SubirApéndice I. Libertad y privacidad en el Primer Mundo
§1 Sinopsis
Hemos señalado (
6.3)
que las cuestiones de privacidad en la Red son solo una faceta de un concepto mucho más amplio, la
privacidad de los ciudadanos en general.
Por desgracia, los avances tecnológicos, que han mejorado nuestra calidad de vida, también han sentado las bases para una progresiva pérdida de la privacidad. Aunque existe una evidente preocupación por el tema, en especial por parte de ciertos grupos interesados en la libertad y los derechos civiles, e incluso de los gobiernos, que han publicado leyes para garantizar la confidencialidad de determinados datos [1], mucho nos tememos que efectivamente la privacidad haya dejado de existir o esté a punto de hacerlo.
Existe una ley física que dice más o menos así: "Si existe la mas mínima posibilidad alguien lo hará" [2]. Como desgraciadamente, los avances tecnológicos ofrecen cada vez más abundantes herramientas y oportunidades para invadir nuestra privacidad, está claro que alguien la invadirá y que esto sucederá cada vez más frecuentemente. No solo lo harán empresas, compañías de márketing, publicistas, Institutos de Estadística o incluso particulares; también lo harán los propios Gobiernos, que ciertamente están muy interesados en la privacidad de sus ciudadanos, pero en ocasiones no podrán resistir una tentación tan fuerte (además nunca faltan pretextos).
Nota: Los trágicos sucesos del 11 de Septiembre del 2001, son un claro ejemplo de lo anterior. Además de alimentar los argumentos de los defensores de sistemas como Carnivore o Echelon, han propiciado la promulgación de leyes que nunca hubieran sido consentidas en circunstancias normales [3]. Además han originados frases como: "Alta tecnología contra el terrorismo", aunque algunos aspectos de esta "Alta tecnología" (informática o apoyada en ella), tengan serias implicaciones en la privacidad.
Referencias respecto a estos programas de espionaje indiscriminado:
Carnivore:
Linterna Mágica
http://www.vsantivirus.com/22-11-01b.htm
Echelon
§2 La amenaza fantasma
Nuestros datos "informatizados" están por todas partes, desde el certificado de nacimiento al de defunción. Por doquier existe información sobre nosotros: Datos del padrón municipal (quienes somos, donde vivimos -y con quién-); datos bancarios (cuanto ganamos y como lo gastamos; que recibos pagamos -a que club pertenecemos y cuanta agua utilizamos para ducharnos-), datos de las tarjetas de crédito (en que restaurante cenamos y en que gasolinera repostamos gasolina -a donde vamos y cuando-), en la Seguridad Social (cual es nuestro estado de salud y cuando estuvimos enfermos) etc. etc. No hace falta ser de la CIA para constatar que es facilísimo seguir el rastro y la vida completa de un ciudadano normal del primer mundo. El problema es que los datos "están ahí", a disposición del "Gran Hermano".
Nota: Si unimos a lo anterior la posibilidad (inminente) de que esté almacenada por ahí nuestra información genética [4], las consecuencias son estupendas (o aterradoras). Estará adjunta a nuestro historial clínico, de forma que los médicos podrán saber al momento toda la información biológica sobre nosotros; aunque también podrá ser conocida por los patronos (empleadores) y por las propias compañías de seguros (que propensión tenemos a las enfermedades, cuando moriremos -probablemente- y porqué).
§3 Cesión de datos
Otro de los problemas es que en nuestras relaciones con los proveedores, desde la compañía de electricidad a la del teléfono o cualquier proveedor de algo que compremos por Internet, debemos proporcionar determinada información personal (algunas veces una pregunta tan inocente como decir si somos hombre o mujer y la franja de nuestra edad). Esta información personal no solo puede ser usada por el proveedor, la mayoría de las veces, estos datos son cedidos o vendidos a terceros sin nuestro conocimiento explícito. En otras ocasiones esta cesión es difícilmente evitable, por ejemplo cuando un proveedor quiebra o liquida el negocio, a quién pasan los ficheros con nuestro datos?.
En ocasiones estamos consintiendo este traspaso de información al contestar a una pregunta tan aparentemente ingenua como: ¿Desea que le mantengamos informado de otras novedades en nuestra línea de productos u otros relacionados?. Observe que, en estos casos, si se trata de un formulario electrónico, la casilla de selección suele estar activada por defecto.
