La crisis de salud pública de COVID-19 no tiene precedentes en la memoria. Pero la demandas de nuevos poderes de vigilancia de alta tecnología por parte del gobierno nos son muy familiares. Esto incluye propuestas bienintencionadas para usar varias formas de datos sobre la transmisión de enfermedades entre las personas.

Incluso en medio de una crisis, el público debe evaluar cuidadosamente estas demandas del gobierno, porque la vigilancia invade la privacidad, diluye la libertad de expresión, y presiona injustamente a los grupos vulnerables.  También hace metástasis a puerta cerrada. Y los nuevos poderes de vigilancia tienden a quedarse. Por ejemplo, casi dos décadas después de los ataques del 11 de septiembre, la NSA sigue llevando a cabo una vigilancia de arrastre en Internet. 

Por lo tanto, cuando los gobiernos exigen nuevos poderes de vigilancia, especialmente ahora, en medio de una crisis como el actual brote de COVID-19, la EFF tiene tres preguntas:

• Primero, ¿el gobierno ha demostrado que su vigilancia sería efectiva para resolver el problema?

• En segundo lugar, si el gobierno muestra eficacia, nos preguntamos: ¿la vigilancia haría demasiado daño a nuestras libertades?

• Tercero, si el gobierno muestra eficacia, y el daño a nuestras libertades no es excesivo, nos preguntamos: ¿Hay suficientes protecciones alrededor de la vigilancia?

¿Funcionaría?

La pregunta decisiva es si el gobierno ha demostrado que su plan de vigilancia sería eficaz para resolver el problema en cuestión. Esto debe incluir detalles publicados sobre lo que el gobierno planea, por qué esto ayudaría y qué normas se aplicarían. En ausencia de eficacia, no hay razón para avanzar a las siguientes preguntas. La tecnología de vigilancia es siempre una amenaza para nuestras libertades, por lo que sólo se justifica cuando (entre otras cosas) realmente haría su trabajo.

A veces, simplemente no podemos decir si el plan daría en el blanco. Por ejemplo, los gobiernos de todo el mundo están llevando a cabo una vigilancia de la ubicación con registros telefónicos, o haciendo planes para hacerlo, con el fin de contener a COVID-19. Como escribimos recientemente, los gobiernos hasta ahora no han mostrado que esta vigilancia funcione.

¿Haría demasiado daño?

Incluso si el gobierno muestra que un poder de vigilancia sería efectivo, la EFF todavía se opone a su uso si supone una carga demasiado grande para nuestras libertades. La vigilancia de alta tecnología puede convertir nuestras vidas en libros abiertos. Puede enfriar y disuadir nuestra participación en protestas, grupos de defensa y foros en línea. Sus cargas caen con demasiada frecuencia sobre la gente de color, los inmigrantes y otros grupos vulnerables. Las violaciones de los sistemas de datos del gobierno pueden exponer detalles íntimos de nuestras vidas al escrutinio de los adversarios, incluyendo ladrones de identidad, gobiernos extranjeros y acosadores. En resumen, aunque la vigilancia sea eficaz para resolver un problema, también debe ser necesaria y proporcional a ese problema, y no tener un impacto desproporcionado en los grupos vulnerables.

Así, por ejemplo, la EFF se opone a que la NSA recurra a la vigilancia a través de Internet, aunque teóricamente pueda proporcionar pistas para descubrir terroristas, al igual que la proverbial aguja en el pajar. Creemos que este tipo de vigilancia masiva y sin sospechas es simplemente incompatible con los derechos humanos universales. Del mismo modo, nos oponemos a la vigilancia vigilancia de rostros, aunque esta tecnología a veces contribuya a resolver crímenes. El precio de nuestras libertades es simplemente demasiado grande.

Por otra parte, el programa propuesto por el CDC para el rastreo de contactos de vuelos internacionales puede ser necesario y proporcionado. Requeriría que las líneas aéreas mantuvieran los nombres e información de contacto de los pasajeros y tripulaciones que llegan del extranjero. Si una persona en un vuelo resultara estar infectada, el programa requeriría que la aerolínea enviara al CDC los nombres e información de contacto de las otras personas en el vuelo. El programa se aplica a un conjunto discreto de información sobre un conjunto discreto de personas. Sólo ocasionalmente llevará a la divulgación de esta información al gobierno. Y está hecho a medida para un riesgo de transmisión mayor: personas que regresan de un país extranjero, que se encuentran hacinadas durante muchas horas en una cámara sellada. Sin embargo, como escribimos recientemente, no sabemos si este programa tiene suficientes salvaguardas.

¿Son suficientes las salvaguardias?

