen?

o0o

---

[1] obliterar: (Del lat. oblitterāre, olvidar, borrar). 1. tr. Anular, tachar, borrar.

El Mercado de los Programas de Cumplimiento de Privacidad

Traducción del post de Peter Fleischer 20121105

El establishment de la protección de datos, en todo el mundo, ha estado inventando un montón de nuevos programas de cumplimiento de privacidad. Todas estas diversas iniciativas, bien intencionadas, tienen la finalidad de servir al mismo propósito: mejorar las protecciones de privacidad. Todas ellas son, o probablemente pronto lo serán, obligatorias para la mayoría de las grandes empresas. A duras penas puedo seguir la pista de todas estas diferentes iniciativas, pero he aquí algunas que me he esforzado en tratar de entender:

• Responsabilización
• Privacidad desde el Diseño
• Evaluaciones de Impacto en la Privacidad
• Acuerdos Transaccionales
• Auditorías (internas y externas)
• Revisiones Regulatorias
• Documentación de Proceso de Datos
• Notificaciones/Inscripciones de Bases de Datos
• Reglas Corporativas Vinculantes (BCRs)
• Programas de Cumplimiento de Puerto Seguro

Muchos de mis conocidos en el campo de la privacidad me han preguntado qué es lo que pienso de todo esto: ¿Estos programas han de desarrollarse independientemente, por más que se solapen y cubran el mismo aspecto? ¿Tiene alguien idea de cuánto va a costar todo esto? ¿Cuándo has de solicitar ayuda para implementar estos programas? ¿Se podría ejecutar  un único programa de cumplimiento de privacidad que fuera lo bastante sólido como para alcanzar todas estas metas? Claramente, todos nosotros los profesionales de la privacidad estamos batallando para comprender esto.

Estoy seguro de que todos creemos que los programas de privacidad requieren un sólido cimiento de programa de cumplimiento para ser efectivos. La mayoría de nosotros seguramente cree que los diferentes actores deberían tener libertad para desarrollar programas que encajen en sus propias culturas. Las ágiles empresas de Internet tienen culturas muy diferentes a las de las burocracias gubernamentales; así que naturalmente estos mundos culturales diversos deben tener libertad de diseñar programas que funcionen en sus respectivas culturas. Claramente, una sola talla no vale para todos. Los programas han de ser adaptados al tamaño y la sensibilidad del procesamiento. Una base de datos gubernamental de registros de abusos infantiles es más sensible que una base de datos de unos logs analíticos de algún sitio web; así que sería erróneo intentar ejecutar el mismo programa de cumplimiento para ambas.

Sobre el coste: a pesar de todas las buenas intenciones que motivan estas iniciativas de cumplimiento, nadie ha comenzado siquiera a calcular lo que van a costar todos estos programas de cumplimiento. Por ejemplo, Europa: he leído algunas declaraciones de políticos sobre que las futuras leyes de privacidad europeas reducirán el coste de cumplimiento en las empresas. Esto sencillamente no es creíble. De un lado, bajo las nuevas regulaciones, las empresas en Europa se ahorrarán un dinerillo por cuanto que ya no tendrán que rellenar los formularios de solicitud de inscripción de ficheros en los diversos registros nacionales europeos. Pero puesto en perspectiva, eso es el chocolate del loro. Del otro lado, la imposición de nuevas obligaciones de cumplimiento (evaluaciones de impacto en la privacidad obligatorias,  Delegados de Protección de Datos obligatorios, notificaciones de brechas de seguridad obligatorias, documentación de proceso de datos obligatoria) costará un riñón. El problema es que nadie sabe cuánto va a costar todo esto. Yo estoy funcionando sobre la educada conjetura de que las actuales propuestas de cumplimiento de privacidad europeas van a multiplicar por diez los costes de cumplimiento de privacidad de las empresas de Europa, a partir de, digamos, 2.015. Sí: diez veces más. Eso no incluye los costes de las multas y sanciones por los incumplimientos, que ahora se propone que se eleven a ciertos porcentajes del volumen de ventas mundial de la empresa. Este aumento masivo de costes de cumplimiento es en gran parte el resultado de las sanciones que se están proponiendo en Europa para el hecho de no cumplimentar adecuadamente los programas de cumplimiento. Yo todavía tengo la esperanza de que se articulen unas obligaciones más realistas para las Pequeñas y Medianas Empresas, pero la gran tendencia va claramente hacia costosas nuevas obligaciones de cumplimiento en Europa.

Tengo la impresión de que mucha de la gente que está debatiendo las leyes de privacidad no tienen ni idea (y quizás ni les importa) de cuánto acaba costando esto. Tampoco he leído ningún clásico análisis de coste/beneficio sobre estas nuevas obligaciones. Como abogado entrenado en Harvard en el análisis de coste/beneficio de las regulaciones gubernamentales, estoy sorprendido de ver que ha habido absolutamente cero análisis académico o económico para determinar cuáles regulaciones de cumplimiento de privacidad son efectivas y cuáles son legajos burocráticos sin sentido.

En el momento de escribir este post no conozco en realidad cómo van a encajar juntas todas las citadas iniciativas de cumplimiento. No sé cuáles son superfluas. Todo esto todavía ha de ser desarrollado. Aunque cada uno de los programas citados se solapa con otros de algún modo, cada uno de ellos también es ligeramente diferente. Tendremos que solucionar cómo minimizar la duplicidad entre estos programas, o vamos todos a desperdiciar nuestro tiempo y dinero en re-inventar la rueda.

Las iniciativas de cumplimiento de privacidad hoy en día me recuerda a los días pioneros del ferrocarril, cuando cada línea ferroviaria tenía su propio ancho de vía, con lo que los trenes sólo podían viajar por una línea.  Al final todo esto se resolverá al igual que el ancho de vía acabó por estandarizarse; pero mientras tanto, me temo que todos vamos a estar dando vueltas en círculos. Como en los tiempos pioneros del ferrocarril, todavía estamos en los tiempos fronterizos pioneros, experimentales, ineficientes, no estandarizados, de los programas duplicados de cumplimiento de la privacidad.

o0o