El Instituto Costarricense de Electricidad (ICE) genera y comercializa energía, y presta servicios de telecomunicaciones. ¿Por qué, entonces, una de sus dependencias buscó en marzo adquirir un servicio para consultar los ingresos, la fotografía reciente, las referencias crediticias y los procesos judiciales de los costarricenses (sean o no sus clientes), además del nombre del cónyuge, el domicilio electoral y procesos penales propios y de su “núcleo cercano”? Así lo revelan correos internos que publicaron La Nación y CRHoy. El Centro Coordinador de Operaciones de Emergencia Corporativa (CCOEC), que responde a la Presidencia Ejecutiva, pretendía adquirir un servicio de al menos 150 consultas mensuales.
La justificación fue proteger los activos de la institución frente a “eventos provocados por el hombre”. Pero proteger una subestación o la red de postería no exige saber cuánto gana un ciudadano, cómo se ve, quién es su cónyuge ni si este tiene o no un proceso penal en marcha.
La necesidad declarada no guarda proporción ni con el dato pedido ni con las actividades que realiza el ICE, y esa desproporción es el núcleo del asunto. La Ley de Protección de Datos Personales exige fines determinados y legítimos en el tratamiento de datos personales, y sus excepciones por seguridad o interés público deben ser justas, razonables y transparentes, no un cheque en blanco. Quien pide tanto detalle debe explicar para qué, y el ICE no lo ha hecho.
Surgen dudas también sobre la licitud de este servicio. La misma legislación de protección de datos exige el consentimiento informado y escrito del ciudadano para el tratamiento de datos que no son públicos, como la fotografía, la dirección exacta, los teléfonos, los ingresos o las causas penales. ¿Qué buró de crédito o qué proveedor tiene, de manera lícita, esa cantidad de información sobre millones de ciudadanos? Y si el ICE iba a contratar a un tercero, debía verificar el origen lícito de los datos comercializados.
Los riesgos de que el ICE maneje esa información son concretos. Se trata de una institución pública con clientes, trabajadores y sindicatos, y el servicio no se limitaba a datos puntuales en el marco de una investigación concreta, sino a un volumen mensual de consultas que evidencia no solo una demanda del servicio, sino una vocación de continuidad de las consultas.
No se sabe quién las haría, con qué justificación ni bajo qué reglas de auditoría. Un servicio de esta clase permite perfilar a un trabajador, a un dirigente o a un opositor con un par de clics, y sin control, el uso queda al criterio de quien tiene el acceso. El sindicato Anttec advirtió del riesgo real de seguimiento de trabajadores o ciudadanos por medio de esta herramienta, en una institución que en 2011 fue condenada por la Sala Constitucional por seguimiento ilegítimo de un dirigente sindical.
Otro antecedente reciente, y en apariencia no relacionado, debe llamar la atención. Un buró de crédito sufrió un ciberataque y su base de datos con más de 500 millones de registros, incluyendo salarios, direcciones y fotografías, se ofrecía en la dark web.
La ministra Paula Bogantes reveló que el Micitt obtuvo, por medio de “otros” que negociaron con el atacante, parte de esa información, y no ha explicado quiénes son esos otros, cómo la adquirieron, bajo qué concepto llegó a manos del Micitt y, sobre todo, cuándo procederá a la destrucción de estos datos cuyo origen es visiblemente ilícito.
Nada prueba un vínculo con la gestión del ICE, pero la coincidencia entre los datos que recibió Micitt y lo que el ICE buscaba adquirir magnifica el riesgo: hoy, dentro del Ejecutivo, existe una base de datos muy semejante, y no hay explicaciones de quién la ha accedido, copiado ni conservado hasta la fecha.
Por eso, como dijimos en un editorial anterior, Micitt debe explicar quién negoció, quién pagó y con qué fundamento jurídico conserva la base. Debe, además, destruirla bajo la supervisión de la Agencia de Protección de Datos y de la autoridad judicial. La propia ministra admitió que el atacante podría conservar copias; razón de más para no sumar otra. Destruir los datos es la única garantía de que no se reutilicen los datos, ni por el ICE ni no por nadie más.
El ICE, por su parte, debe explicar con detalle cuál era el fin público que pretendía alcanzar y la proporcionalidad del servicio que pretendía adquirir y, sobre todo, de qué proveedor pretendía recibir datos cuya licitud es, cuando menos, dudosa.
El ICE pretendía adquirir y comprar datos personales para protegerse de “eventos provocados por el hombre”. Lo que hoy amenaza la privacidad del ciudadano son los provocados por la voracidad del Estado.