Hace apenas un año, el mundo descubrió que el nivel de vigilancia al que algunos estados someten a la población mundial superaba las peores pesadillas de cualquiera.

Gracias a los documentos filtrados por Edward Snowden después de su paso por la National Security Agency (NSA) estadounidense, supimos que Estados Unidos interceptaba sin pudor y sin control millones de llamadas telefónicas de ciudadanos de todo el mundo, a través de la intervención de los cables de comunicación y de la existencia de puertas secretas en aplicaciones comerciales.

Ahora no solo tememos, sino que sabemos que durante años gobiernos y empresas han colaborado a espaldas de los ciudadanos para robar y analizar datos privados sin ningún tipo de control democrático.

No obstante, a pesar de haber supuesto un verdadero terremoto político en Estados Unidos, doce meses después de la aparición de Snowden los cambios significativos avanzan muy lentamente.

Con el fin de calibrar el impacto de las revelaciones en la agenda pública y política de todo el mundo, la web Privacy Surgeon y expertos en privacidad de todo el mundo han unido fuerzas para compilar el informe La reforma de los servicios de seguridad: mucho ruido y pocas nueces?La reforma de los servicios de seguridad: mucho ruido y pocas nueces? que analiza por primera vez el impacto de las revelaciones de Snowden en 19 países, en el sector privado y entre más de 100 actores vinculados a la seguridad, la tecnología, el derecho y el ámbito académico. El informe destaca la cobertura periodística de la sección de Tecnología de eldiario.es, Diario Turing. El tema se tocó en la Sexta Conferencia Bianual sobre Vigilancia y Sociedad en Barcelona.

El informe concluye que la alarma ciudadana ante la constatación de las prácticas de gobiernos, departamentos de seguridad y empresas no ha conseguido aún introducir nuevas prácticas y controles en el sector de la seguridad fuera de Estados Unidos, por lo que el secretismo sigue siendo la norma en la intercepción de las comunicaciones con fines tanto de seguridad como comerciales.

Además, y a pesar de esta nueva conciencia y exigencia ciudadanas, el informe constata la dificultad para dar respuesta a estas preocupaciones con servicios y tecnologías capaces de proteger de forma efectiva la privacidad y los derechos fundamentales de la ciudadanía.

[Actualización 10 de junio: El informe final está publicado y se puede consultar en la web de Privacy Surgeon]

Informe La reforma de los servicios de seguridad: mucho ruido y pocas nueces?

Cuando las revelaciones de Snowden fueron publicadas el 5 de junio 2013, sólo un periódico español, El País, les dio espacio en su portada, pero sólo el 7 de junio y en los siguientes términos: “EEUU justifica la vigilancia masiva por motivos de seguridad”. Lo que salió en portada dos días despues fue la reacción oficial de Estados Unidos y no las revelaciones.

Esta precaución y la presencia de la respuesta oficial han sido la norma en el debate en los medios de comunicación españoles. Esto, junto con la minimización del tema por parte del gobierno de EEUU, ha determinado en gran medida el debate público sobre los efectos de la vigilancia masiva.

A mediados de junio, el Gobierno español emitió un comunicado declarando que “si un ciudadano es consciente de que algo extraño está sucediendo, debe ponerlo en conocimiento de las fuerzas del Estado para que se lleve a cabo una investigación'” La Agencia Española de Protección de Datos, a su vez, declaró que las autoridades de la UE ya habían reaccionado solicitando más información de EEUU y que este asunto tenía que ser tratado a nivel continental.


En julio, Edward Snowden pidió asilo al gobierno español, a través de la embajada en Moscú, y se le dijo que debía estar en suelo español para procesar la solicitud (en ese momento se encontraba en Hong Kong) y que su petición no tenía efectos jurídicos debido al procedimiento utilizado para presentarla. Poco después, al avión presidencial de Evo Morales se le negó el derecho a volar sobre España con el pretexto de la sospecha de que Edward Snowden pudiera estar viajando en él. Sólo se le permitió repostar en las Islas Canarias después de que Bolivia aceptara el registro del avión, en una clara violación de la soberanía boliviana.

A pesar de esto, a nivel parlamentario las revelaciones Snowden se han abierto camino en el Congreso, aunque siempre a petición de la oposición y con resultados pobres en términos de transparencia y rendición de cuentas. En julio de 2013, Izquierda Unida presentó una serie de preguntas sobre la posibilidad de que Snowden consiguiera el estatus de asilado España, y sobre las medidas que se habían tomado para proteger su vida y su libertad de expresión. El gobierno respondió en septiembre declarando cuál es el procedimiento para solicitar asilo y la conformidad de todas sus actuaciones con el marco jurídico vigente.

