Privacidad y Comercio Electrónico en los Estados Unidos

** Joel R. Reidenberg es Profesor de Derecho y Director del Programa de Grado y Asuntos Académicos de Fordham University School of Law (New York). Este trabajo fue presentado en el seminario realizado en la Universidad de California - Berkeley titulado “The Legal and Policy Framework for Global Electronic Commerce: A Progress Report”, realizado en Marzo 4-6, 1999. El artículo fue originariamente publicado bajo el título de Restoring Americans' Privacy in Electronic Commerce en el Berkeley Technology Law Journal, Spring, 1999 (14 Berkeley Tech. L.J. 771). El autor ha escrito varios trabajos y dos libros relativos al derecho a la privacidad. 

* Traducción del Dr. Pablo A. Palazzi.

SUMARIO: Introducción I.La filosofía y la sofistica de la política de privacidad en Estados Unidos. II. El desafío de crear estándares de protección de la privacidad. III. Protegiendo la privacidad de los ciudadanos con una combinación de Derecho y Tecnología. IV. Conclusión

Introducción

La protección de la privacidad es una cuestión crítica para el crecimiento del comercio electrónico. En los últimos años, una abrumadora mayoría de americanos reconoció haber perdido el control de su información personal y que las leyes vigentes no son lo suficientemente eficaces para proteger su privacidad[1]. En 1998, la revista Business Week concluyó que la preocupación de los consumidores en proteger su privacidad en Internet se ubicaba como “la razón más importante por la cual la gente no accede a Internet, muy por encima del costo, la facilidad de uso y los mensajes molestos del marketing directo”[2].

El tratamiento adecuado de información personal y la confianza de los ciudadanos en dichos tratamientos son condiciones necesarias para el desarrollo del comercio electrónico en la próxima década. Lamentablemente, el nacimiento político del comercio electrónico en 1997 con el Informe de la Casa Blanca titulado A Framework for Global Electronic Commerce[3], conocido también como el Informe Magaziner (asesor del Presidente en temas de Internet), perdió una oportunidad única de asegurar la privacidad de los ciudadanos en Internet.

Por muchos años, los Estados Unidos fue legislando normas de privacidad en forma limitada, otorgando solamente ciertos derechos específicos en respuesta a situaciones escandalosas de uso abusivo de información[4]. Este enfoque llevó a una incoherencia y a importantes vacíos legislativos en la protección de la privacidad de los ciudadanos americanos[5]. Por ejemplo, en los Estados Unidos los individuos sometidos a programas de tratamiento por abuso de alcohol o drogas tienen mayor privacidad que los usuarios de Internet[6]. En vez de hacer una revisión del sistema de protección de la privacidad americano, el Informe Magaziner adoptó una posición de respeto hacia ese status quo.

Este trabajo examina la filosofía y la sofística basada en la propuesta de autorregulación impulsada por la industria. Luego analiza las leyes genéricas aprobadas por distintos países alrededor del mundo, liderados por el modelo Europeo. Si bien el tratamiento por sectores de los datos personales parece mas adecuado para el comercio electrónico, la experiencia extranjera ilustra numerosos desafíos para la efectiva protección de los ciudadanos. La conclusión argumenta a favor de una política mas deseable que combine medios tecnológicos y legales en orden a proteger la privacidad de los ciudadanos en Internet.

I.- La filosofía y la sofistica de la política de privacidad en Estados Unidos.

Existe un amplio consenso internacional acerca de cuáles son los estándares básicos de protección de la intimidad en una sociedad democrática[7]. En junio de 1998 el gobierno americano dijo que “las directivas de la O.C.D.E. han servido como base a virtualmente todas las legislaciones y códigos de conducta que se han desarrollado a través de los años”[8]. Desde la elaboración del primer informe sobre políticas de privacidad en 1973 por el Ministerio de Salud y Educación[9] y la aprobación de las directivas de la O.C.D.E. en 1980, Estados Unidos han reconocido importantes estándares para el tratamiento de datos personales. Estas normas incluyen el establecimiento de una finalidad en la recolección de datos personales, el consentimiento del individuo para el procesamiento de información, la transparencia en el uso de esa información incluyendo la notificación al registrado y el acceso a sus datos personales, tratamientos especiales para datos sensible tales como información médica y la existencia de mecanismos de cumplimiento, ejecución y remedios legales.

Los Estados Unidos, sin embargo, ha rechazado todo intento de legislar un set completo de estándares de privacidad[10]. Mas aún, el Congreso y las legislaturas estaduales han aprobado leyes aisladas y con alcance limitado tales como la Fair Credit Reporting Act[11] y la Video Privacy Protection Act[12], promovidas en parte por el descubrimiento de ciertas prácticas escandalosas. Este tipo de protección legal sólo cubre ciertas y específicas conductas realizadas por determinadas personas tales como las agencias que proveen informes crediticios o las tiendas de alquiler de videos. Esta política reactiva de creación de normas de privacidad fue predicada sobre la base de entender que la autorregulación permitiría lograr la mayor protección de la privacidad sin un interferencia o intrusión del gobierno y con flexibilidad para adoptar tecnologías que se desarrollan dinámicamente. Esta teoría sostiene que el mercado va a proteger la privacidad porque un estándar adecuado de tratamiento de datos personales favorece al consumidor; en otras palabras, la industria tratará de proteger los datos personales con el fin de ganar la confianza del consumidor y maximizar sus ingresos[13].

