Este post es el segundo de una serie sobre nuestro nuevo informe sobre el estado de las leyes de privacidad de las comunicaciones, un conjunto de preguntas y respuestas sobre la privacidad y la protección de datos en ocho países de América Latina y España. El primer post de la serie fue "Una mirada hacia atrás y hacia delante sobre la protección de datos en América Latina y España". Los informes abarcan la Argentina, el Brasil, Chile, Colombia, España, México, el Paraguay, Panamá y el Perú.

Aunque el alcance total de la tecnología de vigilancia gubernamental en América Latina sigue siendo en su mayor parte desconocido, los informes de los medios de comunicación han revelado múltiples escándalos. Los organismos de inteligencia y de aplicación de la ley han desplegado poderosas herramientas de espionaje en la política presidencial latinoamericana y las han utilizado contra adversarios políticos, periodistas de la oposición, legisladores, grupos disidentes, jueces, activistas y sindicatos. Estas herramientas también se han utilizado para obtener información embarazosa o comprometedora sobre objetivos políticos. Con demasiada frecuencia, las débiles instituciones democráticas de América Latina no han logrado impedir este tipo de abuso de poder por parte de los gobiernos.

Espionaje de alta tecnología en el pasado y en el presente de Latam

En América Latina abundan los ejemplos de abusos gubernamentales documentados de las tecnologías de vigilancia. La vigilancia cobró importancia pública en el Perú en el decenio de 1990 con un escándalo en el que se vio envuelto el ex director de la Agencia de Inteligencia y el ex Presidente Fujimori. La condena de Fujimori marcó la primera vez en la historia que un presidente elegido democráticamente fue juzgado y declarado culpable en su propio país de abusos de los derechos humanos, incluidas las escuchas telefónicas ilegales de los teléfonos de las figuras de la oposición. En la década de 2000, el organismo de inteligencia colombiano (DAS) fue sorprendido interviniendo los teléfonos de los opositores políticos. Ricardo A. Martinelli, presidente de Panamá de 2009 a 2014, fue acusado de utilizar el programa espía "Pegaso" para espiar a opositores políticos, líderes sindicales y periodistas. (Un tribunal rechazó el año pasado los cargos de escuchas telefónicas ilegales en su contra por "dudas razonables").

En Chile, en 2017, la sociedad civil trabajó para comprender cómo la Dirección de Inteligencia de los Carabineros de Chile (Dipolcar y su unidad especial de inteligencia) había "interceptado" ocho mensajes cifrados de WhatsApp y Telegram de los líderes de la comunidad indígena mapuche. Estos líderes habían sido detenidos como parte de la Operación Huracán. Carabineros cambió su explicación de cómo había obtenido los mensajes: simplemente había afirmado una "interceptación de mensajes" genérica, pero más tarde afirmó que había utilizado un Keylogger y otros programas informáticos maliciosos. Los exámenes periciales en el marco de una investigación de la Fiscalía y el informe de un comité de investigación del Congreso concluyeron que las pruebas eran falsas. La Operación Huracán también se dedicó a la manipulación fraudulenta de dispositivos incautados y obtuvo comunicaciones sin la debida autorización judicial. Este es sólo uno de los muchos abusos de las autoridades chilenas en relación con los mapuches.

Los cables diplomáticos estadounidenses filtrados mostraban la colaboración en la vigilancia de las comunicaciones entre las Administraciones de Control de Drogas de EE.UU. y los gobiernos latinoamericanos como Paraguay y Panamá. Esto incluía la "cooperación" entre el gobierno estadounidense y las empresas de telecomunicaciones paraguayas.

La historia se repite. Hace apenas unas semanas, un informe reveló que entre 2012 y 2018, el gobierno de la Ciudad de México operó un centro de inteligencia que tenía como objetivo a los adversarios políticos, incluyendo al actual presidente mexicano y al actual alcalde de la Ciudad de México. De igual manera, el pueblo brasileño se enteró hace unas semanas del programa de vigilancia de la Secretaría de Operaciones Integradas (SEOPI) del Ministerio de Justicia, creado para combatir el "crimen organizado". Intercept Brasil reveló que Cortex integra lectores de placas de licencia automatizados (ALPRs) con otras bases de datos como Rais, la base de datos de trabajo del Ministerio de Economía. De hecho, Cortext supuestamente cruza los registros de Rais sobre "dirección, dependientes, salario y posición" de los empleados con los datos de localización obtenidos de 6.000 ALPRs en al menos 12 estados brasileños. Según la fuente anónima de la Interceptación, alrededor de 10.000 agentes de inteligencia y de la ley tienen acceso al sistema. El contexto de esta nueva revelación recuerda un escándalo anterior que involucraba a la misma Secretaría del Ministerio de Justicia. En julio de este año, la Corte Suprema de Brasil ordenó al Ministerio de Justicia detener la recopilación de inteligencia de la SEOPI contra los opositores políticos. SEOPI había compilado un expediente de inteligencia sobre policías y profesores vinculados al movimiento de oposición. El Ministerio de Justicia despidió al director de inteligencia de SEOPI.

