Luego de que se conociera que en Francia se dio el primer sí al proyecto que busca que el certificado de vacunación sea exigido para ingresar a ciertos espacios, se empezó a discutir alrededor de la posibilidad de que se implementen medidas de este tipo en Colombia. Para muchos, medidas como ésta representan un control excesivo del Estado sobre las decisiones personales de los ciudadanos. Si bien esto es una discusión que –por ahora– se ha mantenido en pasillos y redes sociales, está más cerca de la realidad que de la especulación. 

Según reportó Blu Radio, la aplicación CoronAPP “​​se convertiría más adelante en el famoso pasaporte sanitario que le serviría a los vacunados para tener accesos y contar con beneficios que no tendrían quienes no han querido aplicarse la dosis”. Además, este pasaporte planea articular al Ministerio de Salud, Davivienda y las plataformas Koibanx y Algorand para expedir una certificación electrónica haciendo uso de los datos personales y de salud de cada usuario registrado. El acceso a la información recolectada sería mediante un código QR. En otras palabras, además del Ministerio de Salud, el banco Davivienda y las otras dos plataformas tendrían a su disposición datos sensibles de cada colombiano que decida vacunarse. ¿Quién garantiza que los datos sean utilizados únicamente para el control de la pandemia? 

Esto podría parecer un tema menor, pero si se revisan ciertos eventos sucedidos a lo largo de la historia colombiana que involucran el uso de tecnologías de vigilancia (como lo es CoronApp), la protección de datos y la privacidad toman muchísima relevancia. Basta con recordar el escándalo de las “chuzadas” durante el gobierno de Álvaro Uribe o la adquisición de un software de “rastreo en redes” en 2020 por parte de la Policía Nacional, para darse cuenta de los alcances de estas prácticas. 

En vista de lo anterior y buscando garantizar que el uso de tecnologías de vigilancia se haga con las garantías necesarias para que no se violen los derechos de las personas nació el proyecto Sonríe #EstamosVigilando. Este proyecto asocia al Centro por la Justicia y el Derecho Internacional (CEJIL) Derechos Digitales de Chile, FLIP de Colombia, IDHUCA del Salvador y Open Knowledge Brasil, para “para proteger a los derechos humanos que pueden verse afectados por el uso de tecnologías con capacidades de vigilancia sin las salvaguardas, restricciones y controles necesarios”, según se lee en la página web del proyecto. 

Sonríe #EstamosVigilando es un proyecto coordinado por Cejil en alianza con cuatro organizaciones que están basadas en Colombia, El Salvador, Brasil y Chile. Si bien este proyecto se sitúa en el contexto actual, apunta a generar recursos que sean útiles más allá de la pandemia, para fomentar la noción de que la transparencia, la debida diligencia y el acceso a la justicia, son los ejes que deben guiar la adquisición y la implementación de tecnologías de vigilancia para poder garantizar que su uso sea legal, necesario y proporcional, según estándares de DDHH. 

Hablamos con Paloma Lara Castro, abogada en CEJIL y coordinadora del proyecto. Ella nos contó acerca de los objetivos y avances del mismo, y nos explicó el porqué es necesario revisar con lupa este tipo de aplicaciones y tecnologías de vigilancia a las que les facilitamos nuestros datos personales, muchas veces sin indagar sobre el destino y los usos de los mismos. 

***

¿Cómo nace éste proyecto?

El proyecto surge porque, como se ha notado a nivel global, los estados han venido implementado “soluciones tecnológicas” para hacer frente a la pandemia. Esto es preocupante porque se han implementado de forma precipitada, sin haber realizado evaluación de impacto sobre los derechos humanos y sin generar los mecanismos de supervisión adecuados. Esto hace que se enfrenten también a un menor escrutinio, dada la urgencia que emana del contexto de la pandemia. Esta preocupación adquiere especial relevancia cuando tenemos en cuenta los antecedentes de vigilancia en la región, tanto en épocas dictatoriales como en la democracia, que han dado lugar a varios casos de abuso, generalmente contra defensores de derechos humanos, periodistas y activistas. El proyecto se sitúa sobre esta problemática y propone generar discusiones, recursos e iniciativas para proteger los derechos humanos que puedan verse afectados por el uso de estas tecnologías sin salvaguardar los controles necesarios. 

