La Registraduría, entre el derecho y el negocio de la identidad

Uno de los proyectos emblemáticos que anunció el registrador Vega cuando se posesionó fue el de la cédula digital. Han pasado más de dos años sin que abra el debate sobre la necesidad, pertinencia, salvaguardas y costos (económicos y en derechos) de esta tecnología que avanza sobre la identidad ―que es un derecho, no un negocio―, y que no debería estar en el código electoral.

En 2020 les hablé de cuatro preocupaciones que el proyecto de cédula digital generaba en Karisma ―donde trabajo―. Estas preocupaciones se mantienen ante el anuncio de la Registraduría de que esta semana empieza la etapa de masificación y que es cuestión de tiempo (2023-2024) para que sea una obligación ciudadana tenerla. Veamos cómo están las cuatro preocupaciones hoy y les incluyo alguna más.

1. Los sistemas únicos nacionales de identificación como registros centralizados de nuestra información en manos del Estado tienen más riesgo de ser abusados. La discusión más profunda sobre estos sistemas tiene que ver con la identidad de las personas, lo que dicen estos registros de ellas, cómo deberían funcionar para garantizar derechos y cómo pueden evitar servir para discriminar o violentar.

Pero concentrémonos en su forma por ahora. En Colombia desde los setenta tenemos un sistema de identificación nacional único que ha normalizado que usemos la cédula para todo ―tributar, hacer transacciones bancarias, ir al médico, comprar pan o entrar en los edificios―, pero esto no es así en la mayoría de los países. Muchos países tienen formas de identificación diversas, descentralizadas, federadas (Francia, Inglaterra, Argentina, EEUU, por ejemplo) otros, como China, llevan la centralización al extremo.

En Colombia la Registraduría arbitrariamente refuerza el modelo centralizado no solo para que la cédula digital sea el documento único nacional de identificación ―habla incluso de hacerla obligatoria indicando que eventualmente desaparecerá la amarilla, en una decisión que de cumplirse sería inconstitucional por que la identidad es un derecho― sino que además será el mecanismo de autenticación para servicios del Estado y de privados.

Pero, no les basta eso, además la autenticación se hará con reconocimiento facial que es todavía más proclive al abuso estatal. Piensen que te podrán reconocer sin autorización y sin que te des cuenta en un país con una historia de violencia política que involucra a las entidades públicas de muchas formas. Por ejemplo, sin discusión o controles la Registraduría está cooperando con la Policía para hacer reconocimiento facial.

El desafío para la prestación de servicios digitales por el Estado en sistemas descentralizados se resuelve con mecanismos interoperables de autenticación. No requiere, como dice la Registraduría, adicionar al sistema de identidad centralizado la autenticación con reconocimiento facial. Se podría contar con alternativas voluntarias de autenticación con mecanismos interoperables y un diseño legal que lo estimule.

2. La digitalización del documento de identidad incrementa el riesgo para la seguridad digital. Esta preocupación crece hoy porque la Registraduría afirma ―no sé si con inocencia o peligrosa conciencia― que esta cédula digital es un mecanismo “infalsificable e inalterable”, que “el acceso a la cédula digital solo es posible a través del reconocimiento facial, por eso, a este documento no pueden acceder terceros” y cierra diciendo: “eso es prevención del crimen.” Sin contarles ―no cabe en esta columna― lo ridícula e insuficiente que es la política de privacidad.

Afirmar la infalibilidad de una tecnología es peligroso, va en contravía de las buenas prácticas de seguridad digital que hablan de que no existe sistema informático que no falle, que hay que construir confianza, hablar de riesgos y de su mitigación (la OECD habla de gestión del riesgo y de las vulnerabilidades). Estonia, que es la referente y ya tuvo en 2017 y en 2019 brechas de seguridad en su sistema nacional único de identificación.

Después de dos años tendría que haber por lo menos un documento técnico con los detalles de cómo funciona el sistema, con qué servidores se conecta, qué protocolos usa, qué muestra el QR (¿cómo es que dicen impedir la suplantación en forma tan perfecta?). Algo de información tenemos en el contrato de 2020 con IDEMIA ―la proveedora del sistema― pero no hay documentos del Estado que demuestren que hizo la evaluación para afirmar todo eso y refutar la copiosa literatura de que no hay seguridad digital perfecta.

