¡Basta! No copies ese mensaje en tu muro de Facebook.

Cada cierto tiempo (y hoy con más frecuencia) veo el siguiente mensaje en los muros de muchas personas en Facebook:

Now it’s official! It has been published in the media. Facebook has just released the entry price: $5.99 to keep the subscription of your status to be set to «private». If you paste this message on your page, it will be offered free (paste not share) if not tomorrow, all your posts can become public. Even the messages that have been deleted or the photos not allowed. After all, it does not cost anything for a simple copy and paste. As of September 29 2015 835 am Eastern standard time, I do not give Facebook or any entities associated with Facebook permission to use my pictures, information, or posts, both past and future. By this statement, I give notice to Facebook it is strictly forbidden to disclose, copy, distribute, or take any other action against me based on this profile and/or its contents. The content of this profile is private and confidential information. The violation of privacy can be punished by law (UCC 1-308- 1 1 308-103 and the Rome Statute). NOTE: Facebook is now a public entity. All members must post a note like this. If you prefer, you can copy and paste this version. If you do not publish a statement at least once it will be tactically allowing the use of your photos, as well as the information contained in the profile status updates. DO NOT SHARE. You MUST copy and paste.

Los hay de todos los colores y sabores, algunos referidos a la privacidad otros referidos a tu propiedad intelectual en Facebook. Unos más surreales que otros.

Sigue leyendo

¿Cómo perfeccionar la ley de geolocalización?

La tecnología puede ser muy efectiva contra la delincuencia

La delincuencia usa hoy la tecnología para afectar a los ciudadanos. Debemos hacer un esfuerzo para que la tecnología sea más bien un arma eficaz para que nuestra autoridades luchen contra la delincuencia.

El 27 de julio de 2015, como parte de las facultades legislativas concedidas al Poder Ejecutivo, se publicó el Decreto Legislativo No. 1182, con la válida preocupación de combatir la creciente delincuencia, especialmente los miles de casos de extorsión que todos los días se reportan.

La norma establece un procedimiento muy célere (24 horas) para que en caso de un delito flagrante (extorsión, por ejemplo) la Policía pueda obtener datos que permitan geolocalizar dispositivos móviles (celulares, tablets, etc) de la red pública de telecomunicaciones y así ubicar a presuntos delincuentes.

El procedimiento creado por la norma requiere algunos presupuestos: a) que se esté cometiendo un delito de manera flagrante usando dispositivos móviles (para lo cual el afectado será quien informe de la ocurrencia del delito); b) debe ser un delito sancionado con cuatro o más años de privación de libertad (la extorsión claramente encaja en la norma); c) el acceso a los datos de geolocalización debe ser necesario para la investigación del delito (y no para cualquier otra causa); y d) que dentro de las 24 horas se reporte el caso a un fiscal y a un Juez para que convaliden la medida.

La pregunta clave es: ¿ésta norma viola el derecho de todo ciudadano al secreto o privacidad de sus comunicaciones?

Sigue leyendo

El 2014 en telecomunicaciones y tecnologías de la información: balance y perspectivas

El 2014 ha sido un año muy activo en materia de regulación de telecomunicaciones, tecnologías de la información y propiedad intelectual. Tanto a nivel del Poder Legislativo como el Ejecutivo dichos temas vienen consolidando su presencia y abriendo debates nacionales de la mayor relevancia reflejando la importancia que estos temas revisten en el plano internacional.

Primero haremos un repaso por lo ocurrido en el terreno internacional y luego lo acontecido a nivel local.

Sigue leyendo

Variaciones sobre un tema: Datos Perú

La Autoridad de Protección de Datos Personales emitió hace dos semanas sus dos primeras resoluciones de sanción en contra de la web Datos Perú. Los casos han sido muy comentados por ser la primera vez que se impone una multa bajo este nuevo marco legal y también por los detalles mismos del caso, que dejan más preguntas que respuestas.