A título de ejemplo, reproducimos un párrafo de un contrato de la Compañía Telefónica de España para suministro de un determinado servicio:
"Si el CLIENTE no [5] desea que sus datos personales puedan ser utilizados con fines promocionales ajenos a los de los servicios contratados, deberá comunicarlo a los números de atención comercial, significándosele que de no recibir noticias suyas en el plazo de un mes, se entenderá otorgado su consentimiento que, en todo caso, podrá revocar en cualquier momento"
Como confirmación de lo anterior, el 17 de Junio del 2002, pocos días después de haber subido esta página a la Red, los boletines informativos se hacían eco de que Hotmail, el famoso servicio de correo electrónico gratuito de Microsoft, ofrecía los datos personales de sus usuarios a otras empresas sin consentimiento previo de los antiguos afiliados. Los nuevos usuarios del servicio deben desactivar dos nuevas casillas del formulario de inscripción para que esto no ocurra.
El servicio de correo web gratuito de Microsoft, Hotmail, que cuenta con una comunidad de más de 110 millones de internautas registrados en todo el mundo (3 millones en España), ofrece la información personal de sus usuarios a empresas. Una práctica común en muchas compañías, pero en este caso, se ha incluido en la 'remesa' a los clientes antiguos de Hotmail, que no habían sido advertidos de esta práctica. Artículo original: http://elmundo.es/navegante/2002/06/17/empresas/1024305127.html
§4 Otras formas de vigilancia electrónica
Los gobiernos y autoridades de muchas partes del mundo están desarrollando sistemas de vigilancia y escucha subrepticia. Un ejemplo de esta tecnología son las denominadas cámaras de reconocimiento facial ("Facecams"). Son cámaras de circuito cerrado conectadas con ordenadores que intentan reconocer los rostros comparándolos con los existentes en una base de datos. Los defensores arguyen que podría ayudar en la detención de delincuentes, pero sus detractores opinan que el sistema podría utilizarse para registrar y almacenar nuestras apariciones en sitios públicos, con lo que se crearía un registro de nuestra actividad personal, digno de Orwell, que podría ser mal utilizado.
Este tipo de cámaras de vigilancia fuero vivamente rechazados por el público cuando se pretendió su instalación por los organizadores de los Juegos Olímpicos de Invierno y por la Asociación de Basquet americana, pero tras los sucesos de 11 de Septiembre se comenzó a su instalación en aeropuertos e incluso en las calles de algunas ciudades.
Nota: Aparentemente en su estado actual las "Facecam" no funcionan
adecuadamente. Un representante de la ACLU
("American Civil Liberties Union")
www.aclu.org, ha señalado que este
tipo de cámaras "simplemente no trabajan" y que "habían
fallado estrepitosamente, a veces de manera asombrosa". Además, la
ACLU emitió un informe según el cual, las instaladas en Tampa (Florida),
primera ciudad que adoptó este sistema de vigilancia, jamás identificaron a
ninguna de las personas incluidas en sus bases de datos.
Nosotros añadiríamos que esta ineficacia actual no debe ser motivo para bajar la guardia o el rechazo por parte de las
organizaciones que luchan por la privacidad. Según nos muestra la
experiencia, la cuestión de que funcionen bien es solo cuestión de tiempo
(muy poco), después de esto será trivial para las autoridades saber si
algún fulano ha salido al cine el domingo por la tarde...
§5 Recorte de otras libertades
Otro tema de controversia actual (2002) es el de la propiedad intelectual. Bajo el pretexto de proteger la propiedad intelectual, los magnates de los "Mass media" (la industria del cine y la música principalmente) intentan restringir ciertos avances tecnológicos.
El asunto se ha materializado en la DMCA ("Digital Millenium Copyright Act"); esta ley de 1998 es una actualización de las leyes USA sobre propiedad intelectual que refuerzan los derechos de los titulares del copyright frente a los usuarios. En síntesis, la ley prohíbe la utilización de medidas que permitan neutralizar las medidas de seguridad (anti-copia) de los trabajos sujetos a propiedad intelectual.
El problema es que la DMCA interfiriere sustancialmente sobre derechos de uso tradicionales por parte de empresas e individuos: El derecho a realizar ingeniería inversa; el de realizar análisis criptográficos y algunos otros de naturaleza técnica e incluso de investigación científica. Sus detractores argumentan que incluso podría limitar la posibilidad de que bibliotecas y museos puedan archivar información; también que interfiere con la educación e investigación en escuelas y universidades.