La luz del sol es el mejor desinfectante

El Tribunal Europeo de Derechos Humanos ha sostenido que "un sistema de vigilancia secreta establecido para proteger la seguridad nacional puede socavar o incluso destruir la democracia bajo el manto de su defensa". En un informe reciente, el Relator de la Comisión Interamericana para la Libertad de Expresión reforzó el llamado a la transparencia. El informe subraya que las personas deberían, como mínimo, disponer de información sobre el marco jurídico de la vigilancia y su finalidad; los procedimientos de autorización, selección de objetivos y manejo de datos en los programas de vigilancia; los protocolos adoptados para el intercambio, el almacenamiento y la destrucción del material interceptado; y qué organismos gubernamentales se encargan de aplicar y supervisar esos programas.

La transparencia es vital para la rendición de cuentas y la democracia. Sin ella, la sociedad civil no puede ni siquiera empezar a controlar el exceso de gobierno. Los poderes de vigilancia y la interpretación de esas leyes deben ser siempre de dominio público. La ley debe obligar al Estado a presentar informes rigurosos y notificaciones individuales. La ausencia de esa transparencia viola las normas de derechos humanos y el estado de derecho. La transparencia es tanto más crítica cuando, por razones operacionales, ciertos aspectos del sistema permanecen en secreto.

El secreto impide debates significativos de política pública sobre estos asuntos de extrema importancia: el público no puede responder a los abusos de poder si no puede verlos. Hay muchos métodos que los estados y las empresas de comunicación pueden implementar para aumentar la transparencia sobre la privacidad, las solicitudes de acceso a los datos del gobierno y las autoridades legales de vigilancia.

Recomendaciones de política

Los Estados deben publicar informes de transparencia sobre las exigencias de los organismos encargados de hacer cumplir la ley para acceder a la información de los clientes.
El Relator Especial de las Naciones Unidas sobre la libertad de expresión ha pedido a los Estados que divulguen información general sobre el número de solicitudes de interceptación y vigilancia que han sido aprobadas y rechazadas. Esa divulgación debe incluir un desglose de las demandas por proveedores de servicios, el tipo de investigación, el número de personas afectadas y el período abarcado, entre otros factores. Lamentablemente, la cultura del secreto en la presentación de informes de transparencia de los Estados es un verdadero problema en América Latina.

El Brasil y México tienen reglamentos que obligan a los organismos a publicar informes de transparencia, y sí revelan información estadística. Sin embargo, Argentina, Colombia, Chile, España, Paraguay y el Perú no tienen una ley concreta que les obligue a hacerlo y, en la práctica, no publican esos informes. Por supuesto, la falta de una obligación específica de publicar datos de interés público, como señaló el Relator para la Libertad de Expresión de la CIDH, no debería impedir a los Estados publicar este tipo de datos. El Relator de la CIDH afirma que el público tiene derecho a acceder a las funciones, actividades y gestión de recursos públicos de un organismo de vigilancia.

La Ley de Transparencia de México exige a los organismos gubernamentales que divulguen periódicamente información estadística sobre las solicitudes de datos presentadas a los proveedores de telecomunicaciones para interceptaciones, acceso a los registros de comunicaciones y acceso a datos de localización en tiempo real. Los organismos también deben mantener los datos actualizados.

