COVID-19 y transparencia corporativa

Telia, empresa de telecomunicaciones con negocios en mercados del norte y este de Europa, publicó su informe “Libertad de expresión y derecho a la privacidad en tiempos de COVID-19 -información y solicitudes poco convencionales- (marzo y abril 2020)”. Este sería el primer informe de transparencia de una empresa de telecomunicaciones dando luz sobre las solicitudes de los gobiernos en medio de la emergencia por el COVID-19.

Las empresas de telecomunicaciones e Internet custodian nuestros datos personales -que pueden ser usados para individualizar personas y asociarlas con datos como su dirección física- y nuestras huellas digitales -que incluyen datos tan sensibles como nuestro historial de navegación o la geolocalización de los celulares que nos acompañan constantemente-.

Este nivel de intimidad hace que la relación entre la empresa y las personas que usan sus servicios sea también una relación de confianza a la que no solo aplica la protección de datos, también la agenda de derechos humanos y empresas, particularmente derechos a la libertad de expresión y privacidad.

La agenda mundial sobre responsabilidad de las empresas y derechos humanos no es nueva. En junio de 2011 la ONU acogió los Principios Rectores sobre las empresas que tiene tres ejes “proteger, respetar y remediar”. Me interesa resaltar que a las empresas corresponde especialmente el de respetar. Durante décadas esto ha significado un esfuerzo acompañado por la idea de la transparencia corporativa y, con el auge de la sociedad de la información, ya no es solo sobre empresas mineras y de agroindustria, sino que se refiere también a las empresas tecnológicas y a los datos de las personas.

En desarrollo de sus compromisos con respetar los derechos humanos, Telia publica informes de transparencia. Históricamente Google fue la primera en divulgar uno en 2009 y desde entonces lo hace periódicamente. Su ejemplo fue seguido poco a poco por otras empresas y para 2013 se consolidó como una práctica corporativa mundial. Desde 2015, Karisma -donde trabajo-, ha desarrollado el proyecto ”¿Dónde están mis datos?” que anima anualmente a las empresas locales que ofrecen servicios de internet, a que sigan esta buena práctica internacional.

En los cinco años que llevamos haciendo este ejercicio hemos visto una evolución importante. Mientras en 2015 ninguna empresa sabía sobre este tema, hoy la mayoría ha mejorado sus políticas y publica informes de transparencia con información de las solicitudes que hacen las autoridades de datos personales. Aunque se puede mejorar, sobre todo estandarizarlos para que sean comparables y sirvan realmente como mecanismo de control, somos referente regional.

En estos informes las propias empresas reportan sobre las políticas corporativas que adoptan para cumplir sus compromisos de derechos humanos y en concreto, sobre cómo responden las solicitudes de las autoridades por datos personales. En estos informes dan datos agregados sobre las peticiones que reciben y sobre cómo responden.

Esta información que se hace pública permite a cualquiera hacer seguimientos y activar controles a esta facultad de los Estados. De hecho, debido a su impacto, la OCDE analiza esta buena práctica del sector para recomendar que se convierta en política pública, entendiendo, además, que fortalece la confianza en el sector y es una buena herramienta de rendición de cuentas, tanto para las empresas como para el Estado.

Durante la pandemia los gobiernos están haciendo nuevas solicitudes, necesitan ubicar personas, piden datos de geolocalización y números de teléfonos. Sin duda, la pandemia justifica intentar nuevas formas de enfrentar el problema y todos estamos dispuestos a colaborar, pero como estamos haciendo ensayos, se hace necesario contar con información y comparar aproximaciones y resultados, particularmente para evaluar cómo se ajustan estas peticiones al marco legal.

Para eso sirve saber que en Dinamarca a Telia le pidieron bloquear sitios por noticias falsas del virus. Aunque su política es bloquear solo con orden judicial Telia decidió atender las solicitudes mientras el gobierno pasó la norma correspondiente. Cuenta Telia cómo mientras en unos países les han pedido datos para individualizar a personas, y esto se ha enredado jurídicamente, en otros han colaborado con datos agregados y anonimizados. Se puede estar de acuerdo con la aproximación que Telia toma o no, pero el valor está en que sabemos lo que sucede.

Imprimir transparencia a la facultad de pedir información, que siempre ha sido extraordinaria, y que ahora responde a una urgencia, es fundamental, porque además abre debates que de otra manera quedan ocultos y con comentarios y participación de los interesados las decisiones son mejores.

Por ejemplo, en marzo cuando la Superintendencia de Industria y Comercio, autoridad de protección de datos local, expidió la Circular Externa 001 de 2020 sobre uso de datos personales en la pandemia, solo para recordar que hay una excepción que obliga a compartir datos personales con las autoridades, fue por los medios de comunicación que supimos que esto era para que las empresas operadoras entregaran datos biográficos de sus suscriptores para que el gobierno identificará a quienes debían recibir auxilios. No cabe duda que era una necesidad sentida, pero la solución no era proporcional y habría que cuestionar su legalidad. Al abrirse la discusión apareció una solución que no implicaba entregar datos personales: el gobierno le decía a las operadoras a quiénes debían localizar y las operadoras les enviaban mensajes.

La posibilidad de hacer seguimiento y control ciudadano está íntimamente ligada con la transparencia que nos permite abrir discusiones y reclamar garantías. Por eso propongo rescatar para este momento los informes de transparencia corporativos. Las empresas en Colombia deberían seguir el ejemplo de Telia para contarnos sobre las solicitudes que las autoridades hacen de los datos de las personas a las que prestan sus servicios y las medidas que toman.