Resumen: los datos, como uno de los activos más importantes para construir ventajas en cualquier ámbito, son innegables, cuyo análisis para la toma de decisiones se ha facilitado con la incursión de tecnolo- gías de la información, las cuales no solo contribuyen al acercamiento de las personas, pues al ser utilizadas a un ritmo individual, conforme a las necesidades y preferencias que sean determinadas por cada per- sona, permiten conocerlas y perfilarlas, último escenario que puede ser explotado para diversos fines. Por ello, es importante reflexionar en torno al internet de las cosas, los datos personales que se recaban como consecuencia y cómo esta circunstancia puede impactar en ma- teria electoral.
Palabras clave: internet de las cosas, elecciones, procesos jurisdic- cionales, nulidad, protección de datos personales.
Sumario: Breve introducción al internet de las cosas; Principios de información y responsabilidad en materia de protección de datos per- sonales y su relación con el internet de las cosas; Internet de las cosas y su utilización en procesos electorales en México; Conclusiones y pro- puestas, Fuentes consultadas.
Protección de datos personales en el internet de las cosas dentro del contexto de un proceso electoral
Eduardo Lima Estrada
Breve introducción al internet de las cosas
En 1999, Kevin Ashton utilizó el término internet de las cosas para describir un sistema en el cual los objetos del mundo físico se podían conectar a internet por medio de sensores (Ashton citado en Internet Society 2015), inspirados en el éxito que significó la masificación de los servicios de la red mundial en las computadoras y los dispositivos por- tátiles que comenzaban a surgir.
De esa manera, se transita a un concepto un poco más definido que, en términos generales, alude al creciente número de dispositi- vos que están conectados a internet y que pueden comunicarse con otros dispositivos, a menudo sin necesidad de intervención humana (Unión Internacional de Telecomunicaciones 2016b), los cuales gene- ran, intercambian y consumen, y que, generalmente, no son computa- doras (Internet Society 2015).
Conforme a las definiciones técnicas aceptadas, la RFC 7452 defi- ne al internet de las cosas como una tendencia en que un gran número de dispositivos embebidos utilizan los servicios de comunicación que ofrecen los protocolos de internet. A estos dispositivos suelen llamar- les objetos inteligentes, y no son operados directamente por un ser hu- mano, sino que existen como componentes en edificios o vehículos, e incluso están distribuidos en el entorno.
De todo lo expuesto, se puede señalar que el internet de las cosas es una concepción de la comunicación entre dispositivos, que no son computadoras, mediante protocolos de internet y que permiten la eje- cución de una serie de tareas relacionadas con una persona u organi- zación.
Atento a lo anterior, las características principales del internet de las cosas son las siguientes (Ministerio de Modernización S. f.):
1) Interconectividad. Cualquier cosa se puede interconectar con la infraestructura global de las tecnologías de la información y co- municación.
2) Servicios relacionados con las cosas. Es capaz de proveer servicios relacionados con objetos sin los propios constreñimientos de las co- sas, como la consistencia semántica entre las cosas físicas y las cosas asociadas a ellas virtualmente.
3) Heterogeneidad. Los dispositivos se encuentran muy variados ba- sados en plataformas y redes, y a su vez pueden interactuar con otros dispositivos o servicios en distintas plataformas o redes.
4) Cambios dinámicos. El estado de los dispositivos cambia dinámi- camente, dependiendo del usuario que los utiliza.
Tales características han llevado a considerar a esta tecnología, de forma conjunta con la inteligencia artificial y las redes eléctricas inte- ligentes, como parte del sostén de las ciudades inteligentes, ya que pueden recopilar información en tiempo real y enviar esos datos, por medio de una comunicación inalámbrica, a sistemas de control centra- lizados. Dicha operación se encuentra orientada para gestionar diversos servicios públicos produciendo beneficios, como la gestión, el tráfico, la reducción del consumo de energía y la mejora de otras operaciones y servicios urbanos (Unión Internacional de Comunicaciones 2016b).