Como señalé en mi artículo para Hiperderecho, creo que fue una mala decisión de la APDP elegir como primer caso de sanción un caso en el que se discute la publicidad de las normas legales. Hubiese sido menos problemático el analizar qué tan legal o no es que Datos Perú republique íntegramente la base de datos de SUNAT, que es otra de sus actividades y que no fue materia de reclamo. Ese es otro caso discutible pero creo que mucho más complejo y necesario de resolver.

Sigue leyendo

El debate sobre la privacidad y seguridad en la Red: Regulación y mercados

Es conocido que la evolución tecnológica de la última década ha incrementado la capacidad de recogida, uso y almacenamiento de datos personales en un entorno abierto y global, donde se difuminan las barreras territoriales y los sistemas legales que regulan la privacidad. Esto ha dado lugar a un importante debate sobre el desarrollo futuro del ecosistema Internet y la economía digital en el que urge una mayor armonización reguladora. Es con esta excusa que se ha presentado recientemente, en el local institucional de la Fundación Telefónica, el libro «El debate sobre la privacidad y seguridad en la Red: Regulación y mercados». En la presentación participaron los blawyers Abel Revoredo y Óscar Montezuma.

El libro recoge una serie de valiosas contribuciones de los expertos más relevantes del mundo académico y empresarial, tanto en EE. UU. como en Europa, se analizan los orígenes, evolución y perspectivas del derecho a la privacidad. Sin duda un libro de ineludible lectura, que además se puede descargar sin costo (aquí), ninguna excusa para no leerlo.

Les dejamos la presentación completa.

97 trabajadoras del hogar: autoría, privacidad y derecho de imagen en Internet

Tomé conocimiento a través de @mzunigap sobre un sitio web que publica fotografías de 97 trabajadoras del hogar. El álbum de fotografías  se presenta con la siguiente descripción:

97 EMPLEADAS DOMÉSTICAS
libro – instalación / 10

El proyecto consiste en una serie de 97 fotografías de la clase alta peruana en situaciones cotidianas. En cada una de estas imágenes aparece en la parte posterior o cortada por el autor una empleada doméstica. Todas las fotografías han sido extraídas de la red social facebook

Me animé a escribir esta nota a raíz de una discusión iniciada en Facebook sobre el referido album. El objetivo de este artículo es mostrar, en términos generales y más allá del referido caso, los posibles temas legales relacionados con la publicación de fotografías en Internet.

Sigue leyendo

¿Redes Sociales en el trabajo?

El 27 de abril último se aprobó en el Senado del Estado de Washington un proyecto de ley denominada «Employer Social Media Password Bill» algo así como la «Ley para Empleadores sobre el Uso de Claves de Redes Sociales» que pueden ver aquí. Actualmente esta norma se encuentra a la espera de la firma del Gobernador de dicho Estado para entrar en vigencia y regula el acceso de los empleadores a las cuentas privadas de los trabajadores en redes sociales. En este post compartiremos con ustedes las principales regulaciones de esta norma y nuestros comentarios al respecto.

La ley prohíbe a los empleadores:

  • Solicitar a sus trabajadores o postulantes a puestos de trabajo la entrega de sus claves de acceso a redes sociales.
  • Obligar a los trabajadores a ingresar a sus cuentas en redes sociales delante de ellos, es decir, de forma y manera que permita al empleador tener acceso al contenido de la cuenta del trabajador.
  • Obligar al trabajador a agregar al empleador, o a cualquier otra persona indicada por el empleador, como contacto en cualquier red social.
  • Obligar al trabajador a modificar la configuración de su cuenta en alguna red social de modo que se eliminen restricciones al acceso de terceras personas.
  • Aplicar sanciones o tomar cualquier medida en contra del trabajador o postulante que se niegue a realizar alguna de las actividades señaladas precedentemente.