Llevada al extremo, parece ser que según esta Ley, la simple presentación de un trabajo de investigación sobre determinadas cuestiones podría constituir un delito federal. Richard Clayton, un investigador de seguridad electrónica de la Universidad de Cambridge manifestó que "Cualquier publicación podría ser catalogada como una violación". Aunque algunas voces argumentan que sería "muy improbable" que un juez aplicara la DMCA a un trabajo científico, Edward Felten, un profesor de la Universidad de Princeton fue amenazado por la industria discográfica con la DMCA por un trabajo publicado [6]. Por otra parte, un grupo de académicos estadounidense de "The International Information Hiding Workshop", una conferencia en la que se presentan métodos para evaluar los sistemas de protección de datos, dijo que habían sido maltratados, e incluso amenazados con ir a prisión, si prestaban su investigación que mostraba los fallos en un sistema diseñado para proteger los archivos de música digital. Lo que si parece fuera de toda duda es que (en USA), la distribución y venta de una tecnología, dispositivo o componente que pueda ser utilizado para saltar el copyright es un delito federal.
Nota: El asunto, aunque justo en principio, desde el punto de vista de la defensa de la propiedad, es sin embargo peliagudo. Llevado al mundo de la ferretería podría significar que el vendedor de un cuchillo pudiera ser considerado un criminal si este "pudiera ser utilizado" para cometer un homicidio.
El asunto tuvo su máxima resonancia cuando en Agosto de 1991, a la
finalización de DefCom 9, una conferencia celebrada en Las Vegas (USA), los
agentes del FBI irrumpieron en el hotel de un programador ruso, Dimitry
Sklyarov, que había presentado un trabajo en el que revelaba las debilidades
de eBook, un sistema de la compañía Adobe para proteger los libros
electrónicos de copias no autorizadas; lo detuvieron bajo la acusación
de haber violado la DMCA. Ocurre que Sklyarov trabaja para Elcomsoft, una firma que
comercializa un programa que permite burlar la seguridad de los eBook (la compañía
argumenta que su sistema fue diseñado para permitir a los usuarios de copias
registradas de documentos eBook transferirlos a otras plataformas).
La detención fue la gota que colmó el vaso. Argumentando que la mera realización de una investigación sobre sistemas anticopia podría provocarles problemas legales en USA, muchos especialistas en computación pidieron a la comunidad científica no ir, ni organizar ningún encuentro en Estados Unidos y trasladar los congresos y eventos de seguridad electrónica ya programados a otros países.
Alan Cox, uno de los programadores Linux más conocidos de Reino Unido dimitió del comité Usenix, asociación de sistemas
de avanzados de computación que organiza muchos eventos en Estados Unidos, argumentando que "El poder que se la ha dado
a la DMCA ha llegado muy lejos y hasta que no se arregle el desorden que ha provocado, exhortar a todos los extranjeros a
boicotear las conferencias en Estados Unidos y a los organismos que las coordinan a hacerlo en otras partes". Por su
parte, los organizadores de "The International Information Hiding Workshop" (mencionado anteriormente
), decidieron no realizar más
encuentros en Estados Unidos, anunciando que su próxima conferencia se celebraría en Eindhoven (Holanda).
Nota: Después de estos hechos, en Diciembre el Departamento de Justicia emitió un comunicado en el que informaba que realmente perseguía a la compañía Elcomsoft, por lo que Sklyarov podría eludir los cargos si se prestaba a testificar contra sus patrones.
Irónicamente, las autoridades y la propia industria cinematográfica y discográfica parecen adoptar una postura ambivalente y de doble juego. Por ejemplo, el centro de seguridad de la música digital, un organismo ligado a la industria discográfica difundió una iniciativa que retaba a los expertos a atacar su sistema de protección (un método de verificación muy ingenioso, comparable al de un banco que retase al hampa a atracar sus instalaciones para comprobar la eficacia de sus medidas antiatraco).
El doble juego que siguen las autoridades se vio claramente en el DefCon, en donde al estilo del "El Padrino", Jim Christy un agente del gobierno invitaba a los hackers a un diálogo y formar parte del sistema, mientras sus colegas del FBI preparaban un operativo para detener al ruso.
Nota: Este sistema del "desafío" público por parte de las empresas de seguridad infomrática, es empleado frecuentemente como un sistema barato de comprobación que, utilizando hábilmente el ego de hackers y otros expertos, consigan que les hagen gratuitamente el trabajo de verificación.
Los especialistas esperan que la fuga de cerebros abra los ojos de las autoridades para que cambie su postura, y en vez de limitarlos apoye estas investigaciones sobre seguridad. Al parecer, el gobierno de Estados Unidos se encuentra entrampado en su propio sistema. De acuerdo con un informe parlamentario, el principal factor que ha impedido al gobierno frenar los delitos informáticos es la escasez de personal calificado y el que las empresas no dan información completa de los ataques sufridos.