¿De qué manera están trabajando para generar esos recursos?

Estamos haciéndolo a través de tres iniciativas principales. La primera es una acción coordinada de litigio que se hizo a través de la presentación simultánea de solicitudes de acceso a la información en los cuatro países donde están las organizaciones socias. Esto arrancó en marzo y continúa en proceso. La segunda es una campaña de comunicación que se lanzó el mismo día que se presentaron las solicitudes junto con el sitio web, que es donde se centraliza la información. La tercera parte es la generación de una serie de guidelines sobre debida diligencia en adquisición e implementación de tecnología de vigilancia, que saldrán a final de año. 

Con el objetivo de centralizar y transparentar los procesos y los resultados del proyecto lanzamos el sitio web que es donde se pueden conocer las tecnologías seleccionadas, dar seguimiento a las solicitudes y acceder a recursos relevantes. Es un sitio web muy dinámico que se va actualizando constantemente y ofrece una biblioteca jurídica con los insumos que se van generando durante y a partir de los procesos locales. Esto también con el fin de animar a la presentación de solicitudes similares en otros países. Las solicitudes de información varían de los mismos derechos de petición de todos los países, pero las preguntas están formuladas hacia cinco objetivos que han sido acordados previamente a la presentación de las solicitudes y que responden a los ejes de estudio de estas tecnologías y de estos procesos del actuar estatal, justamente apuntando al objetivo final del proyecto que es el de generar mayor transparencia. 

"La idea de la vigilancia no surge ahora ni es la tecnología la que crea la vigilancia, sino que es puesta al servicio de una lógica que ha sido utilizada previamente a la pandemia y en muchos otros momentos históricos. Resulta la posibilidad de que las tecnologías aplicadas terminen monitoreando a las personas y no al virus".

¿Cuáles son esos cinco objetivos?

El primero es el proceso de adquisición de las tecnologías, esto incluye contrataciones (si es que existen contratos), cuáles son los términos de los contratos, cómo una empresa llega a ser proveedora del Estado en un proceso de licitación y todos los procesos referentes a la adquisición de la tecnología. 

Por otro lado, queremos saber si los estados han realizado evaluaciones de impacto de DDHH. Según los estándares internacionales de DDHH, para que una tecnología con capacidades de vigilancia en un país pueda ser implementada asegurando que esto no viole derechos, se deben hacer test de razonabilidad y proporcionalidad previo a la implementación, es decir, tienen que evaluar si esa tecnología es la mejor en comparación con otras tecnologías y otras formas disponibles para lograr el fin propuesto, si este fin es legal. Hay un montón de cuestiones a tener en cuenta en los análisis de impacto, tiene que haber otras opciones, una explicación de por qué se eligió esa tecnología en específico, etc.

El tercero es el tratamiento de datos: cómo se recopilan los datos, qué datos se están recopilando. Esto considerando que como estamos en un contexto de pandemia muchos datos son datos de salud, o sea son datos sensibles y estos tiene mayor protección según DDHH. Si existe consentimiento al suministrar esos datos sobre su tratamiento, si existe un cruce con otras bases de datos como bases de la policía o de control migratorio, como ha pasado en otros países; cuánto tiempo se van a mantener estos datos, en qué sistema, qué instituciones tienen acceso a eso, por cuánto tiempo, que va a pasar después de la pandemia con estos datos, etc. 

El cuarto objetivo tiene que ver con la efectividad de las tecnologías implementadas para el control de la pandemia. Queremos saber si estas tecnologías realmente están fungiendo el rol para el cual fueron implementadas. ¿La implementación de estas tecnologías que ponen en riesgo derechos humanos realmente son efectivas para combatir el virus? ¿Han influido directamente en el control del virus? ¿Hay datos que lo prueben?