Si bien alguna vez había leído un artículo señalando la ilegalidad de estas prácticas; no le presté mucha atención pues me pareció bastante lógico que así fuera. En efecto, siempre he considerado que la información que ingresamos a las redes sociales y que pretendemos que se mantenga en un ámbito privado o con alguna restricción de acceso debía mantenerse así. Nunca pude imaginar que alguien pretendiera obligar a otra persona a revelar información que no desea que salga de su círculo personal.

Lamentablemente, pareciera que anduve equivocado pues sospecho que, al menos en los EUA, está costumbre está alcanzando ribetes de plaga ya que las legislaturas estatales se están viendo forzadas a regular estas prohibiciones mediante leyes expresas. Como vemos en este documento, las legislaturas de California, Illinois, Maryland, Michigan, New Jersey, New Mexico y Utah han promulgado normas que protegen las claves de acceso a redes sociales de los trabajadores y ya empieza a circular la pregunta de si es necesario dictar una norma Federal al respecto.

Otras disposiciones de la norma bajo comentario permiten a los empleadores acceder a la información contenida en las cuentas de sus trabajadores en redes sociales cuando se cumplan (todas) las siguientes condiciones:

  • Cuando resulte necesario para obtener información requerida en una investigación.
  • Cuando la investigación derive de una denuncia acerca de las actividades del trabajador en redes sociales.
  • Cuando el propósito de la investigación sea: (i) asegurar el cumplimiento de leyes, regulaciones o prohibiciones relacionadas con la actividad del trabajador o (ii) determinar la transferencia ilegal de información confidencial del empleador, información propiedad del empleador o información financiera del empleador.
  • Que el empleador no hubiera solicitado la clave de acceso a la cuenta del trabajador en la red social.

Hasta ahora pareciera que todo va bien y que el trabajador podría vivir tranquilo pues el propósito de la norma sería básicamente limitar el acceso a la información de las redes sociales del trabajador únicamente aquellos casos cuando se sospeche de actos ilegales que pudieran afectar gravemente al empleador. No obstante ello, existen algunas otras disposiciones que nos preocupan y que tienen que ver con las herramientas (software y hardware) proporcionados por el empleador.

En efecto, según esta norma las protecciones mencionadas líneas arriba no serán aplicables cuando se trate de redes sociales internas, intranets, herramientas colaborativas o mecanismos de comunicación proporcionadas por el empleador. Tampoco se aplican a cuentas o equipos pagados o proporcionados por el empleador ni cuando se trata de cumplir disposiciones contenidas en políticas de recursos humanos del empleador o normas legales que le resulten aplicables independientemente del lugar en donde se usó la red social (en el trabajo o fuera de el).

Como señala Antonio Rodriguez en este post (aquí) en el Perú aún no tenemos una norma aprobada al respecto aunque sí algunos proyectos de ley (aquí) y algunas sentencias del Tribunal Constitucional (aquí) con posiciones y declaraciones de diferente índole. Es importante destacar que en ninguna de ellas se establece que el empleador pudiera tener algún derecho a exigir la clave de acceso a la cuenta privada que algún trabajador pudiera tener en una red social ni siquiera en circunstancias en que se pudiera afectar gravemente al empleador.

Pareciera que el debate empezará pronto y será necesario que se tome una decisión al respecto definiendo claramente cuál será la regla aplicable al uso de redes sociales en el trabajo y fuera de él.

Entrada publicada originalmente en el blog Cyberlaw del diario Gestión (aquí).

La protección de datos personales

El 3 de julio de 2011 se publicó en el Diario Oficial «El Peruano» la Ley de Protección de Datos Personales (Ley 29733) mediante la cual se recogieron los derechos, principios y obligaciones relacionadas con la recolección, tratamiento y protección de los datos personales de los ciudadanos. Casi 2 años después, el 22 de marzo último, mediante Decreto Supremo No. 003-2013-JUS se aprobó el Reglamento de la Ley (Ver aquí) en donde se desarrollaron y se estableció la forma de aplicación de las disposiciones de aquella. Este 8 de mayo entra en vigencia el Reglamento, pero las empresas que cuenten con Bancos de Datos tienen 2 años para adecuarlos a estas normas. En este post trataremos de destacar las principales disposiciones de las mismas y su forma de aplicación así como las preguntas que nos surgen de su lectura y los principales problemas que prevemos tendrán que afrontar las empresas que sean titulares de Bases de Datos.