§6 El proyectil y la coraza
En mi opinión, la política de la DMCA es errónea en dos puntos: debe penalizarse el acto en sí de la trasgresión de los legítimos derechos del copyright, no la herramienta que (potencialmente) lo permite. Por otra parte, solo la libre investigación y lucha del ingenio en uno y otro sentido permitirá mejorar los sistemas de protección. Desde luego la idea no es original ni el asunto es nuevo, ni mucho menos. Es la vieja lucha del proyectil y la coraza, además parece que el propio gobierno USA ha utilizado el sistema en el pasado.
A este respecto permitidme resumir una historia que leí hace mucho tiempo (no recuerdo el sitio). El autor, relataba como (creo que en época de la Segunda Guerra Mundial), era director de una fábrica de munición que trabajaba para el gobierno. Periódicamente le llamaban para informarle que el enemigo había desarrollado un nuevo blindaje que su munición no lograba perforar. Le entregaban unas planchas de acero y le ordenaban que hiciera lo posible por superarlas. Esto era el comienzo de un periodo de trabajo frenético de su equipo hasta que finalmente conseguían el objetivo, entregaban la nueva munición al alto mando, y disfrutaban de un periodo de tranquilidad hasta que, pasado un tiempo se recibía la fatídica llamada que inauguraba otro periodo de desasosiego.
En cierta ocasión, cuando después de una de estas llamadas hacía antesala en el despacho de un General, esperando cariacontecido la consabida noticia, coincidió con otro individuo que también esperaba con aire jovial. Intrigado inició una conversación insustancial y se interesó por su aspecto de satisfacción. El otro le contó que era director de una fábrica de blindajes; periódicamente le comunicaban que el enemigo había desarrollado una nueva munición que perforaba sus creaciones, le entregaban unas muestras del nuevo proyectil y le pedían que mejorase el blindaje, de forma que pudiese resistir la nueva amenaza. Hacía poco le habían enfrentado a un nuevo reto y finalmente habían podido resolver el problema, ya tenían un nuevo tipo de blindaje que la munición enemiga no podía atravesar...
§7 Otra vuelta de tuerca
En Abril de 2002, poco después de redactar y subir a la red las líneas anteriores (la amenaza fantasma
),
se destapa en Europa un nuevo frente de preocupación. Los gobiernos pretenden establecer una directiva por la que los
proveedores de servicios de comunicación (Internet, telefonía fija y móvil) deban almacenar durante cierto tiempo información
sobre el servicio prestado a sus usuarios.
Nota: Un borrador con las pretensiones policiales en este sentido, que ha sido
filtrado al exterior, pueden verse en:
http://villanos.net/makypress/noticia.php?&id=289.
En España parece que quiere ser introducida como un "retoque" a la Ley de de Servicios de la Sociedad de la
Información (LSSI) a la que hicimos referencia al tratar de la historia moderna de la Red
( 5.4).
Como siempre, la teoría es que esta información ayudará a las autoridades
policiales y judiciales a combatir el delito, y el principal problema es que,
según parece, esta información podrá ser recabada por las autoridades sin
mandamiento judicial previo. Sin embargo, como veremos a continuación,
las consecuencias son mucho más preocupantes (diría terroríficas...)
Las primeras reacciones en contra han surgido de los propios
prestadores de servicios, dada la enorme dificultad técnica que esto
representa, y de los movimientos ciudadanos a favor de la privacidad y la
libertad individual. Como botón de muestra, reproducimos una artículo
de opinión publicado el 15 de Junio del 2002 en MakyPress (un boletín de
informativo). Como puede verse el citado artículo es en realidad una
colaboración enviada por un internauta, y hace mención al enlace de
Makypress antes citado .
To: Maky <maky@villanos.net> Subject: EEUU 1 - UE 0 (gol en propia puerta del parlamento europeo)
Maky te mando un artículo de opinión sobre la ley de retención de datos que se aplicaría en la unión europea.
Leí aquí: http://villanos.net/makypress/noticia.php?&id=289 los datos que quieren retener de todas las comunicaciones de individuos, empresas y organismos de la unión europea. Tanto de teléfonos fijos como moviles, e-mails, accesos a paginas web, ftp, grupos de noticias y chat, asi como los de conexion a internet por cualquier proveedor y medio.
Los datos en bruto que piden, permiten construir sin dificultad un
grafo completo de comunicaciones en el tiempo entre personas,
empresas, organismos, etc. Esto implica que con esos datos se pueden
descubrir:
- las fuentes de un periodista,
- los clientes y proveedores de una empresa determinada
- el circulo social de un sindicalista
- las queridas de un politico o juez, etc.