El decreto 8.771/2016 del Brasil obliga a cada organismo federal a publicar en su sitio web informes estadísticos anuales sobre sus solicitudes de acceso a los datos de los abonados a Internet. Los informes estadísticos deben incluir el número de solicitudes, la lista de proveedores de servicios de Internet y las solicitudes de Internet de las que se han solicitado datos, el número de solicitudes concedidas y rechazadas y el número de usuarios afectados. Además, el Consejo Nacional de Justicia del Brasil creó una base de datos pública con estadísticas sobre las interceptaciones de comunicaciones autorizadas por los tribunales. El sistema desglosa los datos por mes y por tribunal en las siguientes categorías: número de solicitudes iniciadas y en curso, número de procedimientos penales nuevos y en curso, número de teléfonos vigilados, número de comunicaciones VOIP vigiladas y número de direcciones electrónicas vigiladas.

Las empresas deberían publicar informes estadísticos detallados de transparencia sobre todo el acceso del gobierno a los datos de sus clientes.
Los marcos jurídicos de la Argentina, el Brasil, Colombia, Chile, España, México, el Perú, Panamá y el Paraguay no prohíben que las empresas publiquen datos estadísticos sobre las solicitudes de datos de los usuarios y otras autoridades de técnicas de investigación presentadas por los gobiernos. Pero de los países que estudiamos, el único donde los proveedores de servicios de Internet publican esta información es Chile. Grandes y pequeños ISPs chilenos han publicado sus informes de transparencia, incluyendo a Telefónica, WOM! , VTR, Entel, y más recientemente GTD Manquehue. No hemos visto desarrollos similares en otros países. Mientras que América Móvil (Claro) opera en todos los países de América Latina cubiertos en nuestros informes, sólo en Chile y Perú publica uno con cifras estadísticas para las solicitudes de datos del gobierno.

Telefónica-Movistar es una de las pocas empresas que adopta plenamente los informes de transparencia en todos los países de América Latina donde opera. Otros deberían seguir. En Centroamérica, Millicom-Tigo ha emitido generalmente datos consolidados para Costa Rica, El Salvador, Guatemala, Honduras y, más recientemente, Panamá. Esto es menos útil y se desvía de la norma general de publicar datos agregados por país y no por región de varios países. La empresa hace lo mismo en América del Sur, donde publica datos estadísticos consolidados de Bolivia, Colombia y el Paraguay. En 2018, Millicom-Tigo siguió por primera vez el estándar de la industria al publicar datos agregados sólo para Colombia.

AT&T publica datos detallados para los Estados Unidos, pero muy poca información para los países de América Latina, excepto para México, donde se dispone de más datos. El tipo de datos que solicitan los gobiernos depende de los servicios que AT&T ofrece en cada país (ya sea de banda ancha, móviles o sólo de televisión y entretenimiento). AT&T debe proporcionar información como el número de solicitudes rechazadas o el marco jurídico aplicable para todos los países en los que opera.

En España, Orange publicó su último informe en 2018, mientras que el último informe de Ono Vodafone se refiere a las solicitudes de 2016-2017.

Muchas empresas de telecomunicaciones locales de Latinoamérica no han publicado informes de transparencia.

• En Argentina: Cablevisión, Claro, Telecom, Telecentro e IPLAN.

• En Brasil: Claro, Oi, Algar y Nextel.

• En Colombia: Claro y EMCALI.

• En Panamá: Cable & Wireless Panamá (Más Móvil), Claro y Digicel

• En Perú: Entel, Olo, Bitel e Inkacel

• En Paraguay: Claro, Personal, Copaco, Vox y Chaco Comunicaciones.

• En México: Telmex/Telcel (América Móvil), Axtel, Megacable, Izzi, y Totalplay.

Como mínimo, los informes de transparencia de las empresas deberían revelar el número de solicitudes de datos gubernamentales por país, y divididos por tipos de datos clave, autoridades jurídicas aplicables y el número de reclamaciones impugnadas o denegadas. Los informes que hemos examinado suelen proporcionar cifras diferentes para el contenido y los metadatos, lo cual es importante. AT&T también incluye el acceso en tiempo real a los datos de localización de México. La sección de Telefónica y AT&T México publica el número de solicitudes rechazadas; Millicom no proporciona esta información. Ninguno de los informes distingue las órdenes criminales de las solicitudes de seguridad nacional; AT&T lo hace sólo para los Estados Unidos. Los informes también deben permitir a los lectores conocer el número de usuarios o dispositivos afectados; no basta con revelar sólo el número de solicitudes, ya que una demanda legal puede referirse a más de un cliente o dispositivo. Telefónica indica las cifras de accesos afectados tanto para la interceptación como para los metadatos en Argentina, Brasil, Chile, México y Perú. En España, el sistema utilizado por las fuerzas de seguridad para el envío de órdenes judiciales para la obtención de metadatos todavía no permite este desglose. Y en Colombia, ni siquiera es posible contar el número de solicitudes de interceptación en las líneas móviles.