En noviembre de 2013, el director del Centro Nacional de Inteligencia (CNI) compareció a puerta cerrada ante la Comisión de Secretos Oficiales. Su comparecencia fue acordada después de que los medios de comunicación revelaran que España era un aliado de “segundo grado” de los EEUU, y que el CNI había permitido o ayudado a ese país a recoger 60 millones de llamadas telefónicas sólo entre diciembre de 2012 y enero 2013.

Esto fue negado por el director de la NSA Keith Alexander, quien hizo hincapié en que los metadatos generados habían sido recogidos en el marco de la colaboración regular entre países miembros de la OTAN, y que éstos se referían únicamente a las actividades sospechosas en terceros países (como Malí y Afganistán). A los parlamentarios que asistieron a la comparecencia se les pidió específicamente no revelar los detalles de la sesión, pero los que hablaron brevemente con los medios de comunicación mostraron satisfacción y mencionaron que el director de la CNI había dejado claro que España siempre había actuado de acuerdo con la ley, que los datos de los ciudadanos españoles no se habían visto comprometidos por las actividades de la NSA y que era la inteligencia de EEUU la que debía dar nuevas explicaciones.

En diciembre, la oposición de izquierdas pidió permiso para que Snowden pudiera viajar a España y comparecer ante la Comisión de Justicia, pero la petición parece haber sido ignorada por el gobierno. En marzo de 2014, la Comisión de Libertades Civiles de la UE publicó su informe sobre la Vigilancia Electrónica Masiva, y la oposición de Izquierda Unida utilizó sus recomendaciones para presentar una serie de preguntas al gobierno. En concreto, el 30 de abril le preguntaron:

“¿Qué medidas se han adoptado por el gobierno para cumplir las catorce recomendaciones del informe de la comisión LIBE sobre los programas de vigilancia masiva de la agencia de vigilancia de EE.UU. (NSA)? Si la respuesta es afirmativa, ¿cuáles son esas medidas? Si la respuesta es negativa, ¿por qué?


Como recomienda el informe, se han tomado medidas legales contra el ataque a la soberanía de España y la violación del derecho internacional público general a través de los programas de vigilancia masiva? Si la respuesta es negativa, ¿por qué?“


La respuesta oficial del gobierno puede tomar aún varios meses. Y mientras que otros partidos han expresado sus planes para llevar a cabo acciones similares, como informó recientemente eldiario.es, esto no ha sucedido todavía.

Por lo tanto, si bien es difícil establecer una relación directa entre el debate parlamentario y el mediático, los dos parecen compartir una falta de interés por el tema. Si en el Parlamento la oposición de izquierdas es la excepción a la regla, en los medios de comunicación las revelaciones de Snowden sólo han aparecido de forma sostenida en la sección de tecnología de eldiario.es. La regla, sin embargo, sigue siendo la indiferencia generalizada.

El impacto de las revelaciones Snowden fuera de los medios de comunicación y el parlamento es difíciles de evaluar a sólo 12 meses después de haber ocurrido, aunque esto puede cambiar en el futuro. El cambio social no se puede medir en un corto período de tiempo, sobre todo cuando no se realizan esfuerzos en este sentido. La Agencia de Protección de Datos podría haber publicado un informe o materiales específicos, pero no lo ha hecho. Además, su informe de 2013 aún no ha sido publicado, por lo que es imposible buscar ahí indicadores pertinentes.

Lo mismo puede decirse del Centro de Investigaciones Sociológicas (CIS). Los últimos datos relevantes que encontramos en sus encuestas sobre confianza, protección de datos y sensación de inseguridad son muy anteriores a Snowden, aunque en los próximos años esto ya no debería ser así.

Hasta entonces, no podemos hacer sino conjeturas. El debate sobre la privacidad en España parece tener cada vez más presentes las revelaciones de Snowden y el reto que supone la protección de datos. En la reciente VI Conferencia sobre Vigilancia y Sociedad celebrada en Barcelona, donde se abordó específicamente el contexto posterior a Snowden, los medios de comunicación se mostraron reacios a cubrir el evento en términos de la vigilancia estatal y parecieron estar más dispuestos a vincularla a la protección de datos en las redes sociales y la responsabilidad de los usuarios.