Por lo tanto, se advierte que la utilidad del internet de las cosas radica en que sirve de sustento para la integración de ciudades inte- ligentes y en el rendimiento que tiene para las personas en su entor- no, facilitando así el desarrollo de su vida cotidiana en los aspectos que las conforman.
Principios de información y responsabilidad en materia de protección de datos personales y su relación con el internet de las cosas
El marco legal de protección de datos personales en México se ha di- vidido en legislación para el sector público y el sector privado, aun- que en ambas legislaciones se encuentran presentes los principios de información y de responsabilidad, así como las figuras de responsa- ble —quien trata los datos personales— y del titular —la persona cuya propiedad ostenta sus datos personales—.
El principio de información alude a que los titulares deben estar in- formados de los datos personales que serán tratados, las finalidades que sustentan tal actividad y los medios que tienen para ejercer sus derechos en relación con estos.
Recordando que el internet de las cosas se encuentra sustentado en dispositivos que recaban datos, es indispensable que, si estos resultan de la actividad de las personas, conozcan aquella información que sea necesaria para que comprendan el alcance de la utilización de sus da- tos personales y las consecuencias que puede traer dicha actividad, to- do mediante un documento denominado aviso de privacidad.
Debe señalarse que el principio de información no es el único que tiene un papel relevante en el internet de las cosas, pues no basta con que las personas se encuentren informadas de cómo serán tratados sus datos personales.
Al respecto, se considera que en 2020 existan 25,000 millones de dispositivos conectados, lo que implica riesgos en materia de ciberse- guridad que el solo principio de información no puede evitar.
Por ejemplo, en agosto de 2019 Microsoft detectó 1,400 cibera- taques por parte de un grupo de cibercriminales ruso denominado Strontium, el cual atacó a varios modelos de dispositivos del internet de las cosas, por lo que se ha visto implicado en un total de 1,400 aler- tas de ciberseguridad a nivel mundial contra estados, organizaciones no gubernamentales y organizaciones políticas (Europapress 2019).
Precisamente en este punto conviene señalar el principio de res- ponsabilidad, el cual debe incluir las herramientas necesarias para incitar a los responsables del tratamiento a aplicar en la práctica medi- das adecuadas y eficaces que cumplan los objetivos de los principios de protección de datos (Grupo de Trabajo del Artículo 29 2010).
Dicho principio implica que las acciones que efectúen los respon- sables del tratamiento de datos personales deben ir orientadas al cum- plimiento de los deberes impuestos por la normatividad —como el de calidad, lealtad e información— con la finalidad de prevenir cualquier tipo de acto que tenga como consecuencia algún evento que vulnere tanto la integridad de los datos personales que posee el responsable como la confianza depositada por el titular de estos, derivada del prin- cipio de información.
De tal suerte, para garantizar dicho cumplimiento, se ha dispuesto una serie de medidas que descansan básicamente en lo siguiente (Gru- po de Trabajo del Artículo 29 2010):
1) La adopción de medidas adecuadas y eficaces para aplicar los prin- cipios de protección de datos.
2) La demostración, si así se requiere, por una autoridad de datos per- sonales, de que se han adoptado medidas adecuadas y eficaces. Así, el responsable del tratamiento de datos deberá aportar pruebas de la adopción de tales medidas.
Dichas cuestiones deben ser manejadas ampliamente por aquellas organizaciones que tengan a su cargo los dispositivos inteligentes en el internet de las cosas, ya que la dispersión de la información y los po- cos controles respecto a la información que resguardan y tratan podría derivar en una vulneración de seguridad que atente en contra tanto de las personas que han confiado sus datos personales en dicha organiza- ción como del responsable.
Un tratamiento de los datos personales que no se encuentre previs- to en el aviso de privacidad, que, además, implique una invasión inde- bida que trastoque la expectativa razonable de privacidad, significaría la vulneración al principio de responsabilidad.
