IPANDETEC, la principal organización de derechos digitales de Panamá, publicó hoy su segundo informe anual "¿Quién Defiende Tus Datos?", en el que se evalúa el grado de protección de los datos de comunicaciones de los usuarios por parte de los proveedores de servicios de telefonía móvil e Internet (ISP) del país. Si bien la mayoría de las empresas obtuvieron una baja puntuación, el informe muestra que algunos proveedores de servicios de Internet están haciendo progresos en algunas esferas importantes: garantizar que los servicios de procesamiento de pagos y los sitios web sean seguros, exigir a los organismos encargados de hacer cumplir la ley que obtengan órdenes judiciales antes de acceder a los datos de los usuarios y promover públicamente la privacidad de los datos como un derecho humano. Con respecto a esto último, todos los proveedores de servicios de Internet encuestados están trabajando en un acuerdo para proporcionar conexión a Internet a los estudiantes y las personas afectadas por el COVID-19, un acontecimiento positivo ya que muchos están luchando sin acceso a Internet durante la pandemia.

IPANDETEC examinó las prácticas de privacidad de las principales empresas de telefonía móvil de Panamá: Claro (América Móvil), Digicel, Más Móvil (una operación conjunta entre Cable & Wireless Communications y el gobierno panameño, que posee el 49% de la compañía), y Tigo, el nuevo nombre de Movistar, la marca propiedad de la española Telefónica cuyos activos fueron vendidos a Millicom International el año pasado.

¿Quién Defiende Tus Datos? se basa en el informe de la EFF "Who Has Your Back", que fue creado para arrojar luz sobre las políticas de los proveedores de servicios de Internet de los Estados Unidos para proteger la información privada de los usuarios, de modo que los consumidores puedan tomar decisiones informadas sobre las empresas a las que deben confiar sus datos. El acceso a Internet y las comunicaciones digitales forman parte de la vida cotidiana de la mayoría de las personas, y las empresas que prestan estos servicios recogen y almacenan grandes cantidades de información privada de sus clientes. Las personas tienen derecho a saber si sus datos están siendo protegidos y de qué manera, por eso IPANDETEC y otras organizaciones de derechos digitales de América Latina y España están evaluando e informando sobre lo que los proveedores de servicios de Internet divulgan públicamente acerca de sus prácticas de protección de datos.

Los proveedores de servicios de Internet en Panamá fueron evaluados sobre la base de siete criterios relativos a la protección de datos, la transparencia, la notificación al usuario, la autorización judicial, la defensa de los derechos humanos, la seguridad digital y las directrices de aplicación de la ley. Las descripciones completas de lo que incluyen las categorías se proporcionan más adelante en este post.

Principales hallazgos

Tigo, antes llamado Movistar, obtuvo la puntuación más alta, logrando estrellas completas o parciales en cinco de las siete categorías evaluadas. Fue la única empresa de la encuesta que recibió una estrella completa por declarar que requiere que los organismos de aplicación de la ley que buscan datos de los usuarios obtengan primero una orden judicial. Tigo fue también la única empresa que recibió algún crédito por proporcionar información parcial sobre los procedimientos de solicitud de datos de los clientes por parte de los organismos de represión, lo que se debe en gran medida a que su actual empresa matriz, Millicom, publica una política de asistencia a los organismos de represión. Pero el documento se refiere a una política global; la política local de Tigo en Panamá no es clara, por lo que recibió un cuarto de estrella.

Tigo fue también la única empresa que recibió un crédito parcial en la categoría de política de protección de datos. Las demás empresas proporcionan cierta información sobre la recopilación de datos de las visitas a sus sitios web y el uso de sus aplicaciones, pero no sobre los datos recogidos de sus servicios habituales de Internet o de telefonía móvil. Más Móvil dice que sus contratos con los clientes proporcionan información sobre la privacidad y la protección de datos. Pero estos contratos no se hacen públicos. La forma en que las empresas recopilan, utilizan, comparten y gestionan los datos personales de los clientes debe ser divulgada públicamente para que esté disponible para las personas antes de que elijan un operador de telecomunicaciones. Tigo, a través de Millicom, divulga sólo alguna información sobre las políticas de recolección de datos para los servicios en línea y recibió un cuarto de estrella.