En primer lugar debemos destacar que ambas normas establecen definiciones que resultan indispensables para su correcta interpretación y aplicación. Entre ellas, quisiera comentar la definición de «datos personales» y la preocupación que nos provoca su amplitud pues, conforme a lo que señala el Reglamento, se considera «dato personal» a cualquier información que identifique o permita hacer identificable a una persona. Lo mismo sucede con la definición de «datos sensibles» pues, de igual forma, contiene un listado sumamente amplio de este tipo de datos y concluye señalando que cualquier otro dato que afecte la intimidad del titular también tendrá aquel carácter. En ese sentido, todo pareciera indicar que, en el futuro, la autoridad encargada de la aplicación de estas normas gozará de suficiente discrecionalidad para completar dichas definiciones dejando a los administrados sujetos sus interpretaciones.

Otro aspecto interesante de estas normas es el establecimiento de una serie de principios que deben regir su aplicación e interpretación y que se encuentran relacionados con los derechos de los titulares de los datos, las obligaciones de los titulares de los bancos de datos y con el rol de la entidad del Estado encargada de su aplicación. Estos principios son los siguientes:

  • Legalidad: El tratamiento de datos personales debe hacerse de acuerdo a Ley.
  • Consentimiento: Para el tratamiento de datos personales es indispensable contar con el consentimiento del titular de los datos. El consentimiento debe ser libre, previo, expreso, informado e inequívoco.
  • Finalidad: La recopilación de datos debe tener una finalidad determinada, explícita y lícita. El tratamiento de los datos debe sujetarse a la finalidad inequívocamente expresada al momento de su recopilación. Adicionalmente, en el caso de datos sensibles, se requiere que la finalidad sea acorde a las actividades o fines del titular del Banco de Datos.
  • Calidad: Los datos personales deben ser veraces, exactos, actualizados, necesarios, pertinentes y adecuados a la finalidad para la que fueron recopilados. Se presume que los datos proporcionados por el titular de los mismos son exactos.
  • Seguridad: El titular del Banco de Datos debe adoptar las medidas de seguridad necesarias para evitar cualquier tratamiento contrario a la Ley o el Reglamento.
  • Disposición de Recurso: El titular de los datos personales debe contar con las vías administrativas y judiciales necesarias para reclamar o hacer valer sus derechos.
  • Nivel de protección adecuado: El flujos transfronterizo de datos debe estar sujeto a un nivel de protección suficiente o, por lo menos, equiparable a lo establecido en la Ley.

Mención aparte merece la regulación del «consentimiento» en estas normas pues, como hemos visto en los principios antes señalados, el consentimiento no sólo debe ser libre, previo, expreso, informado e inequívoco (términos a los que la Ley y el Reglamento dedican algún tiempo); sino que, además, debe ser específico para los tratamientos expresados por el titular del Banco de Datos, destinado únicamente a la transferencia nacional o internacional autorizada en su recolección y sujeto al derecho de revocarlo en cualquier momento.

Sobre el tema del consentimiento debemos resaltar algunos conceptos recogidos en las normas bajo comentario. Por ejemplo, la entrega de obsequios o beneficios no afectan la condición de libertad (salvo en el caso de menores de edad); pero el condicionamiento de la prestación de un servicio a la previa entrega de los datos si afecta la libertad y no se encuentra admitido. Además, las condiciones en que se otorgue el consentimiento no deben admitir dudas sobre su otorgamientos y puede ser verbal o escrito, en el mundo digital se acepta el consentimiento por «click», el uso de firmas electrónicas o usando textos preestablecidos.