Del mismo modo, la exposición Big Bang Data, inaugurada recientemente en Barcelona, se centra en gran medida en la experiencia del usuario y las redes sociales, con pocas referencias a Snowden, a pesar de que los curadores han manifestado que las revelaciones cambiaron su concepción de la totalidad del proyecto.

En general, el debate Snowden parece estar contribuyendo a un debate más general sobre la privacidad en línea y la comercialización de los datos, mientras que las preocupaciones sociales parecen seguir centradas en el desempleo, la crisis y la corrupción. Esto no es sorprendente en un país post-autoritario donde la vigilancia de arriba hacia abajo ha sido la norma más que la excepción durante la mayor parte del siglo pasado, donde no hay una tradición de “whistleblowers” (personas que denuncian malas prácticas desde dentro), donde la mayoría de personas confiesan desconfiar de sus vecinos y donde la crisis financiera ha hecho que todos los demás problemas pasen a un segundo plano. Pero España es también un país que ha visto ejemplos notables de resistencia a la proliferación de videovigilancia y donde la protesta sobre la vulnerabilidad de datos de WhatsApp llevó a dos millones de personas a buscar -sin éxito- alternativas de mensajería instantánea más respetuosas con la privacidad.

Hay señales de que el debate se ha suscitado, por lo menos en los ambientes específicos y en relación a la ciberseguridad, las redes sociales y los problemas de privacidad. Y mientras los medios de comunicación y la pasividad política son un desafío inmediato, la preocupación por la privacidad va en aumento. En este contexto en evolución, cada nueva revelación sobre el uso y abuso de los poderes de vigilancia está contribuyendo al fortalecimiento de la necesidad de un verdadero debate público sobre las posibilidades y los riesgos de la sociedad de la vigilancia.

También hemos publicado el borrador del informe completo en inglésborrador del informe completo en inglés

El director general de Amazon, Jeff Bezos, anunció los planes de la compañía de usar vehículos aéreos no tripulados (drones) para entregar productos a sus clientes. La noticia corrió como la pólvora por redes sociales y portales de noticias, y muchos imaginaron que el futuro ya está aquí. La noticia completa incluía algunos elementos para el escepticismo, como la previsión de despliegue en 4-5 años y las dudas en relación con la seguridad y el marco legal de tales operaciones. Pero Amazon y su capacidad de innovación estaban ya en boca de todos.

Imaginemos por un momento cómo sería el mundo que nos propone Amazon. Si esta tienda puede mandar sus pequeños envíos con drones, también podrían hacerlo las empresas de correos o incluso los pequeños comerciantes que quieran realizar envíos en su zona de proximidad. De pronto, ya no es sólo el drone de Amazon que llega a mi casa. Son decenas de drones pasando por mi calle, cada uno con un cometido distinto y con un propietario diferente.

De repente, el drone no sólo necesita capacidad de geolocalización (para encontrar mi casa), sino que debe poder detectar a todos estos otros drones (por no hablar de cables, pájaros y otros objetos volantes). También necesitaremos a alguien que haga de controlador aéreo para dirigir ese tráfico y evitar que los drones y nuestros productos choquen y caigan en las cabezas de los sorprendidos viandantes.

A la geolocalización, la detección de objetos y el contacto con el controlador, no estaría de más añadirle también un seguro médico y una caja negra, para saber a quién reclamarle cuando el libro de Belén Esteban, de los más vendidos en Amazon, le abra la cabeza a alguien.

Incluso si llegáramos a sortear todos estos obstáculos legales, prácticos y administrativos: ¿cómo llega el paquete a mi casa? Es fácil imaginar un sistema así en los idílicos y verdes suburbios estadounidenses, pero en la ciudad compacta, ¿va el drone a llamar al interfono?, ¿o aterrizará en mi terraza y me pedirá la llave de la escalera?

Barry Welch (@QuantumPirate) ironiza sobre estas posibilidades en un posible resguardo de entrega de Amazon en la era de los drones, que incluye la posibilidad de que el drone sea destruido al entrar en una zona de vuelo restringido, que no consiga aterrizar para hacer la entrega o que decida renunciar y unirse a las filas de la futura revolución de las máquinas contra la humanidad.

