Introducción a Aplicaciones y Conceptos Informáticos

Introducción

La privacidad de la información, o privacidad de los datos (o protección de datos), es la relación entre la recopilación y difusión de datos, la tecnología, la expectativa pública de privacidad y las cuestiones legales y políticas que los rodean.

Existen preocupaciones de privacidad siempre que se recopile y almacene información de identificación personal u otra información sensible – en forma digital o de otro modo. El control de divulgación inadecuado o inexistente puede ser la causa principal de los problemas de privacidad. Los problemas de privacidad de los datos pueden surgir en respuesta a la información de una amplia gama de fuentes, como:

• Registros de atención médica
• Investigaciones y procedimientos de justicia penal
• Instituciones y transacciones financieras
• Rasgos biológicos, como material genético
• Registros de residencia y geográficos
• Origen étnico
• Violación de la privacidad
• Servicio basado en la ubicación y geolocalización

El desafío en la privacidad de los datos es compartir datos mientras se protege la información de identificación personal. Los ámbitos de la seguridad de los datos y la seguridad de la información diseñan y utilizan programas informáticos, equipos físicos y recursos humanos para abordar este problema. Dado que las leyes y regulaciones relacionadas con la Protección de Datos cambian constantemente, es importante mantenerse al tanto de cualquier cambio en la ley y reevaluar continuamente su cumplimiento con las regulaciones de seguridad y privacidad de datos.

Tipos de información

Varios tipos de información personal a menudo entran dentro de las preocupaciones de privacidad.

Internet

La capacidad de controlar la información que uno revela sobre uno mismo a través de Internet, y quién puede acceder a esa información, se ha convertido en una preocupación creciente. Estas preocupaciones incluyen si el correo electrónico puede ser almacenado o leído por terceros sin consentimiento, o si terceros pueden continuar rastreando los sitios web que alguien ha visitado. Otra preocupación es que los sitios web que se visitan recopilan, almacenan y posiblemente comparten información de identificación personal sobre los usuarios.

La aparición de varios motores de búsqueda y el uso de la minería de datos crearon una capacidad para que los datos sobre las personas se recopilaran y combinaran de una amplia variedad de fuentes con mucha facilidad. La CCL ha proporcionado un conjunto de directrices que representan conceptos ampliamente aceptados sobre prácticas de información leal en un mercado electrónico denominado Principios de Prácticas de Información Leal.

Para no dar demasiada información personal, los correos electrónicos deben cifrarse y la navegación por las páginas web, así como otras actividades en línea, debe realizarse sin rastros a través de anonimizadores, o, en casos en los que no se confíe, mediante anonimizadores distribuidos de código abierto, las llamadas redes mixtas, como I2P-The Onion Router o Tor.

El correo electrónico no es el único uso de Internet con preocupación por la privacidad. Todo es accesible a través de Internet hoy en día. Sin embargo, un problema importante con la privacidad se relaciona con las redes sociales. Por ejemplo, hay millones de usuarios en Facebook, y las regulaciones han cambiado. Las personas pueden ser etiquetadas en fotos o tener información valiosa expuesta sobre sí mismas, ya sea por elección o la mayoría de las veces de forma inesperada por otros. Es importante tener cuidado con lo que se dice en Internet y con la información que se muestra, así como con las fotos, porque todo esto se puede buscar en la web y usar para acceder a bases de datos privadas, lo que facilita que cualquier persona se conecte rápidamente y haga un perfil de una persona.

Televisión por cable

La capacidad de controlar qué información se revela sobre uno mismo a través de la televisión por cable, y quién puede acceder a esa información. Por ejemplo, terceros pueden rastrear programas de TV IP que alguien ha visto en un momento dado.

La adición de cualquier información en una transmisión no es necesaria para una encuesta de calificación de audiencia, no se solicita la instalación de dispositivos adicionales en las casas de los espectadores u oyentes y, sin la necesidad de su cooperación, las calificaciones de audiencia se pueden realizar automáticamente en tiempo real.