No obstante ello, existen excepciones al consentimiento sobre las que, creemos, se producirá frondosa discrepancia y discusión en los próximos meses o años. Así, no se requiere consentimiento para el tratamiento de datos personales en los siguientes casos:

  • Cuando se recopilen para el Estado.
  • Cuando estén o vayan a estar en «fuentes accesibles al público». El Reglamento propone algunos casos de «fuentes accesibles al público» que deberemos mirar con mucho cuidado: medios de comunicación electrónica, guias telefónicas, diarios y revistas, medios de comunicación social, listas de gremios profesionales, jurisprudencia anonimizada, registros públicos, etc.
  • Cuando se trate de datos relativos a la solvencia patrimonial o al crédito (conforme a la ley de la materia)
  • Cuando medie norma para la promoción de competencia
  • Cuando los datos sean destinados a la ejecución de una relación contractual en la que el titular de los datos sea parte.
  • Cuando los datos deriven de una relación científica o profesional con el titular.
  • Cuando sea necesario utilizar los datos de salud por circunstancias de emergencia o «interés público»;
  • Cuando los datos de sus miembros sean tratados por organismos sin fines de lucro con finalidad política, religiosa o sindical.
  • Cuando hubiera mediado un procedimiento de anonimización o disociación.
  • Cuando el tratamiento sea necesario para proteger los intereses del titular de los datos.

Otro aspecto importante de estas normas es la relacionada a la transferencia de datos. Al respecto, se dispone que para ello se requiere el consentimiento previo del titular. Sin embargo, es posible realizar transferencias dentro de un grupo empresarial siempre que el mismo cuente con un código de conducta debidamente inscrito. Para la transferencia dentro del territorio nacional bastará con informar al receptor de los datos las condiciones que dieron lugar al consentimiento del titular. Finalmente, para la transferencia internacional será necesario asegurarse que el país de destino cuente con niveles de protección adecuados o, en caso contrario, que el emisor garantice que el tratamiento se va a realizar conforme a la Ley y el Reglamento. En lo que respecta a la tercerización del tratamiento (que no implica transferencia del Banco de Datos) bastará con garantizar el cumplimiento de lo establecido en ambos cuerpos normativos.

Antes de terminar quería dejar con ustedes algunas dudas que me han surgido durante la lectura de estas normas y que espero se puedan aclarar antes de su entrada en vigencia:

¿El concepto Banco de Datos incluye a aquellos listados de clientes que los vendedores de determinada empresa tienen en un Excel? O, peor aún, ¿la lista de contactos de mi Outlook?

¿La información contenida en Facebook o Linkedin puede ser considerada como una «fuente accesible al público»?

¿Qué deben hacer las empresas con los Bancos de Datos recopilados con anterioridad a la vigencia de estas normas? ¿La adecuación será posible cuando hablamos de Bancos con millones de registros? ¿Alcanzará el plazo de dos años?

Con el creciente uso de smartphones y sus habilidades de geolocalización ¿Se puede decir que esos datos no son indispensables para la prestación del servicio cuando con ellos puedo personalizar mejor mis ofertas?

Hablando de Big Data ¿Estas normas frenaran o impulsarán el tratamiento de la información obtenida de la infinidad de fuentes que hoy generan información utilizable para prestar servicios?

¿Las empresas necesitarán consentimiento para recoger datos de la cada vez mayor cantidad de aparatos conectados a Internet? ¿El M2M se perjudicará?

¿Se puede considerar que un consentimiento es expreso cuando el titular de los datos utiliza una página web y se somete a sus «Condiciones de Uso»?

Aunque considero que no sería necesaria una regulación específica ¿La transferencia de Bancos de Datos como consecuencia de una fusión o reorganización empresarial estará sujeta a algún requisito especial?

Si una persona me entrega su tarjeta, ¿puedo ingresar su información a un Banco de Datos de mi empresa?

Espero sus comentarios.

Entrada publicada originalmente en el blog Cyberlaw del diario Gestión (aquí).

