El 30 de diciembre, Business Insider publicó una lista con los 21 casos más aterradores de hechos que afectaron la seguridad de datos personales en la web el 2018. Hay en ese listado desde datos que se refieren a medios de pago, cuentas bancarias, datos personales comerciales, direcciones personales, números telefónicos, correos personales, claves personales, mails, cuentas bancarias, hasta datos personales y de salud de aquellos que solo le entregamos al Estado para la implementación de políticas públicas de salud.
Los números y los afectados son sorprendentes. Desde empresas tales como British Airways (380 mil personas); Orbitz (880 mil personas); T-Mobile (2 millones de personas); my Personality (4 millones de personas); Saks and Lord 8: Taylor (5 millones de personas); Sheln. Com (6, 4 millones de personas); Cathy Pacific Airways (9, 4 millones de personas); Careem (14 millones de personas); Time hop (21 millones de personas); Ticketfly (27 millones de personas); Facebook (29 millones de personas); Chegg (40 millones de RAMIRO personas); Google (52,5 millones de personas); MENDOZA Cambridge Analytica (87 millones de personas); My Heritage (92 millones de personas); Exactis (340 millones de personas); Marriot Starwood hoteles (500 millones de personas). Y desde el punto de vista del Estado, no es menor señalar a SingHealth, base que contiene todos los mails y direcciones del sistema de salud de Singapur, incluyendo la historia médica de los pacientes, sus enfermedades y tratamientos (1, 5 millones de personas) y, por último, el campeón de la lista, la principal ruptura de seguridad digital estuvo en Aadhar, que es la base de datos que contiene la información de identidad biométrica de todos los residentes de la India, que se conecta además con toda cuenta bancaria utilizada para la entrega de beneficios sociales en ese país, la cifra es de terror: 1, 1 billón de personas.
Como se ve también en nuestro país, el tema se ha vuelto de primera línea. Todos estamos hablando de Ciberseguridad. Todos nos estamos preocupando, pero la reflexión es cuánto nos estamos ocupando verdaderamente de este nuevo fenómeno. La primera respuesta, como es obvio en estas tierras, es que reaccionamos frente a los incidentes producidos, así como en la lista de estos nuevos maleantes tecnológicos los que primero aparecieron abatidos son los bancos, sobre ellos recae entonces toda la rigurosidad y pesadez normativa del regulador de turno, sea a través de nuevas imposiciones normativas o investigaciones que seguramente han de enfrentar. Olvidamos que estas nuevas normas siempre conllevan altos costos para su implementación los que finalmente serán o traspasados a los clientes o usuarios de los sistemas, bajo nuevos cargos de “mantención” o sugerentes nuevos seguros que todos terminamos tomando, dado el riesgo real de esta nueva delincuencia.
Lo que a estas alturas resulta evidente es que la seguridad que el Estado debe darnos, conforme su rol constitucional, la que reclamamos día tras día, sea para circular tranquilos en nuestras calles o disfrutar nuestras casas, ni de asomo se ve en esta área, no hay ni fortalezas institucionales desplegadas, ni medios económicos que alienten a que los privados asuman un rol de encargo preventivo policial, solo la política del garrote por área regulada parece ser la tónica. Se imponen normas pero no labor de vigilancia proactiva de parte del Estado. Pero esto es así en casi todo el mundo, porque al final de cuentas -salvo en países totalitarios- lo que la red digital nos demuestra es que ella se desarrolla esencialmente fuera del Estado, es la infinita capacidad creadora de las personas la que la desarrolla conforme a sus intereses y por ello siempre la decisión estatal es posterior a su implementación, en lo bueno y en lo malo que ello puede importar.
Lo que sí resulta evidente, es que en muchas partes del mundo se han ido modelando fórmulas, todas imperfectas, que van dando evidencia de que este problema no es de los privados, es también de los Estados. Así en la Unión Europea, se ha creado hace ya un tiempo, la Agencia Europea de Seguridad en las Redes y de la Información (ENISA, 2004), el 2013 se la Directiva sobre seguridad en las redes (Directiva SRI). En España, desde el 2006 existen el Instituto Nacional de Ciberseguridad y el Centro Criptológico Nacional (2004).
Como esta semana un consorcio de centros de pensamiento entregó valiosas recomendaciones que, entre otras materias, se refieren a la protección de datos personales y el nuevo rol que puede caberle al Consejo Para la Transparencia en esta materia, puede ser que los astros se estén alineando para que podamos enfrentar y afrontar este tema que está en un claro déficit, y podamos al menos darle una primera vuelta de tuerca a un buen diseño institucional que no solo aborde la protección de datos personales, sino que también revele para el Estado el rol de seguridad que le corresponde en estas materias, tomando en cuenta las múltiples facetas que el problema supone, desde los datos, su protección, el estándar exigido y los costos y deber de cuidado que les cabe a quienes son receptores de tanta información que les entregamos para un supuesto mejor vivir.
Publicada en El Mercurio.