Claro tuvo el segundo puntaje más alto, con una estrella completa en la categoría de seguridad digital y medias estrellas en las categorías de defensa de los derechos humanos y orden judicial. En esta última categoría, la política global de la empresa es cumplir con las solicitudes de las fuerzas del orden para el contenido y los metadatos de los usuarios sólo cuando hay una orden de "la autoridad competente". La política global no está disponible en el sitio web local de negocios de Claro en Panamá, y la política de Claro para Panamá es menos precisa en cuanto al requerimiento de una orden, de ahí la concesión de media estrella.

Claro recibió una estrella completa en la categoría de seguridad digital, una mejora con respecto al año pasado, al comprometerse a utilizar HTTPS en su sitio web y para procesar los pagos en línea. Un gran problema revelado por el informe es la falta general de transparencia sobre las prácticas de privacidad y seguridad de los proveedores de servicios de Internet en Panamá. Ninguno de los proveedores de servicios de Internet encuestados recibió crédito por la publicación de un informe de transparencia. Las empresas matrices anteriores y actuales de Tigo, Telefónica y Millicom, respectivamente, no incluyeron información sobre sus empresas móviles panameñas en sus informes de transparencia porque la transacción de venta de Movistar estaba en curso. Por lo tanto, Tigo no recibió ninguna estrella en la categoría de informe de transparencia. Esperamos ver ese cambio en el próximo reporte, no sólo para Tigo sino también para las otras empresas.

La falta de informes de transparencia no es la única falla de divulgación entre los principales ISP de Panamá. Ninguno se compromete a notificar a los usuarios cuando el gobierno tiene acceso a sus datos, según el estudio de IPANDETEC.

A continuación se presentan los criterios específicos de cada categoría y los resultados finales del estudio. Para obtener más información sobre cada empresa y el sector de las TIC de Panamá, puede encontrar el informe completo en el sitio web de IPANDETEC.

Protección de datos: ¿Coloca la empresa un documento en el que se detalla la recopilación, el uso, la divulgación y la gestión de los datos personales de los clientes?

• La política de protección de datos se publica en su sitio web

• La política está redactada en un lenguaje claro y de fácil acceso

• La política detalla qué datos se recogen

• La política establece el período de retención de los datos de los usuarios

Transparencia: ¿La empresa publica un informe anual de transparencia en el que se indica el número de solicitudes gubernamentales de datos de clientes que ha recibido, y cuántas fueron aceptadas y rechazadas?

• La empresa publica un informe de transparencia en su sitio web

• El informe está redactado en un lenguaje claro y de fácil acceso

• Los informes contienen datos relacionados con el número y el tipo de solicitudes recibidas, y cuántas fueron aceptadas

Notificación de usuario: ¿Promete la empresa notificar a los usuarios cuando el gobierno solicite sus datos?

• La empresa afirma que notificará a los usuarios cuando el gobierno acceda a su información tan pronto como la ley lo permita

Autorización judicial: ¿Declara explícitamente que sólo cumplirá con la solicitud de las autoridades de los datos de los usuarios si tienen una orden judicial?

• La empresa declara en sus políticas que requiere una orden judicial antes de que las fuerzas del orden puedan acceder al contenido de las comunicaciones de los usuarios

• La empresa rechaza las solicitudes de las fuerzas del orden que violan los requisitos legales

Defensa de los Derechos Humanos: ¿Promueve y defiende públicamente los derechos humanos de sus usuarios, en particular la privacidad de sus comunicaciones y la protección de sus datos personales?

• La empresa promueve la privacidad de los usuarios y la protección de los datos mediante campañas o iniciativas

• La empresa apoya la legislación, los litigios de impacto o los programas que favorecen la privacidad del usuario y la protección de datos

• La empresa participa en acuerdos intersectoriales que promueven los derechos humanos como inquilino principal de su negocio

Seguridad digital: ¿Son seguros el sitio web y el servicio de pago en línea de la compañía?

• La compañía usa HTTPS en su sitio web

• La empresa utiliza HTTPS para procesar los pagos en línea

Directrices para la aplicación de la ley: ¿Describe la empresa las directrices públicas y los requisitos legales necesarios para que las fuerzas del orden soliciten los datos de los clientes?

• La empresa publica directrices para las solicitudes de datos de las fuerzas del orden.

Conclusión

El informe muestra que los cuatro proveedores de servicios de Internet encuestados apoyan la idea de que la privacidad del usuario y la protección de datos son derechos humanos. La mejor manera de que las empresas demuestren su compromiso con este principio es haciendo un mejor trabajo en la protección de la información privada de sus clientes y siendo más transparentes en cuanto a la forma en que recogen, utilizan y comparten sus datos. Esperamos ver mejoras en todas las categorías en el próximo informe.