2013: Grandes definiciones en regulación de tecnologías de la información

El 2013 será un año clave para el desarrollo regulatorio de las tecnologías de la información en el país. Estas tecnologías y su adecuada regulación tienen un gran impacto en nuestra vida diaria, desde de nuestro habitual envío de e-mail hasta contratar servicios y realizar pagos online incluso desde nuestro smartphone, por lo que es importante saber lo que vendrá el 2013.

El 2012 fue importante pues evidenció una mayor comprensión de su importancia para la innovación y la consolidación en diversos sectores productivos. No en vano un reciente estudio de McKinsey & Company señala que las industrias basadas en tecnologías de la información y el Internet contribuyen en algunos países hasta con tres puntos porcentuales del PBI.

En el Perú, un hecho muy importante el 2012 fue la presentación de la Agenda de Competitividad 2012-2013 por parte del Consejo Nacional de Competitividad. Dicho documento constituye uno de los primeros reconocimientos expresos que hace el actual gobierno sobre la relevancia de las tecnologías de la información para medir la competitividad del país, dentro de una lógica más amplia de modernización del Estado.

Una importante definición el 2013 es la tan esperada reglamentación de la Ley de Protección de Datos Personales, que tendrá un gran impacto en diversos sectores desde supermercados hasta bancos y financieras. Esta Ley estableció que ninguna entidad pública o privada puede utilizar datos personales de una persona, sin su previa y expresa autorización. Se ha creado la Dirección General de Protección de Datos Personales dentro del Ministerio de Justicia, quien liderará su implementación en el 2013. El Reglamento debería buscar un sano equilibrio entre la protección de la privacidad y el deseable flujo de información en el mercado, para no afectar actividades económicas basadas en la información.

De otro lado, en julio de 2012 entró en vigencia la Ley de banda ancha y construcción de la red dorsal nacional. Esta norma busca promover el uso masivo de Internet de alta velocidad en todo el territorio nacional, partiendo del hecho que aún seguimos registrando un serio problema de infraestructura de telecomunicaciones y, por ende, bajos niveles de acceso a Internet, sobre todo en las zonas andinas y amazónicas. La propuesta de construir una red de fibra óptica permitirá que gran parte de la población se beneficie de las enormes ventajas que ofrece el Internet en términos de acceso al conocimiento y comercio internacional.

Por ello, la reglamentación de la Ley, que se dará en el 2013, permitirá una agresiva promoción del desarrollo de infraestructura de comunicaciones a fin de proveer de conectividad a todo el país. Proinversión será el encargado de concesionar la construcción, operación y financiamiento de esta red dorsal. No debemos dejar de lado que, en paralelo, en el Congreso se ha iniciado la revisión de la Ley de Telecomunicaciones y su Reglamento, la misma que tendría que guardar sintonía con el proceso de reglamentación de la Ley de banda ancha.

Finalmente, el Ministerio de Comercio Exterior y Turismo (Mincetur) inició en noviembre pasado la implementación del capítulo del TLC Perú-Estados Unidos que regula la responsabilidad de los prestadores de servicios de Internet por infracciones a los derechos de autor de sus usuarios. Dicho proceso ha sido muy discutido en otros países y consideramos que en el Perú se deberá tener mucho cuidado en equilibrar la protección de la propiedad intelectual con el respeto de derechos constitucionales como el debido proceso, libertad de expresión y privacidad.

Al intentar regular estas materias lo recomendable, como principio general, es respetar la neutralidad regulatoria, es decir, no regular una tecnología específica sino más bien establecer principios generales de los servicios que son regulados. De igual manera, no debería prohibirse conductas en el entorno digital que son válidas y lícitas en el mundo físico. De lo contrario y frente al progresivo avance tecnológico, las normas correrán el riesgo de quedar rápidamente desactualizadas. Es más, muchas veces podemos encontrar en nuestra legislación tradicional viejas soluciones para nuevos problemas.