Privacidad de la información

La información sobre las transacciones financieras de una persona, incluyendo el monto de sus activos, posiciones en acciones o fondos, deudas pendientes y compras, puede ser sensible. Si los delincuentes obtienen acceso a información como las cuentas o números de tarjetas de crédito de una persona, esta podría ser víctima de fraude o robo de identidad . La información sobre las compras de una persona puede revelar mucho sobre su historial, como los lugares que ha visitado, con quién tiene contacto, los productos que ha utilizado, sus actividades y hábitos, o los medicamentos que ha tomado. En algunos casos, las empresas pueden usar esta información para dirigir a las personas publicidad personalizada según sus preferencias, la cual la persona puede aprobar o no. ^{[ 11 ]}

La capacidad de controlar la información personal que se comparte en internet y quién puede acceder a ella se ha convertido en una preocupación creciente. Estas preocupaciones incluyen si los correos electrónicos pueden ser almacenados o leídos por terceros sin consentimiento, o si terceros pueden rastrear los sitios web que una persona visita. Otra preocupación es si los sitios web que se visitan pueden recopilar, almacenar y, posiblemente, compartir información personal identificable sobre los usuarios.

La aparición de diversos motores de búsqueda y el uso de la minería de datos crearon la capacidad de recopilar y combinar datos sobre individuos de una amplia variedad de fuentes con gran facilidad. ^{[ 12 ] [ 13 ] [ 14 ]} La IA facilitó la creación de información inferencial sobre individuos y grupos basada en tales cantidades ingentes de datos recopilados, transformando la economía de la información. ^{[ 15 ]} La FTC ha proporcionado un conjunto de directrices que representan conceptos ampliamente aceptados sobre prácticas justas de información en un mercado electrónico, denominados Principios de Prácticas Justas de Información . Sin embargo, estos han sido criticados por su insuficiencia en el contexto de la información inferencial habilitada por la IA. ^{[ 15 ]}

En internet, muchos usuarios comparten mucha información personal: los correos electrónicos sin cifrar pueden ser leídos por los administradores de un servidor de correo electrónico si la conexión no está cifrada (sin TLS ), y también el proveedor de servicios de internet y otras partes que interceptan el tráfico de red de esa conexión pueden conocer su contenido. Lo mismo se aplica a cualquier tipo de tráfico generado en internet, incluyendo la navegación web , la mensajería instantánea , etc. Para no compartir demasiada información personal, los correos electrónicos pueden cifrarse y la navegación por páginas web, así como otras actividades en línea, pueden realizarse de forma anónima mediante anonimizadores o mediante anonimizadores distribuidos de código abierto, las llamadas redes mixtas . Nym ^{[ 16 ]} e I2P ^{[ 17 ]} son ​​ejemplos de redes mixtas conocidas .

Con el uso cada vez más frecuente de las redes sociales y los sitios de comercio electrónico, existen más oportunidades para el robo de datos de los consumidores. Las empresas pueden ver qué tipo de productos les gusta comprar a los consumidores y pueden usar anuncios dirigidos para intentar que compren más artículos, haciéndoles creer que eso es lo que desean comprar. Sin embargo, a veces este tipo de datos se utilizan sin consentimiento explícito. ^{[ 18 ]}

Los usuarios desconocen toda la información personal que se recopila sobre ellos. Las cookies rastrean los datos de navegación y la configuración de ubicación muestra dónde se encuentra una persona, y puede mostrar tiendas o productos ubicados físicamente cerca de ella. ^{[ 19 ]} Esto, en conjunto, puede representar un grave problema de seguridad y privacidad para los usuarios si sus datos no se almacenan de forma segura.

Con leyes como la Ley de Privacidad del Consumidor de California (CCPA), los datos de las personas pueden protegerse y se les solicita su consentimiento explícito antes de utilizarlos. ^{[ 20 ]} A nivel mundial, muchas naciones están tratando de implementar cláusulas similares para proteger a los consumidores.