Por más de veinte años los grupos de trabajo e investigación formados en el gobierno regularmente llamaron la atención sobre la falta de estándares para el tratamiento de datos personales en la sociedad americana, pero en sus conclusiones siempre sostuvieron que “la industria requería mas tiempo para autorregularse”[14]. Con la revolución de Internet el gobierno americano tenía la posibilidad de concebir una nueva visión sobre la privacidad en Estados Unidos. Desafortunadamente el Informe Magaziner buscó preservar el status quo:

“La Administración considera que la protección de datos es sumamente importante. Se considera que los esfuerzos privados de la industria trabajando en cooperación con las asociaciones de consumidores son preferibles a la regulación por parte del gobierno, pero si no resulta posible alcanzar una efectiva protección de la privacidad mediante este método, será necesario reevaluar esta política”[15].

En efecto, el Informe Magaziner respondió mas a la industria de datos personales que a los consumidores permitiendo que los primeros sigan manejando los datos personales de los consumidores y no que éstos últimos puedan participar en las decisiones sobre su información personal. Por cierto, elmercado de los datos personales es un gran negocio en los Estados Unidos.En 1998, las ganancias anuales de las compañías dedicadas a la venta de información personal y perfiles de consumidores sin consentimiento de los individuos superaba los 1.5 billones de dólares[16].

A pesar de la afirmaciones de los representantes de la industria, existan fallas muy importantes en la teoría de la autorregulación. Primero, la autorregulación asume que la apreciación de todos los valores y conflictos relativos a la privacidad pueden ser resueltos por el mercado. Pero los intereses subyacentes en el derecho a la vida privada son centrales a un gobierno democrático[17], y la preservación de la intimidad es una condición necesaria para una sociedad participativa[18]. Los gobiernos totalitarios prefieren un estado de vigilancia[19]. De hecho un gobierno democrático no va a traficar con los derechos básicos fundamentales. Aunque se rechace esta posición, un mercado sólo funcionará en forma eficiente si existe transparencia; esto es si los ciudadanos son capaces de identificar a los colectores y usuarios de su información personal. Sin embargo, para el caso de los datos personales la tendencia natural del mercado es hacia una menor transparencia en los tratamientos de datos personales.

Este es un clásico caso de “market failure”. Mientras las empresas no revelen qué informaciones recopilan, los ciudadanos no van a poder evaluar cómo son usados sus datos personales. En el sector privado el modelo económico actual no va a permitir que exista transparencia[20]. Estas empresas obtienen pingues ganancias en base a la recolección secreta y la posterior venta de esta información; el mercado de cerca de 1.5 billones de dólares en información personal esta oculto a la opinión pública. Muy pocas personas han oído hablar de compañías tales como Acxiom o First Data. Estas empresas poseen “data warehouses” con la información mas detallada e intima de millones de americanos. Por ejemplo, Acxiom vende datos tal como la pertenecia étnica y religiosa, el tipo de auto que una persona posee e incluso qué clase de ropa compra, incluyendo ropa interior[21].

Debido a la falta de transparencia, un abundante tráfico de información ha surgido en los Estados Unidos sin obligación de cumplir normas legales y con un riesgo mínimo de perjudicar intereses corporativos por eventuales abusos de datos personales. No sorprende entonces que un análisis de los Códigos de la industria sobre prácticas de privacidad revele políticas que no respetan los mas básicos y fundamentales principios de protección de la privacidad[22].

En efecto, la experiencia americana de las últimas dos décadas demuestra que la teoría de la autorregulación es un mero sofisma. Una y otra vez, el gobierno de los Estados Unidos reconoció que la autorregulación es sólo una hipótesis para las empresas americanas. El Departamento de Comercio realizó la tan esperada Audiencia pública sobre Privacidad en Internet en Junio de 1998, inicialmente designada para dar una oportunidad a la industria de demostrar sus logros en la autorregulación[23]. Desafortunadamente, la industria tenía muy poco que mostrar en términos de implementación de políticas efectivas de privacidad y el Secretario de Comercio tuvo que admitir que la industria estaba fallando en sus objetivos[24]. El titular de la Comisión Federal de Comercio (Federal Trade Commission), en su testimonio ante el Congreso en el verano de 1998 afirmó que “a pesar de los esfuerzos de la Comisión para impulsar y facilitar un sistema de autorregulación efectiva, todavía no habían obtenidos resultados positivos”[25]. Varios meses después, la primera revisión del gobierno al Framework for Global Electronic Commerce admitía tristemente que la industria había solo respondido tentativamente a las preocupaciones de la privacidad frente a las presiones del gobierno[26].

