La ONG argentina  Asociación por los Derechos Civiles (ADC) acaba de lanzar su segunda edición del informe "¿Quien Defiende Tus Datos?” calificando el compromiso de nueve empresas con la transparencia y la privacidad del usuario.

Las empresas argentinas han comenzado bien, pero todavía falta un largo camino por recorrer para proteger plenamente los datos personales de sus clientes y ser transparentes sobre quién tiene acceso a ellos. El informe de este año muestra a Telefónica-Movistar a la cabeza, seguida de lejos por Telecentro, IPLAN, Claro. Este fue el primer año en que Claro fue incluido en el informe de Argentina y presentó resultados pobres en comparación con su evaluación en otros países en los que opera, como Chile y Brasil. Este año, dos compañías del informe anterior se han fusionado, Fibertel (Cablevisión) y Arnet (Telecom), lo que ha dado lugar a una concentración del 68% del mercado de la banda ancha fija en una sola empresa.

La edición de este año también califica por primera vez las tres aplicaciones de servicio de entrega más populares - Glovo, Pedidos Ya y Rappi -, que representan un mercado creciente en el país y de manera similar tratan detalles sensibles sobre los hábitos de las personas. Rappi es el mejor clasificado entre ellos.

En cuanto a los ISP, los resultados son similares a los de la primera edición con algunas mejoras notables, como el lanzamiento de una política de privacidad por parte de IPLAN.

Los resultados finales del informe son los siguientes. El estudio completo, incluyendo detalles sobre cada compañía, está  disponible en español.

Criterios de evaluación de ¿Quién Defiende tus Datos? Argentina

El informe de este año evalúa las políticas de las empresas en seis áreas:

Política de privacidad: La política de privacidad de una empresa debe ser fácil de encontrar y comprender, y debe indicar a los usuarios qué datos se están recopilando y por cuánto tiempo serán almacenados por parte de la empresa. La política de privacidad debe abarcar las obligaciones de consentimiento, información y exactitud de los datos, los derechos del interesado (como el derecho de acceso a los datos personales y la forma en que puede ejercerlos) y si las bases de datos de la empresa están registradas en la autoridad de protección de datos. La política de privacidad también debe indicar cuándo y cómo la empresa informará a los usuarios de cualquier cambio en la política.

Transparencia: Las empresas deberían publicar informes periódicos de transparencia que sean accesibles al público y detallar cuántas solicitudes gubernamentales se han recibido, cumplido y rechazado.

Notificación: Las empresas deben comprometerse a notificar a los usuarios sobre las demandas de datos del gobierno, y tienen puntos de bonificación si la notificación es realizada a priori.

Orden judicial: Las empresas deberían exigir a las autoridades de investigación que obtengan una orden judicial antes de entregar los datos, y deberían comprometerse a cumplir esta norma también en el caso de las solicitudes de metadatos.

Directrices para la aplicación de la ley: Las empresas deberían tener directrices a disposición del público sobre sus procedimientos de cumplimiento de solicitudes de datos por autoridades de investigación, incluida información detallada que tenga en cuenta el contexto jurídico local.

Promoción y Defensa de los Derechos Humanos: Las empresas deberían resistir judicialmente las solicitudes de datos que sean excesivas y no cumplan con los requisitos legales, y deberían promover iniciativas políticas, legislativas y de otro tipo para fomentar la privacidad y la protección de datos de los usuarios.

Principales hallazgos

Las aplicaciones de servicio de entrega tienen una mejor calificación que los ISP en políticas de privacidad, pero no muestran muchas estrellas en otros criterios. La excepción es la categoría de orden judicial, en la que las Glovo y PedidosYa estipulan la entrega de datos personales cuando lo exige la ley, las autoridades competentes o tras una "solicitud legal previa". Sin embargo, no aclaran qué requisitos deben cumplirse ni qué tipo de solicitud legal es necesaria. Aun así, siguen estando por delante de Telecentro, IPLAN y Claro en este parámetro. Fibertel/Telecomunicaciones se destaca con media estrella por comprometerse a solicitar una orden judicial antes de entregar los datos personales. La empresa no recibió la puntuación completa ya que parece afirmar que la ley podría autorizar el acceso a los datos de las fuerzas del orden incluso sin una orden judicial. No se detallan los fundamentos legales o los datos que podrían ser entregados independientemente de una orden judicial.

Fibertel/Telecomunicaciones y Rappi son los únicos que cumplen plenamente los parámetros evaluados para las políticas de privacidad.

En cuanto a la categoría de transparencia, ninguna empresa recibió la máxima puntuación. Movistar obtuvo una media estrella por publicar informes periódicos de transparencia que mostraban el número de solicitudes recibidas, aprobadas y rechazadas. Sin embargo, el informe no es fácilmente accesible para los usuarios argentinos, ya que sólo está disponible en el sitio web de la empresa matriz. Asimismo, AT&T, la empresa matriz de DirecTV, también obtuvo una media estrella por la publicación de informes periódicos de transparencia, que son apenas resumidos para las solicitudes recibidas fuera de los Estados Unidos.

Ambas empresas también recibieron media estrella en la categoría de notificación. La DirecTV afirma que, siempre que sea posible, se esforzará por notificar a los usuarios sobre las solicitudes de información personal presentadas por las "autoridades competentes". Sin embargo, el lenguaje utilizado deja un amplio margen de discreción y no aclara si la notificación tendrá lugar antes o después de la entrega de la información a las autoridades. Movistar se limita a afirmar que notificará a los usuarios sobre las solicitudes recibidas "en la medida en que lo permita la ley y las normas de procedimiento", omitiendo cualquier otro detalle sobre cómo entiende y aplica dichas normas legales y de procedimiento, sin especificar en qué situaciones se notifica a los usuarios y cuándo se produce antes o después del hecho.

Este proyecto es parte de un proyecto más grande en toda América Latina y España. Basado en el proyecto de EFF' Who Has Your Back?, ha responsabilizado a las empresas de Internet de EE.UU. de sus políticas y prácticas de privacidad durante casi una década. Desde 2015, los socios de la EFF en todo el mundo están haciendo lo mismo, y hemos visto grandes logros hasta ahora. Seguiremos vigilando los compromisos y prácticas de las empresas.