Ciberseguridad, datos personales y norma mexicana

En fechas recientes se hizo público que la comisión Federal de Comercio (FTC, por las siglas en inglés), en Estados Unidos de América, ha sancionado a la red social digital mas grande en el norte de nuestro continente. Facebook sienta, una vez más, pero ahora en forma de sanciones, un precedente al ser multada con 5,000 mdd ya que la privacidad de los usuarios es vulnerada. Además, Facebook fue sometida a nuevas y fuertes restricciones; pero allá acá, en México, no hay nada.

Facebook no es la única aplicación digital que tiene acceso a datos personales sin autorización expresa de usuario, al menos por lo confuso de sus términos y su aceptación. Hay aplicativos con acceso y reconocimiento de voz y/o imagen como WhattsApp, Siri, Google now y otras; incluso de algunas tiendas virtuales.

La situación ya ha detonado escándalos internacionales, como el caso de Cambridge Analytica, y ha propiciado todo un mercado que demuestra la producción de documentales como “The Great Hack”; con significado sobre la industria de datos complejos, así como la minería de datos y texto, que incluye la inteligencia artificial usada para detección de emociones y sintaxis.

En un marco competitividad global y de avance científico-tecnológico, la norma mexicana tiene huecos. Algunos ciberdelitos están tipificados en las leyes relativas. No obstante, la tecnología está avanzando mas rápido que la norma y que la procuración y aplicación de justicia.

Por ejemplo, la Ley Federal de Protección de Datos Personales en Posesión de Particulares (LFPDPPP) establece, en el Artículo 2, que los sujetos regulados por esa ley son (I) Las sociedades de información crediticia en los supuestos de la ley respectiva y (II) Las personas que lleven a cabo recolección de datos personales, que sea para uso exclusivamente personal, y sin fines de divulgación o utilización comercial.

Notemos que, en redes sociales digitales, como Facebook, Instagram u otras, la idea de quien lo usa es publicar, aunque con contactos con privilegios diferenciados, los datos entregados por sí mismo a la plataforma de red. En otras aplicaciones, como Amazon, si hay claros fines comerciales, de compra-venta, ya que está definida como aplicación de tienda en línea.

En la LFPDPPP no se dice nada, en específico, de las redes sociales u otros aplicativos cibernéticos o de uso en dispositivos móviles.

De hecho, en el párrafo tercero del Artículo 8 de la LFPDPPP dice, a la letra ”Se entenderá que el titular consiente tácitamente el tratamiento de sus datos, cuando habiéndose puesto a su disposición el aviso de privacidad, no manifieste su oposición.” Pero, ¿qué hay si, de manera premeditada o no, los términos en alguna aplicación digital son confusos para el usuario? No hay mucho, sino que muy poco o nada.

Otro punto de interés es que, de hecho, el contexto de la LFPDPPP está en el sector económico, y tal vez sea el correcto; pero el carácter vinculante en el caso de redes sociales digitales está ausente.

En la LFPDPPP se define a la Secretaría de Economía como autoridad reguladora con atribuciones para difundir, en el ámbito comercial, la protección de datos personales; fomentar buenas prácticas comerciales, entre otras, todas focalizadas en la naturaleza comercial. Nada en el manejo en redes digitales digital.

Además, en la LFPDPPP se define al INAI como coadyuvante, sólo eso.

Ninguna autoridad tiene obligaciones o atribuciones de sancionar, dar vista a alguna otra autoridad para que sancione u otro acto que proteja al usuario de aplicaciones de redes digitales en México.

Este tema transversal va, al menos, desde la ciencia de datos, TIC’s y Derecho como áreas de conocimiento hasta implicaciones legales y comerciales. La ciencia, pues, debe ser asesor de gobiernos federal y estatales, como en otros países, para proteger a los ciudadanos.

Contar con organismos autónomos que den resultados reguladores con atribuciones que resulten es sanciones cuando se infrinja daño a terceros.

Quizá, en lugar de desaparecer al Foro Consultivo de Ciencia y Tecnología (FCCyT), en la Ley de Ciencia y Tecnología (LCyT), se deba reorientar o ampliar su función. El FCCyT es un organismo autónomo definido en la LCyT, es decir el poder legislativo y no el ejecutivo, plural y colegiado. No necesariamente hay que desaparecer todo para sirva en fines de transformación social.

Ahora que se ha abierto la discusión entre CONACYT y el FCCyT y que, al parecer, se quiere elevar la LCyT de carácter regulatorio a una Ley General, puede ser momento para consolidar los órganos asesores de gobiernos, incluyendo la Secretaria de Economía en la LFPDPPP, y otras, como destino de las opiniones y análisis del FCCyT.

* Miembro de la Academia Mexicana de Ciencias