Estos datos también incluyen posición de esas personas en el espacio (los teléfonos fijos y móviles que inician la comunicación estarían georeferenciados) con lo cual se pueden obtener también perfiles horarios sobre la posición de cualquier persona.
Al guardar el tiempo de cada comunicación también se pueden obtener perfiles de incremento y decremento de actividad en empresas información sobre nuevas relaciones comerciales, etc. El peligro sobre la privacidad aumenta aún mas con el posterior cruce de esos datos con otras bases de datos. Esto sería posible, por ejemplo: por venta ilegal de los datos, por acuerdos legales con terceros paises (por ejemplo EEUU), o bien internamente por la propia UE por motivos de "seguridad nacional".
En mi opinión, el de consecuencias mas funestas para Europa sería el cruce de esa base de datos de trafico de comunicaciones con la obtenida por EEUU a través de la red Echelon de grabación de comunicaciones electrónicas, porque aportaría para los gestores de esa red la posibilidad de completar todos los mensajes provenientes de Europa (el contenido de paquetes que ya se graba actualmente se completaría con los datos de trafico que aportaría por ley la UE en ese caso). Esto es, se tendría la conversación completa no tan sólo el "quién llama a quién" sino también el "qué se dijo". Y esto, lo tendría EEUU de Europa, pero no al revés. El posible uso de ésto para espionaje comercial colocaría a la UE en desventaja respecto a EEUU (de ahí el título) y es algo que el parlamento de la UE debería de valorar antes de robar y vender la privacidad de sus ciudadanos y empresas y dejarlos con el culo al aire.
Daniel Sánchez (internauta)
Inicio.[1] En España se ha promulgado una Ley de Protección de Datos, e incluso existe un
organismo cuya finalidad es velar por el cumplimiento de la legislación sobre protección de datos personales
( 6.3).
[2] Descubierta por mí, es tan cierta como la Ley de Gravitación Universal (espero que pronto me concederán el Nóvel :-)
[3] En USA es la "PATRIOT Act", que proporciona a la policía atribuciones de vigilancia sin precedentes. Por otra parte, en Abril 2002 leemos la siguiente noticia:
FBI refuerza su 'espionaje digital' a través de Linterna Mágica. El último sistema de 'espionaje digital' desarrollado por el FBI, 'Linterna Mágica, un virus demoledor que no necesita el apoyo de los proveedores ni la aprobación judicial, podría ya estar siendo utilizado.
Noticia completa:
[4] En el Documento Nacional de Identidad (DNI) español, junto con la fotografía y otros datos, se incluye la huella dactilar. Me pregunto cuando será sustituido por un microchip con la información genética codificada digitalmente. Su fiabilidad para la identificación será innegable, además nos lo pueden "vender" argumentando que será estupendo contar con esta información si tienen que ingresarnos en un hospital.
[5] El subrayado es nuestro. Observe que "por defecto" está autorizando la difusión de sus datos. Observe también que la fórmula utilizada: "deberá comunicarlo a los números de atención comercial", lo colocan en situación de total indefensión. En España hace ya algún tiempo que Telefónica ha desmantelado la mayoría de las oficinas comerciales que mantenía en las ciudades. En aras de una mejor "atención" al cliente ya pueden hacerse muchas de estas gestiones telefónicamente. El problema es que si (como ocurre con frecuencia) sencillamente "pasan" de Usted y de lo que usted diga, no hay forma alguna de probar que efectivamente telefoneó pidiendo tal o cual cosa. En todo caso sería su palabra contra la de la Compañía.
[6] La historia resumida es esta: La SDMI ("Secure Digital Music Initiative"), una iniciativa financiada por la todopoderosa RIAA ("Recording Industry Association of America"), asociación que vela por los intereses de las más grandes casas discográficas de EEUU, había desarrollado un sistema para evitar la copia ilegal de música. En septiembre del 2000 hicieron público un desafío a los programadores de todo el mundo para que intentaran violar las protecciones de unas marcas de agua ("Watermark") en ciertos ficheros de música.
Edward Felten, un profesor Princeton y varios colegas consiguieron vencer el desafío en solo tres semanas. Estaban a punto de publicar un trabajo mostrando sus investigaciones cuando la RIAA amenazó con demandarlos aplicándoles la "Digital Millenium Copyright Act". Posteriormente, ante el revuelo causado en la comunidad universitaria, la RIAA se retractó mediante una carta de su consejero general en la que indicaba que había sido un error.