3. Riesgos en la autenticación que pueden suponer la denegación de servicios y afectaciones en el ejercicio de derechos. Empecemos por decir que los rasgos faciales son una buena forma de identificar a las personas (cada persona tiene características que la hacen única). Sin embargo, el argumento de que la autenticación (que es cuando tratamos de asegurar que una persona es la que dice ser comparando sus características con las registradas en la base de datos) con biometría facial hace infalible el sistema, demuestra un desconocimiento de los límites de esta tecnología, que, por ejemplo, tiende a fallar reconociendo los rostros de personas racializadas.

Nada de esto es abordado por la Registraduría que insiste en cambio en garantizar que es infalible, que acabará con la suplantación, sin molestarse en presentar información sobre la cantidad de suplantaciones de identidad que hay y cómo suceden, para justificar siquiera que haya un problema de inseguridad en la cédula y que falta el reconocimiento facial.

Además, como la Registraduría espera que en uno o dos años la cédula digital sea obligatoria nos preguntamos: ¿qué sabe la Registraduría que nosotras no? Porque eso, además de arbitrario, es abiertamente inconstitucional. Ya rondan cuestionamientos sobre lo discriminatorio y violento de esta decisión en un país democrático con amplias brechas digitales. Volvemos a preguntar ¿cómo se garantizará la prestación de servicios del Estado a todas las personas? ¿Ya tienen el análisis de impacto en derechos humanos? ¿Cuál es el plan para quienes no podrán o querrán tener este sistema?

4. No menos importante, nos preocupa el gasto, su oportunidad, pertinencia y necesidad. Sobre el gasto, la Registraduría dice, sin mayores detalles, que hizo una inversión de 16 mil millones pero realmente hace rato pasó por ahí. En nuestro análisis eso costó la impresión de las cédulas y la creación de la aplicación Mobile ID. El gasto para 2021 en verdad supera los 99 mil millones. Adicionalmente, otro tema es que el proveedor fue contratado directamente: IDEMIA fue elegida como fabricante y proveedora de la plataforma de la Registraduría y conserva derechos sobre las bases tecnológicas.

Hagamos otras cuentas asumiendo que la propuesta es factible: si el 70% de los 50 millones de personas en Colombia tiene más de 18 años, el recaudo de la masificación empieza en casi 2 billones de pesos ―porque cada persona debe pagar $55.750-, y habrá un flujo constante porque la tendremos que renovar cada 10 años. Sin embargo, la identidad es un derecho, así que eventualmente la harán gratuita ―para muchas personas el pago implica escoger entre pagar la cédula o comer―. ¿De verdad, esto cómo y quién lo paga?

Otras cifras a considerar serán las del creciente negocio de la autenticación de identidad con los privados (que pagan por cada consulta a la base de datos de la Registraduría). Si nuestros datos son el nuevo petróleo, la Registraduría hace fracking en un inmenso pozo. Si juega bien las cartas puede sacar a los competidores del mercado y, entonces, el negocio será fabuloso (sobre todo para la proveedora empresa privada extranjera).

Entonces, ¿cómo plantean el ecosistema y su sostenibilidad? Parece un juguete caro que deja al Estado amarrado al proveedor. Además retomo una pregunta que hicimos en el 2020: ¿Dónde están las evaluaciones económicas vinculadas al uso que le darán las personas a la cédula (desde la óptica del Estado no del negocio)? Insistimos que solo estas evaluaciones son las que pueden determinar cuál debería ser la solución para facilitar que usemos los servicios del Estado y los privados, y justificar que sea el reconocimiento facial.

5. Finalmente con todas las falencias y sin importarles las críticas la cédula digital avanzaba sin marco legal ni regulación alguna, entonces decidieron... ¡colarla en la reforma electoral! La nueva propuesta de código electoral incluye un capítulo que reforma las funciones de identificación de la Registraduría, dándole amplias facultades al Registrador, sin ningún marco de derechos humanos. El sistema de identificación es un derecho, e imprimirle tecnología es delicado. Es un tema ajeno al electoral con sus propios matices. Los y las congresistas deben exigir que esta reforma salga del código electoral y hay que pedirle a la Registraduría que baje la velocidad y abra el debate.