Vale la pena notar, sin embargo que la industria ha mejorado sus conversaciones sobre privacidad en los últimos tiempos. Las asociaciones industriales en los últimos años comenzaron a tratar cuestiones de privacidad (y a hacer lobby en el Congreso en contra de una regulación). El Secretario de Comercio ha tratado de resaltar las iniciativas de autorregulación tales como TRUSTe y BBBOnLine como un evidente signo de progreso[27].

Pero irónicamente son estos ejemplos los que demuestran las deficiencias estructurales del esquema de autorregulación de la industria. TRUSTe, por ejemplo, es un programa a través del cual las páginas de Internet acuerdan revelar sus políticas de privacidad y son licenciados para usar un logo que indica que ese sitio protege la privacidad[28]. TRUSTepuede auditar a los licenciados para verificar el cumplimiento de la política de privacidad. Sin embargo el programa ha tenido varios problemas. Cerca de 450 empresas están licenciadas para usar el logo, pero este es un número trivial comparado con el número de sitios de Internet en Estados Unidos. De hecho, una de las empresas amparadas por este logo, Geocities tiene la distinción de haber sido la primera compañía sometida a un sumario de la Comisión Federal de Comercio por haber traficado información personal[29] y cerca de un cincuenta por ciento de los sponsors de TRUSTe no se han molestado en suscribirse al programa y licenciar el uso del logo[30].

TRUSTe incluso tiene en su web un hipervínculo a un servicio de búsqueda de información en Internet que no revela ninguna política de privacidad y pertenece a una compañía que ni siquiera está listada como licenciante de TRUSTe[31].

Una situación similar encontramos respecto a BBBOnLine un proyecto que forma parte del Better Business Bureau propuesto mas de un año atrás en respuesta a la presión del gobierno a la industria para que demuestre la efectividad de la autorregulación[32].

BBBOnLine espera proveer un mecanismo de decisión para disputas sobre privacidad online. Pero por ahora este mecanismo resulta sólo hipotético. El programa comenzó oficialmente el 17 de marzo de 1999[33]. Pero ignora la cuestión de que el consentimiento no puede ser la base adecuada para el procesamiento de cierta información personal, tal como datos sobre la salud y sólo requiere a las páginas web revelar ciertas prácticas, carece de remedios legales para las víctimas de violación a la privacidad y no tiene el requisito de proveer acceso completo a los datos personales[34]. Asimismo BBBOnLine usa una definición muy vaga: “información personal de individuos" sin circunscribir el ámbito de las obligaciones de sus participantes. Esta por verse si la industria en general participará activamente en este programa.

Asimismo, existe otra importante iniciativa de privacidad que por ahora no está disponible, a pesar de haberse iniciado hace tres años y tener impulso del gobierno. La tecnologías de Internet que permiten el etiquetado (labeling) y el filtrado basados en el protocolo Platform for
Internet Content Selection ("PICS,") están bajo desarrollo para una aplicación de privacidad, la “Platform for Privacy Preferences” (conocida como "P3P") desde 1996[35]. El World Wide Web Consortium ("W3C")[36], la organización dedicada a la creación de estándares en Internet ha impulsado el desarrollo de la tecnología P3P. Pero después de tres años el W3C no ha logrado obtener consenso en la industria para concluir la fase de desarrollo ni compañías interesadas en implementar esta tecnología. Además P3P enfrenta problemas de licenciamiento de derechos de patentes que amenazan la posible adopción de este estándar por parte de la industria[37].

La piedra angular de estos esfuerzos por la autorregulación y de esta política americana parece resumirse en la creencia que los conceptos de notificación y consentimiento van a resolver la cuestión de la privacidad. Al describir el concepto de notificación, el Informe Magaziner, en tal sentido, señala que “quienes recopilan datos personales deberán informar a los consumidores qué información han recolectado y como planear usar esos datos”[38]. El mismo informe describe el principio del consentimiento afirmando que “quienes recopilan información debe proveer a los consumidores una forma adecuada para limitar el uso y la reutilización de información personal”[39]. El Informe Magaziner incluso argumenta que “los estándares básicos para el tratamiento de información personal [...] descansan en los preceptos fundamentales de tomar transparencia y opción”[40]. Esta posición es enfatizada en el documento del Departamento de Comercio denominado “Elementos de una efectiva autorregulación”[41].