Acerca de este último punto, conviene destacar el caso de Cam- bridge Analytica, el cual puede ser resumido en los siguientes puntos:
1) Derivó de la vulneración de más de 50 millones de cuentas de la red social Facebook, así como de la obtención de datos personales por terceros diversos a dicha red social que se recabaron mediante esta.
2) La Oficina del Comisionado de Información del Reino Unido ha emitido 23 comunicaciones de información destinadas a 17 diferen- tes organizaciones y particulares, incluido Facebook, el 23 de febre- ro de 2018, solicitándoles información de manera estructurada.
3) Facebook confirmó que Aggregate IQ —uno de los terceros que obtuvo información personal por medio de dicha red social— ha- bía creado y, en algunos casos, insertado mensajes publicitarios de la campaña del Partido Democrático Unionista (dup) a favor de la retirada, y de Vote Leave, BeLeave y Veterans for Britain.
4) La Comisión Electoral del Reino Unido reveló que los partidos polí- ticos de ese país gastaron 3.2 millones de libras esterlinas en publici- dad directa en Facebook durante las elecciones generales de 2017.
El caso en estudio representa un parteaguas acerca de la concep- ción del principio de responsabilidad a un solo tipo de acciones en
función de la posibilidad de la actualización de una vulneración de se- guridad, ya que requiere que las organizaciones actúen respecto de cuestiones que impliquen un tratamiento ético de los datos personales y las limitaciones en su uso, para fines que pudieran ser consentidos por las personas por medio del aviso de privacidad, pero que resulten dañinas para aquellas actividades que sean desempeñadas por una co- lectividad como parte de la dinámica social.
Internet de las cosas y su utilización en procesos electorales en México
Aunque en México aún se encuentra en desarrollo el marco legal y tec- nológico para la plena operación del internet de las cosas, debe seña- larse que dicha circunstancia no es obstáculo para referir un escenario en el cual ya se encuentre en plena operación y sea la legislación actual aquella que resulte vinculante en dicho escenario.
De esta manera, podría ubicarse un proceso electoral federal en México, el cual se conforma, de acuerdo con lo previsto en el artículo 208 de la Ley General de Instituciones y Procedimientos Electorales, con las etapas de: i) preparación de la elección; ii) jornada electoral;
iii) resultados y declaraciones de validez de las elecciones, y iv) dictamen y declaraciones de validez de la elección.
Así, en la primera etapa, dicho ordenamiento regula la emisión de publicidad en materia electoral, que se conforma de una serie de dis- posiciones que abarcan la totalidad del periodo de preparación de la elección, garantizando de esa manera la equidad en la contienda, ya sea en los procesos internos de selección de candidatos o en la selec- ción de representantes a puestos de elección popular.
Atento a lo anterior, se advierte que la publicidad tiene como finali- dad la exposición de motivos en virtud de los cuales una persona con- sidera ser la indicada para representar a un partido político o, en su caso, a la colectividad que pretende convencer para obtener su voto.
Una forma eficiente, a fin de obtener información para una publi- cidad adecuada, y que demostró su fortaleza en el caso Cambridge Analytica, es la referente a las redes sociales, ya que en estas interac-
túan los individuos compartiendo estados de ánimo, hábitos de consu- mo y una infinidad de datos relacionados con sus gustos y preferencias.
Sin embargo, dichas redes sociales dependen de los dispositivos en los que se encuentre activa la sesión de la persona de quien se están re- cabando datos.
En tales consideraciones, y ante una sociedad conectada median- te el internet de las cosas, las posibilidades de obtener información precisa de las personas con capacidad de emitir su voto pueden encon- trarse en los datos que recopilan dichos dispositivos y en las empresas u organizaciones que efectúan el tratamiento.
Por ejemplo, en el caso hipotético que se maneja, el análisis de los datos podría arrojar que las personas en las ciudades tardan mucho tiempo en llegar a su casa, ya que la avenida principal tiene muchos ba- ches; los semáforos no se encuentran sincronizados de tal forma que permitan la libre circulación del mayor número de vehículos; que su construcción no ayude a la libre movilidad, o que en el campo una persona vea que los precios de los insumos para cultivar no sean los adecuados conforme al tipo de suelo y que aquellos que sí resultan idó- neos no sean baratos por los impuestos y los costos de traslado; esto, al conectar los dispositivos existentes en el campo para la medición de irrigación, las aplicaciones de pago y aquellas que miden la calidad de la tierra cultivada.