Médico

Es posible que una persona no desee que sus registros médicos se revelen a otros. Esto puede deberse a que les preocupa que pueda afectar a sus coberturas de seguro o empleo. O puede ser porque no desearían que otros supieran sobre afecciones o tratamientos médicos o psicológicos que serían embarazosos. Revelar datos médicos también podría revelar otros detalles sobre la vida personal de uno. Violación de privacidad Hay tres categorías principales de privacidad médica: informacional (el grado de control sobre la información personal), físico (el grado de inaccesibilidad física a los demás) y psicológico (el grado en que el médico respeta las creencias culturales, los pensamientos internos, los valores, los sentimientos y las prácticas religiosas de los pacientes y les permite tomar decisiones personales). Los médicos y psiquiatras en muchas culturas y países tienen estándares para las relaciones médico-paciente que incluyen el mantenimiento de la confidencialidad. En algunos casos, el privilegio médico-paciente está legalmente protegido. Estas prácticas se aplican para proteger la dignidad de los pacientes y para garantizar que los pacientes se sientan libres de revelar información completa y precisa necesaria para recibir el tratamiento correcto. Los Estados Unidos tienen leyes que rigen la privacidad de la información de salud privada, consulte HIPAA y la Ley HITECH.

Financiera

La información sobre las transacciones financieras de una persona, incluida la cantidad de activos, posiciones mantenidas en acciones o fondos, deudas pendientes y compras, puede ser delicada. Si los delincuentes obtienen acceso a información como las cuentas de una persona o los números de tarjetas de crédito, esa persona podría convertirse en víctima de fraude o robo de identidad. La información sobre las compras de una persona puede revelar mucho sobre la historia de esa persona, como los lugares que ha visitado, con quién ha contactado, los productos que ha usado, sus actividades y hábitos o los medicamentos que ha usado. En algunos casos, las corporaciones podrían desear usar esta información para dirigirse a personas con marketing personalizado para las preferencias personales de esas personas, algo que esa persona puede aprobar o no.

Ubicación

A medida que aumentan las capacidades de seguimiento de ubicación de los dispositivos móviles (servicio basado en la ubicación), surgen problemas relacionados con la privacidad del usuario. De hecho, los datos de ubicación se encuentran entre los datos más confidenciales que se recopilan actualmente. La Electronic Frontier Foundation publicó recientemente una lista de información profesional y personal potencialmente sensible que podría inferirse de que un individuo solo conoce su rastro de movilidad. Estos incluyen los movimientos de una fuerza de ventas de la competencia, la asistencia a una iglesia en particular o la presencia de un individuo en un motel o en una clínica de abortos. Un estudio reciente del MIT realizado por de Montjoye et al. mostró que 4 puntos espacio-temporales, lugares y tiempos aproximados, son suficientes para identificar de manera única el 95% de 1.5 MILLONES de personas en una base de datos de movilidad. El estudio muestra además que estas restricciones se mantienen incluso cuando la resolución del conjunto de datos es baja. Por lo tanto, incluso los conjuntos de datos gruesos o borrosos proporcionan poco anonimato.

Política

La privacidad política ha sido una preocupación desde que surgieron los sistemas de votación en la antigüedad. La votación secreta es la medida más simple y generalizada para garantizar que las opiniones políticas no sean conocidas por nadie más que el propio votante, es casi universal en la democracia moderna y se considera un derecho básico de ciudadanía. De hecho, incluso cuando no existen otros derechos de privacidad, este tipo de privacidad a menudo lo hace.