Pero estos documentos parten de una errónea concepción de los estándares básicos para el tratamiento de información personal. Estos principios incluyen preceptos básicos tales como limitaciones en el uso de la información, minimizar la recolección de datos a lo necesario, y el derecho al olvido; preceptos que no están incluidos dentro de la notificación y el consentimiento. En realidad, Estados Unidos ha reconocido que la privacidad informacional incluye algo mas que estos principios al aprobar las Directrices de la O.C.D.E.[42]. En el caso aislado de una agencia del gobierno, la Comisión Federal de Comunicaciones (FCC) analizó la efectividad del consentimiento como una base legítima para la venta de información personal a empresas dedicadas al marketing directo. La FCC concluyó que el opt-out era un fundamento deficiente para el procesamiento de información personal bajo la Ley de Telecomunicaciones del año 1996 que establecía proteger la privacidad del suscriptor de servicios de comunicaciones[43].

Por eso, fundarse solo en los principios de “notificación” y “consentimiento” ignora los otros principios básicos de tratamiento de datos personales y demuestra cómo la autorregulación no ha funcionado. Por supuesto, en el mundo online, las prácticas establecidas por defecto rutinariamente favorecen las invasiones a la privacidad sobre la implementación de estándares para la protección de la privacidad de los ciudadanos. Ejemplos recientes como la inclusión por parte de Intel de un número de serie único en sus procesadores Pentium III[44] y la función denominada "smart browsing" en Netscape Communicator e Internet Explorer, que envía al fabricante un archivo oculto de las direcciones de Internet visitadas por el usuario[45], ilustran técnicas que facilitan la vigilancia subrepticia del ciudadano. 

Estos ejemplos demuestran que el conjunto de los principios de protección de datos personales son “marginalizados” por el esquema de autorregulación definido solamente por los elementos de notificación y consentimiento. La función “Smart browsing”, por ejemplo viola los principios de limitación de la finalidad y limitación del almacenamiento temporal pues las direcciones de Internet visitadas son almacenadas mas allá de la comunicación y “subidas” a un sitio remoto para procesar perfiles personales.

Estos defectos en al teoría y la práctica de la autorregulación presentan un problema para las empresas dedicadas al comercio electrónico. El Comercio Electrónico es un fenómeno global, y la política de protección de la vida privada americana es contraria al movimiento mundial que está estableciendo estándares claros y horizontales. Irónicamente, las empresas americanas dedicadas al comercio electrónico enfrentan una elección muy difícil: o proveen mejor protección para la privacidad de sus clientes, en orden a tener un set único de principios para sus operaciones globales (porque les leyes extranjeras donde operan requieren esos recaudos) o mantienen un estándar doble, tratando a los ciudadanos extranjeros en forma mas cuidadosa respecto a su privacidad que a los americanos. El Informe Magaziner ignora ampliamente esta incongruencia y asume que el resto del mundo simplemente aceptará el status quo americano[46].

La consecuencia internacional de este enfoque basado en la autorregulación es una situación muy incómoda para el gobierno americano. Al no poder demostrar la existencia de una efectiva protección de la privacidad en Estados Unidos, los europeos amenazan con bloquear el flujo de datos personales a los Estados Unidos[47]. El Departamento de Comercio americano ha intentado negociar con la Comisión Europea un “puerto seguro” que aseguraría la privacidad de las transmisiones internacionales de datos a los Estados Unidos y evitaría la prohibición de exportaciones[48].

Pero la propuesta americana fue criticada y ridiculizada por su falta de contenido[49]. El Departamento de Comercio no pudo proponer un estándar significativo que incluyera mecanismos de implementación y soluciones jurídicas a las víctimas, sin erosionar su apoyo a la autorregulación, y tampoco pudo responder adecuadamente a esas críticas. Pero sin un estándar significativo, los Estados Unidos se aíslan del resto del mundo en materia de privacidad. Ha llegado el momento de reevaluar y cambiar la política que favorece la vigilancia y el tráfico de información sobre ciudadanos.

II. El desafío de crear estándares de protección de la privacidad.

El constante reciclaje de viejas e inútiles políticas de privacidad en los Estados Unidos que no protegen al ciudadano está en directa oposición con el movimiento de protección de datos personales alrededor del mundo. En l Derecho comparado, liderado por los quince países de la Unión Europea (“los países miembros”)[50] se adoptó un enfoque mas general y comprensivo. Irónicamente, Europa aprendió sus lecciones de privacidad de la información del movimiento que se gestó en los Estados Unidos en la década del sesenta y del setenta[51]. Pero a diferencia de los Estados Unidos, cuando los países europeos comenzaron a enfrentar la recopilación y procesamiento de datos personales en la década del setenta y ochenta, decidieron adoptar una posición respecto de la protección de datos mas amplia, basada en el reconocimiento de varios derechos en vez de un enfoque basado en las leyes de mercado. De hecho, la Convención del Consejo de Europa abierta para su firma y ratificación en 1981 tenía por objeto y finalidad “asegurar en el territorio de cada estado parte para cada individuo, cualquiera sea su nacionalidad o residencia, el respeto por sus derechos y libertades fundamentales, y en particular el derecho a la privacidad en relación al procesamiento automatizado de datos personales”[52].