El correo electrónico no es el único contenido de internet que plantea problemas de privacidad. En una era donde cada vez hay más información en línea, las redes sociales presentan desafíos adicionales en materia de privacidad. Las personas pueden ser etiquetadas en fotos o ver expuesta información valiosa sobre sí mismas, ya sea por elección propia o de forma inesperada por parte de otros, lo que se conoce como vigilancia participativa . Los datos sobre la ubicación también pueden publicarse accidentalmente, por ejemplo, cuando alguien publica una foto con una tienda de fondo. Se debe tener precaución al publicar información en línea. Las redes sociales varían en cuanto a lo que permiten que los usuarios mantengan privado y lo que permanece accesible públicamente. ^{[ 21 ]} Sin una configuración de seguridad sólida y una atención cuidadosa a lo que permanece público, una persona puede ser perfilada mediante la búsqueda y recopilación de información diversa, lo que puede dar lugar a casos de ciberacoso ^{[ 22 ]} o daños a la reputación. ^{[ 23 ]}

Las cookies se utilizan en los sitios web para que los usuarios puedan permitir que el sitio web recupere cierta información de su conexión a Internet, pero generalmente no mencionan qué datos se están recuperando. ^{[ 24 ]} En 2018, el Reglamento General de Protección de Datos (RGPD) aprobó una normativa que obliga a los sitios web a revelar visiblemente a los consumidores sus prácticas de privacidad de la información, conocidas como avisos de cookies. ^{[ 24 ]} Esto se emitió para dar a los consumidores la opción de qué información sobre su comportamiento consienten que los sitios web rastreen; sin embargo, su efectividad es controvertida. ^{[ 24 ]} Algunos sitios web pueden incurrir en prácticas engañosas, como colocar avisos de cookies en lugares de la página que no son visibles o solo notificar a los consumidores que su información está siendo rastreada pero no permitirles cambiar su configuración de privacidad. ^{[ 24 ]} Aplicaciones como Instagram y Facebook recopilan datos de los usuarios para una experiencia personalizada de la aplicación; sin embargo, rastrean la actividad del usuario en otras aplicaciones, lo que pone en riesgo la privacidad y los datos de los usuarios. Al controlar la visibilidad de estos avisos de cookies, las empresas pueden recopilar datos discretamente, lo que les da más poder sobre los consumidores. ^{[ 24 ]}

En el Reino Unido, en 2012, el Secretario de Educación, Michael Gove, describió la Base de Datos Nacional de Alumnos como un "conjunto de datos valioso" cuyo valor podría "maximizarse" haciéndolo más accesible, incluso a empresas privadas. ^{[ 11 ]} Kelly Fiveash, de The Register, afirmó que esto podría significar que "la vida escolar de un niño, incluyendo los resultados de los exámenes, la asistencia, las evaluaciones de los profesores e incluso sus características", estaría disponible, y que organizaciones externas serían responsables de anonimizar las publicaciones, en lugar de que el gobierno anonimizara los datos antes de entregarlos. Un ejemplo de solicitud de datos que Gove indicó que había sido rechazada en el pasado, pero que podría ser posible bajo una versión mejorada de las regulaciones de privacidad, era la de "análisis sobre explotación sexual". ^{[ 11 ]}

Esto describe la capacidad de controlar qué información personal se revela a través de la televisión por cable y quién puede acceder a ella. Por ejemplo, terceros pueden rastrear los programas de IPTV que alguien ha visto en un momento dado.

En el ámbito académico, los Comités de Revisión Institucional funcionan para asegurar que se tomen las medidas adecuadas para garantizar tanto la privacidad como la confidencialidad de los sujetos humanos en la investigación. ^{[ 25 ]}

La inteligencia artificial puede considerarse un obstáculo para la protección de la privacidad de la información, ya que recopila datos de forma masiva. Según la Asociación Internacional de Profesionales de la Privacidad, aproximadamente el 68 % de los consumidores a nivel mundial expresan preocupación por su privacidad en línea, y el 57 % coincide en que la IA puede representar una amenaza para sus datos. ^{[ 36 ]} Estas preocupaciones se han intensificado a medida que las herramientas de IA generativa, que aprenden a partir de datos extraídos de la web, se han adoptado de forma más generalizada. ^{[ 36 ]}