Incluso si el gobierno demuestra que una forma de vigilancia de alta tecnología es efectiva, e incluso si tal vigilancia no constituye una amenaza intolerable para nuestras libertades, la EFF sigue buscando protecciones para limitar si y cómo el gobierno puede llevar a cabo esta vigilancia. Esto incluye, en el contexto de la vigilancia con fines de salud pública:

1. Consentimiento. Por razones tanto de autonomía personal como de respuesta efectiva de salud pública, las personas deben tener la facultad de decidir si participan o no en sistemas de vigilancia, como una aplicación construida para el seguimiento de la localización de virus. Ese consentimiento debe ser informado, voluntario, específico y de participación voluntaria.

2. Minimización. Los programas de vigilancia deben recoger, retener, usar y revelar la menor cantidad posible de información personal necesaria para resolver el problema en cuestión. Por ejemplo, la información recopilada para un propósito no debe ser utilizada para otro propósito, y debe ser eliminada tan pronto como deje de ser útil para el propósito original. En el contexto de la salud pública, a menudo puede ser posible diseñar sistemas que no compartan información personal con el gobierno. Cuando el gobierno tiene acceso a la información de salud pública, no debe utilizarla para otros fines, como la aplicación de las leyes penales o de inmigración.

3. Seguridad de la información. Los programas de vigilancia deben procesar la información personal de manera segura, y así minimizar el riesgo de abuso o violación. Los programas de seguridad deben incluir encriptación, auditorías de terceros y pruebas de penetración. Y debe haber transparencia sobre las prácticas de seguridad.

4. Privacidad por diseño. Los gobiernos que llevan a cabo programas de vigilancia, y cualquier proveedor corporativo que ayude a construirlos, deben emplear oficiales de privacidad, que sean conocedores de la tecnología y la privacidad, y que aseguren que las salvaguardas de la privacidad estén diseñadas en el programa.

5. Control de la comunidad. Antes de que un organismo gubernamental use una nueva forma de vigilancia, o aplique de un nuevo modo una forma de vigilancia que ya poseía debe obtener primero el permiso de su autoridad legislativa, incluida la aprobación de la política de privacidad propuesta por el organismo. La autoridad legislativa debe considerar la aportación de la comunidad basándose en el informe sobre el impacto en la privacidad del organismo y la política de privacidad propuesta.

6. Transparencia. El gobierno debe publicar sus políticas y materiales de capacitación, y publicar regularmente estadísticas y otra información sobre su uso de cada programa de vigilancia con el mayor detalle posible. También debe realizar y publicar regularmente los resultados de las auditorías realizadas por expertos independientes sobre la eficacia y cualquier uso indebido de cada programa. Además, debe responder plenamente a las solicitudes de registros públicos sobre sus programas, teniendo en cuenta los intereses de privacidad de las personas cuya información personal se ha recopilado.

7. Anti-bias. La vigilancia no debe cargar intencionadamente o de forma dispar a las personas por categorías como la raza, la etnia, la religión, la nacionalidad, la situación de inmigración, la condición de LGBTQ o la discapacidad.

8. Expresión. La vigilancia no debe tener como objetivo o documentar información sobre el discurso, asociación o prácticas políticas o religiosas de las personas.

9. Aplicación de la ley. Los miembros de la comunidad deben tener la facultad de acudir a los tribunales para hacer cumplir estas salvaguardias, y las pruebas recogidas en violación de estas salvaguardias deben ser excluidas de los procedimientos judiciales.

10. Expiración. Si el gobierno adquiere un nuevo poder de vigilancia para hacer frente a una crisis, ese poder debe expirar cuando la crisis termine. Asimismo, los datos personales que se recopilan durante la crisis, y que se utilizan para ayudar a mitigar la crisis, deben ser eliminados o minimizados cuando la crisis termine. Y las crisis no pueden definirse para durar a perpetuidad.

Sin embargo, fuera del contexto de la salud pública, los sistemas de vigilancia necesitan salvaguardias adicionales. Por ejemplo, la administración pública, antes de utilizar un instrumento de vigilancia para hacer cumplir las leyes penales, debe obtener primero una orden de un juez, sobre la base de la causa probable de que se encuentren pruebas de un delito o contrabando, y describiendo en particular quién y qué puede ser objeto de vigilancia. Los objetivos de esa vigilancia deben ser notificados rápidamente, independientemente de que sean o no enjuiciados. Se requieren límites adicionales para las formas de vigilancia más intrusivas: el uso debe limitarse a la investigación de delitos violentos graves, y sólo después de agotar los métodos de investigación menos intrusivos.

Conclusión

Una vez que el genio está fuera de la botella, es difícil de volver a ponerlo. Por eso hacemos estas preguntas sobre las demandas del gobierno de nuevos poderes de vigilancia de alta tecnología, especialmente en medio de una crisis. ¿Ha demostrado el gobierno que sería efectivo? ¿Haría demasiado daño a nuestras libertades? ¿Hay suficientes protecciones?