Por supuesto, los informes de transparencia de las empresas dependen de su conocimiento del momento en que se realiza la vigilancia a través de sus sistemas. Tal conocimiento falta - y por lo tanto no es posible hacer informes de transparencia - cuando la policía y otras agencias gubernamentales obligan a los proveedores a dar a las fuerzas del orden acceso directo a sus servidores. El informe del Alto Comisionado de las Naciones Unidas para los Derechos Humanos de 2018 reconoció que esos sistemas de acceso directo son una grave preocupación; son particularmente propensos a los abusos y tienden a eludir las salvaguardias procesales fundamentales. Según el informe de Millicom, los requisitos de acceso directo a las redes móviles de las empresas de telecomunicaciones en Honduras, El Salvador y Colombia impiden que los proveedores de servicios de Internet sepan con qué frecuencia o durante qué períodos se produce la interceptación. Millicom señala que una práctica similar existe en Paraguay. Sin embargo, en este caso, Millicom afirma que los procedimientos permiten ver la orden judicial necesaria para que las autoridades inicien la interceptación.

Las empresas deberían publicar directrices para los organismos gubernamentales que buscan datos de los usuarios.
Es importante que el público conozca la forma en que la policía y otros organismos gubernamentales obtienen los datos de los clientes de los proveedores de servicios. Para asegurar el acceso público a esta información, los proveedores deberían publicar de forma transparente las directrices de solicitud que proporcionan a los organismos gubernamentales.

En el Perú, Claro ha publicado directrices detalladas, incluido un cuadro explicativo de los procedimientos que la empresa adopta antes de solicitar datos de comunicaciones a los organismos de represión. Las empresas de telecomunicaciones chilenas también publican sus directrices de aplicación de la ley. WOM y VTR detallan los sistemas integrados y los canales de contacto que utilizan para recibir las solicitudes del gobierno, así como la información que deben contener las solicitudes y las órdenes judiciales, como los objetivos y los procedimientos de investigación. Desglosan los detalles por tipo de interceptación (como los casos de emergencia y la prórroga del plazo) y la información de los usuarios (como los datos sobre el tráfico). El GTD Manquehue tiene un modelo similar pero no especifica la información relacionada con las interceptaciones urgentes y las solicitudes de prórroga. Claro también incluye canales de contacto y algunos requisitos importantes, en particular para el tráfico y otros datos asociados. Entel no indica canales de contacto para solicitudes de datos pero va más allá de otros al explicar el marco legal aplicable y los requisitos que deben cumplir las órdenes. A su vez, las directrices de Telefónica - Movistar son vagas a la hora de establecer los requisitos legales, pero proporcionan un gran detalle sobre el tipo de metadatos y la información de los abonados a la que pueden acceder las autoridades.

Telefónica y Millicom tienen pautas globales para todas las solicitudes de aplicación de la ley. Se aplican a sus filiales, que normalmente no publican especificaciones locales. Mientras que las directrices de Telefónica se comprometen con los principios relevantes y muestran un flujo de gráficos para evaluar las solicitudes del gobierno, Millicom esboza cinco pasos de su proceso para la asistencia de la aplicación de la ley. Ambos dan una valiosa visión de los procedimientos de las empresas. Pero no deben suplantar la publicación de directrices más específicas a nivel nacional, mostrando cómo sus políticas globales se aplican en relación con los contextos y normas locales.

Las leyes secretas, sobre el acceso del gobierno a los datos o cualquier otra cosa, son inaceptables.
La ley sólo es legítima si la gente sabe que existe y puede actuar basándose en ese conocimiento. Permite a las personas la justicia fundamental de entender cuándo pueden esperar privacidad del gobierno y cuándo no. Como hemos señalado antes, evita las situaciones kafkianas en las que las personas, como Joseph K en El juicio, no pueden entender lo que hicieron para que el gobierno accediera a sus datos. El informe de la ONU sobre el derecho a la privacidad en la era digital afirma que "Las reglas secretas ... no tienen las cualidades necesarias de 'ley' ... [una] ley que es accesible, pero que no tiene efectos previsibles, no será adecuada". La Asamblea Parlamentaria del Consejo de Europa también ha condenado el "uso extensivo de leyes y regulaciones secretas".