Bajo el modelo europeo, legislaciones marco garantizan un conjunto de principios que aseguran el tratamiento adecuado de datos personales y la protección de los ciudadanos. En general, la protección de datos europea define cada uno de los derechos de los ciudadanos en base al derecho a la autodeterminación informativa[53].

Esta premisa europea del derecho a la autodeterminación informativa pone al ciudadano en control de la recolección y uso de su información personal. El enfoque impone obligaciones sobre quienes adquieren, almacenan, usan, difunden y en general procesan datos personales y al mismo tiempo otorga a los ciudadanos el derecho a consentir ese tratamiento de datos personales y el derecho a acceder a la información almacenada y corregir errores o inexactitudes. En vez de otorgar preeminencia a los intereses económicos, el enfoque europeo busca otorgar un mayor nivel de protección a los ciudadanos[54].

Si bien el enfoque comprensivo de derechos tiene un atractivo conceptual para el comercio electrónico, esta teoría posee ciertos problemas legales para la estructura de los emprendimientos del comercio electrónico y la efectiva protección de los ciudadanos. Una legislación basada en el otorgamiento de derechos genéricos cubre el procesamiento electrónico de datos conindependencia del contexto en que estos sean realizados[55]. Estas legislaciones aplican los mismos estándares para el tratamiento de datos personales a través de diversos sectores. En teoría, este enfoque multisectorial estáa de acuerdo con la Sociedad de la información, donde los límites de las industrias se diluyen y la categorización de datos no es tan clara como en otros sectores.

Sin embargo con la proliferación de leyes de protección de datos personales durante las últimas dos décadas, las leyes nacionales evolucionaron[56] y la existencia de estándares diferentes en varios países de la Unión Europea amenazaron el libre flujo de información dentro de la Unión Europea. Por ejemplo, el ámbito de aplicación de las leyes de protección de datos y los recaudos de transparencia varían a través de las distintas leyes, produciendo conflictos para un procesamiento de datos personales pan europeo[57]. En respuesta a ello los estados miembros de la Unión Europea buscaron armonizar la protección de datos y lanzaron un proceso de negociación que duró cinco años que dió como resultado la aprobación de la Directiva Europea de protección de datos[58].

La Directiva Europea confirmó el enfoque basado en derechos y contenía normas generales y también ciertas normas provenientes de las legislaciones de sus países miembros[59]. Tal como lo hacían las normas nacionales vigentes, la Directiva incluye una serie de principios reconocidos internacionalmente. Cada país miembro debe aprobar una norma implementando estos estándares tal como son definidos por la Directiva[60], y también deben mantener una autoridad nacional independiente encargada de vigilar y aplicar la ley[61]. Asimismo se requiere que cada persona que procese datos personales debe notificar a esta autoridad de supervisión y ésta última 

debe poseer un registro público de quienes procesan datos personales[62].

Aunque la armonización de estos principios de protección de datos parece adecuada al comercio electrónico, en la práctica la complejidad de los recaudos para el procesamiento de datos personales en la sociedad de la información hace la aplicación de estos principios a ciertos sectores difícil. De hecho, el mecanismo de registro diseñado para asegurar transparencia en el procesamiento de datos personales puede resultar caro y problemático. Dentro de Europa los críticos han argumentado que el cumplimiento de estas obligaciones de registro es deficiente[63].

En cualquier otro lugar del mundo, la necesidad de notificar a una agencia del gobierno el hecho de recoger datos personales sería visto como una intrusión del gobierno en la esfera privada. En Estados Unidos, por ejemplo, el compromiso europeo de registrar a quienes procesan datos personales choca con los valores de la Cuarta Enmienda a Constitución Federal que resguarda de la intrusión del gobierno en las actividades de los ciudadanos.

Mas aun, la aplicación de la Directiva Europea no remueve todas las diferencias y ambigüedades en las leyes nacionales[64]. Estas pequeñas divergencias necesariamente existirán pues los principios deben ser interpretados por distintas autoridades regulatorias de cada país miembro de la Unión Europea. Estas diferencias en los estándares pueden transformarse en obstáculos importantes para los complejos procesamientos de datos personales que requiere el comercio electrónico. Por ejemplo, la Directiva Europea requiere que los derechos de privacidad se apliquen a cualquier información que identifique a una persona[65]. Pero el ámbito de esta definición no es el mismo en las leyes de cada estado miembro; lo que algunos países consideran “identificable” otros no lo contemplan en sus leyes[66]. Igualmente, las notificaciones que deben ser realizadas a los individuos previamente a la recogida de sus datos personales varia en Europa[67]. Estas diferencias distorsionan la habilidad de realizar procesamientos de datos en varios estados pues es seguro que recaudos conflictivos se aplicaran a los flujos de datos transfronteras.