Las preocupaciones sobre la privacidad de la IA pueden estar relacionadas con métodos de recopilación de datos no regulados, algoritmos opacos y persistencia de datos. ^{[ 37 ]} La opacidad algorítmica significa no comprender exactamente cómo y de dónde obtiene la IA sus datos y fuentes. ^{[ 37 ]} La falta de visibilidad clara puede dificultar que una persona comprenda cómo se encuentra y utiliza su información. La persistencia de datos se refiere a la existencia de datos en línea durante un período prolongado, incluso sin consentimiento. ^{[ 37 ]}

Actualmente en Estados Unidos no existen leyes federales explícitas que regulen la IA en términos de recopilación de datos. ^{[ 38 ]} Leyes como la Ley de Portabilidad y Responsabilidad del Seguro Médico (HIPAA) y la Ley Gramm-Leach-Bliley pueden regular a las empresas, pero excluyen la IA. ^{[ 38 ]} Existen legislaturas estatales que están promulgando leyes. El estado de Utah, en Estados Unidos, aprobó la Ley de Política de Inteligencia Artificial en marzo de 2024. ^{[ 39 ]} La Oficina de Política Científica y Tecnológica de la Casa Blanca creó el "Plan para una Declaración de Derechos de la IA" en 2022, que explicaba los marcos para la privacidad de los datos y la IA, y la necesidad de que los sistemas de IA obtengan el consentimiento del usuario antes de utilizar sus datos. ^{[ 39 ]}

Muchos investigadores han creado marcos adicionales para abordar la IA y la privacidad de los datos, incluidos los requisitos de minimización de datos, la auditoría de la IA y la opción de que los usuarios opten por no participar en la recopilación de datos al usar la IA. ^{[ 37 ] [ 40 ]}

A medida que avanzan las capacidades de rastreo de ubicación de los dispositivos móviles ( servicios basados ​​en la ubicación ), surgen problemas relacionados con la privacidad del usuario. Los datos de ubicación se encuentran entre los datos más sensibles que se recopilan actualmente. ^{[ 41 ]} En 2009, la Electronic Frontier Foundation publicó una lista de información profesional y personal potencialmente sensible que podría inferirse sobre un individuo conociendo solo su rastro de movilidad . ^{[ 42 ]} Esto incluye los movimientos de la fuerza de ventas de un competidor, la asistencia a una iglesia en particular o la presencia de un individuo en un motel o en una clínica de abortos. Un estudio reciente del MIT ^{[ 43 ] [ 44 ]} realizado por de Montjoye et al. demostró que cuatro puntos espaciotemporales, lugares y horas aproximados, son suficientes para identificar de forma única al 95% de 1,5  millones de personas en una base de datos de movilidad. El estudio muestra además que estas restricciones se mantienen incluso cuando la resolución del conjunto de datos es baja. Por lo tanto, incluso los conjuntos de datos gruesos o borrosos proporcionan poca anonimidad a la persona.

Es posible que las personas no deseen que sus registros médicos sean revelados a otros debido a la confidencialidad y sensibilidad de lo que la información podría revelar sobre su salud. Por ejemplo, podrían preocuparse de que esto pueda afectar su cobertura de seguro o empleo. O bien, puede ser porque no desean que otros sepan sobre cualquier condición o tratamiento médico o psicológico que les cause vergüenza. Revelar datos médicos también podría revelar otros detalles sobre la vida personal de una persona. ^{[ 45 ]} Hay tres categorías principales de privacidad médica: informativa (el grado de control sobre la información personal), física (el grado de inaccesibilidad física a otros) y psicológica (el grado en que el médico respeta las creencias culturales, los pensamientos internos, los valores, los sentimientos y las prácticas religiosas de los pacientes y les permite tomar decisiones personales). ^{[ 46 ]} Los médicos y psiquiatras en muchas culturas y países tienen estándares para las relaciones médico-paciente , que incluyen el mantenimiento de la confidencialidad. En algunos casos, el privilegio médico-paciente está protegido legalmente. Estas prácticas se implementan para proteger la dignidad de los pacientes y garantizar que se sientan libres de revelar información completa y precisa necesaria para recibir el tratamiento adecuado. ^{[ 47 ]} Para consultar las leyes de Estados Unidos sobre la privacidad de la información sanitaria privada, véanse la HIPAA y la Ley HITECH . La legislación australiana aplicable es la Ley de Privacidad de 1988 de Australia, así como la legislación estatal sobre registros médicos.