Sin embargo, las directrices peruanas sobre el intercambio de datos de los ISP con la policía han sido declaradas "información reservada". En contraste, los protocolos de escucha peruanos se consideran públicos.

Los proveedores de servicios deben notificar a todos sus clientes, dondequiera que vivan, cuando el gobierno busque sus datos. Dicha notificación debe ser inmediata, a menos que al hacerlo se ponga en peligro la investigación.
El principio de la notificación es esencial para restringir las solicitudes de datos improcedentes del gobierno a los proveedores de servicios. Antes de la revolución de las comunicaciones electrónicas, la policía tenía que llamar a la puerta de un sospechoso y mostrar su orden de registro. La persona registrada podía observar si la policía registraba o incautaba su correspondencia escrita, y si consideraba que la intrusión era impropia, pedía a un tribunal que interviniera.

La vigilancia electrónica, sin embargo, es mucho más subrepticia. Los datos pueden ser interceptados o adquiridos directamente de los proveedores de telecomunicaciones o de Internet sin que el individuo lo sepa. A menudo es imposible saber que se ha accedido a sus datos a menos que las pruebas den lugar a cargos penales. En consecuencia, es menos probable que los inocentes descubran la violación de sus derechos a la intimidad. De hecho, las nuevas tecnologías han permitido realizar búsquedas remotas encubiertas en computadoras personales. Toda demora en la notificación debe justificarse ante un tribunal y vincularse a un peligro real para la investigación o a un daño para una persona. El Alto Comisionado de las Naciones Unidas para los Derechos Humanos reconoció que los usuarios que han sido objeto de vigilancia deben ser notificados, al menos a posteriori.

El Perú y Chile ofrecen los dos mejores estándares de la región para notificar a las personas afectadas. Lamentablemente, la notificación se retrasa a menudo. El Código de Procedimiento Penales del Perú permite informar a la persona vigilada una vez que se han completado los procedimientos de acceso. La persona afectada puede solicitar un nuevo examen judicial dentro de los tres días siguientes a la recepción de la notificación. Esa notificación posterior al acceso sólo se permite si el ámbito de la investigación lo permite y no pone en peligro a otra persona.

La ley chilena tiene una disposición similar. El procedimiento de interceptación es secreto por defecto. Sin embargo, el Estado debe notificar a la persona afectada una vez finalizada la interceptación, si el alcance de la investigación lo permite y la notificación no pone en peligro a otra persona. Si la demanda de datos es secreta, el fiscal debe fijar un plazo no superior a 40 días, que puede prorrogarse una vez más.

La legislación penal argentina no incluye ninguna obligación o prohibición de informar al individuo, ni siquiera cuando el acceso ha terminado. El sujeto de la investigación puede conocer las pruebas utilizadas en un proceso penal. Sin embargo, es posible que un individuo nunca sepa que el gobierno accedió a sus datos si no los utilizó el fiscal.

No hay ninguna obligación legal en Brasil que obligue al Estado o a las empresas a dar aviso a priori. La Ley de Interceptación Telefónica impone un requisito general de secreto. Otra ley autoriza al juez a determinar las cuestiones relativas al secreto. Las empresas pueden notificar voluntariamente al usuario si no se establece una orden de mordaza legal o judicial, o posteriormente después de que se levante el secreto.

En España, el secreto es la norma. Esto incluye para la interceptación de la comunicación, el malware, el seguimiento de la ubicación o el acceso a los datos de comunicación. La empresa obligada a llevar a cabo las medidas de investigación jura el secreto bajo pena de sanción penal.

Se necesitan leyes sobre la libertad de información y la presentación de informes de investigación para arrojar luz sobre las solicitudes de datos gubernamentales y la vigilancia secreta. También se requiere la protección legal de los denunciantes.

Los Estados de la región están obligados a responder a las solicitudes de registros públicos y deben proporcionar información de oficio. La Corte Interamericana reconoce que es "esencial que las autoridades estatales se rijan por el principio de máxima divulgación, que establece la presunción de que toda la información es accesible, con sujeción a un sistema limitado de excepciones". La Corte también se hizo eco de la declaración conjunta de 2004 de los relatores sobre la libertad de expresión de la ONU, la OEA y la OSCE, en la que estipuló que "se debe exigir a las autoridades públicas que publiquen proactivamente, incluso en ausencia de una solicitud, una serie de informaciones de interés público". Deberían establecerse sistemas para aumentar, con el tiempo, la cantidad de datos sujetos a esa divulgación rutinaria".