La dificultad de crear estándares compresivos es, sin embargo, mitigada por la creación de consenso dentro de la Unión Europea e instrumentos extra legales de política disponibles bajo el modelo europeo. La Directiva Europea crea un Grupo de Trabajo formado por los comisionados de protección de datos de los países miembros[68].

Este grupo de trabajo constituye un canal de consultas para los comisionados de datos sobre como interpretar la Directiva. Pero estas pautas del Grupo de Trabajo no son suficientes para asegurar la privacidad del comercio electrónico. Estas pautas no serían significativas en un mundo de redes tan dinámico sin una infraestructura técnica que también promueva la protección de datos. Esto ha sido reconocido a nivel internacional por los comisionados de protección de datos que sostuvieron:

"es necesario desarrollar principios de diseño para la información y la tecnologías de las telecomunicaciones... que permitirán a los individuos controlar ... sus datos personales”[69].

El modelo Europeo tiene una norma relativa al consenso, referida a códigos de conducta que podría facilitar la implementación de tecnologías protectoras de la privacidad[70]. La Directiva Europea, basándose en la ley holandesa de protección de datos, establece la posibilidad de aprobar códigos de conducta basados en sus estándares de privacidad. Esta norma podría ser usada para certificar códigos técnicos y configuraciones que aseguren la privacidad[71]. El uso de esas medidas técnicas podría ser diseñado para evitar problemas en las diferencias existentes tales como la necesidad de notificaciones[72].

Para las redes globales de información y el comercio electrónico, el enfoque europeo significa una tensión. Sin la autoridad regulatoria para restringir transferencias de datos personales, el equilibrio de derechos de los ciudadanos en Europa puede verse fácilmente comprometido con la circunvención de Europa para el procesamiento de datos. Por ello la Directiva incluye dos artículos que aseguran que la información personal originada en Europa será tratada de acuerdo a los estándares europeos. Una norma relativa al derecho aplicable (choice of law clause) asegura que los estándares del estado local se aplican a las actividades dentro de su jurisdicción y una norma relativa al flujo de datos transfronterizos prohíbe la transferencia de datos personales a países que no tengan una protección de la privacidad “adecuada”[73]. Algunos autores anuncian que cualquier acción europea creara una guerra comercial que Europa perdería ante la OMC[74]. Mientras que en teoría dicha posibilidad es factible, la situación planteada es también muy remota[75].

Incluso con las dificultades del enfoque europeo, otros países se están basando en la Directiva Europa como el modelo básico de privacidad informativa, e importantes movimientos legislativos basados en el estilo europeo de protección de datos existen en Canadá, América Latina y el Este de Europa[76]

Este movimiento puede ser atribuido en parte a la presión ejercida desde Europa, examinando la adecuación de las leyes extranjeras de privacidad pero en parte se debe también al atractivo de un conjunto de reglas sobre protección de datos. En efecto, Europa ha desplazado a los Estados Unidos en establecer la agenda global de la privacidad con la aprobación de la Directiva Europea.

Pero como ilustra la experiencia europea, la resolución de estos problemas no puede provenir solo de una reforma legal. En pocas palabras, el enfoque basado en principios generales de privacidad tiene dos serios problemas. Primero, la existencia de principios generales dejan siempre la puerta abierta a distintas interpretaciones, especialmente tratándose de países con diferentes regímenes legales. Para el comercio electrónico, cualquier diferencia, por mínima que sea en su implementación o interpretación, puede generar distorsiones que afecten la aplicación de estas leyes y los incentivos para protección de compañías[77].En segundo lugar el proceso de adopción de leyes de protección de datos es excesivamente lento. La Directiva europea vigente se aprobó hace cinco años y su transposición en el derecho local estaba prevista para tres años mas[78]. En tiempos de Internet, esto es una eternidad.

III. Protegiendo la privacidad de los ciudadanos con una combinación de Derecho y Tecnología.

Las lecciones de la experiencia americana basadas en la autorregulación enseñan que el gobierno no puede abdicar su responsabilidad para la protección de la privacidad de los ciudadanos a un mercado incentivado solo por la venta de datos personales. Al mismo tiempo, la experiencia proveniente de Europa basada en regímenes de protección de datos ilustran que una efectiva protección de la privacidad no termina solo con la aprobación de una ley. Garantizar la privacidad de los ciudadanos requiere una combinación de ley y tecnología que permite utilizar sus mecanismos para asegurar el tratamiento adecuado de datos personales.

En un estado democrático la privacidad es un derecho fundamental de los ciudadanos[79].
A diferencia de otros aspectos del derecho a la vida privada, la privacidad informacional es única desde el punto de vista que los individuos no pueden determinar cómo su información personal es usada sin acceder a las actividades internas de aquellos que procesan los datos. Parafraseando al Juez Stewart, “No lo conozco cuando no puedo verlo” ("I do not know it when I cannot see it.")[80]. Como consecuencia de ello, la confianza de los ciudadanos en el tratamiento de datos personales que no son necesarios para el comercio electrónico no se desarrollará sin una clara definición de sus derechos.