El quinto eje tiene que ver con las empresas o instituciones que son proveedoras de estas tecnologías. 

¿Cuáles son esas tecnologías de vigilancia y por qué se enfocaron en esas?

En el caso de Colombia se eligieron cuatro tecnologías: CoronApp, ArcGIS, PAIWEB 2.0 y Mi Vacuna. Lo interesante de resaltar es que la mayoría de estas tecnologías ya existían previamente. No fueron creadas para combatir la pandemia, sino que existían para otras funcionalidades, fueron adaptadas y se agregaron nuevas funciones. Por ejemplo, CoronAPP existía desde 2016 y se llamaba “Guardianes de la Salud”. Fue lanzada en el contexto de la visita del Papa Francisco a Colombia para monitorear los riesgos en salud que pudieran presentarse en medio de las aglomeraciones. Todas estas tecnologías recopilan datos de salud que son datos sensibles, por ende, deberían ser mayormente protegidos con base a la doctrina de protección de datos. Además de recopilar estos datos de salud, ofrecen servicios para monitorear el covid, analizar datos de salud o para tener un registro de los procesos de vacunación. Estas tecnologías fueron seleccionadas luego de un análisis, teniendo en cuenta los antecedentes del país, el contexto y los riesgos. 

En el caso de Colombia ¿a qué antecedentes se refieren?

Es importante tener en cuenta que en Colombia hay un contexto serio de vigilancia ilegal hecha por el Estado que, de hecho, ha sido la causa de muchas denuncias internacionales. Existen reportes de medios de comunicación sobre operaciones ilegales de vigilancia, sobre defensores de DDHH, periodistas, políticos, oenegés y sindicalistas. Para poner un ejemplo, Revista Semana reveló en 2020 que el ejército de Colombia ejecutó un programa de seguimiento informático donde la mayoría de los objetos de vigilancia eran periodistas, periódicos y oenegés. Decía en la nota que se estimaba que eran alrededor de 130 personas las que habían sido objeto de estas vigilancias ilegales. También, que ésta vigilancia ilegal se hizo a través de equipos espaciales que permiten captar las llamadas de teléfonos celulares y también la instalación de un malware que fue denominado “Hombre Invisible” para poder acceder a los dispositivos hackeados y obtener información privada. Esta situación fue expuesta ante la CIDH, que reiteró que la vigilancia ilegal en Colombia es sistemática y que, incluso, es un tema que han venido monitoreando hace 15 o 16 años, en los que ha persistido la impunidad y la falta de información sobre el contenido de estas actividades ilegales, así como la falta de esclarecimiento sobre las motivaciones y la estructura que opera detrás de estas interceptaciones y la repetición de los hechos. Como estas hay muchas más situaciones que han ocurrido en Colombia, que hacen que sea preocupante que se puedan exacerbar aún más con el aumento del uso de tecnologías con capacidad de vigilancia durante la pandemia o que permitan reforzar la vigilancia que ya existía. La idea de la vigilancia no surge ahora ni es la tecnología la que crea la vigilancia, sino que es puesta al servicio de una lógica que ha sido utilizada previamente a la pandemia y, de hecho, en muchos otros momentos históricos. Entonces, resulta la posibilidad de que las tecnologías aplicadas terminen monitoreando a las personas y no al virus. Esto dentro de lo histórico que indica que la vigilancia ha sido la lógica que operó en los Estados, en las democracias y dictaduras, y que en los últimos años se ha registrado un aumento en la adquisición y el uso de tecnologías de vigilancia por parte de los Estados en América Latina, sin las salvaguardas necesarias. 

"Lo que puede suceder es que la pandemia pueda ser usada para facilitar a los Estados a disponer de una mayor capacidad de vigilancia, que pueda ser aprovechada para diversos fines sin un marco legal adecuado que permita supervisar el despliegue de estas tecnologías".