Es evidente, como reconoce el propio Bezos, que el despliegue de los drones choca aún con importantes obstáculos legales, prácticos y de seguridad. Pero Amazon puede permitirse el lujo de jugar con la idea de algún día utilizar drones, y más si eso le sirve apara acaparar portadas justo antes de las Navidades (¡Qué casualidad!) o del Cyber Monday, la gran jornada de descuentos en la compra online en EEUU.

El problema es que la responsabilidad que podemos pasarle por alto a Bezos no se la podemos tolerar a nuestras administraciones y responsables de protección de datos. Bezos puede hablar de drones para vender libros, pero ¿pueden las Administraciones Públicas ignorar los problemas que acabamos de mencionar y dejarse seducir por una tecnología para la que no existe ni marco legal ni condiciones para su proliferación?

La venta de drones con cámara en grandes almacenes, la utilización en Barcelona de un drone que retrata monumentos históricos con fines arqueológicos. ¿Más? La existencia de un programa piloto del Centro de Telecomunicaciones y Tecnologías de la Información de la Generalitat de Catalunya para explorar el uso de los vehículos aéreos no tripulados con cámara de alta definición en el ámbito de la Administración Pública.

Ante estas noticias inquietantes, realicé una consulta a la Agencia Española de Protección de Datos (AEPD).

El objetivo era saber qué derechos tenemos si algún día nos filma un drone y cómo ejercer nuestros derechos de acceso, rectificación y cancelación si eso ocurre. LA AEPD se limitó a informar, el 14 de octubre de 2013, de que “la captación de datos personales de personas físicas identificadas o identificables, cualquiera que sea el medio por el que se obtengan, quedará sujeta a las previsiones de la Ley Orgánica 15/1999 de Protección de Datos de Carácter Personal”.

Papel mojado, vaya, puesto que es imposible saber cómo establecer contacto con el responsable de datos de algo móvil que se desplaza por el aire; y sin responsable de datos, es imposible ejercer ninguno de los derechos establecidos por la ley. Ante la existencia de un vacío legal, lo suyo sería que la Administración Pública trabajara para solventarlo y, a la espera de su desarrollo, se abstuviera de desarrollar actividades que afectan derechos fundamentales como el derecho al honor, la intimidad personal y familiar, y la propia imagen. Pero no es así.

Así que la ocurrencia de Bezos puede hacernos gracia. Lo que ya no es tan divertido es que ni las Administraciones Públicas ni la AEPD parezcan tomarse en serio la necesidad de regular la innovación tecnológica. No para pararla o entorpecerla sino, simplemente, para que cumpla la ley y esté al servicio de los derechos de ciudadanos y ciudadanas. Y no al revés.

El 6 de junio de 2013 los periódicos The Guardian y Washington Post revelaron la existencia de un programa de la Agencia de Seguridad Nacional estadounidense (NSA) llamado PRISM que accedía a los datos personales de clientes de empresas de internet y telefonía de todo el mundo sin ningún tipo de control o autorización judicial.

Desde entonces, las quejas de los países afectados se han multiplicado. Argentina y Brasil han sido hasta ahora los más activos en denunciar PRISM y, aunque la Unión Europea sigue debatiendo su posición conjunta, diferentes países ya han llamado a consultas a sus respectivos embajadores estadounidenses. El Comité del Parlamento Europeo sobre Libertades Civiles, Justicia y Asuntos de Interior (LIBE), encargado de redactar la futura nueva normativa europea de protección de datos, encomendó este verano un informe sobre el impacto de las actividades de la NSA en la ‘soberanía de datos’ de los Estados y en la privacidad y protección de datos de los ciudadanos y las ciudadanas de la UE.

Lo que este informe revela es que Estados Unidos lleva décadas ignorando los derechos fundamentales de los ciudadanos de otros países. La Ley de Vigilancia de la Inteligencia Extranjera (FISA) de Estados Unidos, de 1978, ya preveía que toda intercepción de comunicaciones realizada fuera de las fronteras de EEUU no tuviera ningún tipo de restricción legal.

En 2008, la enmienda s.1881a/702 de FISA acabó de crear el contexto legal para la vigilancia masiva orientada específicamente a los datos de ciudadanos no estadounidenses, incluido el almacenaje de datos recogidos en nodos clave de todo el mundo durante 5 años (a través de fibra óptica, satélites, etc.) con el fin de identificar personas cuyas actividades espiadas les sitúen a 3 o menos grados de separación de un individuo sobre el que recaen sospechas de terrorismo (el llamado ‘principio de los tres saltos’). Esa enmienda, aprobada por Obama, amplió también el ámbito de espionaje a la computación en la nube.