Educativo

En el Reino Unido, en 2012, el Secretario de Educación Michael Gove describió la Base de Datos Nacional de Alumnos como un «conjunto de datos enriquecidos» cuyo valor podría «maximizarse» haciéndola más accesible, incluso para las empresas privadas. Kelly Fiveash, de The Register, dijo que esto podría significar que «la vida escolar de un niño, incluidos los resultados de los exámenes, la asistencia, las evaluaciones de los maestros e incluso las características», podría estar disponible, y que las organizaciones externas serían responsables de anonimizar las publicaciones por sí mismas, en lugar de que el gobierno anonimice los datos antes de entregarlos. Un ejemplo de una solicitud de datos que Gove indicó que había sido rechazada en el pasado, pero que podría ser posible con una versión mejorada de las normas de privacidad, era el de «análisis sobre la explotación sexual.»

Legalidad

La protección legal del derecho a la privacidad en general, y de la privacidad de los datos en particular, varía mucho en todo el mundo.

Nadie será objeto de injerencias arbitrarias en su vida privada, su familia, su domicilio o su correspondencia, ni de ataques a su honor y reputación. Toda persona tiene derecho a la protección de la ley contra esas injerencias o ataques.- Declaración Universal de Derechos Humanos, Artículo 12

Existe un desafío significativo para las organizaciones que poseen datos confidenciales para lograr y mantener el cumplimiento de tantas regulaciones que tienen relevancia para la privacidad de la información.

Problemas con el Programa de Puerto Seguro y el Registro de Nombres de Pasajeros

El Departamento de Comercio de los Estados Unidos creó el programa Internacional de certificación de Principios de Privacidad de Puerto Seguro en respuesta a la Directiva de 1995 sobre Protección de Datos (Directiva 95/46/CE) de la Comisión Europea. La Directiva 95/46 / CE declara en el artículo 25 del Capítulo IV que los datos personales solo pueden transferirse desde los países del Espacio Económico Europeo a países que ofrezcan una protección adecuada de la privacidad. Históricamente, el establecimiento de la adecuación requería la creación de leyes nacionales en términos generales equivalentes a las aplicadas por la Directiva 95/46/UE. Aunque hay excepciones a esta prohibición general – por ejemplo, cuando la divulgación a un país fuera del EEE se realiza con el consentimiento de la persona en cuestión (artículo 26, apartado 1, letra a)) – su alcance práctico es limitado. Como resultado, el artículo 25 creó un riesgo legal para las organizaciones que transfieren datos personales de Europa a los Estados Unidos.

El programa tiene un tema importante sobre el intercambio de información del Registro de Nombres de Pasajeros entre la UE y los EE. De acuerdo con la directiva de la UE, los datos personales solo pueden transferirse a terceros países si ese país proporciona un nivel de protección adecuado. Se proporcionan algunas excepciones a esta regla, por ejemplo, cuando el controlador mismo puede garantizar que el destinatario cumplirá con las normas de protección de datos.

La Comisión Europea ha creado el» Grupo de Trabajo sobre la Protección de las Personas en lo que respecta al Tratamiento de Datos Personales», comúnmente conocido como»Grupo de Trabajo del artículo 29″. El Grupo de Trabajo asesora sobre el nivel de protección en la Unión Europea y en terceros países.

El Grupo de Trabajo negoció con representantes estadounidenses sobre la protección de datos personales, el resultado fueron los Principios de Puerto Seguro. A pesar de esa aprobación, el enfoque de autoevaluación del Puerto Seguro sigue siendo controvertido para varios reguladores y comentaristas europeos de la privacidad.

El programa de Puerto Seguro aborda este problema de una manera única: en lugar de una ley general impuesta a todas las organizaciones en los Estados Unidos, la FTC aplica un programa voluntario. Las organizaciones estadounidenses que se inscriban en este programa, después de haber autoevaluado su cumplimiento de una serie de normas, se consideran «adecuadas» a los efectos del artículo 25. La información personal puede enviarse a dichas organizaciones desde el EEE sin que el remitente infrinja el artículo 25 o sus equivalentes nacionales de la UE. El Puerto Seguro fue aprobado por la Comisión Europea el 26 de julio de 2000 por proporcionar una protección adecuada de los datos personales, a efectos del artículo 25, apartado 6.