​

¿Cómo entra el virus a justificar el uso aumentado de estas tecnologías?

El avance tecnológico pone a disposición de los Estados nuevas metodologías de vigilancia y control que son mucho más innovadoras y que tienen más capacidad. Ante esta situación, antes de la pandemia, los organismos y mecanismos internacionales de derechos humanos ya habían expresado en varias ocasiones su preocupación por el creciente uso de estas tecnologías para fines de vigilancia masiva y selectiva, por parte de gobiernos y actores privados que generalmente no cumplen con las normas de legalidad. En el contexto actual, el aumento de esta tecnología se enfrenta a un menor escrutinio porque se presenta como una solución para contener la propagación del virus. Lo que puede suceder (todo es basado en suposiciones y sin afirmar nada porque justamente estamos monitoreando esto), es que la pandemia pueda ser usada para facilitar a los Estados a disponer de una mayor capacidad de vigilancia, que pueda ser aprovechada para diversos fines sin un marco legal adecuado que permita supervisar el despliegue de estas tecnologías. Con los antecedentes históricos, inevitablemente la situación plantea la posibilidad de que se pueda reutilizar la tecnología para otros propósitos una vez que la emergencia sanitaria disminuya o que los datos recabados durante la pandemia sean utilizados para otras cuestiones que no responden a los fines de la pandemia. Hay que entender que todo dato personal solamente puede ser recabado con consentimiento y para el fin específico para el cual sea recolectado. 

¿En qué van las solicitudes de información que ya realizaron y a qué conclusiones han podido llegar hasta ahora?

En Colombia se presentaron diez solicitudes o derechos de petición y todas fueron respondidas. Sin embargo, es importante decir que la mayoría de estas fueron respondidas tras la imposición de una acción de tutela. Se presentaron siete acciones de tutela para exigir respuesta o exigir que la respuesta fuera completa y congruente con lo solicitado. Actualmente estamos en una fase de análisis de las respuestas por país y luego esperamos pasar a un análisis compartido para buscar puntos en común, patrones, grises en las legislaciones. Ya tenemos conclusiones preliminares como, por ejemplo, que los Estados no realizan una evaluación de impacto a DDHH previa a la implementación de las tecnologías y que tampoco existe un mecanismo de evaluación y monitoreo respecto a la efectividad de estas tecnologías. También se pueden observar que algunas respuestas satisfacen requisitos legales, pero son puestas de manera tan general que evita que se pueda profundizar sobre posibles vulneraciones. Por ejemplo, sobre PAIWEB 2.0. respondieron que se utilizan las políticas de protección de datos personales con las que cuenta el Ministerio de Salud. Si bien estas políticas están bien desarrolladas, son exactamente iguales para todas las tecnologías aplicadas para el Ministerio, entonces no fueron diseñadas especialmente para la app. Al ser una respuesta demasiado general, impide ver cómo estas políticas de privacidad se adjuntan a la funcionalidad de cada tecnología y cómo se van a implementar específicamente para la protección de los datos recolectados por esta tecnología. En el caso del Plan Nacional de Vacunación (Mi Vacuna) no se puede hacer un mapeo profundo y no se pueden conocer posibles vulneraciones en la recolección de datos porque no hay suficiente transparencia sobre cómo esos datos son utilizados en la práctica. 

Ahora que ya tiene ciertos datos y ciertos resultados en Colombia ¿cuál es el paso a seguir para el proyecto?

Los siguientes pasos son generar el análisis completo y cubrir todos los puntos para presentarlo en el sitio web y en la campaña de comunicación. Actualmente estamos comunicando los avances preliminares. Una vez terminado eso, la información recolectada y analizada será fuente para los lineamientos que saldrán a final de año, guidelines y principios generales sobre cómo deberían aplicar los estados estas tecnologías acordes a los principios de DDHH.