Ese tipo de información podría mejorar la calidad de las propuestas de los candidatos, ya que constituyen un insumo que permite conocer con exactitud aquellas necesidades que tiene un núcleo determinado de personas y que, con su voto, podrían ser solucionadas.
También existe la posibilidad de que el nivel de información reca- bado logre acrecentar prejuicios o alimente sentimientos relacionados con discursos de odio o que afecten a los contrincantes en el proce- so electoral, ya que el internet de las cosas permite tener ese grado de conocimiento de los electores, pues todos los dispositivos conecta- dos obtienen datos personales para identificar a la persona y sus pen- samientos.
En el caso hipotético que ocupa, es posible imaginar, por una parte, a una persona que todas las mañanas se levanta muy temprano, hace ejercicio, desayuna cierto tipo de alimentos que contribuye a aumen- tar su masa corporal, acude a su oficina para verificar el estado de su
empresa, en la cual solo recibe a cierto tipo de personas que coinciden con su estatus social, acude a comer a lugares lujosos y gusta de termi- nar sus días leyendo artículos o libros acerca de su negocio.
Y, por otra parte, a una persona que si bien no tiene una serie de lu- jos, sí acude a su centro de trabajo muy temprano, pagando algunos servicios con una aplicación, con cámaras que lo vigilan durante su jornada y en el trayecto a casa.
Quizá, en ambos casos, exista un nivel de diferencia entre sus hábi- tos y forma de vida, pero gracias al internet de las cosas sería posible conocer a ambos sin siquiera efectuar un estudio profundo. Bastaría ver la información que existe de ambos en las empresas que adminis- tran los dispositivos que utilizan o los que se encuentran en sus res- pectivas rutinas para conocerlos aún más que con sus redes sociales, ya que revelarían ciertos tipos de conductas que serían señal de gustos, traumas y preferencias, que servirían para impulsar una agenda deter- minada.
Reconocidas en su conjunto, se podría perfilar a las personas que participarían en un proceso electoral, dependiendo del perfil al que de- searía convencer el candidato respectivo, siempre tomando en con- sideración los datos que previamente conoce de los individuos que cumplen con las características deseadas.
Entonces, se puede concluir que el internet de las cosas, en un esce- nario de aplicación como el que se pretende, podría generar un interés en los candidatos a puestos de elección popular, lo cual no represen- taría en sí mismo un riesgo, pues les permitiría identificar con preci- sión las necesidades de las personas y, así, poder obtener sufragios a su favor.
También representa un riesgo en relación con la utilización de los datos personales para romper el equilibrio electoral, aprovechando la información de las personas que ocupan o se encuentran inmersas en dispositivos en el internet de las cosas, pues el conocimiento de ciertas y determinadas características de la población objetiva podría dejar en desventaja al candidato que no utiliza tal información.
En ese sentido, reforzaría dicha intención que en el sistema de nuli- dades en materia electoral en México se carece de una causal que im- plique la nulidad de una elección por la utilización indebida de datos personales.
Conclusiones y propuestas
Conclusiones
1. El internet de las cosas permite resolver problemas y atender nece- sidades de las personas, tanto en lo colectivo como en lo individual.
2. En el marco de las ciudades inteligentes, los principios de in- formación y responsabilidad en materia de protección de datos per- sonales se vuelven indispensables para el éxito de los dispositivos conectados en el internet de las cosas.
3. La información obtenida de los dispositivos conectados en el in- ternet de las cosas resultaría en un insumo indispensable para las cam- pañas electorales.
4. La identificación de necesidades constituye un uso legítimo de los datos recabados.
5. La elaboración de perfiles para desequilibrar la contienda electo- ral constituiría una de las principales problemáticas.