Estos excesos fueron identificados desde Europa, pero ni los mecanismos existentes (Safe Harbour, BCR for processors, etc.) ni las actuaciones que se emprendieron consiguieron crear suficientes garantías, y que los servicios de inteligencia estadounidenses fueran normalizando el control de las comunicaciones de ciudadanos de todo el mundo sin ningún tipo de control ni garantías para éstos, convirtiendo así la nacionalidad no estadounidense en justificación para el espionaje ‘preventivo’.

¿Qué hacer?

El informe encargado por la Comisión LIBE avanza ya algunas recomendaciones sobre posibles vías para abordar el problema de la privacidad y la seguridad de las comunicaciones en la UE:

Concienciar al usuario europeo y crear una nube propia

Concienciar al usuario europeo y crear una nube propiaTodas las empresas estadounidenses que ofrezcan sus servicios a ciudadanos de la UE deberían incluir información sobre la posibilidad de que sus datos sean analizados y/o espiados (consentimiento informado). Paralelamente, la UE debería desarrollar una nube propia basada en software libre que limitara la explotación de datos por parte de empresas, servicios de inteligencia extranjeros y de espías industriales. Esto establecería las bases de una verdadera soberanía de datos y podría permitir a la UE desarrollar un modelo propio de valor añadido.

Recuperar el artículo 42

Recuperar el artículo 42En el último borrador de la nueva normativa europea de protección de datos ha desaparecido el artículo 42, que prohibía a terceros países acceder a datos personales en Europa, incluso cuando la petición estuviera apoyada por un requerimiento legal de un tribunal de un tercer país si ésta no recibía la aprobación de una autoridad de protección de datos europea. Este artículo debería recuperarse, junto con un aumento de las multas (del actual 2% sobre los beneficios de la empresa, al 20%) y la extensión del artículo 42 a proveedores de servicios y productos, y no sólo a procesadores de datos.

Incentivar y proteger legalmente a los que destapan ilegalidades

Incentivar y proteger legalmente a los que destapan ilegalidadesLas personas que denuncian públicamente la mala praxis de empresas y Gobiernos en el manejo de datos deberían ser protegidas, con garantías de inmunidad y asilo, y recompensadas económicamente con un porcentaje de las multas impuestas a los infractores gracias a su labor (como ya se hace en los casos de fraude a la Administración en EEUU).

Reforma institucional y de las agencias de protección de datos (APD)

Reforma institucional y de las agencias de protección de datos (APD)Aunque la Comisión Europea rechazó hace tiempo la posibilidad de crear una Agencia de Protección de Datos Europea, puede crearse una nueva autoridad central en los casos que incumban el manejo de datos personales por parte de terceros países. Esta autoridad central podría aceptar casos derivados de las agencias estatales. Paralelamente, las agencias de protección de datos deberían incorporar personal con conocimientos de informática y tecnologías que protejan la privacidad, para poder calibrar mejor los riesgos que plantea el desarrollo de aplicaciones tecnológicas (de las 2.000 personas que se calcula que trabajan en las APD europeas, sólo unas decenas tienen formación específica en informática o ingeniería).

Apoyo a la sociedad civil

Apoyo a la sociedad civilEn EEUU, la aportaciones privadas hacen posible la actividad de cuatro grandes organizaciones, con presencia en todo el país, dedicadas de forma profesional a proporcionar conocimientos técnicos y a luchar en el debate público y en los tribunales para reivindicar temas relacionados con la privacidad y el acceso a la información. Éstas son: The Electronic Frontier Foundation, The Electronic Privacy Information Center, la American Civil Liberties Union y el Center for Democracy and Technology. En Europa, en cambio, las organizaciones existentes son pequeñas y cuentan con pocos recursos, lo que les impide soportar largos procesos judiciales o llegar a los espacios de toma de decisiones. La UE debería contar con una estrategia de fomento y financiación de estos espacios de defensa de los derechos fundamentales de la ciudadanía europea.

El diagnóstico, pues, está sobre la mesa, así como una indicación de cuáles son algunos de los primeros pasos que pueden darse (¡y exigirse!) desde Europa para que el caso Snowden sirva para que los europeos dejemos de caminar sonámbulos hacia la sociedad de la vigilancia masiva, injustificada y lesiva para los derechos fundamentales. Que la alarma que ha encendido Snowden sirva, como mínimo, para despertarnos.