Uno de los proyectos emblemáticos que anunció el registrador Vega cuando se posesionó fue el de la cédula digital. Han pasado más de dos años sin que abra el debate sobre la necesidad, pertinencia, salvaguardas y costos (económicos y en derechos) de esta tecnología que avanza sobre la identidad ―que es un derecho, no un negocio―, y que no debería estar en el código electoral.

En 2020 les hablé de cuatro preocupaciones que el proyecto de cédula digital generaba en Karisma ―donde trabajo―. Estas preocupaciones se mantienen ante el anuncio de la Registraduría de que esta semana empieza la etapa de masificación y que es cuestión de tiempo (2023-2024) para que sea una obligación ciudadana tenerla. Veamos cómo están las cuatro preocupaciones hoy y les incluyo alguna más.

1. Los sistemas únicos nacionales de identificación como registros centralizados de nuestra información en manos del Estado tienen más riesgo de ser abusados. La discusión más profunda sobre estos sistemas tiene que ver con la identidad de las personas, lo que dicen estos registros de ellas, cómo deberían funcionar para garantizar derechos y cómo pueden evitar servir para discriminar o violentar.

Pero concentrémonos en su forma por ahora. En Colombia desde los setenta tenemos un sistema de identificación nacional único que ha normalizado que usemos la cédula para todo ―tributar, hacer transacciones bancarias, ir al médico, comprar pan o entrar en los edificios―, pero esto no es así en la mayoría de los países. Muchos países tienen formas de identificación diversas, descentralizadas, federadas (Francia, Inglaterra, Argentina, EEUU, por ejemplo) otros, como China, llevan la centralización al extremo.

En Colombia la Registraduría arbitrariamente refuerza el modelo centralizado no solo para que la cédula digital sea el documento único nacional de identificación ―habla incluso de hacerla obligatoria indicando que eventualmente desaparecerá la amarilla, en una decisión que de cumplirse sería inconstitucional por que la identidad es un derecho― sino que además será el mecanismo de autenticación para servicios del Estado y de privados.

Pero, no les basta eso, además la autenticación se hará con reconocimiento facial que es todavía más proclive al abuso estatal. Piensen que te podrán reconocer sin autorización y sin que te des cuenta en un país con una historia de violencia política que involucra a las entidades públicas de muchas formas. Por ejemplo, sin discusión o controles la Registraduría está cooperando con la Policía para hacer reconocimiento facial.

El desafío para la prestación de servicios digitales por el Estado en sistemas descentralizados se resuelve con mecanismos interoperables de autenticación. No requiere, como dice la Registraduría, adicionar al sistema de identidad centralizado la autenticación con reconocimiento facial. Se podría contar con alternativas voluntarias de autenticación con mecanismos interoperables y un diseño legal que lo estimule.

2. La digitalización del documento de identidad incrementa el riesgo para la seguridad digital. Esta preocupación crece hoy porque la Registraduría afirma ―no sé si con inocencia o peligrosa conciencia― que esta cédula digital es un mecanismo “infalsificable e inalterable”, que “el acceso a la cédula digital solo es posible a través del reconocimiento facial, por eso, a este documento no pueden acceder terceros” y cierra diciendo: “eso es prevención del crimen.” Sin contarles ―no cabe en esta columna― lo ridícula e insuficiente que es la política de privacidad.

Afirmar la infalibilidad de una tecnología es peligroso, va en contravía de las buenas prácticas de seguridad digital que hablan de que no existe sistema informático que no falle, que hay que construir confianza, hablar de riesgos y de su mitigación (la OECD habla de gestión del riesgo y de las vulnerabilidades). Estonia, que es la referente y ya tuvo en 2017 y en 2019 brechas de seguridad en su sistema nacional único de identificación.

Después de dos años tendría que haber por lo menos un documento técnico con los detalles de cómo funciona el sistema, con qué servidores se conecta, qué protocolos usa, qué muestra el QR (¿cómo es que dicen impedir la suplantación en forma tan perfecta?). Algo de información tenemos en el contrato de 2020 con IDEMIA ―la proveedora del sistema― pero no hay documentos del Estado que demuestren que hizo la evaluación para afirmar todo eso y refutar la copiosa literatura de que no hay seguridad digital perfecta.