Para restablecer la privacidad de los ciudadanos americanos, los Estados Unidos necesitan un marco que provea prácticas para el tratamiento de información en los diferentes sectores que usan datos personales. El gobierno norteamericano no necesita sin embargo reinventar estos principios. Las directrices de la OCDE ofrecen un set completo de principios que ya han sido reconocidos por los Estados Unidos[81]. El contenido de estas directrices proveen una clara base para la privacidad de los ciudadanos, y las guías en si mismas han sido aprobadas como coherentes por el mundo de los negocios[82] Estos principios deberían ser adoptados por los americanos como ley.

A pesar de todo, tal como la experiencia americana y la europea demuestran, las capacidades tecnológicas y las configuraciones mantienen un equilibrio entre una efectiva protección de los datos personales y una privacidad defectuosa. Las opciones tecnológicas incluyen un conjunto de reglas de política para flujos de información en sistemas de procesamiento de datos personales. Este código[83]o"lex informatica"[84] contenido en la infraestructura tiene como efecto crear ciertas normas en relación a la privacidad. Por ejemplo, el protocolo P3P[85] esta diseñado para facultar a los usuarios de Internet para que obtengan información acerca de las prácticas de privacidad de un sitio web permitiéndoles optar en la provisión de sus datos personales. Sin embargo P3P solo puede ser efectivo si está escrito de manera honesta y es implementado apropiadamente. La forma técnica en la cual el protocolo P3P permite la expresión de políticas de privacidad y elecciones a los usuarios son decisiones basadas en valores[86]. Mas aun, la forma en que P3P se incorpora en los navegadores de Internet, incluyendo seteos por defecto y la manera en que los sitios web actualmente describen sus políticas de privacidad son críticas para el tratamiento adecuado de datos personales. El desarrollo de “cookies” y su habilidad para rastrear usuarios a través de Internet es otro ejemplo de reglas de privacidad basado en estándares técnicos[87]. La configuración inicial que por defecto traían los navegadores de Internet alentaban la transferencia secreta de datos de los usuarios, y sólo cuando se vieron frente a un escándalo los desarrolladores de software decidieron incrementar el control del usuario sobre la información que revelaban[88]. Estos casos demuestran cómo la tecnología puede “ir para ambos lados”. La disponibilidad de tecnologías protectoras de la privacidad y tecnologías que posibilitan la privacidad debe existir. Pero la industria ha demostrado su letargo en el desarrollo e implementación de estas tecnologías. Por ejemplo, el protocolo P3P ha estado en desarrollo a lo largo de tres años pero la diseminación de este estándar tiene un largo camino por andar.

El gobierno debe actuar de una forma que asegure el desarrollo de tecnologías de la información para asegurar la privacidad y no para que contribuyan a las intromisiones de la vida privada. Durante el debate sobre la autorregulación, la industria estadounidense tomó a la privacidad de una forma mas seria solo cuando el gobierno amenazó con regular en forma creíble. Por ejemplo las amenazas y amagues de la Comisión Federal de Comercio (Federal Trade Commission) fueron un hecho clave para el desarrollo de los programas de BBBOnLine, la Online Privacy Alliance, y TRUSTe. Pero a pesar de la extensión de las fechas límites impuestas por la Comisión, ninguno de estos programas ha logrado demostrar que sus miembros protegen la privacidad de los individuos[89]. Por el contrario, la industria creo políticas de privacidad miopes y las aplicó al desarrollo de productos informáticos. Así, Intel pareció realmente sorprendido por el descontento ocasionado por su plan de usar un numero de identificación único en su chip Pentium III[90].

Con la aprobación de un conjunto de reglas básicas sobre privacidad, el incentivo para la industria consistirá en el desarrollo de una efectiva política de protección de privacidad de los ciudadanos, en vez de vagas políticas sin fundamento. La existencia de derechos fundamentales forzará a la industria a establecer claras prácticas para el tratamiento de datos personales a favor de los ciudadanos. Para estimular el desarrollo de tecnologías protectoras de la privacidad, estos derechos fundamentales deberían establecer la responsabilidad de las compañías que no desarrollen o apliquen en sus sistemas este tipo de tecnología[91]. Al hacer esto, estos estándares legales crearán nuevos mercados y oportunidades para el desarrollo de productos que protejan la privacidad.

De cualquier forma, la promoción de tecnologías que favorecen la privacidad y la implementación de prácticas adecuadas para el tratamiento de datos personales en ciertos contextos, en especial en el ámbito del comercio electrónico requerirá constante atención.