La privacidad en línea de los niños está sujeta a protecciones legales de diversas maneras. En Estados Unidos, la Ley de Protección de la Privacidad Infantil en Línea de 1998 supervisa la recopilación de información personal de niños menores de 13 años ^{[ 48 ].} La ley establece específicamente que los operadores de sitios web deben obtener el consentimiento de los padres antes de recopilar datos personales de los niños. ^{[ 48 ]}

La Ley de Protección de la Privacidad Infantil en Internet de 1998 se aplica a sitios web, aplicaciones y todos los dispositivos con acceso a internet dirigidos a niños o que sepan que recopilan datos de menores de trece años. ^{[ 49 ]} La violación de esta ley puede conllevar multas de hasta 43 792 dólares por infracción, ya que es aplicada por la Comisión Federal de Comercio. ^{[ 50 ]} Además, existen fiscales generales estatales que se encargan de hacer cumplir esta ley. ^{[ 50 ]}

La Comisión Federal de Comercio ha continuado actualizando la Ley de Protección de la Privacidad Infantil en Internet para adaptarla a las nuevas tecnologías. En 2013 se introdujo una enmienda que amplió las categorías de información personal para incluir identificadores persistentes, datos de geolocalización y cualquier medio con la descripción de un menor. ^{[ 51 ]} La Comisión Federal de Comercio inició otra revisión de la Ley de Protección de la Privacidad Infantil en Internet en 2019 para supervisar las nuevas tecnologías derivadas del uso de dispositivos móviles por parte de los menores. ^{[ 51 ]}

Algunos han señalado que la Ley de Protección de la Privacidad Infantil en Internet tiene sus limitaciones. Actualmente, la ley no impide que los niños accedan a contenido inapropiado ni que mientan sobre su edad. ^{[ 50 ]} Además, ha habido dudas sobre la exhaustividad de la Ley de Protección de la Privacidad Infantil en Internet en relación con la tecnología educativa. ^{[ 50 ]}

La privacidad política ha sido una preocupación desde que surgieron los sistemas de votación en la antigüedad. El voto secreto es la medida más sencilla y extendida para garantizar que las opiniones políticas no sean conocidas por nadie más que los propios votantes; es casi universal en la democracia moderna y se considera un derecho fundamental de la ciudadanía . De hecho, incluso donde no existen otros derechos a la privacidad , este tipo de privacidad suele existir. Existen varias formas de fraude electoral o violaciones de la privacidad posibles con el uso de máquinas de votación digitales. ^{[ 52 ]}

Las leyes de protección de datos en todo el mundo buscan salvaguardar la información personal y la privacidad individual en la era digital. El Reglamento General de Protección de Datos (RGPD) de la Unión Europea establece un alto estándar, haciendo hincapié en el consentimiento, la transparencia y una sólida rendición de cuentas mediante la imposición de sanciones estrictas. Muchos países adoptan principios similares, exigiendo que las organizaciones implementen medidas de seguridad efectivas, respeten los derechos de los usuarios y notifiquen las violaciones de seguridad. En regiones como Norteamérica, Asia y Oceanía, los marcos de protección de datos varían desde regulaciones sectoriales hasta legislación integral. A nivel mundial, estas leyes equilibran la innovación con la privacidad, garantizando que los datos personales sean accesibles adecuadamente, se gestionen de forma ética y se mitiguen el uso indebido y las ciberamenazas.

El Departamento de Comercio de los Estados Unidos creó el programa de certificación de Principios de Privacidad de Puerto Seguro Internacional en respuesta a la Directiva de 1995 sobre Protección de Datos (Directiva 95/46/CE) de la Comisión Europea. ^{[ 55 ]} Tanto Estados Unidos como la Unión Europea afirman oficialmente estar comprometidos con la protección de la privacidad de la información de las personas, pero el primero ha generado fricciones entre ambos al no cumplir con los estándares de las leyes más estrictas de la UE en materia de datos personales. La negociación del programa de Puerto Seguro se realizó, en parte, para abordar este problema de larga data. ^{[ 56 ]} La Directiva 95/46/CE declara en el Capítulo IV, Artículo 25, que los datos personales solo pueden transferirse desde los países del Espacio Económico Europeo a países que proporcionen una protección de la privacidad adecuada . Históricamente, establecer la adecuación requería la creación de leyes nacionales ampliamente equivalentes a las implementadas por la Directiva 95/46/UE. Si bien existen excepciones a esta prohibición general —por ejemplo, cuando la divulgación a un país fuera del EEE se realiza con el consentimiento del interesado (artículo 26, apartado 1, letra a))—, su alcance práctico es limitado. En consecuencia, el artículo 25 generó un riesgo jurídico para las organizaciones que transfieren datos personales de Europa a Estados Unidos.