El Puerto seguro no es una solución perfecta para los retos que plantea el artículo 25. En particular, las organizaciones de adoptados deben considerar cuidadosamente su cumplimiento de las obligaciones de transferencia ulterior, en las que los datos personales procedentes de la UE se transfieren al Puerto Seguro de los Estados Unidos y, a continuación, a un tercer país. El enfoque alternativo de cumplimiento de «normas corporativas vinculantes», recomendado por muchos reguladores de la privacidad de la UE, resuelve esta cuestión. Además, cualquier disputa que surja en relación con la transferencia de datos de recursos humanos al Puerto Seguro de EE.UU. debe ser escuchada por un panel de reguladores de privacidad de la UE.

En julio de 2007, se suscribió un nuevo y controvertido acuerdo de Registro de Nombres de Pasajeros entre los Estados Unidos y la UE. Poco tiempo después, la administración Bush concedió una exención al Departamento de Seguridad Nacional, al Sistema de Información de Llegadas y Salidas (ADIS) y al Sistema Automatizado de Objetivos de la Ley de Privacidad de 1974.

En febrero de 2008, Jonathan Faull, jefe de la Comisión de Asuntos de Interior de la UE, se quejó de la política bilateral de los Estados Unidos en relación con los PNR. Estados Unidos había firmado en febrero de 2008 un memorando de entendimiento con la República Checa a cambio de un régimen de exención de visado, sin haber concertado antes con Bruselas. Las tensiones entre Washington y Bruselas son causadas principalmente por un menor nivel de protección de datos en los Estados Unidos, especialmente porque los extranjeros no se benefician de la Ley de Privacidad de los Estados Unidos de 1974. Otros países a los que se solicitó un memorando de entendimiento bilateral fueron el Reino Unido, Estonia, Alemania y Grecia.

Protección de la privacidad en los sistemas de información

Dado que los sistemas de información heterogéneos con diferentes normas de privacidad están interconectados y la información se comparte, se necesitarán dispositivos de políticas para conciliar, hacer cumplir y supervisar una cantidad cada vez mayor de normas (y leyes) de política de privacidad. Hay dos categorías de tecnología para abordar la protección de la privacidad en los sistemas de TI comerciales: la comunicación y la aplicación de la ley.

Comunicación de políticas

• P3P-La Plataforma de Preferencias de Privacidad. P3P es un estándar para comunicar prácticas de privacidad y compararlas con las preferencias de las personas.

Cumplimiento de políticas

• XACML: El Lenguaje de marcado de Control de acceso Extensible junto con su Perfil de privacidad es un estándar para expresar políticas de privacidad en un lenguaje legible por máquina que un sistema de software puede usar para hacer cumplir la política en sistemas de TI empresariales.
• EPAL: El lenguaje de Autorización de Privacidad Empresarial es muy similar a XACML, pero aún no es un estándar.
• WS-Privacy – «Privacidad del servicio web» será una especificación para comunicar la política de privacidad en los servicios web. Por ejemplo, puede especificar cómo se puede incrustar la información de la política de privacidad en el sobre SOAP de un mensaje de servicio web.

Proteger la privacidad en Internet

En Internet casi siempre regalas mucha información sobre ti mismo: Los correos electrónicos no cifrados pueden ser leídos por los administradores del servidor de correo electrónico, si la conexión no está cifrada (sin https), y también el proveedor de servicios de Internet y otras partes que rastrean el tráfico de esa conexión pueden conocer el contenido. Además, lo mismo se aplica a cualquier tipo de tráfico generado en Internet (navegación web,mensajería instantánea, entre otros) Para no regalar demasiada información personal, los correos electrónicos se pueden cifrar y la navegación por páginas web y otras actividades en línea se puede realizar sin seguimiento a través de anonimizadores o, en caso de que no sean de confianza, a través de anonimizadores distribuidos de código abierto, las llamadas redes mixtas. Las redes mixtas de código abierto de renombre son I2P, La Red Anónima o tor.