La Ley de Transparencia de México obliga a los organismos gubernamentales a divulgar y actualizar automáticamente la información sobre el acceso del gobierno a los datos de las empresas. En cambio, la Ley de Transparencia peruana sólo obliga al Estado a divulgar, previa solicitud, la información que crea o está en su poder, con ciertas excepciones. Así pues, si existiera información agregada sobre los detalles de las solicitudes, se podría acceder a ella a través de las solicitudes de la FOIA. Pero si no es así, la ley no exige que el organismo cree un nuevo registro.

En América Latina, las ONG han utilizado estas leyes de acceso público para aprender más sobre la vigilancia de alta tecnología en sus países. En Argentina, ADC presentó una solicitud de FOIA después de que la Ciudad de Buenos Aires anunciara que desplegaría un software de reconocimiento facial sobre la infraestructura de sus cámaras de CCTV. La administración de Buenos Aires reveló información de respuesta sobre la base legal y los propósitos de la implementación de la tecnología, el organismo gubernamental responsable de su funcionamiento y la compra del software. ODIA hizo más peticiones sobre los aspectos técnicos del sistema, y Access Now siguió el ejemplo en Córdoba.

A raíz de las revelaciones sobre el uso del malware de "Pegasus" para espiar a periodistas, activistas, abogados y políticos en México, la ONG de derechos digitales R3D presentó una solicitud a la FOIA en 2017 en busca de documentos sobre la compra de "Pegasus". Tras recibir parte del acuerdo, R3D impugnó la decisión de la Autoridad de Transparencia y Protección de Datos (INAI) del país de clasificar las especificaciones técnicas y los métodos de funcionamiento de Pegasus. En 2018, el juez anuló la resolución del INAI, sosteniendo que las violaciones graves de los derechos humanos y los actos de corrupción nunca deben ser información confidencial.

En otros países, los medios digitales han arrojado luz sobre el número de demandas de acceso a datos del gobierno. Por ejemplo, INFOBAE en Argentina publicó un artículo informando sobre el número de interceptaciones filtradas y otra información estadística. Otro medio en Chile reveló el número de solicitudes de interceptación telefónica basadas en la ley de registros públicos.

El Alto Comisionado de las Naciones Unidas para los Derechos Humanos instó a proteger a las personas que revelan violaciones de los derechos humanos:

"El derecho a la privacidad, el derecho de acceso a la información y la libertad de expresión están estrechamente vinculados. El público tiene el derecho democrático de participar en los asuntos públicos y este derecho no puede ser ejercido eficazmente confiando únicamente en la información autorizada".

El Relator de la CIDH destaca el importante papel de los periodistas de investigación y los denunciantes en su nuevo informe sobre la libertad de expresión. Las recomendaciones del relator subrayan la necesidad de asegurar una legislación que proteja el derecho de los periodistas y otras personas. La ley también debería proteger a sus fuentes contra la exposición directa e indirecta, incluida la intrusión a través de la vigilancia. Los denunciantes que expongan violaciones de los derechos humanos u otros actos ilícitos también deberían recibir protección jurídica contra las represalias.

Conclusiones
Los gobiernos suelen confundir la necesidad de mantener el secreto en una investigación específica con una reticencia general a describir la capacidad técnica, la autoridad jurídica y los usos agregados de una tecnología de vigilancia. Pero el conocimiento de estas tecnologías por parte de la sociedad civil es crucial para la supervisión pública y la responsabilidad del gobierno. La democracia no puede florecer y persistir sin la capacidad de conocer y proporcionar remedios efectivos a los abusos y violaciones de la privacidad y otros derechos.

El secreto debe ser la excepción, no la norma. Debe estar limitado en el tiempo y ser estrictamente necesario y proporcionado para proteger los objetivos legítimos específicos. Todavía tenemos un largo camino por delante para hacer de la transparencia la norma. Las prácticas del gobierno, las regulaciones estatales y las acciones de las empresas deben basarse en los principios de transparencia establecidos en nuestras recomendaciones.