6. En la legislación electoral mexicana, se carece de una causal de nulidad relacionada con la utilización indebida de datos personales.
Propuestas
1. En época de elecciones, formar códigos de conducta en los cuales los responsables del tratamiento de datos personales obtenidos de dis- positivos inteligentes puedan proporcionar información previamente disociada a las personas interesadas en su obtención.
2. Prever, como causal de la nulidad de la elección, la utilización ile- gal de datos personales para el perfilamiento de los ciudadanos y que cause un desequilibrio en el proceso electoral.
Fuentes consultadas
Alonso Lecuit, Javier. 2018. Cifrado, IoT y RGPD: tres desafíos de ciber- seguridad en 2018. Disponible en http://www.realinstitutoelcano.
org/wps/wcm/connect/77eba2ae-10dd-4271-8930-90e8f3c32c84/
ARI56-2018-AlonsoLecuit-Cifrado-IoT-RGPD-tres-desafios-
ciberseguridad-2018.pdf?MOD=AJPERES&CACHEID=77eba2ae- 10dd-4271-8930-90e8f3c32c84 (consultada el 11 de octubre de 2019).
Europapress. 2019. “Microsoft detecta 1.400 ciberataques a sistemas IoT por parte de un grupo de cibercriminales ruso”. Disponible en https://www.europapress.es/portaltic/ciberseguridad/noticia- microsoft-detecta-1400-ciberataques-sistemas-iot-parte-grupo- cibercriminales-ruso-20190806131601.html (consultada el 11 de octubre de 2019).
Grupo de Trabajo del Artículo 29. 2010. Opinion 3/2010 on the prin- ciple of accountability. Disponible en https://ec.europa.eu/justice/
article-29/documentation/opinion-recommendation/files/2010/
wp173_en.pdf (consultada el 9 de octubre de 2019).
Internet Engineering Task Force. 2015. RFC 7452.- Architectural consi- derations in smart object networking. Disponible en https://tools.
ietf.org/html/rfc7452 (consultada el 10 de octubre de 2019).
Internet Society. 2015. La internet de las cosas. Una breve rese- ña. Disponible en https://www.internetsociety.org/wp-content/
uploads/2017/09/report-InternetOfThings-20160817-es-1.pdf (consultada el 10 de octubre de 2019).
Ley Federal de Protección de Datos Personales en Posesión de Particu- lares. 2010. México: Cámara de Diputados.
Ley General de Instituciones y Procedimientos Electorales. 2017. Méxi- co: Cámara de Diputados.
Ley General de Protección de Datos Personales en Posesión de Sujetos Obligados. 2017. México: Cámara de Diputados.
Ministerio de Modernización. S. f. Internet de las cosas. Disponible en https://www.argentina.gob.ar/sites/default/files/paperbenchmark internacional-iot.pdf (consultada el 10 de octubre de 2019).
Parlamento Europeo. 2018. Resolución del Parlamento Europeo sobre la utilización de los datos de los usuarios de Facebook por parte de Cam- bridge Analytica y el impacto en la protección de los datos. Disponible en http://www.europarl.europa.eu/doceo/document/B-8-2018-0480_
ES.html (consultada el 9 de octubre de 2019).
Unión Internacional de Telecomunicaciones. 2016a. Harnessing the internet of things for global development. Disponible en https://
www.itu.int/en/action/broadband/Documents/Harnessing-IoT- Global-Development.pdf (consultada el 13 de octubre de 2019).
. 2016b. Internet de las cosas podría ser la “clave de conectivi- dad” de bajo coste que transforme las vidas en los países en desarrollo. Disponible en http://www.itu.int/net/pressoffice/press_
releases/2016/02-es.aspx#.XaaD1UZKjIW (consultada el 12 de oc- tubre de 2019).
. S. f. Ciudades inteligentes y sostenibles. Disponible en https://www.
itu.int/es/mediacentre/backgrounders/Pages/smart-sustainable- cities.aspx (consultada el 9 de octubre de 2019).