El programa regula el intercambio de información de registro de nombres de pasajeros entre la UE y EE. UU. Según la directiva de la UE, los datos personales solo pueden transferirse a terceros países si estos ofrecen un nivel de protección adecuado. Existen algunas excepciones a esta norma, por ejemplo, cuando el responsable del tratamiento puede garantizar que el destinatario cumplirá con las normas de protección de datos.

La Comisión Europea ha creado el «Grupo de Trabajo sobre la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales», conocido comúnmente como el «Grupo de Trabajo del Artículo 29». Este Grupo de Trabajo asesora sobre el nivel de protección en la Unión Europea y en terceros países. ^{[ 57 ]}

El Grupo de Trabajo negoció con representantes estadounidenses sobre la protección de datos personales, y el resultado fueron los Principios de Puerto Seguro . A pesar de dicha aprobación, el enfoque de autoevaluación de Puerto Seguro sigue siendo controvertido para varios reguladores y comentaristas europeos en materia de privacidad. ^{[ 58 ]}

El programa Safe Harbor aborda esta cuestión de la siguiente manera: en lugar de una ley general impuesta a todas las organizaciones en los Estados Unidos , la Comisión Federal de Comercio (FTC) aplica un programa voluntario . Las organizaciones estadounidenses que se registran en este programa, tras autoevaluar su cumplimiento con una serie de estándares, se consideran "adecuadas" a los efectos del artículo 25. Se puede enviar información personal a dichas organizaciones desde el EEE sin que el remitente infrinja el artículo 25 o sus equivalentes nacionales de la UE. El Safe Harbor fue aprobado por la Comisión Europea el 26 de julio de 2000 por proporcionar una protección adecuada de los datos personales, a los efectos del artículo 25(6). ^{[ 59 ]}

En virtud del Acuerdo de Puerto Seguro, las organizaciones receptoras deben considerar cuidadosamente el cumplimiento de las obligaciones de transferencia posterior , cuando los datos personales originarios de la UE se transfieren al Puerto Seguro de EE. UU. y, posteriormente, a un tercer país. El enfoque alternativo de cumplimiento de las " normas corporativas vinculantes ", recomendado por muchos reguladores de privacidad de la UE, resuelve este problema. Además, cualquier controversia que surja en relación con la transferencia de datos de recursos humanos al Puerto Seguro de EE. UU. debe ser examinada por un panel de reguladores de privacidad de la UE. ^{[ 60 ]}

En julio de 2007, se firmó un nuevo y controvertido acuerdo sobre el Registro de Nombres de Pasajeros ^{entre Estados Unidos y la Unión Europea. [ 61 ] Poco tiempo} después, la administración Bush eximió al Departamento de Seguridad Nacional , al Sistema de Información de Llegadas y Salidas (ADIS) y al Sistema Automatizado de Objetivos ^de la Ley de Privacidad de 1974. ^{[ 63 ]}

En febrero de 2008, Jonathan Faull , jefe de la Comisión de Asuntos de Interior de la UE, se quejó de la política bilateral de EE. UU. en relación con el PNR. ^{[ 64 ]} EE. UU. había firmado en febrero de 2008 un memorando de entendimiento (MOU) con la República Checa a cambio de un esquema de exención de visado, sin concertar previamente con Bruselas. ^{[ 61 ]} Las tensiones entre Washington y Bruselas se deben principalmente a un menor nivel de protección de datos en EE. UU., especialmente porque los extranjeros no se benefician de la Ley de Privacidad de EE. UU. de 1974. Otros países a los que se les propuso un MOU bilateral fueron el Reino Unido, Estonia, Alemania y Grecia. ^{[ 65 ]}