Por mas que sea algo que los americanos rechazan en forma instantanea, una agencia o comisión para la protección de datos personales es necesaria en forma urgente. Una política adecuada de privacidad requiere un foro con un claro mandato y criterio independiente para crear consenso en las soluciones necesarias en estos temas y para actuar de árbitro en las disputas entre los distintos actores. Asimismo, los negocios americanos necesitan un representante en las negociaciones de las transmisiones de datos personales. Por muchos años, los Estados Unidos ha estado fuera de las reuniones anuales de los comisionados de protección de datos personales pues carece de una autoridad de protección de datos.

Actualmente no existe una agencia o departamento en los Estados Unidos que esté equipada para llevar adelante el rol tripartito de creador de consenso, árbitro de privacidad y representante internacional. El Departamento de Comercio, donde la política internacional de privacidad es elaborada, es políticamente expeditivo pero inapropiado para la gran variedad de temas que abarca la privacidad en la Sociedad de la Información. El Departamento de Comercio no tiene, por ejemplo, experiencia en cuestiones de privacidad médica o flujos transfronterizos de datos sobre recursos humanos, y, mas importante aun, ha sido capturado por los intereses de las empresas y no por los de los ciudadanos[92]. El Departamento de Estado seria mas apropiado por su rol en política exterior, pero carece de conocimientos expertos en la miríada de temas domésticos sobre privacidad. En forma similar, existen agencias independientes como la Comisión Federal de Comunicaciones que serían opciones pobres para centralizar los temas de privacidad. La competencia de estas agencias es limitada siempre a un solo sector y por ello inadecuada para tratar temas que abarcan varios sectores. La reciente creación de una nueva posición en la Oficina de Administración y Presupuesto de la Casa Blanca es un paso positivo pero insuficiente[93]. Desafortunadamente, este nuevo cargo esta ubicado dentro de esferas de la burocracia administrativa y no cumple con todos los roles requeridos. En vez, el puesto tiene solo un rol de coordinación y no tiene facultades de toma de decisiones o negociación con Europa.

Si los Estados Unidos espera proteger en forma efectiva la privacidad de sus ciudadanos en el comercio electrónico, una comisión independiente ofrece una serie de beneficios tanto para los ciudadanos como para las empresas. La aplicación de varios principios de protección de datos en el campo dinámico y cada vez mas complejo del comercio electrónico requerirá inevitablemente la interpretación de las normas establecidas por la ley y la tecnología. Una perspectiva del ciudadano sobrestimaría los intereses de la industria y de la sociedad en relación a la libre circulación de la información, mientras que un punto de vista de la industria subestimaría la privacidad. En cambio una Comisión independiente puede ofrecer guías adecuadas. En particular esa comisión debería recibir autoridad para autorizar ciertas prácticas elaboradas por la industria[94]. Tal como sucede con las cartas interpretativas (no-action letter) de la Securities and Exchange Commission, una empresa que busque orientación y certidumbre sobre la adecuación de sus políticas de privacidad solicitaría aprobación a la Comisión de Privacidad. Tal aprobación implicará que la práctica se conforma con las obligaciones legales establecidas para el tratamiento de datos personales. Este enfoque, creador de un “puerto seguro” fue recientemente apoyado por la Comisión Federal de Comercio[95].

En el contexto del comercio electrónico, el concepto de un “puerto seguro” es especialmente importante como guía para las decisiones relativas a infraestructuras técnicas. Los protocolos técnicos, las reglas técnicas establecidas por defecto y las implementaciones pueden ser tratadas de la misma manera que lo serían las políticas de privacidad de las empresas a los fines de un “puerto seguro”[96]. La existencia de un mecanismo voluntario de aprobación otorgará a las empresas una importante herramienta para evitar políticas miopes de privacidad, protección contra escándalos por violación a la privacidad, insular a la empresa contra una eventual juicio por invasión a laprivacidad y satisfacer a las autoridades de protección de datos europeas.

Al mismo tiempo, este proceso de “puerto seguro” otorgara a los ciudadanos la oportunidad para realizar comentarios públicos sobre la conformidad de esas prácticas con el ordenamiento legal y no inmunizará las prácticas fuera de la ley o aquellas que cambien. Con el tiempo, estas decisiones crearán un bloque de normas que incrementarán la transparencia para todos los ciudadanos. Además, la comisión, por ser independiente, asegurará que la interpretación de las practicas del tratamiento de información para el comercio electrónico continuaran elaborándose.

IV. Conclusión.

Ha llegado el momento para el gobierno americano de adoptar una postura seria acerca de privacidad y restaurar la protección a los ciudadanos. El Informe Magaziner se equivocó claramente al intentar encuadrar el problema en un enfoque tradicional para un ambiente como el del comercio electrónico que no es tradicional. Los ciudadanos que deseen participar en el mundo digital necesitan la seguridad de que su información personal será tratada adecuadamente. Las empresas embarcadas en el comercio electrónico no pueden ser fallar en el uso adecuado de datos personales. Muchos valores fundamentales están en juego y recurrir a políticas y soluciones unilaterales afecta la construcción de una sociedad democrática.