3. Riesgos en la autenticación que pueden suponer la denegación de servicios y afectaciones en el ejercicio de derechos. Empecemos por decir que los rasgos faciales son una buena forma de identificar a las personas (cada persona tiene características que la hacen única). Sin embargo, el argumento de que la autenticación (que es cuando tratamos de asegurar que una persona es la que dice ser comparando sus características con las registradas en la base de datos) con biometría facial hace infalible el sistema, demuestra un desconocimiento de los límites de esta tecnología, que, por ejemplo, tiende a fallar reconociendo los rostros de personas racializadas.

Nada de esto es abordado por la Registraduría que insiste en cambio en garantizar que es infalible, que acabará con la suplantación, sin molestarse en presentar información sobre la cantidad de suplantaciones de identidad que hay y cómo suceden, para justificar siquiera que haya un problema de inseguridad en la cédula y que falta el reconocimiento facial.

Además, como la Registraduría espera que en uno o dos años la cédula digital sea obligatoria nos preguntamos: ¿qué sabe la Registraduría que nosotras no? Porque eso, además de arbitrario, es abiertamente inconstitucional. Ya rondan cuestionamientos sobre lo discriminatorio y violento de esta decisión en un país democrático con amplias brechas digitales. Volvemos a preguntar ¿cómo se garantizará la prestación de servicios del Estado a todas las personas? ¿Ya tienen el análisis de impacto en derechos humanos? ¿Cuál es el plan para quienes no podrán o querrán tener este sistema?

4. No menos importante, nos preocupa el gasto, su oportunidad, pertinencia y necesidad. Sobre el gasto, la Registraduría dice, sin mayores detalles, que hizo una inversión de 16 mil millones pero realmente hace rato pasó por ahí. En nuestro análisis eso costó la impresión de las cédulas y la creación de la aplicación Mobile ID. El gasto para 2021 en verdad supera los 99 mil millones. Adicionalmente, otro tema es que el proveedor fue contratado directamente: IDEMIA fue elegida como fabricante y proveedora de la plataforma de la Registraduría y conserva derechos sobre las bases tecnológicas.

Hagamos otras cuentas asumiendo que la propuesta es factible: si el 70% de los 50 millones de personas en Colombia tiene más de 18 años, el recaudo de la masificación empieza en casi 2 billones de pesos ―porque cada persona debe pagar $55.750-, y habrá un flujo constante porque la tendremos que renovar cada 10 años. Sin embargo, la identidad es un derecho, así que eventualmente la harán gratuita ―para muchas personas el pago implica escoger entre pagar la cédula o comer―. ¿De verdad, esto cómo y quién lo paga?

Otras cifras a considerar serán las del creciente negocio de la autenticación de identidad con los privados (que pagan por cada consulta a la base de datos de la Registraduría). Si nuestros datos son el nuevo petróleo, la Registraduría hace fracking en un inmenso pozo. Si juega bien las cartas puede sacar a los competidores del mercado y, entonces, el negocio será fabuloso (sobre todo para la proveedora empresa privada extranjera).

Entonces, ¿cómo plantean el ecosistema y su sostenibilidad? Parece un juguete caro que deja al Estado amarrado al proveedor. Además retomo una pregunta que hicimos en el 2020: ¿Dónde están las evaluaciones económicas vinculadas al uso que le darán las personas a la cédula (desde la óptica del Estado no del negocio)? Insistimos que solo estas evaluaciones son las que pueden determinar cuál debería ser la solución para facilitar que usemos los servicios del Estado y los privados, y justificar que sea el reconocimiento facial.

5. Finalmente con todas las falencias y sin importarles las críticas la cédula digital avanzaba sin marco legal ni regulación alguna, entonces decidieron... ¡colarla en la reforma electoral! La nueva propuesta de código electoral incluye un capítulo que reforma las funciones de identificación de la Registraduría, dándole amplias facultades al Registrador, sin ningún marco de derechos humanos. El sistema de identificación es un derecho, e imprimirle tecnología es delicado. Es un tema ajeno al electoral con sus propios matices. Los y las congresistas deben exigir que esta reforma salga del código electoral y hay que pedirle a la Registraduría que baje la velocidad y abra el debate.