Manejos irresponsables

El pasado fin de semana, una investigación periodística dio cuenta de cómo funcionarios del Reniec coludidos con delincuentes alteraban información de personas procesadas por tráfico ilícito de drogas, agresiones sexuales, etc. Literalmente podían “matar”, “revivir”, cambiar nombres y nacionalidades a conveniencia de los interesados.

Lamentablemente, este caso no representa un hecho aislado. Veamos algunos ejemplos más. En mayo del 2022, “se detectó que delincuentes cibernéticos, a través de la plataforma de Interoperabilidad del Estado Peruano […] de la Presidencia del Consejo de Ministros, accedieron a las cuentas y claves de los usuarios de las instituciones públicas que cuentan con este servicio” (RPP, 2022). En abril del 2022, Asbanc advirtió a la PCM en varias ocasiones de “la comercialización de información altamente sensible que compromete los datos personales de un número considerable de personas [que] incluye el nombre, dirección, documento de identidad, datos de familiares, bienes, saldo deudor, huellas digitales, entre otros aspectos que pueden ser usados por estafadores” (RPP, 2022). Esta información habría sido hurtada a través de los servidores del Estado para ser difundida y vendida por delincuentes cibernéticos. En mayo del 2020, “cerca de un millón de soles fueron robados por ciberdelincuentes, luego de haber hackeado el sistema del Registro Nacional de Identificación y Estado Civil (Reniec) para tener acceso a los datos personales de los beneficiarios del bono universal de S/760. Inicialmente, se informó que la web hackeada fue la del Ministerio de Desarrollo e Inclusión Social (Midis), pero la institución aclaró que fue el sistema del Reniec el afectado” (“La República”, 2020).

Como podemos ver, el Estado almacena y administra información muy sensible, pero sus sistemas de protección no siempre tienen debido cuidado y protección. Solo en la última década, hubo cientos de vulneraciones a los servicios informáticos, que han implicado no solamente la penetración de sus bases de datos y vulneraciones en sus sitios web, sino también el hurto de información personal de la ciudadanía. En los últimos años se ha desarrollado un mercado de venta de información privada, sobre todo en Internet. Esta práctica genera un severo problema para la seguridad de los países y de la ciudadanía.

Lamentablemente, esta enorme vulnerabilidad no sería conocida (o no es sopesada adecuadamente) en el Congreso de la República, porque el proyecto de ley 03752/2022-CR, que modifica la Ley 27336, Ley de Osiptel, pretende darle a este ente regulador un acceso irrestricto y en tiempo real a los datos personales de todos los usuarios de telefonía e Internet en el Perú. Esta iniciativa –que ya tiene un dictamen favorable en la Comisión de Defensa del Consumidor– conlleva serios riesgos para las libertades y derechos de todos los ciudadanos.

Aunque parece orientarse a fortalecer la capacidad de Osiptel para fiscalizar a las operadoras, surge la pregunta de por qué esta entidad necesita tal acceso a información personal. La legislación actual ya permite a Osiptel acceder a datos en casos de faltas administrativas y delitos, pero no se ha utilizado de manera efectiva. El proyecto podría exponer datos sensibles de los ciudadanos, aumentar la vulnerabilidad a la filtración de información y amenazar nuestra privacidad. Además, se genera el riesgo del posible uso político de esta información. ¿A quién le interesaría georreferenciar o tener la lista de mis llamadas? Recordemos que tanto el ente regulador como la Dirección Nacional de Inteligencia dependen de la PCM. La importancia de fiscalizar a las operadoras no justifica poner en riesgo la privacidad y la seguridad de los peruanos.

La Constitución Política del Perú consagra el derecho fundamental a la privacidad, señalando que los servicios informáticos (públicos o privados) no suministren información que ponga en riesgo la intimidad de las personas. En esa línea, y con mayores garantías, se desarrolla la Ley de Protección de Datos Personales. Precisamente por ello resulta absolutamente incomprensible que la Autoridad Nacional de Protección de Datos Personales tenga una posición tan timorata y medrosa frente a los riesgos que conlleva el mencionado proyecto de ley.